Datenschutz: Europäischer Gerichtshof erklärt Safe Harbor für ungültig

Luxemburg – Der Europäische Gerichtshof (EuGH) in Luxemburg hat das Safe-Harbor-Datenschutzabkommen zum Austausch personenbezogener Daten zwischen den USA und der Europäischen Union (EU) für ungültig erklärt. Persönliche Daten europäischer Nutzer seien in den USA nicht ausreichend vor dem Zugriff von Behörden geschützt, so die Begründung.

Damit folgte das Gericht dem Antrag des Generalanwalts Yves Bot von Ende Septem­ber. In dem jahrelangen Rechtsstreit zwischen dem Österreicher Max Schrems und der irischen Datenschutzbehörde gab das oberste europäische Gericht damit dem Kläger Recht. Dieser hatte 2013 bei der irischen Datenschutzbehörde Beschwerde dagegen eingelegt, dass Facebook seine persönlichen Daten automatisch an Server in den USA übermittelt, weil seine Daten in Anbetracht der Enthüllungen von Edward Snowden dort vor den Zugriffen der Nachrichtendienste nicht geschützt seien. Irland war zuständig, weil das US-Unternehmen dort seinen Europasitz hat.

Das EuGH erklärte nun, dass die nationalen Datenschutzbehörden „in völliger Unab­hängigkeit prüfen können“, ob bei der Datenübermittlung alle geltenden Daten­schutz­anforderungen erfüllt werden – unabhängig von Entscheidungen der Euro­päischen Kommission. Diese könne die Befugnisse der nationalen Daten­schutz­behörden „weder beseitigen noch auch nur beschränken“.

Im Hinblick auf das Safe-Harbor-Abkommen führt das Gericht darüber hinaus aus, dass eine Regelung, „die es den Behörden gestattet, generell auf den Inhalt elektronischer Kommunikation zuzugreifen, den Wesensgehalt des Grundrechts auf Achtung des Privatlebens verletzt“.

Eine Regelung, die keine Möglichkeit für den Bürger vorsehe, mittels eines Rechts­behelfs Zugang zu den ihn betreffenden personenbezogenen Daten zu erlangen oder ihre Berichtigung oder Löschung zu erwirken, verletze zudem den Wesensgehalt des Grundrechts auf wirksamen gerichtlichen Rechtsschutz, argumentierte das Gericht.

Der Digitalverband Bitkom forderte unterdessen „schnellstmöglich Rechtssicherheit“ für betroffene Unternehmen, die ihre Datenübermittlung zwischen Deutschland und den USA bislang auf Safe Harbor gestützt haben. Hier seien die EU-Kommission und die nationalen Datenschutzbehörden in der Pflicht. Datenschutzkonforme Alternativen für die Übermittlung personenbezogener Daten in Drittstaaten außerhalb der EU sind laut Bitkom unter anderem von der EU-Kommission erlaubte Standardvertragsklauseln und die individuelle Einwilligung der betroffenen Personen.

KBr