zu der Übermittlung personenbezogener Daten aus der EU in die Vereinigten Staaten von Amerika auf der Grundlage der Richtlinie 95/46/EG nach dem Urteil des Gerichtshofs in der Rechtssache C-362/14 (Schrems)

MITTEILUNG DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT

zu der Übermittlung personenbezogener Daten aus der EU in die Vereinigten Staaten von Amerika auf der Grundlage der Richtlinie 95/46/EG nach dem Urteil des Gerichtshofs in der Rechtssache C-362/14 (Schrems)

1. Einführung: Die Aufhebung der Safe-Harbor-Entscheidung

In seinem Urteil vom 6. Oktober 2015 in der Rechtssache C-362/14 (Schrems) bestätigt der Gerichtshof der Europäischen Union (im Folgenden „Gerichtshof“) erneut den Stellenwert des in der EU-Grundrechtecharta verankerten Grundrechts auf den Schutz personenbezogener Daten, und zwar auch bei Übermittlung dieser Daten außerhalb der EU.

Die Übermittlung personenbezogener Daten ist ein wesentliches Element der transatlantischen Beziehungen. Die EU und die USA sind füreinander die wichtigsten Handelspartner, und Datenübermittlungen sind zunehmend Bestandteil ihrer Handelsbeziehungen.

Mit ihrer Entscheidung 2000/520/EG vom 20. Juli 2000 (im Folgenden „Safe-Harbor-Entscheidung“) erkannte die Kommission das durch die Safe-Harbor-Regelung gebotene Datenschutzniveau als angemessen an, um den Datenverkehr zu erleichtern und gleichzeitig ein hohes Datenschutzniveau zu gewährleisten. In dieser auf Artikel 25 Absatz 6 der Richtlinie 95/46/EG gestützten Entscheidung hatte die Kommission die vom US-Handelsministerium herausgegebenen Grundsätze des „sicheren Hafens“ und die diesbezüglichen „Häufig gestellten Fragen“ (FAQ) für die Zwecke der Übermittlung personenbezogener Daten aus der EU als Garantie für einen angemessenen Schutz anerkannt. Infolgedessen konnten personenbezogene Daten aus EU-Mitgliedstaaten ungehindert an Unternehmen in den Vereinigten Staaten, die diesen Grundsätzen beigetreten waren, übermittelt werden, obwohl es in den Vereinigten Staaten kein allgemeines Datenschutzgesetz gibt. Die Funktionsweise der Safe-Harbor-Regelung basiert auf den Verpflichtungserklärungen und Selbstzertifizierungen der beteiligten Unternehmen. Der Beitritt zu den Safe-Harbor-Grundsätzen und den FAQ ist zwar freiwillig, doch ist diese Regelung nach US-Recht für die Unternehmen, die sich ihr anschließen, verbindlich. Für ihre Durchsetzung ist die Federal Trade Commission zuständig.

In seinem Urteil vom 6. Oktober 2015 erklärte der Gerichtshof die Safe-Harbor-Entscheidung für ungültig. Vor diesem Hintergrund soll die vorliegende Mitteilung einen Überblick über alternative Instrumente der Richtlinie 95/46/EG geben, auf die der transatlantische Datentransfer gestützt werden kann, wenn es keinen Kommissionsbeschluss gibt, in dem die Angemessenheit des Datenschutzniveaus festgestellt wird. Gleichzeitig wird kurz auf die Folgen des Urteils für andere Angemessenheitsentscheidungen bzw. -beschlüsse der Kommission eingegangen. In seinem Urteil stellte der Gerichtshof klar, dass eine Angemessenheitsentscheidung gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG auf der Feststellung der Kommission beruht, dass personenbezogene Daten in dem betreffenden Drittland in einem Maße geschützt sind, das mit dem in der Union aufgrund der Richtlinie im Licht der Grundrechtscharta garantierten Schutzniveau zwar nicht unbedingt identisch, aber „der Sache nach gleichwertig“ ist. Zu der Safe-Harbor-Entscheidung stellte der Gerichtshof fest, dass sie weder zu den Beschränkungen des Zugangs der US-Behörden zu auf der Grundlage dieser Entscheidung übermittelten Daten noch zum Bestehen eines wirksamen gerichtlichen Rechtsschutzes gegen derartige Eingriffe hinreichende Feststellungen der Kommission enthalte. Insbesondere, so der Gerichtshof weiter, verletze eine Regelung, die es den Behörden gestattet, generell auf den Inhalt elektronischer Kommunikation zuzugreifen, den Wesensgehalt des Grundrechts auf Achtung des Privatlebens. Der Gerichtshof bestätigte darüber hinaus, dass die Datenschutzbehörden der Mitgliedstaaten auch dann, wenn eine Angemessenheitsentscheidung nach Artikel 25 Absatz 6 der Richtlinie 95/46/EG vorliegt, berechtigt und verpflichtet sind, in völliger Unabhängigkeit zu prüfen, ob die Anforderungen der Richtlinie 95/46/EG in Verbindung mit den Artikeln 7, 8 und 47 der Grundrechtscharta bei der Übermittlung der Daten in ein Drittland gewahrt werden. Gleichzeitig wies der Gerichtshof aber auch darauf hin, dass nur der Gerichtshof der Europäischen Union befugt ist, die Ungültigkeit eines Unionsrechtsakts wie eines Angemessenheitsbeschlusses der Kommission festzustellen.

