EuGH erklärt Datentransfer in die USA für illegal 6. Oktober. Rechtsanwalt Arnd Böken

Transkript

1 EuGH erklärt Datentransfer in die USA für illegal 6. Oktober Rechtsanwalt Arnd Böken

2 EuGH erklärt Datentransfer in die USA für illegal Am 6. Oktober 2015 hat der Europäische Gerichtshof (EuGH) entschieden, dass der irische Datenschutzbeauftragte verpflichtet ist, Facebooks Datenübermittlung von Irland in die USA zu untersuchen. Außerdem hat er die Safe Harbor -Entscheidung der EU-Kommission (Entscheidung 2000/520) für unwirksam erklärt. Das Urteil hat zur Folge, dass seit 6. Oktober 2015 die Mehrheit aller Datentransfers aus der EU in die USA illegal ist (Europäischer Gerichtshof, Urteil vom 6. Oktober 2015, Rechtssache C 362/14 Schrems) Die Entscheidung des Gerichts Im Jahr 2013 hat sich der österreichische Jurastudent Maximilian Schrems an den irischen Datenschutzbeauftragten gewandt, damit dieser Facabooks Datenverarbeitung überprüft, insbesondere den Datentransfer in die USA. Der irische Datenschutzbeauftragte erwiderte daraufhin, der Datentransfer in die USA sei durch die Entscheidung der EU-Kommission zu Safe Harbor gedeckt, und er könne dies nicht näher prüfen. Daraufhin erhob Schrems Klage vor dem Irischen High Court, der den Rechtsstreit dem Europäischen Gerichtshof zur Vorabentscheidung vorlegte. In seinem Urteil vom 6. Oktober 2015 entschied der Gerichtshof, dass der Datenschutzbeauftragte verpflichtet sei, Facebooks Datentransfer näher zu überprüfen. Wichtiger ist aber, dass der EuGH den Safe Harbor -Beschluss der EU-Kommission unwirksam erklärte. Dabei rügt der EuGH die übermäßigen Überwachungsmaßnahmen der US Geheimdienste. Der EuGH bemängelt, dass die EU Kommission bei ihrem Safe Harbor - Beschluss diese massiven Überwachungsmaßnahmen der US-Sicherheitsbehörden nicht ausreichend berücksichtigt habe. 2

3 Was ist Safe Harbor? Das EU-Recht erlaubt die Übermittlung von Daten in andere Staaten außerhalb der EU nur dann, wenn diese Staaten ein angemessenes Schutzniveau gewährleisten. Nach dem EU- Recht gewähren die USA keinen angemessenen Datenschutz. Im Gegensatz zum Recht der EU ist Datenschutz dort kein Grundrecht, und es existieren keine umfassenden Gesetze zum Schutz der personenbezogenen Daten. Um den Datentransfer zu vereinfachen, hat die EU-Kommission im Jahr 2000 ihren Safe Harbor -Beschluss erlassen, der sieben Grundsätze festlegt, die US-Unternehmen befolgen müssen. Der Safe Harbor -Beschluss verlangt von den US-Unternehmen eine Selbstzertifizierung und Registrierung bei der Federal Trade Commission. Bis zum heutigen Tage haben mehr als US-Unternehmen von dieser Selbstzertifizierung Gebrauch gemacht, um den Datentransfer in die US zu erleichtern. Was sind die Folgen der EuGH-Entscheidung? Auch wenn der Gerichtshof von dem irischen Datenschutzbeauftragten verlangt, Facebooks Datenübermittlung näher zu überprüfen, so wird das Urteil für Facebook relativ wenig Auswirkung haben. Facebooks Datenübermittlung in die USA basiert nicht auf Safe Harbor, sondern auf einer Einwilligung der Nutzer. Das Urteil des EuGH betrifft vor allem Unternehmen aus anderen Branchen. Safe Harbor war bis jetzt das mit Abstand wichtigste rechtliche Instrument, um Datentransfer in die USA zu ermöglichen. Viele US-Unternehmen mit Niederlassungen in Europa oder europäische Unternehmen mit Tochtergesellschaften in den USA haben das Programm genutzt, da es einfach und praktisch zu handhaben war. Auch viele mittelständische Unternehmen aus Europa, die Handelspartner in den haben, übermitteln Daten auf Basis der Safe Harbor - Zertifizierung des US Unternehmens. Von dem Urteil betroffen sind auch kleine und mittlere deutsche Unternehmen und Unternehmen aus anderen EU-Staaten, die Cloud Angebote von US-Anbietern nutzen. Viele dieser Cloud Angebote basieren auf der Safe Harbor -Zertifizierung des Cloud-Providers, die den Datentransfer in die USA ermöglichen. 3

