Ausgang des Verfahrens war eine an die irischen Datenschutzbehörden gerichtete Beschwerde eines österreichischen Bürgers gegen die Übermittlung seiner bei Facebook gespeicherten Daten in die USA. Begründung: Im Hinblick auf die von Edward Snowden enthüllten Tätigkeiten der Nachrichtendienste der USA, insbesondere der NSA, sei davon auszugehen, dass in den USA die Daten nicht hinreichend vor Überwachungstätigkeiten der dortigen Behörden geschützt sind.
Die irische Behörde wies die Beschwerde mit dem Hinweis zurück, durch dasSafe-Harbour-Abkommen sei ein angemessenes Schutzniveau in den USA festgestellt. Dieser Begründung hat der EuGH nun die Grundlage entzogen und die Safe-Harbour-Regelung gekippt.
Das Urteil hat vermutlich weitreichende Folgen: Mindestens dürfte die Übermittlung personenbezogener Daten in die USA auf Basis der Safe-Harbour-Regelung ab sofort als unzulässig gelten. Mit Blick auf die Begründung des EuGH könnte das Urteil aber auch Auswirkungen auf die vor allem von großen Unternehmen gern genutzten "Binding Corporate Rules" haben.
Foto: Agsandrew - shutterstock.com
Die "Binding Corporate Rules" sind ein Rahmen für verbindliche Richtlinien zum Umgang mit personenbezogene Daten. Wenn ein Unternehmen seine Binding Corporate Rules von europäischen Datenschutzbehörden verifizieren lässt, dann dürfen auf der Grundlage der dort festgelegten Richtlinien Daten in Drittstaaten, z.B. in die USA übermittelt werden.
Der EuGH hat nun aber festgestellt, dass "amerikanischen Unternehmen ohne jede Einschränkung verpflichtet sind, die […] vorgesehenen Schutzregeln unangewandt zu lassen, wenn sie in Widerstreit zu solchen Erfordernissen [der nationalen Sicherheit, des öffentlichen Interesses und der Durchführung von Gesetzen der Vereinigten Staaten] stehen". Damit sind die "Binding Corporate Rules" eben nicht "Binding", wenn es um den Schutz der Daten gegenüber amerikanischen Behörden geht.
Zudem stellt der EuGH fest, dass die in den USA möglichen Zugriffe von Behörden auf diese Daten nicht auf das in der EU geforderte "absolut Notwendige" beschränkt seien, "wenn sie generell die Speicherung aller personenbezogenen Daten sämtlicher Personen, deren Daten aus der Union in die Vereinigten Staaten übermittelt werden, gestattet, ohne irgendeine Differenzierung, Einschränkung oder Ausnahme anhand des verfolgten Ziels vorzunehmen." Gemeint ist die anlasslose Massenspeicherung von Daten durch die NSA.
Mit anderen Worten: Wenn Daten in die USA übermittelt werden, dann unterliegen diese Daten uneingeschränkt dem Recht der USA, ganz gleich, ob es Binding Corporate Rules gibt oder nicht. Da das geltende Recht der USA nach Ansicht des EuGH kein ausreichendes Datenschutzniveau gewährleistet, wäre nach EU-Recht damit die Übermittlung personenbezogener Daten in die USA generell unzulässig.
Das ist aber noch nicht alles: US-Behörden erheben auch den Anspruch auf Zugriff auf Daten, die außerhalb der USA lagern, aber im Zugriff US-amerikanischer Unternehmen sind. Ein entsprechendes Verfahren gegen Microsoft zur Herausgabe von in Irland gespeicherten E-Mail-Daten ist in Berufung, in zwei Vorinstanzen wurde gegen Microsoft entschieden. Dem folgend wäre schon die Übermittlung von personenbezogenen Daten an US-amerikanische Unternehmen unzulässig.
Ob es wirklich so weit gehen wird, bleibt abzuwarten. Deutschen Unternehmen aber ist zu raten, personenbezogene Daten nur durch EU-Unternehmen innerhalb der EU verarbeiten zu lassen.