Nachdem der Europäische Gerichtshof (EuGH) heute die „Safe Harbor“-Regelung aus dem Jahr 2000 für ungültig erklärt hat, drängt sich die Frage auf, ob dies zugleich das Ende transatlantischer Datenflüsse bedeutet.
Wir hatten bereits gestern darauf hingewiesen, dass dies mit der Ungültigkeit von „Safe Harbor“ nun zwar grundsätzlich der Fall ist, personenbezogene Daten jedoch in bestimmten Ausnahmefällen selbst dann in Drittstaaten übertragen werden dürfen, wenn diese kein angemessenes Datenschutzniveau aufweisen. Diese Ausnahmen erweisen sich im Hinblick auf Datenübermittlungen in die USA bei näherer Betrachtung jedoch allesamt als problematisch.
Die praktisch wichtigste dieser Ausnahmen in der EU-Datenschutzrichtlinie lässt die Übermittlung personenbezogener Daten zu, wenn die Betroffenen ausdrücklich und zweifelsfrei in die Übermittlung eingewilligt haben. Allerdings setzt diese Ausnahme voraus, dass die Betroffenen zuvor über den Zweck der Übermittlung und Verarbeitung, die Weitergabe an Dritte sowie Bedingungen und Reichweite dieser Weitergabe unterrichtet wurden. Nach US-Recht wiederum ist es Unternehmen, die mit den dortigen Nachrichtendiensten wie etwa der NSA zusammenarbeiten, jedoch untersagt, Informationen über diese Zusammenarbeit preiszugeben. Aus diesem Grund dürfte es datenverarbeitende Unternehmen aus den USA vor große Schwierigkeiten stellen, den Anforderungen der EU-Datenschutzrichtlinie in diesem Punkt zu genügen.
Reaktion der EU-Kommission
In einer ersten Reaktion auf die Entscheidung des EuGH ließ die EU-Kommissarin für Justiz, Verbraucherschutz und Gleichstellung, Vera Jourová, verlauten, dass personenbezogene Daten trotz der Ungültigkeit von „Safe Harbor“ weiterhin in die USA übermittelt werden dürften; Grundlage dafür seien die EU-Standardvertragsklauseln oder die „Binding Corporate Rules“. Diese Auffassung ist aus unserer Sicht jedoch nicht nachvollziehbar.
EU-Standardvertragsklauseln
Die Standardvertragsklauseln basieren ebenso wie „Safe Harbor“ auf Entscheidungen der EU-Kommission. Es handelt sich dabei um fest vorgegebene Vertragswerke mit bestimmten Datenschutzgarantien für Datenexporteure und Datenimporteure. Inhaltlich entsprechen die Standardvertragsklauseln den Vorgaben der „Safe Harbor“ Regelung. Der Unterschied zwischen beiden besteht lediglich darin, dass sich „Safe Harbor“ auf das Datenschutzniveau eines ganzen Landes bezieht, die Standardvertragsklauseln hingegen nur auf das Datenschutzniveau innerhalb einzelner Unternehmen. Im Rahmen der Standardverträge muss der Datenimporteur bei Übermittlungen in einen unsicheren Drittstaat wie die USA zusichern, dass dort seines Wissens keine Rechtsvorschriften existieren, die die Garantien aus den Klauseln substanziell beeinträchtigen.
Genau dies hat der EuGH im Rahmen der „Safe Harbor“ Entscheidung in Frage gestellt und moniert, dass sich die Regelung gerade nicht auf die Bereiche der nationalen Sicherheit und der Strafverfolgung in den USA erstreckt. Zudem hat der Gerichtshof klargestellt, dass faktisch unbegrenzte behördliche Zugriffe auf personenbezogene Daten mangels Verhältnismäßigkeit niemals mit dem EU-Datenschutzrecht und den EU-Grundrechten vereinbar sein können. Und tatsächlich erlaubt Sektion 702 des FISA Amendment Act (FAA) von 2008 den US-Geheimdiensten ohne besondere Schranken, die Daten von Nicht-US-Bürgern abzugreifen. Dabei kann die NSA wie im Fall von PRISM mit Online-Unternehmen kooperieren oder wie bei der „Upstream Collection“ genannten Massendatenerfassung direkt selbst an Internetknotenpunkten ansetzen. Die Datenschutzgarantien der Standardvertragsklauseln werden dadurch ebenso unterlaufen wie die Vorgaben von „Safe Harbor“, so dass beide Regelungen letztlich an demselben Fehler leiden. Datenübermittlungen in die USA auf Grundlage der Standardverträge dürften daher ebenso unzulässig sein, wie der EuGH dies heute für Übermittlungen auf der Basis von „Safe Harbor“ angenommen hat.
Binding Corporate Rules
Auch die „Binding Corporate Rules“ bieten hier keinen Ausweg. Im Unterschied zu den Standardvertragsklauseln sind sie nicht fest vorgegeben, sondern können insbesondere von multinationalen Konzernen für Fälle konzerninterner Datenübermittlungen selbst gestaltet werden. Diese Regeln bedürfen der Genehmigung durch eine federführende sowie zwei weitere europäische Datenschutzbehörden, um wirksame Grundlage für die Datenübermittlung in einen unsicheren Drittstaat zu sein. Dabei müssen die Behörden prüfen, ob durch die selbst auferlegten Regeln ein angemessenes Datenschutzniveau innerhalb des jeweiligen Konzerns gewährleistet ist. Spätestens an diesem Punkt kommen wiederum die Überwachungsbefugnisse der US-Nachrichtendienste ins Spiel. Daher können Unternehmen mit Sitz in den Vereinigten Staaten auch im Wege der „Binding Corporate Rules“ ein angemessenes Datenschutzniveau nicht garantieren.
Fazit
Ganz so einfach, wie es EU-Kommission und Unternehmen wie Facebook nun vorgeben, werden die Auswirkungen des EuGH-Urteils nicht zu bewältigen sein. Ein zulässiger Ausweg kann jedenfalls nicht darin bestehen, die Datenübermittlung künftig schlicht auf eine andere formale Grundlage zu stellen. Den materiellen Anforderungen des EU-Datenschutzrechts ist auf diese Weise nicht auszuweichen. Vielmehr bedarf es substanzieller Änderungen bei den Überwachungspraktiken der US-Geheimdienste ebenso wie bei ihrer Aufsicht und den Rechtsmitteln für Personen, die nicht in den USA ansässig sind.
