Privacy Shield: EuGH kippt das Datenschutz-Abkommen mit den USA

Der so genannte "Privacy Shield", mit dem der Datenschutz europäischer Bürger gegenüber US-Unternehmen geregelt werden sollte, ist hinfällig. Der Europäische Gerichtshof (EuGH) hat das transatlantische Abkommen jetzt gekippt. Mit dem Vertrag sollte dafür gesorgt werden, dass US-Unternehmen sich an bestimmte Regeln halten müssen, wenn sie Daten von Nutzern in Europa in ihren Datenzentren in den USA speichern. Das war zuvor problematisch, da die höheren europäischen Standards dort nicht gelten. Der Privacy Shield sollte allen Beteiligten mehr Rechtssicherheit geben. Doch das ist nun erst einmal vorbei.

Das nun ergangene Urteil hat seine Basis in der Auseinandersetzung des österreichischen Aktivisten Max Schrems mit Facebook. Schrems versuchte, die irischen Datenschutz-Behörden auf das Problem anzusetzen, dass die Daten der Facebook-Nutzer in die USA übermittelt wurden und nicht etwa bei der in Irland ansässigen Europa-Tochter verblieben. Und auf der anderen Seite des Atlantik gab es dann im Grunde keine rechtlichen Hürden, die einen US-Geheimdienst von einem Zugriff abgehalten hätten.

Rückfall in den alten Status

Dass diese nicht von sich aus stillhalten, zeigten vor einigen Jahren die Enthüllungen auf Basis des Snowden-Archivs. Der Geheimdienst-Mitarbeiter Edward Snowden hatte damals unter anderem Dokumente an die Öffentlichkeit gebracht, die zeigten, wie umfassend die Behörden den Datenverkehr in aller Welt überwachen. Das Privacy Shield-Abkommen war eine unmittelbare Folge dessen.

Die Richter am EuGH sehen es aber nicht als gewährleistet an, dass die Daten der europäischen Nutzer von den Firmen in den USA nach europäischen Standards behandelt würden. Daher sei das Abkommen in der vorliegenden Form schlicht das Papier nicht wert, auf dem es steht - und somit ungültig. Das bedeutet allerdings nicht, dass die Datenübermittlung eingestellt werden müsste. Sie muss nun aber auf Grundlage der normalen Nutzungsverträge zwischen Diensteanbieter und Nutzer erfolgen und die hiesigen Datenschutzbehörden können auf dieser Grundlage weitreichender in die Übermittlung eingreifen, als sie es unter dem Abkommen konnten.

Siehe auch: