SCHLUSSANTRÄGE DES GENERALANWALTS

HENRIK SAUGMANDSGAARD ØE

vom 19. Dezember 2019 ( 1 )

Rechtssache C‑311/18

Data Protection Commissioner

gegen

Facebook Ireland Limited,

Maximilian Schrems,

Beteiligte:

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

(Vorabentscheidungsersuchen des High Court [Hoher Gerichtshof, Irland])

„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 2 Abs. 2 – Anwendungsbereich – Übermittlung personenbezogener Daten zu gewerblichen Zwecken in die Vereinigten Staaten – Verarbeitung der übermittelten Daten für Zwecke der nationalen Sicherheit durch die Behörden der Vereinigten Staaten – Art. 45 – Beurteilung der Angemessenheit des in einem Drittland gebotenen Schutzniveaus – Art.46 – Angemessene Garantien seitens des Verantwortlichen – Standardschutzklauseln – Art. 58 Abs. 2 – Befugnisse der nationalen Aufsichtsbehörden – Beschluss 2010/87/EU – Gültigkeit – Durchführungsbeschluss (EU) 2016/1250 – ‚EU‑US‑Datenschutzschild‘ – Gültigkeit – Art. 7, 8 und 47 der Charta der Grundrechte der Europäischen Union“

Inhaltsverzeichnis

I. Einleitung II. Rechtlicher Rahmen A. Die Richtlinie 95/46/EG B. Die DSGVO C. Der Beschluss 2010/87 D. Der „Datenschutzschild“-Beschluss III. Ausgangsrechtsstreit, Vorlagefragen und Verfahren vor dem Gerichtshof IV. Analyse A. Einleitende Erwägungen B. Zur Zulässigkeit der Vorlage 1. Zur zeitlichen Anwendbarkeit der Richtlinie 95/46 2. Zum vorläufigen Charakter der vom DPC geäußerten Zweifel 3. Zu den Ungewissheiten hinsichtlich der Bestimmung des Sachverhalts C. Zur Anwendbarkeit des Unionsrechts auf die Übermittlung personenbezogener Daten zu gewerblichen Zwecken in einen Drittstaat, der sie möglicherweise für Zwecke der nationalen Sicherheit verarbeitet (erste Frage) D. Zu dem im Rahmen einer auf Standardvertragsklauseln gestützten Übermittlung geforderten Schutzniveau (erster Teil der sechsten Frage) E. Zur Gültigkeit des Beschlusses 2010/87 nach Maßgabe der Art. 7, 8 und 47 der Charta (siebte, achte und elfte Frage) 1. Zu den Pflichten der für die Verarbeitung Verantwortlichen 2. Zu den Verpflichtungen der Aufsichtsbehörden F. Zum Fehlen der Notwendigkeit, die übrigen Vorlagefragen zu beantworten und die Gültigkeit des „Datenschutzschild“-Beschlusses zu prüfen 1. Keine Notwendigkeit der Antworten des Gerichtshofs in Anbetracht des Gegenstands des Ausgangsrechtsstreits 2. Die angesichts des Gegenstands des beim DPC anhängigen Verfahrens gegen eine Prüfung durch den Gerichtshof sprechenden Gründe G. Hilfserwägungen zu den Wirkungen und zur Gültigkeit des „Datenschutzschild“-Beschlusses 1. Zur Bedeutung des „Datenschutzschild“-Beschlusses im Rahmen der Behandlung einer Beschwerde betreffend die Rechtmäßigkeit einer auf Standardvertragsklauseln gestützten Übermittlung durch eine Aufsichtsbehörde 2. Zur Gültigkeit des „Datenschutzschild“-Beschlusses a) Klarstellungen zum Inhalt der Prüfung der Gültigkeit eines Angemessenheitsbeschlusses 1) Zum Vergleichsmaßstab für die Beurteilung, ob ein „der Sache nach gleichwertiges“ Schutzniveau besteht 2) Zur Notwendigkeit, während der Übertragung der Daten ein angemessenes Schutzniveau sicherzustellen 3) Zur Berücksichtigung der von der Kommission und vom vorlegenden Gericht getroffenen Feststellungen zum Recht der Vereinigten Staaten 4) Zur Bedeutung des Standards der „Gleichwertigkeit der Sache nach“ b) Zur Gültigkeit des „Datenschutzschild“-Beschlusses nach Maßgabe der Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten 1) Zum Vorliegen von Eingriffen 2) Zu dem Erfordernis, dass die Eingriffe „gesetzlich vorgesehen“ sein müssen 3) Zum Fehlen einer Beeinträchtigung des Wesensgehalts der Grundrechte 4) Zur Verfolgung eines legitimen Ziels 5) Zur Erforderlichkeit und Verhältnismäßigkeit der Eingriffe c) Zur Gültigkeit des „Datenschutzschild“-Beschlusses nach Maßgabe des Rechts auf einen wirksamen Rechtsbehelf 1) Zur Wirksamkeit der im amerikanischen Recht vorgesehenen gerichtlichen Rechtsbehelfe 2) Zur Bedeutung des Ombudsmechanismus für das Niveau des Schutzes des Rechts auf einen wirksamen Rechtsbehelf V. Ergebnis

I. Einleitung

1. In Ermangelung gemeinsamer Garantien beim weltweiten Schutz personenbezogener Daten geht der grenzüberschreitende Verkehr solcher Daten mit der Gefahr eines Bruchs der Kontinuität des innerhalb der Europäischen Union gewährleisteten Schutzniveaus einher. Im Bemühen um die Erleichterung dieses Verkehrs bei gleichzeitiger Begrenzung dieser Gefahr hat der Unionsgesetzgeber drei Mechanismen geschaffen, mittels deren personenbezogene Daten aus der Union in einen Drittstaat übermittelt werden können.

2. Als Erstes darf eine solche Übermittlung auf der Grundlage eines Beschlusses der Kommission vorgenommen werden, mit dem diese festgestellt hat, dass der betreffende Drittstaat für die übermittelten Daten „ein angemessenes Schutzniveau“ bietet ( 2 ). Als Zweites ist, wenn kein solcher Beschluss vorliegt, die Übermittlung erlaubt, wenn es „geeignete Garantien“ gibt ( 3 ). Diese Garantien können in einem Vertrag zwischen dem Ausführer und dem Einführer der Daten bestehen, der von der Kommission erlassene Standardschutzklauseln enthält. Die DSGVO sieht als Drittes bestimmte Abweichungen, u. a. auf der Grundlage der Einwilligung der betroffenen Person, vor, die eine Übermittlung in ein Drittland auch dann erlauben, wenn ein Angemessenheitsbeschluss oder geeignete Garantien fehlen ( 4 ).

3. Das Vorabentscheidungsersuchen des High Court (Hoher Gerichtshof, Irland) betrifft den zweiten dieser Mechanismen. Es geht um die Gültigkeit des Beschlusses 2010/87/EU ( 5 ), mit dem die Kommission Standardvertragsklauseln für bestimmte Übermittlungskategorien festgelegt hat, nach Maßgabe der Art. 7, 8 und 47 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta).

4. Das Ersuchen ergeht in einem Rechtsstreit zwischen dem Data Protection Commissioner (Datenschutzbeauftragter, Irland, im Folgenden: DPC) sowie Facebook Ireland Ltd und Maximilian Schrems wegen einer von Letzterem vor dem DPC erhobenen Beschwerde betreffend die Übermittlung personenbezogener Daten durch Facebook Ireland an die Facebook Inc., deren Muttergesellschaft in den Vereinigten Staaten von Amerika (im Folgenden: Vereinigte Staaten). Nach Ansicht des DPC hängt die Entscheidung über diese Beschwerde davon ab, ob der Beschluss 2010/87 gültig ist. Er hat daher das vorlegende Gericht angerufen und beantragt, den Gerichtshof um Vorabentscheidung hierüber zu ersuchen.

5. Schon an dieser Stelle weise ich darauf hin, dass die Prüfung der Vorlagefragen meines Erachtens nichts ergeben hat, was die Gültigkeit des Beschlusses 2010/87 berühren könnte.

6. Ferner hat das vorlegende Gericht bestimmte Zweifel zum Ausdruck gebracht, die sich im Wesentlichen auf die Frage beziehen, ob das von den Vereinigten Staaten gebotene Schutzniveau angemessen ist angesichts der Eingriffe durch die Tätigkeiten der amerikanischen Nachrichtendienste in die Ausübung von Grundrechten der Personen, deren Daten in dieses Drittland übermittelt werden. Diese Zweifel stellen mittelbar die Beurteilungen in Frage, die die Kommission in dieser Hinsicht in dem Durchführungsbeschluss (EU) 2016/1250 ( 6 ) vorgenommen hat. Obwohl es für die Entscheidung des Rechtsstreits im Ausgangsverfahren nicht erforderlich ist, dass der Gerichtshof über diese Frage befindet, und ich ihm daher empfehle, davon abzusehen, werde ich hilfsweise darlegen, warum ich Zweifel an der Gültigkeit dieses Beschlusses habe.

7. Meine gesamte Analyse wird geleitet werden von der Suche nach einem Gleichgewicht zwischen der Notwendigkeit eines „vernünftigen Grades von Pragmatismus, um eine Interaktion mit anderen Teilen der Welt zu ermöglichen“ ( 7 ), zum einen und der Notwendigkeit der Bekräftigung der in den Rechtsordnungen der Union und ihrer Mitgliedstaaten, insbesondere in der Charta, anerkannten Grundwerte zum anderen.

II. Rechtlicher Rahmen

A. Die Richtlinie 95/46/EG

8. In Art. 3 Abs. 2 der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ( 8 ) hieß es: „Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten, – die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, beispielsweise Tätigkeiten gemäß den Titeln V und VI des Vertrags über die Europäische Union, und auf keinen Fall auf Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates (einschließlich seines wirtschaftlichen Wohls, wenn die Verarbeitung die Sicherheit des Staates berührt) und die Tätigkeiten des Staates im strafrechtlichen Bereich; …“

9. Art. 13 Abs. 1 dieser Richtlinie sah vor: „Die Mitgliedstaaten können Rechtsvorschriften erlassen, die die Pflichten und Rechte gemäß Artikel 6 Absatz 1, Artikel 10, Artikel 11 Absatz 1, Artikel 12 und Artikel 21 beschränken, sofern eine solche Beschränkung notwendig ist für a) die Sicherheit des Staates; b) die Landesverteidigung; c) die öffentliche Sicherheit; d) die Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten oder Verstößen gegen die berufsständischen Regeln bei reglementierten Berufen; e) ein wichtiges wirtschaftliches oder finanzielles Interesse eines Mitgliedstaats oder der Europäischen Union einschließlich Währungs‑, Haushalts- und Steuerangelegenheiten; f) Kontroll‑, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben c), d) und e) genannten Zwecke verbunden sind; g) den Schutz der betroffenen Person und der Rechte und Freiheiten anderer Personen.“

10. In Art. 25 dieser Richtlinie hieß es: „(1) Die Mitgliedstaaten sehen vor, dass die Übermittlung personenbezogener Daten, die Gegenstand einer Verarbeitung sind oder nach der Übermittlung verarbeitet werden sollen, in ein Drittland vorbehaltlich der Beachtung der aufgrund der anderen Bestimmungen dieser Richtlinie erlassenen einzelstaatlichen Vorschriften zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet. (2) Die Angemessenheit des Schutzniveaus, das ein Drittland bietet, wird unter Berücksichtigung aller Umstände beurteilt, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen; insbesondere werden die Art der Daten, die Zweckbestimmung sowie die Dauer der geplanten Verarbeitung, das Herkunfts- und das Endbestimmungsland, die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen sowie die dort geltenden Standesregeln und Sicherheitsmaßnahmen berücksichtigt. … (6) Die Kommission kann nach dem Verfahren des Artikels 31 Absatz 2 feststellen, dass ein Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen, die es insbesondere infolge der Verhandlungen gemäß Absatz 5 eingegangen ist, hinsichtlich des Schutzes der Privatsphäre sowie der Freiheiten und Grundrechte von Personen ein angemessenes Schutzniveau im Sinne des Absatzes 2 gewährleistet. Die Mitgliedstaaten treffen die aufgrund des Beschlusses der Kommission gebotenen Maßnahmen.“

11. Art. 26 Abs. 2 und 4 dieser Richtlinie sah vor: „(2) Unbeschadet des Absatzes 1 kann ein Mitgliedstaat eine Übermittlung oder eine Kategorie von Übermittlungen personenbezogener Daten in ein Drittland genehmigen, das kein angemessenes Schutzniveau im Sinne des Artikels 25 Absatz 2 gewährleistet, wenn der für die Verarbeitung Verantwortliche ausreichende Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten der Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte bietet; diese Garantien können sich insbesondere aus entsprechenden Vertragsklauseln ergeben. … (4) Befindet die Kommission …, dass bestimmte Standardvertragsklauseln ausreichende Garantien gemäß Absatz 2 bieten, so treffen die Mitgliedstaaten die aufgrund der Feststellung der Kommission gebotenen Maßnahmen.“

