Ein guter Tag für den Datenschutz: EuGH kassiert “Privacy Shield” ein

Hallo und herzlich willkommen zu einem neuen Beitrag auf meinem Blog,

Die Datenskandale rund um Facebook und Co in der Vergangenheit haben gezeigt, dass die derzeitigen Regelungen rund um den Datenschutz des jeweiligen Users absolut unzureichend sind und für Großkonzerne zu viele Lücken lassen. Aus diesem Grund ist das gestrige Urteil des EuGH außerordentlich zu begrüßen.

“Privacy Shield” für unzulässig erklärt

Vereinfacht gesagt, erklärte der EuGH nach einer Klage des österreichischen Aktivisten Max Schrem den Beschluss 2016/1250 für ungültig.

Dieser Beschluss ist als “Privacy Shield” bekannt und regelt den Transfer von personenbezogenen Daten aus der EU in die USA. Doch dieses Abkommen war nicht im Einklang mit der Datenschutzgrundverordnung, auch als DSGVO bekannt. Diese Verordnung sagt explizit aus, dass Datentransfer in ein Land außerhalb der EU nur dann erlaubt ist, wenn dort vergleichbare Datenschutzgesetze gelten. Dies ist im Falle der USA aber eindeutig nicht der Fall, so die Urteilsbegründung.

Dabei stimmten die Richter dem Kläger soweit zu, weil es offensichtlich starke Zweifel dahingehend gibt, dass in den USA der Datenschutz einen genauso hohen Stellenwert genießt wie bei uns.

Grund zu dieser Annahme gibt der “Foreign Surveillance Act”, nach welchen der US-Geheimdienst nahezu beliebig nach eigenem Ermessen auf die Daten von ausländischen Nutzern zugreifen und diese auswerten kann. Deshalb, so die Richter, bringe es dem Kunden einer Plattform wie Facebook wenig, dass seine Daten hierzulande geschützt sind, in einem Drittland aber ein Zugriff auf seine personenbezogenen Daten erfolgt.

Weitreichende Konsequenzen für amerikanische Konzerne

Auch wenn sich die genauen Konsequenzen im Laufe der Zeit noch eindeutiger herauskristallisieren werden, scheint Eines dennoch klar: Vorläufig stärkt dieses Urteil den europäischen Verbraucher und macht den Konzernen wie Facebook, Google und Co die Aufzeichnung und Verwertung der Daten deutlich schwerer.

Wollen sie in Zukunft DSGVO-konform handeln (und damit erhebliche Strafzahlungen vermeiden), müssen diese Daten in europäischen Rechenzentren gespeichert werden – ohne automatischen Abgleich mit den Serverfarmen in den USA.

Allerdings ergeben sich durch das Urteil auch für bereits bestehende Rechenzentren innerhalb der EU Konsequenzen. So muss beispielsweise Apple mit seinem Dienst iCloud dafür sorgen, dass diese nicht redundant verarbeitet bzw. gespiegelt gespeichert werden und so durch die Sicherungskopie der Daten nach Amerika gelangen.

Es wird an einem neuen Abkommen gearbeitet

So begrüßenswert das Urteil auch ist, die Politik arbeitet mit den Konzernen bereits an einem neuen Abkommen, da das Urteil des EuGH für die Beteiligten nicht überraschend kam. Die Frage ist hierbei also nur, wie viel Zeit die Verhandlungspartner brauchen. Bis dahin werden die betroffenen Konzerne nicht darum herumkommen, für ausreichend technische Infrastruktur innerhalb der EU zu sorgen – die Datenübertragung gemäß “Privacy Shield”-Vorgaben hat sofort zu enden, da sonst US-Recht über der DSGVO steht.

Standardvertragsklauseln bleiben unberührt

Leider hat dieses Urteil keine Auswirkungen auf sogenannte Standardvertragsklauseln. Hierbei hängt es im Einzelfall davon ab, wie wirkungsvoll die Mechanismen sind, um das in der EU garantierte Schutzniveau einzuhalten. Im Speziellen trifft dies beispielsweise auf Facebook zu, die sich für die Verarbeitung der personenbezogenen Daten in ihren AGB explizit auf eigene Vertragsklauseln beruft – und nicht auf “Privacy Shield”

Abschließend sei hier an dieser Stelle nochmal im Namen all meiner Leser der Dank an Max Schrems und seinen Verein NYOB; nur dank seines unermüdlichen Einsatzes sind zumindest heute unsere Daten etwas sicherer geworden.

Wie findet Ihr denn dieses Urteil? Schreibt mir Eure Meinung in die nachfolgenden Kommentare.

Macht´s gut und bis zum nächsten Mal hier auf dem appletechnikblog, Euer Patrick