Der Beschluss der EU-Kommission über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern hingegen ist gültig.
Die Datenschutz-Grundverordnung (DSGVO) bestimmt, dass personenbezogene Daten grundsätzlich nur dann in ein Drittland übermittelt werden dürfen, wenn das betreffende Land für die Daten ein angemessenes Schutzniveau gewährleistet. Nach dieser Verordnung kann die EU-Kommission feststellen, dass ein Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder seiner internationalen Verpflichtungen ein angemessenes Schutzniveau gewährleistet. Liegt kein derartiger Angemessenheitsbeschluss vor, darf eine solche Übermittlung nur erfolgen, wenn der in der Union ansässige Exporteur der personenbezogenen Daten geeignete Garantien vorsieht, die sich u.a. aus von der Kommission erarbeiteten Standarddatenschutzklauseln ergeben können, und wenn die betroffenen Personen über durchsetzbare Rechte und wirksame Rechtsbehelfe verfügen. Ferner ist in der DSGVO genau geregelt, unter welchen Voraussetzungen eine solche Übermittlung vorgenommen werden darf, falls weder ein Angemessenheitsbeschluss vorliegt noch geeignete Garantien bestehen.
Max Schrems, ein in Österreich wohnhafter österreichischer Staatsangehöriger, ist seit 2008 Nutzer von Facebook. Wie bei allen anderen im Unionsgebiet wohnhaften Nutzern werden seine personenbezogenen Daten ganz oder teilweise von Facebook Ireland an Server der Facebook Inc., die sich in den Vereinigten Staaten befinden, übermittelt und dort verarbeitet. Schrems legte bei der irischen Aufsichtsbehörde eine Beschwerde ein, die im Wesentlichen darauf abzielte, diese Übermittlungen verbieten zu lassen. Er machte geltend, das Recht und die Praxis der Vereinigten Staaten böten keinen ausreichenden Schutz vor dem Zugriff der Behörden auf die dorthin übermittelten Daten. Seine Beschwerde wurde u.a. mit der Begründung zurückgewiesen, die Kommission habe in ihrer Entscheidung 2000/520 (sogenannte „Safe-Harbour-Entscheidung“) festgestellt, dass die Vereinigten Staaten ein angemessenes Schutzniveau gewährleisteten.
Mit Urteil vom 6.Oktober 2015 erklärte der Gerichtshof auf ein Vorabentscheidungsersuchen des irischen High Court hin diese Entscheidung für ungültig (im Folgenden: Urteil Schrems I). Nachdem das Urteil Schrems I ergangen war und der irische High Court daraufhin die Entscheidung, mit der die Beschwerde von Schrems zurückgewiesen worden war, aufgehoben hatte, forderte die irische Aufsichtsbehörde Schrems auf, seine Beschwerde unter Berücksichtigung der Ungültigerklärung der Safe-Harbour-Entscheidung durch den Gerichtshof umzuformulieren. Mit seiner umformulierten Beschwerde macht Schrems geltend, dass die Vereinigten Staaten keinen ausreichenden Schutz der dorthin übermittelten Daten gewährleisteten. Er beantragt, die von Facebook Ireland nunmehr auf der Grundlage der Standardschutzklauseln im Anhang des Beschlusses 2010/87vorgenommene Übermittlung seiner personenbezogenen Daten aus der Union in die Vereinigten Staaten für die Zukunft auszusetzen oder zu verbieten. Die irische Aufsichtsbehörde war der Auffassung, dass die Bearbeitung der Beschwerde von Schrems insbesondere von der Gültigkeit des Beschlusses 2010/87 über Standardvertragsklauseln abhänge, und strengte daher ein Verfahren vor dem High Court an, damit er den Gerichtshof mit einem Vorabentscheidungsersuchen befassen möge. Nachdem dieses Verfahren eingeleitet worden war, erließ die Kommission den Beschluss (EU) 2016/1250 über die Angemessenheit des vom EU-US-Datenschutzschild(„Privacy Shield“) gebotenen Schutzes8.Mit seinem Vorabentscheidungsersuchen fragt der irische High Court den Gerichtshof nach der Anwendbarkeit der DSGVO auf Übermittlungen personenbezogener Daten, die auf die Standardschutzklauseln im Beschluss 2010/87 gestützt werden, sowie nach dem Schutzniveau, das diese Verordnung im Rahmen einer solchen Übermittlung verlangt, und den Pflichten, die den Aufsichtsbehörden in diesem Zusammenhang obliegen. Des Weiteren wirft der High Court die Frage der Gültigkeit sowohl des Beschlusses 2010/87 über Standardvertragsklauseln als auch des Privacy Shield-Beschlusses 2016/1250 auf. Mit seinem heute verkündeten Urteil stellt der Gerichtshof fest, dass die Prüfung des Beschlusses 2010/87 über Standardvertragsklauseln anhand der Charta der Grundrechte der Europäischen Union nichts ergeben hat, was seine Gültigkeit berühren könnte. Den Privacy Shield-Beschluss 2016/1250 erklärt er hingegen für ungültig.
