EuGH erklärt Datenabkommen mit USA für ungültig

6. Oktober 2015

Spiegel.de

Der Europäische Gerichtshof hat ein wichtiges Datenschutzabkommen zwischen Europa und den USA für ungültig erklärt. In dem Urteil geht es auch um die Praktiken von US-Geheimdiensten - die das Gericht erstaunlich deutlich kritisiert.

Der Gerichthof der Europäischen Union (EuGH) hat die Regelung zum Austausch von Daten zwischen den USA und der EU für ungültig erklärt. Die EU-Kommission hätte demnach die Befugnisse der nationalen Datenschutzbehörden durch einen Beschluss nicht wie geschehen beschränken dürfen. Die persönlichen Daten europäischer Internetnutzer seien in den USA nicht ausreichend vor dem Zugriff der Behörden geschützt.

Das Gericht erklärte, die nationalen Datenschutzbehörden müssten, "wenn sie mit einer Beschwerde befasst werden, in völliger Unabhängigkeit prüfen können", ob bei der Datenübermittlung alle Anforderungen erfüllt werden - unabhängig von Entscheidungen der EU-Kommission. Das Urteil stärkt also die Rechte nationaler Datenschutzbehörden.

"Grundrecht auf Achtung des Privatlebens verletzt"

Das Gericht schloss sich damit der Einschätzung des EuGH-Generalanwalts an. Yves Bot hatte Ende September erklärt, er halte die Safe-Harbor-Regelung mit den USA vor dem Hintergrund der Aktivitäten von US-Geheimdiensten für ungültig.

In der Mitteilung des Gerichts zu der Entscheidung wird in erstaunlicher Deutlichkeit die Praxis der US-Dienste kritisiert: "Der Gerichtshof fügt hinzu, dass eine Regelung, die es den Behörden gestattet, generell auf den Inhalt elektronischer Kommunikation zuzugreifen, den Wesensgehalt des Grundrechts auf Achtung des Privatlebens verletzt." Weil EU-Bürger gegen die Weiternutzung ihrer Daten nicht gerichtlich Einspruch erheben könnten, sei zudem "der Wesensgehalt des Grundrechts auf wirksamen gerichtlichen Rechtsschutz verletzt".

Die Safe-Harbor-Vereinbarung legt fest, unter welchen Bedingungen Internetunternehmen Nutzerdaten aus Europa in den USA verarbeiten dürfen. Dabei geht es um personenbezogene Daten. Die Vereinbarung beruht auf Regeln des US-Handelsministeriums und einer Entscheidung der EU-Kommission aus dem Jahr 2000. Danach müssen Internetunternehmen zusichern, dass sie die Daten ihrer europäischen Nutzer angemessen schützen. Treten sie dem Abkommen bei, dürfen sie die Daten in den USA weiterverarbeiten.

EU-Kommission selbst hält US-Gebaren für unverhältnismässig

Der Gerichtshof stellt nun fest, dass die Vereinbarung "nur für die amerikanischen Unternehmen gilt, die sich ihr unterwerfen, nicht aber für die Behörden der Vereinigten Staaten". US-Unternehmen seien "ohne jede Einschränkung verpflichtet", die Safe-Harbor-Regeln "unangewandt zu lassen", wenn sie mit Erfordernissen der "nationalen Sicherheit, des öffentlichen Interesses und der Durchführung von Gesetzen der Vereinigten Staaten" im Widerspruch stünden. Mit anderen Worten: Safe Harbor ist nur so lange verlässlich, wie es nicht mit US-Interessen kollidiert. Die derzeitige Regelung erlaube somit "Eingriffe der amerikanischen Behörden in die Grundrechte der Personen" aus Europa.

Die EU-Kommission selbst habe festgestellt, dass US-Behörden Daten aus Europa "in einer Weise verarbeiten konnten, die namentlich mit den Zielsetzungen ihrer Übermittlung unvereinbar war und über das hinausging, was nach Ansicht der Kommission zum Schutz der nationalen Sicherheit absolut notwendig und verhältnismässig gewesen wäre".

Deutsche Datenschützer kritisieren die Praxis schon seit einiger Zeit. Seit den Enthüllungen von Edward Snowden sei kaum anzunehmen, dass personenbezogene Daten in den USA ausreichend vor den dortigen Behörden geschützt seien, erklären Datenschutzbeauftragte.

Auswirkungen auch für deutsche Unternehmen

Die EU-Kommission verhandelt mit den USA bereits seit Ende 2013 über eine Neufassung des Abkommens. Der Fraktionschef der Europäischen Volkspartei (EVP), CSU-Politiker Manfred Weber, hatte SPIEGEL ONLINE zuvor gesagt, die EU müsse bei den Verhandlungen mit den USA in Sachen Datenschutz "Zähne zeigen".

Die Entscheidung über das Datenschutzabkommen könnte weitreichende Folgen nicht nur für US-Unternehmen haben. Zwar ging es in der Rechtssache um Beschwerden des Österreichers Max Schrems über die Datenschutzpraxis von Facebook, doch die Entscheidung eröffnet nun auch Einspruchsmöglichkeiten gegen die Aktivitäten anderer Unternehmen. Betroffen sind davon beispielsweise deutsche Firmen, die mit personenbezogenen Daten arbeiten und diese etwa an Dienstleister in den USA weiterreichen.

Schrems selbst begrüsste die Entscheidung erwartungsgemäss. Das Gericht habe klargestellt, dass "Massenüberwachung Grundrechte verletzt". Das Urteil sei "mit Blick auf Online-Privatsphäre hoffentlich ein Meilenstein".