EuGH: Safe Harbor ungültig – Bedeutung für Unternehmen

Vor 15 Jahren entschied die EU-Kommission: Das Niveau des US-Datenschutzes würde unter bestimmten Bedingungen Daten aus der EU gut genug schützen. Die Übertragung dieser Daten in die USA wurde als “Safe Harbor” bekannt. Nun hat der Europäische Gerichtshof in einem Grundsatzurteil “Safe Harbor” als ungütlig erklärt.

Ausgangspunkt war eine Klage des Juristen Max Schrems gegen Facebook Irland. Daraus resultierte ein Rechtsstreit zwischen ihm und der irischen Datenschutzbehörde. Die irische Behörde ist zwar für Facebook zuständig, da der europäische Sitz des Unternehmens in Irland angesiedelt ist, hatte aber die Beschwerde von Schrems abgelehnt. Grund: Anwendung von “Safe Harbor”.

Nun urteilt der EuGH, dass die Europäische Kommission die Befugnisse nationaler Datenschutzbehörden “weder beseitigen noch auch nur beschränken kann”. Die Rechtmäßigkeit von Safe Harbor selbst konnte tatsächlich nur der Europäische Gerichtshof prüfen. Die irische Behörden muss nun prüfen, ob das Verfahren “Safe Harbor” auszusetzen ist.

Das “Problem” an “Safe Harbor”

Aus Gründen der nationalen Sicherheit bzw des öffentlichen Interesses dürfen US-Behörden Zugriff auf die Daten verlangen. Die angefragten US-Unternehmen seien verpflichtet, in Europa geltende Schutzregeln außer acht zu lassen. Auch ein Rechtsbehelf zur Löschung von EU-Bürgerdaten gibt es nicht. Daher verstößt “Safe Harbor” gegen den Wesensgehalt des Grundrechts auf wirksamen Rechtsschutz.

Aus Unternehmenssicht

US-Internetdienste werden nun Schwierigkeiten bekommen, Daten zentral in die USA zu führen. Daraus resultieren aber auch Folgen für europäische Unternehmen, die auf diese Daten und Dienste angewiesen sind. Insgesamt 5.000 Unternehmen haben sich zum “Safe Harbor” Verfahren angemeldet.

Großunternehmen wie Google und Facebook werden mit ihren großen Rechtsabteilungen weniger Probleme haben neue Abkommen auszuhandeln, kleinere Unternehmen werden hier vermutlich das Nachsehen haben.

US-Dienste könnten in Zukunft einer Nachweispflicht nachkommen müssen. Eventuell resultieren auch aus dem Urteil höhere Kosten für die Unternehmen, da nun europäische Datenzentren aufgebaut werden müssen.

Facebook

Das perfide bei Facebook: Das Unternehmen selbst sieht sich von dem Urteil nicht direkt betroffen, weil es sich seit Jahren nicht auf “Safe Harbor” verlassen hat. Die europäische Tochter Facebook Irland hatte Verträge mit Facebook in den USA gemäß Vorgaben der Datenschutzverordnung abgeschlossen.