Klage um Facebook-Daten: EuGH erklärt Safe Harbor für ungültig

Erfolg für Max Schrems: Der Europäische Gerichtshof hat das Safe-Harbor-Abkommen zwischen der EU und den USA für ungültig erklärt. Das Urteil könnte vor allem für kleine und mittelständische Unternehmen in der EU Probleme verursachen.

Artikel von Hauke Gierow veröffentlicht am 6. Oktober 2015, 10:38 Uhr

Der Europäische Gerichtshof hat das Safe-Harbor-Abkommen für ungültig erklärt. (Bild: Cédric Puisney/CC-By2.0)

Der Europäische Gerichtshof hat festgestellt, dass die Daten europäischer Facebook-Nutzer in den USA nicht ausreichend vor dem Zugriff staatlicher Stellen geschützt sind. Das Safe-Harbor-Abkommen zwischen der EU und den USA sei daher ungültig. Der Österreicher Max Schrems hatte bei der irischen Datenschutzbehörde mit Verweis auf das Prism-Programm eine Beschwerde gegen Facebook eingereicht. Die Behörde hatte die Beschwerde jedoch mit Verweis auf Safe Harbor abgelehnt.

In dem Urteil heißt es, dass die EU-Kommission die nationalen Datenschutzbehörden nicht an der Wahrnehmung ihrer Tätigkeit hindern darf - auch nicht durch das Safe-Harbor-Abkommen. "Auch wenn die Kommission eine solche Entscheidung erlassen hat, müssen die nationalen Datenschutzbehörden daher, wenn sie mit einer Beschwerde befasst werden, in völliger Unabhängigkeit prüfen können, ob bei der Übermittlung der Daten einer Person in ein Drittland die in der Richtlinie aufgestellten Anforderungen gewahrt werden", heißt es in dem Urteil.

Sicherheitsbehörden unterlaufen Datenschutz

Das Urteil greift nicht die Datenschutzpraxis der Unternehmen selbst, in diesem Falle Facebook, an, sondern bezieht sich auf den nationalen Sicherheitsapparat der USA. "Nationale Sicherheit. Öffentliche Interessen und Justiz" hätten Vorrang gegenüber den Schutzregeln des Safe-Harbor-Abkommens. Firmen seien daher "ohne jede Einschränkung verpflichtet [...], die in dieser Regelung vorgesehenen Schutzregeln unangewandt zu lassen, wenn sie in Widerstreit zu solchen Erfordernissen stehen."

Das Gericht kritisiert weiterhin, dass europäische Bürger nicht in den USA gegen den Missbrauch ihrer Daten klagen können. Dies soll in Zukunft durch das EU-US-Datenschutzabkommen ermöglicht werden. Das Urteil bedeutet kein komplettes Verbot des Datentransfers in die USA.

Auch wenn Facebook Adressat von Schrems' Beschwerde war, dürfte das US-Unternehmen nicht der größte Verlierer der Entscheidung werden. Große Firmen wie Google, Facebook und Apple sollten in der Lage sein, ihre Datenschutzbestimmungen anzupassen. Vom Urteil betroffen sein könnten aber auch mittelständische Unternehmen, die Teile ihrer Buchhaltung oder andere Dienste an Cloud-Dienste in die USA auslagern. Für sie dürfte es schwieriger werden.

Datenschutzbehörden beraten über Folgen des Urteils

Der in Deutschland für Facebook zuständige Hamburgische Datenschutzbeauftragte teilte auf Anfrage von Golem.de zu den Auswirkungen des Urteils mit: "Die rechtlichen Folgen für IT-Konzerne wie Google und Facebook werden zu gegebener Zeit geprüft. Die Datenschutzbeauftragten des Bundes und der Länder haben sich darauf verständigt, in unmittelbarem Anschluss an das Urteil ein gemeinsames Vorgehen abzusprechen. Parallel werden auch auf EU-Ebene Gespräche hierzu geführt."

"Klar ist, dass mit einem Urteil, das den Vorgaben des GA folgt, der Druck auf US-Firmen, aber auch auf den gesamten transatlantischen Wirtschaftsverkehr wesentlich steigen würde. Ein 'Weiter-so' darf und wird es danach nicht mehr geben. Nicht zuletzt auch im Interesse der großen amerikanischen Diensteanbieter täte die US-Administration dann gut daran, die Arbeit ihrer Geheimdienste - gerade auch gegenüber EU-Bürgern - so schnell wie möglich auf eine rechtsstaatlich tragfähige Grundlage zu stellen."

Max Schrems bezeichnet das Urteil in einem Statement als "Meilenstein". Das Urteil stelle fest, dass "Massenüberwachung unsere Grundrechte einschränkt und dass ein juristisches Vorgehen dagegen möglich sein muss."