12. In Art. 28 Abs. 3 der Richtlinie 95/46 hieß es: „Jede Kontrollstelle verfügt insbesondere über: … – wirksame Einwirkungsbefugnisse, wie beispielsweise die Möglichkeit, im Einklang mit Artikel 20 vor der Durchführung der Verarbeitungen Stellungnahmen abzugeben und für eine geeignete Veröffentlichung der Stellungnahmen zu sorgen, oder die Befugnis, die Sperrung, Löschung oder Vernichtung von Daten oder das vorläufige oder endgültige Verbot einer Verarbeitung anzuordnen, oder die Befugnis, eine Verwarnung oder eine Ermahnung an den für die Verarbeitung Verantwortlichen zu richten oder die Parlamente oder andere politische Institutionen zu befassen; …“

B. Die DSGVO

13. Durch Art. 94 Abs. 1 DSGVO wurde die Richtlinie 95/46 mit Wirkung vom 25. Mai 2018, dem Tag des Geltungsbeginns dieser Verordnung, aufgehoben.

14. In Art. 2 Abs. 2 DSGVO heißt es: „Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen, … d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.“

15. Nach Art. 4 Nr. 2 dieser Verordnung bezeichnet „‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung“.

16. Art. 23 DSGVO sieht vor: „(1) Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt: a) die nationale Sicherheit; b) die Landesverteidigung; c) die öffentliche Sicherheit; d) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, e) den Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere eines wichtigen wirtschaftlichen oder finanziellen Interesses der Union oder eines Mitgliedstaats … … (2) Jede Gesetzgebungsmaßnahme im Sinne des Absatzes 1 muss insbesondere gegebenenfalls spezifische Vorschriften enthalten zumindest in Bezug auf a) die Zwecke der Verarbeitung oder die Verarbeitungskategorien, b) die Kategorien personenbezogener Daten, c) den Umfang der vorgenommenen Beschränkungen, d) die Garantien gegen Missbrauch oder unrechtmäßigen Zugang oder unrechtmäßige Übermittlung, e) die Angaben zu dem Verantwortlichen oder den Kategorien von Verantwortlichen, f) die jeweiligen Speicherfristen sowie die geltenden Garantien unter Berücksichtigung von Art, Umfang und Zwecken der Verarbeitung oder der Verarbeitungskategorien, g) die Risiken für die Rechte und Freiheiten der betroffenen Personen und h) das Recht der betroffenen Personen auf Unterrichtung über die Beschränkung, sofern dies nicht dem Zweck der Beschränkung abträglich ist.“

17. Art. 44 („Allgemeine Grundsätze der Datenübermittlung“) DSGVO lautet: „Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden; dies gilt auch für die etwaige Weiterübermittlung personenbezogener Daten aus dem betreffenden Drittland oder der betreffenden internationalen Organisation an ein anderes Drittland oder eine andere internationale Organisation. Alle Bestimmungen dieses Kapitels sind anzuwenden, um sicherzustellen, dass das durch diese Verordnung gewährleistete Schutzniveau für natürliche Personen nicht untergraben wird.“

18. In Art. 45 („Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses“) DSGVO heißt es: „(1) Eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation darf vorgenommen werden, wenn die Kommission beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet. Eine solche Datenübermittlung bedarf keiner besonderen Genehmigung. (2) Bei der Prüfung der Angemessenheit des gebotenen Schutzniveaus berücksichtigt die Kommission insbesondere das Folgende: a) die Rechtsstaatlichkeit, die Achtung der Menschenrechte und Grundfreiheiten, die in dem betreffenden Land bzw. bei der betreffenden internationalen Organisation geltenden einschlägigen Rechtsvorschriften sowohl allgemeiner als auch sektoraler Art – auch in Bezug auf öffentliche Sicherheit, Verteidigung, nationale Sicherheit und Strafrecht sowie Zugang der Behörden zu personenbezogenen Daten – sowie die Anwendung dieser Rechtsvorschriften, Datenschutzvorschriften, Berufsregeln und Sicherheitsvorschriften einschließlich der Vorschriften für die Weiterübermittlung personenbezogener Daten an ein anderes Drittland bzw. eine andere internationale Organisation, die Rechtsprechung sowie wirksame und durchsetzbare Rechte der betroffenen Person und wirksame verwaltungsrechtliche und gerichtliche Rechtsbehelfe für betroffene Personen, deren personenbezogene Daten übermittelt werden, b) die Existenz und die wirksame Funktionsweise einer oder mehrerer unabhängiger Aufsichtsbehörden in dem betreffenden Drittland oder denen eine internationale Organisation untersteht und die für die Einhaltung und Durchsetzung der Datenschutzvorschriften, einschließlich angemessener Durchsetzungsbefugnisse, für die Unterstützung und Beratung der betroffenen Personen bei der Ausübung ihrer Rechte und für die Zusammenarbeit mit den Aufsichtsbehörden der Mitgliedstaaten zuständig sind, und c) die von dem betreffenden Drittland bzw. der betreffenden internationalen Organisation eingegangenen internationalen Verpflichtungen oder andere Verpflichtungen, die sich aus rechtsverbindlichen Übereinkünften oder Instrumenten sowie aus der Teilnahme des Drittlands oder der internationalen Organisation an multilateralen oder regionalen Systemen insbesondere in Bezug auf den Schutz personenbezogener Daten ergeben. (3) Nach der Beurteilung der Angemessenheit des Schutzniveaus kann die Kommission im Wege eines Durchführungsrechtsaktes beschließen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in einem Drittland oder eine internationale Organisation ein angemessenes Schutzniveau im Sinne des Absatzes 2 des vorliegenden Artikels bieten. In dem Durchführungsrechtsakt ist ein Mechanismus für eine regelmäßige Überprüfung, die mindestens alle vier Jahre erfolgt, vorzusehen, bei der allen maßgeblichen Entwicklungen in dem Drittland oder bei der internationalen Organisation Rechnung getragen wird. … (4) Die Kommission überwacht fortlaufend die Entwicklungen in Drittländern und bei internationalen Organisationen, die die Wirkungsweise der nach Absatz 3 des vorliegenden Artikels erlassenen Beschlüsse und der nach Artikel 25 Absatz 6 der Richtlinie [95/46] erlassenen Feststellungen beeinträchtigen könnten. (5) Die Kommission widerruft, ändert oder setzt die in Absatz 3 des vorliegenden Artikels genannten Beschlüsse im Wege von Durchführungsrechtsakten aus, soweit dies nötig ist und ohne rückwirkende Kraft, soweit entsprechende Informationen – insbesondere im Anschluss an die in Absatz 3 des vorliegenden Artikels genannte Überprüfung – dahingehend vorliegen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische[…] Sektor[en] in einem Drittland oder eine internationale Organisation kein angemessenes Schutzniveau im Sinne des Absatzes 2 des vorliegenden Artikels mehr gewährleistet. … (6) Die Kommission nimmt Beratungen mit dem betreffenden Drittland bzw. der betreffenden internationalen Organisation auf, um Abhilfe für die Situation zu schaffen, die zu dem gemäß Absatz 5 erlassenen Beschluss geführt hat. … (9) Von der Kommission auf der Grundlage von Artikel 25 Absatz 6 der Richtlinie [95/46] erlassene Feststellungen bleiben so lange in Kraft, bis sie durch einen nach dem Prüfverfahren gemäß den Absätzen 3 oder 5 des vorliegenden Artikels erlassenen Beschluss der Kommission geändert, ersetzt oder aufgehoben werden.“

