In der bisherigen Form stand dieses Abkommen im krassen Widerspruch zum europäischen Verständnis eines angemessenen Datenschutzlevels. Die Entscheidung des Europäischen Gerichtshofes ist ein elementarer Schritt in Richtung globaler Rahmenbedingungen, die der in einer sich digitalisierenden Wirtschaft stetig zunehmenden Relevanz von Daten gerecht werden. Wir benötigen zudem auch eine für alle Beteiligten bindende Garantie, dass rechtmäßig und auf Grundlage staatlicher Abkommen erlangte Daten nicht herausgeben werden.
[ Thomas Duhr, BVDW-Vizepräsident ]
Aber ist es wirklich so? Als wesentlichen Grund für seine Entscheidung führt das Gericht aus, dass Regelungen des Safe-Harbor-Abkommens zwar für amerikanische Unternehmen gelten, die sich ihr unterwerfen, nicht aber für die Behörden der Vereinigten Staaten. Für diese hätten die Erfordernisse der nationalen Sicherheit, des öffentlichen Interesses und der Durchführung von Gesetzen der Vereinigten Staaten stets Vorrang. Mit der Folge, dass die amerikanischen Unternehmen ohne jede Einschränkung verpflichtet sind, die Safe-Harbor-Regeln in solchen Fällen außer Acht zu lassen und entsprechenden behördlichen Auskunftsersuchen nachzukommen.
Der europäische Gerichtshof kommt in seinem Urteil in der Rechtssache C-362/14 (Maximillian Schrems gegen die irische Datenschutz-Aufsichtsbehörde bezüglich der Datenübermittlung in die USA innerhalb des Konzerns Facebook) zu der Auffassung, dass die USA aus europäischer Sicht kein angemessenes Datenschutz-Niveau anbieten und das Safe-Harbor-Abkommen diesen Zustand nicht heilt. Ebenso wurde bestätigt, dass die irische Datenschutz-Aufsichtsbehörde die rechtliche Befugnis hat, eine Datenübermittlung auf der Basis des Safe-Harbor-Abkommens zu untersagen. Damit ist abzusehen, dass auch die deutsche Aufsichsbehörde für Datenschutz Datenübermittlungen untersagen kann. Sollte dies geschehen, werden sämtliche standardmäßigen Cloud- und Software-as-a-Service-Angebote ohne ausschließliche Datenverarbeitung innerhalb der EU unbrauchbar. Selbst wenn Daten innereuropäisch verarbeitet werden, ermöglichen US-amerikanische Rechtsnormen wie etwa der Patriot Act den Zugriff von Behörden auf diese ohne das übliche Rechtshilfeersuchen, wie ein US-Bezirksgericht gegenüber Microsoft 2013 erließ.
Die Auswirkungen eines Übermittlungsverbotes in die USA stellen für deutsche Unternehmen ein immenses finanzielles Risiko dar. Cloud- und Software-as-a-Service Anwendungen erleben einen starken Zulauf und viele Unternehmen setzen bereits darauf.
Auch wenn es erste große Internetfirmen gibt, die abwiegeln: Die gestrige Entscheidung des Europäischen Gerichtshofs hat ein schweres Erdbeben ausgelöst. Schließlich hat das Gericht den Beschluss der EU-Kommission aus dem Jahr 2000, die von den USA vorgelegte Safe-Harbor-Regelung („safe harbor scheme“) als mit europäischen Datenschutzstandards vereinbar anzusehen, für ungültig erklärt. Die Schockwellen dieses Erdbebens werden uns zwar erst nach und nach treffen, dafür aber umso heftiger. Denn die in der Urteilsbegründung angesprochenen Grundrechte sind nicht verhandelbar. Wenn sich also in den USA nichts Grundsätzliches ändert, dürfte es für die EU-Kommission schwierig bis unmöglich werden, eine neue, rechtssichere Safe-Harbor-Regelung oder sogar ein entsprechendes Abkommen mit den USA auszuhandeln.
