Der Europäische Gerichtshof (EuGH) hat heute ein entscheidendes Urteil zum Datenschutz gefällt. Im Kern ging es um die Frage: Dürfen Firmen wie Facebook Nutzerdaten in die USA übertragen? Mit der heutigen Entscheidung des EuGH wurde ein wichtiger transatlantischer Datenpakt, die Datenschutzvereinbarung „Privacy Shield“ für ungültig erklärt.
Das „Privacy Shield“ legt Standards für den Umgang mit europäischen Informationen in den USA fest.
Das Klageverfahren ging auf den Rechtsstreit des österreichischen Juristen und Datenschutz-Aktivisten Max Schrems mit Facebook hervor.
Hintergrund: Es geht um die Macht der US-Geheimdienste
Max Schrems hatte bei der irischen Datenschutzbehörde ursprünglich beanstandet, dass Facebook Irland seine Daten an den Mutterkonzern in den USA weiterleitet, obwohl diese Daten dort nicht angemessen gegen US-Überwachungsprogramme gesichert seien. Er begründet das damit, dass Facebook in den USA dazu verpflichtet sei, US-Behörden wie der NSA und dem FBI Zugang zu den Daten zu gewähren – ohne dass Betroffene dagegen vorgehen können. Der irische High Court rief im Kontext des Streits schließlich den EuGH an und wollte wissen, ob die angewandten Regeln mit dem europäischen Datenschutzniveau vereinbar sind.
Die Luxemburger Richter erklärten das „Privacy Shield“ nun für ungültig. Mit Blick auf die Zugriffsmöglichkeiten der US-Behörden seien die Anforderungen an den Datenschutz nicht gewährleistet. Zudem sei der Rechtsschutz für Betroffene unzureichend.
Das EuGH-Urteil istv ein großer Rückschlag für Facebook und für die irische Datenschutzbehörde. In der Folge müssen sich künftig die USA um eine Neugestaltung ihrer Überwachungsgesetze einrichten, wenn US-Unternehmen auch weiterhin eine Rolle auf dem EU-Markt spielen sollen.
Fünf Jahre Kampf um den Datenschutz
Durch eine Klage von Max Schrems war 2015 bereits das transnationale Safe-Harbor-Abkommen zwischen den USA und der EU für ungültig erklärt worden. Das „Privacy Shield“ war dafür als Nachfolgeregelung für das Safe-Harbor-Abkommen ausgehandelt worden.
Das neue EuGH-Urteil bedeutet noch nicht das grundsätzliche Ende von Datentransfers in die USA. Unternehmen können Nutzerdaten von EU-Bürgern weiter auf Basis sogenannter Standardvertragsklauseln in die USA und andere Staaten übertragen, so die Entscheidung der Luxemburger Richter.
Folgen des EuGH-Urteils auch für Spandau und Berlin?
Das aktuelle Urteil wird die bisherige Praxis von Facebook im Umgang mit Personendaten verändern. Zunächst werden sicher die Datenschutzerklärungen und Nutzereinstellungen angepaßt. Aber auch andere US-IT-Unternehmen wie Eventbrite sind von dem Urteilsspruch berührt, weil sie Personendaten mit Veranstaltungsdaten und Online-Tickets erfassen. Auch im Kulturamt Spandau wird man sich die Geschäftsbedingungen von Eventbrite anschauen müssen, und sich fragen müssen, warum Personendaten und Bankdaten von Kulturbesuchern eigens über den Atlantik transportiert werden, nur um eine Spandauer Kulturveranstaltung mit einem Online-Ticket zu bezahlen.
Weitere Informationen:
Gerichtshof der Europäischen Union: Urteil in der Rechtssache C-311/18
Data Protection Commissioner / Maximillian Schrems und Facebook Ireland