19. In Art. 46 („Datenübermittlung vorbehaltlich geeigneter Garantien“) DSGVO heißt es: „(1) Falls kein Beschluss nach Artikel 45 Absatz 3 vorliegt, darf ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. (2) Die in Absatz 1 genannten geeigneten Garantien können, ohne dass hierzu eine besondere Genehmigung einer Aufsichtsbehörde erforderlich wäre, bestehen in … c) Standarddatenschutzklauseln, die von der Kommission gemäß dem Prüfverfahren nach Artikel 93 Absatz 2 erlassen werden, … (5) Von einem Mitgliedstaat oder einer Aufsichtsbehörde auf der Grundlage von Artikel 26 Absatz 2 der Richtlinie [95/46] erteilte Genehmigungen bleiben so lange gültig, bis sie erforderlichenfalls von dieser Aufsichtsbehörde geändert, ersetzt oder aufgehoben werden. Von der Kommission auf der Grundlage von Artikel 26 Absatz 4 der Richtlinie [95/46] erlassene Feststellungen bleiben so lange in Kraft, bis sie erforderlichenfalls mit einem nach Absatz 2 des vorliegenden Artikels erlassenen Beschluss der Kommission geändert, ersetzt oder aufgehoben werden.“

20. In Art. 58 Abs. 2, 4 und 5 DSGVO heißt es: „(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Untersuchungsbefugnisse, die es ihr gestatten, a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen, b) einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat, c) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen, d) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen, e) den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffene Person entsprechend zu benachrichtigen f) eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen, … i) eine Geldbuße gemäß Artikel 83 zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls, j) die Aussetzung der Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation anzuordnen. … (4) Die Ausübung der der Aufsichtsbehörde gemäß diesem Artikel übertragenen Befugnisse erfolgt vorbehaltlich geeigneter Garantien einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren gemäß dem Unionsrecht und dem Recht des Mitgliedstaats im Einklang mit der Charta. (5) Jeder Mitgliedstaat sieht durch Rechtsvorschriften vor, dass seine Aufsichtsbehörde befugt ist, Verstöße gegen diese Verordnung den Justizbehörden zur Kenntnis zu bringen und gegebenenfalls die Einleitung eines gerichtlichen Verfahrens zu betreiben oder sich sonst daran zu beteiligen, um die Bestimmungen dieser Verordnung durchzusetzen.“

C. Der Beschluss 2010/87

21. Gemäß Art. 26 Abs. 4 der Richtlinie 95/46 erließ die Kommission drei Entscheidungen bzw. Beschlüsse, mit denen sie feststellte, dass die in diesen aufgeführten Standardvertragsklauseln ausreichende Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten von Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte bieten (im Folgenden: SVK-Beschlüsse) ( 9 ).

22. Zu diesen gehört der Beschluss 2010/87, nach dessen Art. 1 „[d]ie Standardvertragsklauseln im Anhang … als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten von Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte nach Artikel 26 Absatz 2 der Richtlinie [95/46] [gelten]“.

23. In Art. 3 dieses Beschlusses heißt es „Für die Zwecke dieses Beschlusses gelten die folgenden Begriffsbestimmungen: … c) der Begriff ‚Datenexporteur‘ bezeichnet den für die Verarbeitung Verantwortlichen, der die personenbezogenen Daten übermittelt; d) der Begriff ‚Datenimporteur‘ bezeichnet den in einem Drittland niedergelassenen Auftragsverarbeiter, der sich bereit erklärt, vom Datenexporteur nach dessen Anweisungen und den Vorschriften dieses Beschlusses personenbezogene Daten entgegenzunehmen und sie nach der Übermittlung in dessen Auftrag zu verarbeiten, und der nicht dem System eines Drittlands unterliegt, das ein angemessenes Schutzniveau im Sinne von Artikel 25 Absatz 1 der Richtlinie [95/46] bietet; … f) der Begriff ‚anwendbares Datenschutzrecht‘ bezeichnet die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten der Personen, insbesondere des Rechts auf Schutz der Privatsphäre im Hinblick auf die Verarbeitung personenbezogener Daten, die in dem Mitgliedstaat, in dem der Datenexporteur niedergelassen ist, für den für die Verarbeitung Verantwortlichen gelten; …“

24. In seiner ursprünglichen Fassung lautete Art. 4 Abs. 1 dieses Beschlusses: „Unbeschadet ihrer Befugnisse, tätig zu werden, um die Einhaltung nationaler Vorschriften gemäß den Kapiteln II, III, V und VI der Richtlinie [95/46] zu gewährleisten, können die zuständigen Kontrollstellen in den Mitgliedstaaten ihre bestehenden Befugnisse ausüben, indem sie zum Schutz von Privatpersonen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten die Datenübermittlung in Drittländer verbieten oder aussetzen, wenn a) feststeht, dass der Datenimporteur nach den für ihn geltenden Rechtsvorschriften Anforderungen unterliegt, die ihn zwingen, vom anwendbaren Datenschutzrecht in einem Maß abzuweichen, das über die Beschränkungen hinausgeht, die im Sinne von Artikel 13 der Richtlinie [95/46] für eine demokratische Gesellschaft erforderlich sind, und dass sich diese Anforderungen wahrscheinlich sehr nachteilig auf die Garantien auswirken würden, die das anwendbare Datenschutzrecht und die Standardvertragsklauseln bieten, b) eine zuständige Behörde festgestellt hat, dass der Datenimporteur oder ein Unterauftragsverarbeiter die Standardvertragsklauseln im Anhang nicht eingehalten hat, oder c) eine hohe Wahrscheinlichkeit besteht, dass die im Anhang enthaltenen Standardvertragsklauseln derzeit oder künftig nicht eingehalten werden und die Fortsetzung der Übermittlung den betroffenen Personen einen schwerwiegenden Schaden zufügen könnte.“