Hier bitte weiterlesen: https://curia.europa.eu/jcms/jcms/p1_3117872/de/
Stimmen zu dem EuGH-Urteil.
„Privacy Shield“ – Grundrechte endlich effektiv schützen
Zur heutigen Entscheidung des Europäischen Gerichtshofs, die EU-US-Datenschutzvereinbarung „Privacy Shield“ zu kippen, erklärt Konstantin von Notz, Stellvertretender Fraktionsvorsitzender von Bündnis 90/Die Grünen im Bundestag:
„Die heutige Entscheidung des Europäischen Gerichtshofs hatte sich lange abgezeichnet. Sie ist das direkte Resultat einer kurzsichtigen Politik, die über Jahre lieber wegsah, als offensichtliche Probleme beim transatlantischen Datenaustausch anzugehen und unsere Grundrechte effektiv zu schützen. Dies geschah auf Kosten unserer aller Grund- und Bürgerrechte, aber auch der Unternehmen, die ohne Rechtssicherheit dastehen.
Die Entscheidung ist eine erneute höchstrichterliche Ohrfeige für Bundesregierung und EU-Kommission. Ihrer Politik des „Durchwurschtelns“ in hochsensiblen Grundrechtsfragen wurde gerichtlich erneut eine klare Absage erteilt. Das „Privacy Shield“ ist löchrig wie ein Schweizer Käse.
Schon die vorherige Vereinbarung, das „Safe Harbor“-Abkommen, wurde 2015 gerichtlich gestoppt. Statt sich der Thematik nach diesem Warnschuss mit der notwendigen Ernsthaftigkeit anzunehmen und sicherzustellen, dass dem Schutz von Grundrechten von 500 Millionen Europäerinnen und Europäern beim transatlantischen Datenaustausch angemessen Rechnung getragen wird, schusterte man mit dem „Privacy Shield“ schleunigst ein neues, ebenso löchriges Konstrukt.
Die damalige Chance für eine längst überfällige Kehrtwende im Datenschutz und eine weitere Stärkung der Grundrechte nutzte man nicht. Nun steht man vor einem Scherbenhaufen. Nach dem jüngsten Richterspruch ist man nun erneut gezwungen, schleunigst zu handeln, um den Datenaustausch zwischen der EU und den USA neu zu regeln und endlich die nötige Rechtssicherheit herzustellen. Diesmal muss Gründlichkeit vor Schnelligkeit gehen. Statt neuer Hilfskonstrukte brauchen wir klare Rechtsgrundlagen für den internationalen Datenaustausch.
Dem Datenschutz kommt in der digitalen Welt eine Schlüsselrolle zu. Er sichert Grundrechte, schützt die Menschenwürde und bietet Unternehmen die notwenige Rechtssicherheit. EU-Kommission und Bundesregierung sollten das heutige Urteil sehr ernst nehmen. Sie müssen ihre bisherige Politik in Datenschutzfragen unbedingt grundlegend überdenken. Hierzu gehört auch, sich von massenhaften, anlasslosen Vorratsdatenspeicherungen endgültig zu verabschieden.
Wir danken Max Schrems als Kläger für sein langjähriges Engagement für unsere Grundrechte.“
https://ec.europa.eu/newsroom/dae/redirection.cfm?item_id=683535&newsletter=188&lang=de
Bundesregierung muss neue Datenschutzvereinbarung auf die Agenda setzen
Zum Urteil des Europäischen Gerichtshofs zur Datenschutzvereinbarung „Privacy Shield“ erklärt der digitalpolitische Sprecher der FDP-Fraktion im Bundestag und Vorsitzende des Ausschusses Digitale Agenda Manuel Höferlin:
„Die Entscheidung des Europäischen Gerichtshofs ist ein wichtiger Erfolg für den Datenschutz und eine deutliche Ansage an die USA. Wichtig ist nun, schnell Rechtssicherheit für die Digitalwirtschaft auf beiden Seiten des Atlantiks zu schaffen. Kommissionspräsidentin von der Leyen muss zügig handeln und ein neues Abkommen oder alternative Lösungswege auf den Weg bringen, die den europäischen Datenschutzanforderungen entsprechen und klare Regeln für Unternehmen schaffen. Die FDP-Fraktion erwartet von der Kommission, dass sie dazu schnell konkrete Lösungsvorschläge vorlegt. Die Bundesregierung muss das Thema auf die Agenda ihrer europäischen Ratspräsidentschaft setzen und mit Nachdruck vorantreiben. Rasche Klarheit ist gerade für die kleinen und mittelständischen Unternehmen der Digitalwirtschaft wichtig, die keine Ressourcen für eine internationale Datenschutzabteilung haben.“
Digitalkonzernen härtere Grenzen aufzeigen
„Die heutige Entscheidung des Europäischen Gerichtshofes, das beschönigend ‚Privacy Shield‘ genannte Datenübertragungsabkommen zwischen den USA und der EU zu kippen, war notwendig und wichtig. Damit wurde richterlich bestätigt, was die Linksfraktion und europäische Datenschützer schon lange kritisieren: dass Nutzerdaten, die in die USA übertragen werden, z.B. von US-amerikanischen Internetriesen wie Facebook, nicht in angemessener Weise geschützt werden“, erklärt Anke Domscheit-Berg, netzpolitische Sprecherin der Linksfraktion im Bundestag.
Domscheit-Berg weiter:
„Wenn Daten europäischer Nutzer den US-Geheimdiensten wie der NSA jederzeit und ohne angemessenen Rechtsschutz zur Verfügung gestellt werden können, ist das mit unseren Vorstellungen von Datenschutz nicht vereinbar. Das bereits für rechtswidrig erklärte ‚Safe Harbor-Abkommen‘ mehr oder weniger einfach umzubenennen, hat offenbar das Gericht nicht überzeugt.
Es gilt, ein Datenschlupfloch nach dem anderen zu schließen und den Digitalkonzernen härtere Grenzen aufzuzeigen. Dafür war die Entscheidung des EuGH heute ein wichtiger und großer Schritt. Allerdings reicht er noch nicht aus. Denn dass der EuGH die sogenannten Standardvertragsklauseln für zulässig erklärte, nach denen z.B. Facebook aber auch andere Unternehmen Daten in die USA übertragen, lässt Fragen offen, ob und inwieweit der Schutz unserer Daten nun wirklich in allen Fällen bessergestellt wird. Diese Unsicherheit ist auch eine Folge der Intransparenz und Komplexität und zeigt, wie wichtig es ist, auch für mehr Klarheit und einfachere Regeln zu sorgen.
Das Urteil hat auch Auswirkungen auf viele deutsche Unternehmen, die im Datenaustausch mit den USA stehen. Dass sie jetzt auch Probleme bekommen, liegt am Überwachungswahn der US-Geheimdienste und nicht am EuGH. Klar ist: So lange amerikanische Überwachungsinteressen und europäischer Datenschutz sich unvereinbar gegenüberstehen, wird es hier keine einvernehmliche Lösung geben können. Die USA müssen daher endlich ihre Strategie der weltweiten Massenüberwachung ändern.