4 Seit dem 6. Oktber 2015 ist Safe Harbor keine rechtliche Basis mehr für diesen Datentransfer. Das Urteil wirkt ab sofort Das Urteil des EuGH kam überraschend. Maximilian Schrems hat in seinem Rechtsstreit vor dem Irischen High Court in erster Linie verlangt, dass der Datenschutzbeauftragte Facebooks Datentransfer allgemein überprüft. Den Safe Harbor -Beschluss hat er nur indirekt angegriffen. Der Generalanwalt am EuGH nahm dann das Verfahren vor dem EuGH zum Anlass, in seinen Schlussanträgen vom 23. September 2015 zu fordern, der Gerichtshof solle den Safe Harbor Beschluss für unwirksam erklären. Auch wenn das Urteil überraschend kam, so werden die deutschen Datenschutzbehörden es voraussichtlich sofort anwenden. Zum einen ist das Urteil rechtlich bindend, der Safe Harbor Beschluss ist aufgehoben, daher ist der gesamte Datentransfer auf Basis von Safe Harbor seit dem 6. Oktober 2015 rechtswidrig. Zum anderen können die deutschen Datenschutzbehörden auf ihren eigenen Beschluss von Juli 2013 verweisen. Darin haben die Behörden im Anschluss an die Snowden-Enthüllungen Safe Harbor scharf kritisiert und die EU-Kommission aufgefordert, den Beschluss vorläufig auszusetzen. Verbleibende Möglichkeiten zum Datenexport Sämtliche Unternehmen, die Daten in die USA übermitteln, müssen diese Übermittlung nun unverzüglich überprüfen. Datenübermittlungen auf Basis von Safe Harbor sind rechtswidrig und können zu hohen Bußgeldern führen. Statt die Übermittlung auf Safe Harbor zu stützen, können Unternehmen EU- Standardvertragsklauseln vereinbaren. Das sind Standardverträge, die von der EU- Kommission geschaffen wurden und ein angemessenes Datenschutzniveau beim Empfänger der Daten garantieren sollen. Beim Abschluss der Verträge muss man sorgfältig vorgehen und genau festlegen, welche Art von Daten zu welchen Zwecken übermittelt werden und welche technischen und organisatorischen Maßnahmen zum Schutz der Daten ergriffen werden. Standardverträge allein reichen allerdings nicht aus, sie bilden nur eine Stufe der 4

5 Rechtmäßigkeitsprüfung. Daneben bestehen weitere rechtliche Anforderungen wie bei innerdeutschen oder innereuropäischen Datentransfers auch. Für Unternehmensgruppen können Binding Corporate Rules eine Alternative sein, um internationalen Datentransfer zu ermöglichen. Bis heute haben aber nur wenige große internationale Konzerne davon Gebrauch gemacht, Binding Corporate Rules erfordern einen längeren Vorbereitungsprozess. Für diesen Übergangszeitraum sind Standardvertragsklauseln die richtige Lösung. Der Datentransfer in die USA ist auch erlaubt, wenn die Betroffenen zustimmen. Der Transfer von Arbeitnehmerdaten basiert häufig auf Zustimmung der Arbeitnehmer. Dagegen ist es schwieriger, Kundendaten zu übermitteln, denn die Zustimmung der Kunden ist schwieriger zu erhalten, und Zustimmungserklärungen si nd häufig unwirksam. In letzter Zeit haben deutsche Gerichte mehrere Klauseln aus Apples und Googles Datenschutzbedingungen für unwirksam erklärt. Was ist jetzt zu tun? Bis zum 6. Oktober 2015 konnten deutsche und europäische Unternehmen beim Datentransfer in die USA auf Safe Harbor -Zertifizierung des US-Unternehmens vertrauen. Diese Möglichkeit ist nunmehr entfallen. Nunmehr müssen alle Unternehmen aus der EU sowie internationale Konzerne ihr Datentransferkonzept sorgfältig überprüfen, um sicherzustellen, dass alle rechtlichen Anforderungen eingehalten werden. Außerdem müssen sie überprüfen, ob sie künftig EU- Standardvertragsklauseln, Einwilligungserklärungen oder andere rechtliche Mittel einsetzen wollen, um Daten in die USA zu übermitteln. 5