25. In seiner derzeitigen, mit dem Durchführungsbeschluss (EU) 2016/2297 ( 10 ) geänderten Fassung sieht Art. 4 des Beschlusses 2010/87 vor, dass, „[w]enn die zuständigen Behörden in den Mitgliedstaaten ihre Befugnisse gemäß Artikel 28 Absatz 3 der Richtlinie [95/46] ausüben und die Datenübertragungen an Drittstaaten aussetzen oder endgültig verbieten, um Privatpersonen im Hinblick auf die Verarbeitung ihrer personenbezogenen Daten zu schützen, … der betreffende Mitgliedstaat unverzüglich die Kommission [informiert], die ihrerseits die Informationen an die anderen Mitgliedstaaten weiterleitet“.

26. Der Anhang des Beschlusses 2010/87 enthält eine Reihe von Standardvertragsklauseln. Klausel 3 („Drittbegünstigtenklausel“) dieses Anhangs sieht vor: „(1) Die betroffenen Personen können diese Klausel sowie Klausel 4 Buchstaben b bis i, Klausel 5 Buchstaben a bis e und g bis j, Klausel 6 Absätze 1 und 2, Klausel 7, Klausel 8 Absatz 2 sowie die Klauseln 9 bis 12 gegenüber dem Datenexporteur als Drittbegünstigte geltend machen. (2) Die betroffene Person kann diese Klausel, Klausel 5 Buchstaben a bis e und g, die Klauseln 6 und 7, Klausel 8 Absatz 2 sowie die Klauseln 9 bis 12 gegenüber dem Datenimporteur geltend machen, wenn das Unternehmen des Datenexporteurs faktisch oder rechtlich nicht mehr besteht, es sei denn, ein Rechtsnachfolger hat durch einen Vertrag oder kraft Gesetzes sämtliche rechtlichen Pflichten des Datenexporteurs übernommen; in letzterem Fall kann die betroffene Person die Klauseln gegenüber dem Rechtsnachfolger als Träger sämtlicher Rechte und Pflichten des Datenexporteurs geltend machen. …“

27. Klausel 4 („Pflichten des Datenexporteurs“) dieses Anhangs lautet: „Der Datenexporteur erklärt sich bereit und garantiert, dass: a) die Verarbeitung der personenbezogenen Daten einschließlich der Übermittlung entsprechend den einschlägigen Bestimmungen des anwendbaren Datenschutzrechts durchgeführt wurde und auch weiterhin so durchgeführt wird (und gegebenenfalls den zuständigen Behörden des Mitgliedstaats mitgeteilt wurde, in dem der Datenexporteur niedergelassen ist) und nicht gegen die einschlägigen Vorschriften dieses Staates verstößt; b) er den Datenimporteur angewiesen hat und während der gesamten Dauer der Datenverarbeitungsdienste anweisen wird, die übermittelten personenbezogenen Daten nur im Auftrag des Datenexporteurs und in Übereinstimmung mit dem anwendbaren Datenschutzrecht und den Klauseln zu verarbeiten; c) der Datenimporteur hinreichende Garantien bietet in Bezug auf die in Anhang 2 zu diesem Vertrag beschriebenen technischen und organisatorischen Sicherheitsmaßnahmen; d) die Sicherheitsmaßnahmen unter Berücksichtigung der Anforderungen des anwendbaren Datenschutzrechts, des Standes der Technik, der bei ihrer Durchführung entstehenden Kosten, der von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden Daten hinreichend gewährleisten, dass personenbezogene Daten vor der zufälligen oder unrechtmäßigen Zerstörung, dem zufälligem Verlust, der Änderung, der unberechtigten Weitergabe oder dem unberechtigten Zugang, insbesondere wenn die Verarbeitung die Übermittlung der Daten über ein Netzwerk umfasst, und vor jeder anderen Form der unrechtmäßigen Verarbeitung geschützt sind; e) er für die Einhaltung dieser Sicherheitsmaßnahmen sorgt; f) die betroffene Person bei der Übermittlung besonderer Datenkategorien vor oder sobald wie möglich nach der Übermittlung davon in Kenntnis gesetzt worden ist oder gesetzt wird, dass ihre Daten in ein Drittland übermittelt werden könnten, das kein angemessenes Schutzniveau im Sinne der Richtlinie [95/46] bietet; g) er die gemäß Klausel 5 Buchstabe b sowie Klausel 8 Absatz 3 vom Datenimporteur oder von einem Unterauftragsverarbeiter erhaltene Mitteilung an die Kontrollstelle weiterleitet, wenn der Datenexporteur beschließt, die Übermittlung fortzusetzen oder die Aussetzung aufzuheben; h) er den betroffenen Personen auf Anfrage eine Kopie der Klauseln mit Ausnahme von Anhang 2 sowie eine allgemeine Beschreibung der Sicherheitsmaßnahmen zur Verfügung stellt; außerdem stellt er ihnen gegebenenfalls die Kopie des Vertrags über Datenverarbeitungsdienste zur Verfügung, der gemäß den Klauseln an einen Unterauftragsverarbeiter vergeben wurde, es sei denn, die Klauseln oder der Vertrag enthalten Geschäftsinformationen; in diesem Fall können solche Geschäftsinformationen herausgenommen werden; i) bei der Vergabe eines Verarbeitungsauftrags an einen Unterauftragsverarbeiter die Verarbeitung gemäß Klausel 11 erfolgt und die personenbezogenen Daten und die Rechte der betroffenen Person mindestens ebenso geschützt sind, wie vom Datenimporteur nach diesen Klauseln verlangt; und j) er für die Einhaltung der Klausel 4 Buchstaben a bis i sorgt.“