Die Entscheidung des EuGH zeigt auch, dass unsere europäische Rechtsprechung funktioniert, auch wenn ihre Mühlen langsam mahlen. An Max Schrems’ nachhaltigem und folgenreichen Einsatz für den europäischen Datenschutz zeigt sich vor allem aber auch, wie wichtig es ist, dass sich Bürger für unser aller Interessen einsetzen, dass wir alle uns nicht abschrecken lassen vom Unverhältnis der Kräfte im Ringen mit Konzernen, sondern unsere Rechte einklagen und alle Wege dazu ausschöpfen. Das entbindet die Bundesregierung und die Europäische Union jedoch nicht von ihrer Verantwortung, den digitalen Konzernen noch viele weitere Grenzen zu setzen. Hier gibt es noch viel zu tun, um den Missbrauch ihrer Marktmacht und die weiter anhaltende Umgehung von Steuerzahlungen endlich zu beenden.“
Datenfluss braucht klarere Regeln
Der Europäische Gerichtshof hat die von der Europäischen Union mit den USA geschlossene Datenschutzvereinbarung „Privacy Shield“ gekippt. Dazu erklärte die Stellvertretende Vorsitzende der CDU/CSU-Bundestagsfraktion, Nadine Schön:
„Der EuGH zeigt dem internationalem Datenaustausch erneut klare Grenzen auf. Nur, wenn Bürgerrechte auch im Ausland gewährleistet und einklagbar sind, nur, wenn Verstöße auch gebührend geahndet werden können, ist ein internationaler Datenfluss sinnvoll und nachhaltig. Ein neues Abkommen wird sich daran messen lassen müssen. Gleichzeitig dürfen wir nicht vergessen, dass freier Datenverkehr, wie auch freier Waren- und Dienstleistungsverkehr, weiterhin eine Grundsäule der modernen Weltwirtschaft bleibt, von der wir in Deutschland stark profitieren. Die Antwort kann kein digitaler Protektionismus sein. Austausch ja, aber regelbasiert und unter effektiver Kontrolle.“
EU-Kommission muss schnell wieder Rechtssicherheit für EU-US Datentransfer schaffen
Der Europäische Gerichtshof hat die von der Europäischen Union mit den USA geschlossene Datenschutzvereinbarung „Privacy Shield“ für ungültig erklärt. Dazu erklärte der digitalpolitische Sprecher der CDU/CSU-Bundestagsfraktion, Tankred Schipanski:
„Die Ungültigerklärung des EU-US Privacy Shields durch den Europäischen Gerichtshof ist ein Rückschlag für den rechtssicheren transatlantischen Datenaustausch. Der Grundrechtsschutz europäischer Bürgerinnen und Bürger muss gewahrt sein. EU-Bürger müssen sich auf ein hohes Maß an Datenschutz im Umgang mit ihren Daten verlassen können. Aber es gilt auch: Ein einheitlicher Rechtsrahmen für den transatlantischen Datenaustausch ist notwendig, um Rechtssicherheit – besonders für Startups und den Mittelstand der europäischen Digitalindustrie – zu garantieren. So entsteht Wachstum – auf beiden Seiten des Atlantiks. Daher ist es nun erforderlich, den Versuch zu unternehmen, mit den USA ein neues Instrument zu finden, mit dem der Datenschutz für Europäische Bürgerinnen und Bürger – auf Grundlage unserer Wertegemeinschaft – verbessert wird und das transatlantischen Datenaustausch rechtssicher möglich macht. Auch wenn die Nutzung von Standardvertragsklauseln für die Übermittlung personenbezogener Daten möglich bleibt, ist die Europäische Kommission daher dringend aufgerufen, schnell konkrete Vorschläge zu unterbreiten, um auf Augenhöhe eine neue Grundlage für den rechtssicheren Datenaustausch zwischen der EU und den USA zu schaffen.“