"Safe Harbor"-Abkommen gekippt Die wichtigsten Fragen zum Facebook-Urteil des EuGH
Luxemburg · Internetdaten von EU-Bürgern sind in den USA nicht ausreichend geschützt. Das hat der Europäische Gerichtshof (EuGH) entschieden und damit das "Safe Harbor"-Abkommen gekippt. Dies dürfte weitreichende Folgen für Unternehmen wie Facebook haben. Wir beantworten die wichtigsten Fragen dazu.
Das ist Max Schrems
Über was genau hat der Europäische Gerichtshof verhandelt?
Es ging um eine Klage des österreichischen Juristen Maximilian Schrems. Er hatte den irischen Datenschutzbeauftragten aufgefordert, die Sicherheit der Facebook-Daten von EU-Nutzern zu prüfen, wenn sie in die USA übermittelt werden. Denn das bezweifelte er. Der Beauftragte hatte dies mit Verweis auf das "Safe Habor"-Abkommen aber abgelehnt. Daher klagte Schrems vor dem irischen High Court, der den Fall wiederum an den EuGH verwies. Der EuGH musste nun entscheiden, ob die irischen Datenschutzbehörden an "Safe Harbor" gebunden sind.
Was regelt das "Safe Harbor"-Abkommen?
Nach EU-Recht dürfen personenbezogene Daten nur dann an Drittländer übermittelt werden, wenn sie dort "angemessen" geschützt sind. Im Juni 2000 hat die EU-Kommission im Zuge des "Safe Harbor"-Abkommens entschieden, dass die USA ein solcher sicherer Hafen sind. In diesem Zusammenhang müssen US-Unternehmen zusichern, dass sie Daten ihrer europäischen Nutzer angemessen schützen. Geben sie solche Selbstverpflichtungen ab, dürfen sie die Daten exportieren und in den USA weiterverarbeiten. So etwa bei Facebook, deren europäische Zentrale im irischen Dublin liegt. Nach den Enthüllungen von Edward Snowden aber gab es vermehrt Zweifel, dass die USA weiterhin ein "sicherer Hafen" seien.
Was hat der EuGH entschieden?
Der Europäische Gerichtshof erklärte die 15 Jahre alte Vereinbarung für ungültig. Die Informationen seien in den USA nicht ausreichend vor dem Zugriff von Behörden und Geheimdiensten geschützt, das verletze die Rechte der Europäer, urteilten die Richter in Luxemburg. (Rechtssache C-362/14). Nach Ansicht des Gerichts bietet das — als wirtschaftsfreundlich bekannte — "Safe Harbor"-Abkommen keine ausreichende Basis für eine Datenübermittlung. Der Gerichtshof bestätigte ausdrücklich, dass Betroffene das Recht haben, die nationalen Gerichte anzurufen. Nationale Datenschutzbehörden dürften prüfen, ob die Daten einer Person entsprechend geschützt seien. "Die EU-Kommission hatte keine Kompetenz, die Befugnisse der nationalen Datenschutzbehörden in dieser Weise zu beschränken", kritisierten die Richter.
Was bedeutet das nun für die irischen Datenschützer?
Laut EuGH muss die irische Datenschutzbehörde nun entscheiden, ob die Übermittlung der Daten europäischer Nutzer an Facebook ausgesetzt wird, weil die USA kein angemessenes Schutzniveau für personenbezogene Daten bietet. In Irland liegen zahlreiche Datenschutzbeschwerden vor. Diese müssen nun genau geprüft werden, mahnen die Richter und schreiben vor, "dass die irische Datenschutzbehörde die Beschwerde von Herrn Schrems mit aller gebotenen Sorgfalt prüfen" muss.
Welche Folgen könnte das Urteil haben?
Für die Internetwirtschaft weitreichende — insbesondere für kleinere Unternehmen. Denn vor allem diese verließen sich bisher darauf, dass Datenübermittlung in die USA unbedenklich ist. Ohne "Safe Harbor" müsste jede Firma selber dafür sorgen, dass der rechtliche Rahmen nach der Datenschutz-Grundverordnung eingehalten wird. Das kann zusätzliche Verträge und Aufwand für Anwälte bedeuten — was großen Konzernen wie Facebook und Google leichter fallen dürfte als kleinen Unternehmen. Betroffen sind gleichermaßen deutsche und amerikanische Unternehmen, die Daten in die USA fließen lassen. Der Fall bedeute für viele Unternehmen jetzt eine erhebliche Rechtsunsicherheit, sagt auch Oliver Süme, Vorstand des Internetverbands eco. Denn datenbasierte Geschäftsmodelle und der transnationale Austausch von Daten würden volkswirtschaftlich immer wichtiger.
Welche Reaktionen gibt es auf das Urteil?
Bundesjustizminister Heiko Maas (SPD) sieht in dem Urteil ein Signal für den Schutz der Grundrechte in Europa. Mit den USA müsse nun unverzüglich über die Folgen des Urteils gesprochen werden. "Das Urteil ist ein Auftrag an die Europäische Kommission, auch international für unsere Datenschutzstandards zu kämpfen", so Maas. Auch die deutsche Industrie fordert rasch ein neues Datenschutzabkommen. "Ein Abbruch des Datenaustauschs wäre ein Paukenschlag", sagte der Hauptgeschäftsführer des Bundesverbandes der Deutschen Industrie (BDI), Markus Kerber. "Ziel ist, zügig einen verlässlichen Rechtsrahmen für den Datenaustausch mit den USA zu schaffen."
Der interpolitische Sprecher der Unionsfraktion Thomas Jarzombek (CDU) hat vor falscher Euphorie. "Am Ende droht die Gefahr, dass die US-Giganten Apple, Google, Facebook und Co. doch jede Zustimmung der Nutzer bekommen und deutsche Start-ups sowie der Mittelstand bei einer voreiligen Regulierungswut durch die EU das Nachsehen haben", sagte Jarzombek unserer Redaktion. Das wäre dann ein Pyrrhussieg, sagte der CDU-Netzexperte.
Es sei ein "Paukenschlag für das Recht auf Datenschutz", erklärte die ehemalige Bundesjustizministerin Sabine Leutheusser-Schnarrenberger. Die Grünen-Politikerin Renate Künast sieht in dem Urteil einen "Meilenstein für die Rechte von Internet-Usern". Und als "gutes Signal für den Verbraucherschutz" sieht dies auch Klaus Müller, Vorstand des Verbraucherzentrale Bundesverbands. "Denn Verbraucher in Europa müssen darauf vertrauen können, dass der Hafen wirklich sicher ist, in dem ihre Daten ankommen."
Was sagt der Mann, der das Verfahren ins Rollen gebracht hat?
In einem ersten Statement von Maximilian Schrems, das er auf der Webseite der von ihm gegründeten Initiative "Europe versus facebook" veröffentlichte, heißt es: "Ich begrüße das Urteil des Gerichts sehr, das hoffentlich ein Meilenstein ist in Bezug auf Online-Datenschutz ist. Das Urteil zieht eine klare Grenze. Es stellt klar, dass Massenüberwachung unsere fundamentalen Rechte verletzt.