28. Klausel 5 („Pflichten des Datenimporteurs[1]“) dieses Anhangs sieht vor: „Der Datenimporteur erklärt sich bereit und garantiert, dass: a) er die personenbezogenen Daten nur im Auftrag des Datenexporteurs und in Übereinstimmung mit dessen Anweisungen und den vorliegenden Klauseln verarbeitet; dass er sich, falls er dies aus irgendwelchen Gründen nicht einhalten kann, bereit erklärt, den Datenexporteur unverzüglich davon in Kenntnis zu setzen, der unter diesen Umständen berechtigt ist, die Datenübermittlung auszusetzen und/oder vom Vertrag zurückzutreten; b) er seines Wissens keinen Gesetzen unterliegt, die ihm die Befolgung der Anweisungen des Datenexporteurs und die Einhaltung seiner vertraglichen Pflichten unmöglich machen, und eine Gesetzesänderung, die sich voraussichtlich sehr nachteilig auf die Garantien und Pflichten auswirkt, die die Klauseln bieten sollen, dem Datenexporteur mitteilen wird, sobald er von einer solchen Änderung Kenntnis erhält; unter diesen Umständen ist der Datenexporteur berechtigt, die Datenübermittlung auszusetzen und/oder vom Vertrag zurückzutreten; c) er vor der Verarbeitung der übermittelten personenbezogenen Daten die in Anhang 2 beschriebenen technischen und organisatorischen Sicherheitsmaßnahmen ergriffen hat; d) er den Datenexporteur unverzüglich informiert über i) alle rechtlich bindenden Aufforderungen einer Vollstreckungsbehörde zur Weitergabe der personenbezogenen Daten, es sei denn, dies wäre anderweitig untersagt, beispielsweise durch ein strafrechtliches Verbot zur Wahrung des Untersuchungsgeheimnisses bei strafrechtlichen Ermittlungen; ii) jeden zufälligen oder unberechtigten Zugang und iii) alle Anfragen, die direkt von den betroffenen Personen an ihn gerichtet werden, ohne diese zu beantworten, es sei denn, er wäre anderweitig dazu berechtigt; e) er alle Anfragen des Datenexporteurs im Zusammenhang mit der Verarbeitung der übermittelten personenbezogenen Daten durch den Datenexporteur unverzüglich und ordnungsgemäß bearbeitet und die Ratschläge der Kontrollstelle im Hinblick auf die Verarbeitung der übermittelten Daten befolgt; f) er auf Verlangen des Datenexporteurs seine für die Verarbeitung erforderlichen Datenverarbeitungseinrichtungen zur Prüfung der unter die Klauseln fallenden Verarbeitungstätigkeiten zur Verfügung stellt. Die Prüfung kann vom Datenexporteur oder einem vom Datenexporteur gegebenenfalls in Absprache mit der Kontrollstelle ausgewählten Prüfgremium durchgeführt werden, dessen Mitglieder unabhängig sind, über die erforderlichen Qualifikationen verfügen und zur Vertraulichkeit verpflichtet sind; …“

29. Die der Überschrift von Klausel 5 des Anhangs des Beschlusses 2010/87 beigefügte Fn. 1 lautet: „Zwingende Erfordernisse des für den Datenimporteur geltenden innerstaatlichen Rechts, die nicht über das hinausgehen, was in einer demokratischen Gesellschaft für den Schutz eines der in Artikel 13 Absatz 1 der Richtlinie [95/46] aufgelisteten Interessen erforderlich ist, widersprechen nicht den Standardvertragsklauseln, wenn sie zur Gewährleistung der Sicherheit des Staates, der Landesverteidigung, der öffentlichen Sicherheit, der Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten oder Verstößen gegen die berufsständischen Regeln bei reglementierten Berufen, eines wichtigen wirtschaftlichen oder finanziellen Interesses eines Mitgliedstaats, des Schutzes der betroffenen Person und der Rechte und Freiheiten anderer Personen erforderlich sind. Beispiele für zwingende Erfordernisse, die nicht über das hinausgehen, was in einer demokratischen Gesellschaft erforderlich ist, sind international anerkannte Sanktionen, Erfordernisse der Steuerberichterstattung oder Anforderungen zur Bekämpfung der Geldwäsche.“

30. In Klausel 6 („Haftung“) dieses Anhangs heißt es: „(1) Die Parteien vereinbaren, dass jede betroffene Person, die durch eine Verletzung der in Klausel 3 oder 11 genannten Pflichten durch eine Partei oder den Unterauftragsverarbeiter Schaden erlitten hat, berechtigt ist, vom Datenexporteur Schadenersatz für den erlittenen Schaden zu erlangen. (2) Ist die betroffene Person nicht in der Lage, gemäß Absatz 1 gegenüber dem Datenexporteur wegen Verstoßes des Datenimporteurs oder seines Unterauftragsverarbeiters gegen in den Klauseln 3 und 11 genannte Pflichten Schadenersatzansprüche geltend zu machen, weil das Unternehmen des Datenexporteurs faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist, ist der Datenimporteur damit einverstanden, dass die betroffene Person Ansprüche gegenüber ihm statt gegenüber dem Datenexporteur geltend macht, es sei denn, ein Rechtsnachfolger hat durch Vertrag oder kraft Gesetzes sämtliche rechtlichen Pflichten des Datenexporteurs übernommen; in diesem Fall kann die betroffene Person ihre Ansprüche gegenüber dem Rechtsnachfolger geltend machen. …“

31. Klausel 7 („Schlichtungsverfahren und Gerichtsstand“) dieses Anhangs lautet: „(1) Für den Fall, dass eine betroffene Person gegenüber dem Datenimporteur Rechte als Drittbegünstigte und/oder Schadenersatzansprüche aufgrund der Vertragsklauseln geltend macht, erklärt sich der Datenimporteur bereit, die Entscheidung der betroffenen Person zu akzeptieren, und zwar entweder: a) die Angelegenheit in einem Schlichtungsverfahren durch eine unabhängige Person oder gegebenenfalls durch die Kontrollstelle beizulegen oder b) die Gerichte des Mitgliedstaats, in dem der Datenexporteur niedergelassen ist, mit dem Streitfall zu befassen. (2) Die Parteien vereinbaren, dass die Entscheidung der betroffenen Person nicht die materiellen Rechte oder Verfahrensrechte dieser Person, nach anderen Bestimmungen des nationalen oder internationalen Rechts Rechtsbehelfe einzulegen, berührt.“

32. Nach Klausel 9 („Anwendbares Recht“) dieses Anhangs gilt für die Standardvertragsklauseln das Recht des Mitgliedstaats, in dem der Datenexporteur niedergelassen ist.