Das Urteil des Gerichtshofs stützt sich auf die Mitteilung der Kommission von 2013 über die Funktionsweise der Safe-Harbor-Regelung aus Sicht der EU-Bürger und der in der EU niedergelassenen Unternehmen, in der die Kommission auf gewisse Unzulänglichkeiten verwiesen und 13 Empfehlungen formuliert hatte. Auf der Grundlage dieser Empfehlungen führt die Kommission seit Januar 2014 Gespräche mit den US-Behörden im Hinblick auf eine neue, robustere Regelung des transatlantischen Datenaustauschs.

Die Kommission bleibt nach diesem Urteil dem Ziel eines neuen, soliden Rahmens für den transatlantischen Transfer personenbezogener Daten verpflichtet. Dementsprechend hat sie die Gespräche mit der US-Regierung umgehend wiederaufgenommen und vertieft, um sicherzustellen, dass jede neue Regelung des transatlantischen Datentransfers mit den Anforderungen des Gerichtshofs in vollem Umfang vereinbar ist. Eine solche Regelung muss hinreichende Beschränkungen, Garantien und gerichtliche Kontrollmechanismen enthalten, um den kontinuierlichen Schutz der personenbezogenen Daten von EU-Bürgern auch im Hinblick auf einen möglichen behördlichen Zugriff zu Strafverfolgungszwecken und Zwecken der nationalen Sicherheit zu gewährleisten. Die Wirtschaft äußerte sich besorgt, was die Möglichkeit angeht, Datenübermittlungen bis zu einer neuen Regelung fortzusetzen. Es muss daher geklärt werden, unter welchen Bedingungen Daten weiter übermittelt werden können. Die Artikel-29-Datenschutzgruppe – das unabhängige Beratungsgremium, in dem alle Datenschutzbehörden der Mitgliedstaaten sowie der Europäische Datenschutzbeauftragte vertreten sind – hat daraufhin am 16. Oktober in einer Stellungnahme erste Schlussfolgerungen aus dem Urteil gezogen. Die Gruppe gab unter anderem folgende Empfehlungen für Datenübermittlungen ab:

Datenübermittlungen können nicht länger auf die für ungültig erklärte Safe-Harbor-Entscheidung der Kommission gestützt werden.

In der Zwischenzeit können als Grundlage für Datenübermittlungen Standardvertragsklauseln und verbindliche unternehmensinterne Datenschutzvorschriften (BCR) verwendet werden. Die Artikel-29-Datenschutzgruppe wird aber die Auswirkungen des Urteils auf diese Optionen weiter prüfen.

Die Gruppe ruft die Mitgliedstaaten und EU-Organe auf, Gespräche mit den US-Behörden aufzunehmen, um eine rechtliche und technische Lösung für den Datentransfer zu finden. Die Verhandlungen über eine neue Safe-Harbor-Regelung könnten nach Auffassung der Gruppe Teil dieser Lösung sein.