Irischer High Court legt EuGH vor: Fallen nach "Safe Harbor" auch die Stan­dard­ver­träge?

Max Schrems hat wieder zugeschlagen. Bedingt durch die Beschwerde des ehemaligen Jurastudenten und heutigen Anwalts hat sich der irische oberste Gerichtshof wiederum mit Facebook und den Schwächen des US-amerikanischen Datenschutzes beschäftigt und will nun knifflige Vorlagefragen an den Europäischen Gerichtshof (EuGH) weiterleiten.

Diese Vorlagefragen könnten dazu führen, dass die US-amerikanische Regierung (endlich) eine Ohrfeige in Sachen Datentransfer bekommt und zumindest die Standardverträge gestrichen werden. Schrems hatte schon in der Vergangenheit Facebook gequält, indem er die EU-Behörden mit einem EuGH-Urteil dazu zwang, das ganze Thema des Datenschutzverhältnisses zwischen der EU und den USA neu zu verhandeln.

"Safe Harbor" hat der EuGH bereits gekippt

Problematisch ist die Datenübermittlung in die USA, da diese ein Drittland sind, welches kein mit europäischen Standards vergleichbares Datenschutzrechtsniveau bietet. Deshalb wurde der personenbezogene Datenaustausch bis 2015 auf das sogenannte Safe Harbor-Abkommen gestützt. Dieses Abkommen zwischen den USA und der EU beruhte auf Art. 25 Abs. 6 der Europäischen Datenschutzrichtlinie.

Demnach reicht es aus, wenn sich ein Drittland, welches die europäischen Datenschutzstandards nach dortiger Rechtslage nicht garantieren kann, dazu verpflichtet, die internationalen Regelungen zur Einhaltung eines angemessenen Schutzniveaus einzuhalten.

Parallel zu Safe Harbor arbeitete man hektisch an einer Entwicklung von Musterverträgen, die den vertraglichen Beziehungen zwischen übermittelnder Stelle und dem Empfänger in den USA zugrunde gelegt werden können. Mitte 2001 kam es zur Verabschiedung von zwei Standardvertragsklauseln, erstens für die Übermittlung personenbezogener Daten an Empfänger in Drittländern und zweitens zur Übermittlung an Auftragsdatenverarbeiter in Drittländern.

Das Safe Harbor-Abkommen wurde durch das Urteil des EuGH vom 6. Oktober 2015 aufgehoben, da es nach Ansicht des EuGH gegen die europäische Grundrechtecharta (GRCh) verstößt. Die Frage, ob Datenübermittlungen weiterhin auf sogenannte EU-Standardvertragsklauseln gestützt werden können, ließ der EuGH unbeantwortet.

"Privacy Shield" sollte die neue Grundlage für den Datenaustausch werden

Im Februar 2016 wurde durch die EU-Kommission der sogenannte EU-US-Privacy Shield vorgestellt und am 12. Juli desselben Jahres, nachdem die EU-Staaten mehrheitlich für ihn stimmten, beschlossen.
Dieses Datenschutzschild soll nun anstelle des Safe Harbor-Abkommens die neue rechtliche Grundlage für den personenbezogenen Datenaustausch in die USA darstellen. Inhalt des Privacy-Shields ist die Verpflichtung zur Selbstzertifizierung der US-Unternehmen, gewisse Datenschutzanforderungen einzuhalten.

Zudem wurden erstmals Rechtsschutzmöglichkeiten für Betroffene gegen Unternehmen mit Sitz in den USA geschaffen, sodass dort ein angemessenes Datenschutzniveau angenommen wird, sobald EU-Bürger gegen US-Unternehmen klagen können. Ob dies allerdings mit den bestehenden prozessualen Vorschriften in den Vereinigten Staaten vereinbar ist, bleibt fraglich.

Allerdings benutzen Unternehmen wie Facebook nicht den Privacy Shield, sondern versuchen, mit den alten Standardverträgen zu argumentieren.