D. Der „Datenschutzschild“-Beschluss

33. Auf der Grundlage von Art. 25 Abs. 6 der Richtlinie 95/46 erließ die Kommission nacheinander eine Entscheidung und einen Beschluss, mit denen sie feststellte, dass die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten gewährleisteten, die an in den Vereinigten Staaten niedergelassene Unternehmen übermittelt werden, die in einem Selbstzertifizierungsverfahren erklärt haben, die in diesen Rechtsakten aufgestellten Grundsätze zu beachten.

34. Zunächst erließ die Kommission die Entscheidung 2000/520/EG über die Angemessenheit des von den Grundsätzen des „sicheren Hafens“ und der diesbezüglichen „Häufig gestellten Fragen“ (FAQ) gewährleisteten Schutzes, vorgelegt vom Handelsministerium der [Vereinigten Staaten] ( 11 ). Mit dem Urteil vom 6. Oktober 2015, Schrems ( 12 ), hat der Gerichtshof diese Entscheidung für ungültig erklärt.

35. Auf dieses Urteil hin erließ die Kommission den „Datenschutzschild“-Beschluss.

36. Art. 1 dieses Beschlusses lautet: „(1) Im Sinne von Artikel 25 Absatz 2 der Richtlinie [95/46] gewährleisten die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten, die im Rahmen des EU‑US-Datenschutzschilds aus der Europäischen Union an Organisationen in den Vereinigten Staaten übermittelt werden. (2) Der EU-US-Datenschutzschild besteht aus den Grundsätzen, die am 7. Juli 2016 vom US-Handelsministerium herausgegeben wurden und in Anhang II aufgeführt sind, und den offiziellen Erklärungen und Zusagen, die in den Schriftstücken der Anhänge I und III bis VII enthalten sind. (3) Im Sinne von Absatz 1 werden personenbezogene Daten im Rahmen des EU‑US-Datenschutzschilds übermittelt, wenn sie aus der Europäischen Union an US‑Organisationen übermittelt werden, die in der ‚Datenschutzschild-Liste‘ aufgeführt sind, welche in Übereinstimmung mit Abschnitt I und III der Grundsätze in Anhang II vom US‑Handelsministerium geführt und der Öffentlichkeit zugänglich gemacht wird.“

37. Anhang III A („Ombudsstelle des EU‑U.S.‑Datenschutzschilds für die signalerfassende Aufklärung“) dieses Beschlusses, eine Anlage zu einem Schreiben des damaligen Secretary of State (Außenminister, Vereinigte Staaten) John Kerry vom 7. Juli 2016, enthält eine Absichtserklärung, in der ein neues Ombudsverfahren vor einem vom Außenminister zu benennenden „Senior Coordinator for International Information Technology Diplomacy“ (im Folgenden: Ombudsperson) beschrieben wird.

38. Nach dieser Absichtserklärung soll „das genannte Verfahren bei Daten, die gemäß dem Datenschutzschild, den Standardklauseln (standard contractual clauses, SCC), den verbindlichen unternehmensinternen Datenschutzregelungen (binding corporate rules, BCR) sowie den ‚Ausnahmeregelungen‘ oder ‚etwaigen künftigen Ausnahmeregelungen‘ von der [Union] unter Einhaltung des dafür bestehenden Weges laut geltendem Recht und bestehender Auslegungspraxis in die Vereinigten Staaten übermittelt werden, die Bearbeitung von Anfragen zum Zugriff auf Daten, die die nationale Sicherheit betreffen, und die Beantwortung solcher Anfragen erleichtern“.

III. Ausgangsrechtsstreit, Vorlagefragen und Verfahren vor dem Gerichtshof

39. Herr Schrems, ein in Österreich wohnhafter österreichischer Staatsangehöriger, nutzt das soziale Netzwerk Facebook. Alle im Unionsgebiet wohnhaften Nutzer von Facebook müssen bei ihrer Anmeldung einen Vertrag mit Facebook Ireland abschließen, einer Tochtergesellschaft der in den Vereinigten Staaten ansässigen Facebook Inc. Die personenbezogenen Daten dieser Nutzer werden ganz oder teilweise an Server der Facebook Inc., die sich in den Vereinigten Staaten befinden, übermittelt und dort verarbeitet.

40. Am 25. Juni 2013 legte Herr Schrems beim DPC eine Beschwerde ein, mit der er ihn im Wesentlichen aufforderte, in Ausübung der ihm übertragenen Befugnisse Facebook Ireland die Übermittlung seiner personenbezogenen Daten in die Vereinigten Staaten zu untersagen. Er machte geltend, das Recht und die Praxis der Vereinigten Staaten gewährleisteten keinen ausreichenden Schutz der in diesem Land gespeicherten personenbezogenen Daten vor den Überwachungstätigkeiten der dortigen Behörden. Dabei verwies er auf die von Herrn Edward Snowden enthüllten Tätigkeiten der Nachrichtendienste der Vereinigten Staaten, insbesondere der National Security Agency (NSA) (Nationale Sicherheitsbehörde, Vereinigte Staaten).

41. Diese Beschwerde wurde mit der Begründung zurückgewiesen, alle die Angemessenheit des Schutzes personenbezogener Daten in den Vereinigten Staaten betreffenden Fragen seien im Einklang mit der „Safe Harbour“-Entscheidung zu klären, mit der die Kommission festgestellt habe, dass dieses Drittland ein angemessenes Schutzniveau für personenbezogene Daten biete, die an Unternehmen in dessen Hoheitsgebiet übermittelt würden, die die in dieser Entscheidung aufgestellten Grundsätze beachteten.

42. Herr Schrems erhob gegen die Entscheidung, mit der seine Beschwerde zurückgewiesen worden war, Klage beim High Court (Hoher Gerichtshof). Dieser befand, dass Herr Schrems zwar die Gültigkeit der „Safe Harbour“-Entscheidung nicht förmlich in Frage gestellt habe, mit seiner Beschwerde jedoch de facto die Rechtmäßigkeit der mit dieser geschaffenen Regelung in Zweifel ziehe. Unter diesen Umständen legte dieses Gericht dem Gerichtshof Fragen vor, mit denen es im Wesentlichen wissen wollte, ob die mit dem Datenschutz betrauten Behörden der Mitgliedstaaten (im Folgenden: Aufsichtsbehörden), wenn ihnen eine Beschwerde betreffend den Schutz der Rechte und Freiheiten einer Person bei der Übermittlung von diese betreffenden personenbezogenen Daten in ein Drittland vorliegt, an die von der Kommission gemäß Art. 25 Abs. 6 der Richtlinie 95/46 getroffenen Feststellungen hinsichtlich der Angemessenheit des von diesem Drittstaat gebotenen Schutzniveaus gebunden sind, wenn der Beschwerdeführer diese Feststellungen bestreitet.

