EuGH untersagt generösen Datentransfer in die USA
18.07.2020
Mitunter gibt es Gerichtsurteile, die Hoffnung machen. Der Europäische Gerichtshof (EuGH) hat jetzt die EU-US-Datenschutzvereinbarung „Privacy Shield“ gekippt und damit dem grenzenlosen Datenaustausch zwischen Europa und den USA erst einmal einen Riegel vorgeschoben. Das Gericht folgte mit seiner Entscheidung der Position des österreichischen Datenschutzaktivisten Max Schrems, der bei der irischen Datenschutzbehörde (DPC) beanstandet hatte, daß die irische Facebook-Tochterfirma personenbezogene Daten an den Mutterkonzern in den USA weiterleitet – wo Nachrichten- und Geheimdienste wie NSA, CIA oder FBI praktisch unbegrenzten Datenzugriff haben.
„Ich bin sehr glücklich über das Urteil. Das ist ein totaler Schlag für die irische DPC und Facebook“, sagte der 33jährige Österreicher, der nun die USA in die Pflicht nehmen will: „Wir brauchen eine Reform des amerikanischen Überwachungsrechts.“
Die Richter in Luxemburg begründeten ihr Urteil damit, daß die Überwachungsbefugnisse der amerikanischen Behörden zu umfangreich seien. Laut Datenschutz-Grundverordnung (DSGVO) dürfen personenbezogene Daten grundsätzlich nur dann in ein Drittland übermittelt werden, wenn das betreffende Land für Daten „ein angemessenes Schutzniveau gewährleistet“. Das ist im Fall der USA nicht der Fall.
Aus ähnlichen Gründen hatte der EuGH bereits im Jahr 2015 die Vorgänger-Regelung „Safe Harbor““ gekippt. Auch das damalige Urteil war auf eine Initiative des österreichischen Datenschutzaktivisten Schrems zurückgegangen. „Das ,Privacy Shield‘ ist vom Inhalt fast das gleiche wie ,Safe Harbor‘ mit ein paar dekorativen Blümchen daneben“, hatte Schrems in der „Süddeutschen Zeitung“ kritisiert. Laut Schrems habe die EU-Kommission „einfach den Text kopiert und dem Abkommen einen neuen Namen gegeben“.
Die Standardvertragsklauseln (SSC) für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern bleiben allerdings auch nach der nunmehrigen EuGH-Entscheidung gültig. Sie bieten nach Einschätzung der Luxemburger Richter einen angemessenen Schutz für die Daten von EU-Bürgern. IT-Rechtsexperten bezweifeln das. Beobachter wollen nicht ausschließen, daß nun ein neues, ein drittes EU-US-Datenschutzabkommen ausgearbeitet werden muß.