Die Verantwortung dafür, den Wert unserer Grundrechte zu achten, liegt aber nicht nur beim Staat und der Politik, sondern bei uns allen. Der Österreicher Max Schrems hat es mit seiner Klage vor dem EuGH vorgemacht – mal ganz abgesehen von den persönlichen Risiken, die Edward Snowden bei seinen Enthüllungen, die dem EuGH-Urteil wesentlich zugrunde liegen, eingegangen ist. Zwar gehe ich davon aus, dass es dauern wird, bis eine nennenswerte Zahl von Endkonsumenten den Schutz ihrer persönlichen Daten bei US-Anbietern einfordern wird. Diejenigen jedoch, die unmittelbar handeln müssen, sind alle Unternehmen, die entweder selbst personenbezogene Daten aus der EU in die USA transferiert oder die Dienstleistungen von Drittanbietern in der so genannten Cloud und mit Rechenzentren in den USA in Anspruch genommen haben. Denn jetzt stehen wieder sie in der Pflicht, dem deutschen und europäischen Datenschutzrecht Geltung zu verschaffen, soweit sie davon betroffen sind. Auf die Safe-Harbor-Regelung lässt sich nun ja nicht mehr verweisen, um aus der Haftung, auch der persönlichen der Vorstände und Geschäftsführer, herauszukommen.
Das Urteil ist eindeutig ein Sieg für die Grundrechte, insbesondere das der informationellen Selbstbestimmung. Dieses ist dadurch gefährdet, dass Behörden in den USA personenbezogene Daten ohne begründeten Verdacht sammeln und speichern – und die US-Firmen sich im Grunde dagegen nicht wehren können. Außerdem ist EU-Bürgern für Beschwerden gegen diese mangelnde Datenschutzpraxis in den USA – die US-Firmen konnten sich übrigens sogar selbst zertifizieren, dass sie sich an die Vorgaben der Safe-Harbor-Regelung halten – der Rechtsweg verschlossen. Damit wird aus europäischer Sicht ein weiteres Grundrecht verletzt. Firmen, die personenbezogene Daten von EU-Bürgern in die USA transferieren, dürften damit diese Praxis im Prinzip ab sofort nicht mehr anwenden.
Dass das Erdbeben nicht unmittelbar zu spüren ist, liegt daran, dass es nun bei den nationalen Regulierungsbehörden und Politikern liegt, die Konsequenzen daraus zu ziehen. Doch da es hier um den Schutz von Grundrechten geht, müssten die deutschen Datenschutzbehörden ab sofort von sich aus aktiv werden und die Datenschutzpraxis und -regelungen der Unternehmen überprüfen. Da das Urteil in der deutschen Politik ein positives Echo hervorgerufen hat, ist durchaus davon auszugehen, dass die Aufsichtsbehörden schon sehr bald aktiv werden. Außerdem wird die Bundesregierung aus dem Urteil sicherlich wertvolle Erkenntnisse ziehen, nicht nur für die weiteren TTIP-Verhandlungen, sondern auch für die konkrete Anwendung ihres eigenen No-Spy-Guarantee-Erlasses.
Für die NSA-Spionage wird es bedeuten, dass GHCQ und BND auf dem Dienstweg werden helfen müssen. Das macht ein bisschen Papierkram, der – wenn es hart auf hart kommt – geschreddert wird, aber es wird nicht verhindern, dass anlasslose Überwachung weiter stattfindet. Für US-Firmen ändert sich zudem nichts. Facebook wird weiter speichern, wo es will, und sich im Zweifelsfall vom Nutzer bestätigen lassen, dass die Daten auch in den USA gelagert und ausgewertet werden. Deutsche Nutzer dürfen dies als Bestandteil der informationellen Selbstbestimmung persönlich erlauben. Europäischen Firmen wurde mit Safe Harbor als auch dem Scheitern von Safe Harbor das Leben erfolgreich schwer gemacht. Darin findet das Internet der zwei Geschwindigkeiten seinen sicheren Hafen.