43. In den Rn. 51 und 52 des Urteils Schrems hat der Gerichtshof zunächst entschieden, dass eine Angemessenheitsentscheidung die Aufsichtsbehörden bindet, solange sie nicht für ungültig erklärt worden ist, und sodann in den Rn. 63 und 65 dieses Urteils ausgeführt: „63 [W]enn sich eine Person, deren personenbezogene Daten in ein Drittland übermittelt wurden oder werden könnten, das Gegenstand einer nach Art. 25 Abs. 6 der Richtlinie 95/46 ergangenen Entscheidung der Kommission ist, mit einer Eingabe zum Schutz ihrer Rechte und Freiheiten bei der Verarbeitung dieser Daten an eine nationale [Aufsichtsbehörde] wendet und im Rahmen dieser Eingabe … die Vereinbarkeit der betreffenden Entscheidung mit dem Schutz der Privatsphäre sowie der Freiheiten und Grundrechte von Personen in Frage stellt, [obliegt es] der angerufenen [Aufsichtsbehörde], die Eingabe mit aller gebotenen Sorgfalt zu prüfen. … 65 Hält die [Aufsichtsbehörde] die Rügen der Person, die sich mit einer Eingabe zum Schutz ihrer Rechte und Freiheiten bei der Verarbeitung ihrer personenbezogenen Daten an sie gewandt hat, … für begründet, muss sie nach Art. 28 Abs. 3 Unterabs. 1 dritter Gedankenstrich der Richtlinie 95/46 im Licht insbesondere von Art. 8 Abs. 3 der Charta ein Klagerecht haben. Insoweit [obliegt es dem nationalen Gesetzgeber], Rechtsbehelfe vorzusehen, die es der betreffenden nationalen [Aufsichtsbehörde] ermöglichen, die von ihr für begründet erachteten Rügen vor den nationalen Gerichten geltend zu machen, damit diese, wenn sie die Zweifel der [Aufsichtsbehörde] an der Gültigkeit der Entscheidung der Kommission teilen, um eine Vorabentscheidung über deren Gültigkeit ersuchen.“

44. In diesem Urteil hat der Gerichtshof ebenfalls die Gültigkeit der „Safe Harbour“-Entscheidung anhand der sich aus der Richtlinie 95/46 im Licht der Charta ergebenden Anforderungen geprüft. Als Ergebnis dieser Prüfung hat er diese Entscheidung für ungültig erklärt ( 13 ).

45. Auf das Urteil Schrems hin hob das vorlegende Gericht die Entscheidung, mit der der DPC die Beschwerde von Herrn Schrems zurückgewiesen hatte, auf und verwies die Sache zur erneuten Prüfung an den DPC zurück. Dieser eröffnete eine Untersuchung und forderte Herrn Schrems auf, seine Beschwerde unter Berücksichtigung der Ungültigerklärung der „Safe Harbour“-Entscheidung umzuformulieren.

46. Zu diesem Zweck forderte Herr Schrems Facebook Ireland zur Angabe der Rechtsgrundlagen für die Übermittlung der personenbezogenen Daten der Nutzer des sozialen Netzwerks Facebook aus der Union in die Vereinigten Staaten auf. Ohne alle Rechtsgrundlagen, auf die sie sich stützt, anzugeben, bezog sich Facebook Ireland auf eine zwischen ihr und der Facebook Inc. geschlossene Vereinbarung zur Datenübermittlung und ‑verarbeitung („data transfer processing agreement“), die seit dem 20. November 2015 gelte, und berief sich auf den Beschluss 2010/87.

47. Mit seiner umformulierten Beschwerde macht Herr Schrems zum einen geltend, die Klauseln dieser Vereinbarung entsprächen nicht den im Anhang des Beschlusses 2010/87 aufgeführten Standardvertragsklauseln. Zum anderen seien diese Standardvertragsklauseln jedenfalls keine geeignete Rechtsgrundlage für die Übermittlung seiner personenbezogenen Daten in die Vereinigten Staaten. Der Grund hierfür sei, dass die Facebook Inc. nach amerikanischem Recht verpflichtet sei, die personenbezogenen Daten ihrer Nutzer amerikanischen Behörden wie der NSA und dem Federal Bureau of Investigation (FBI) (Bundesamt für Ermittlung, Vereinigte Staaten) im Rahmen von Überwachungsprogrammen zur Verfügung zu stellen, die die Ausübung der durch die Art. 7, 8 und 47 der Charta gewährleisteten Rechte beeinträchtigten. Es sei kein gerichtlicher Rechtsbehelf gegeben, mit dem die betroffenen Personen ihre Rechte auf Achtung des Privatlebens und Schutz personenbezogener Daten geltend machen könnten. Unter diesen Umständen beantragt Herr Schrems vor dem DPC, die Übermittlung gemäß Art. 4 des Beschlusses 2010/87 auszusetzen.

48. Facebook Ireland hat im Rahmen der vom DPC durchgeführten Untersuchung eingeräumt, dass sie weiter personenbezogene Daten der in der Union ansässigen Nutzer des sozialen Netzwerks Facebook in die Vereinigten Staaten übermittle, und ausgeführt, dass sie sich dafür zum großen Teil auf die im Anhang des Beschlusses 2010/87 aufgeführten Standardvertragsklauseln stütze.

49. Die Untersuchung des DPC war auf die Feststellung gerichtet, ob die Vereinigten Staaten einen angemessenen Schutz der personenbezogenen Daten von Unionsbürgern gewährleisten und, wenn nein, ob die SVK-Beschlüsse ausreichende Garantien hinsichtlich des Schutzes von deren Grundfreiheiten und ‑rechten bieten.

50. In einem Entscheidungsentwurf („draft decision“) vertrat der DPC die vorläufige Ansicht, dass das amerikanische Recht Unionsbürgern, deren Daten in die Vereinigten Staaten übermittelt würden, wo sie von den amerikanischen Diensten in einer mit den Art. 7 und 8 der Charta unvereinbaren Weise für Zwecke der nationalen Sicherheit verarbeitet werden könnten, keine wirksamen Rechtsbehelfe im Sinne von Art. 47 der Charta biete. Durch die Klauseln in den Anhängen der SVK-Beschlüsse werde diesem Mangel nicht abgeholfen, da diese Klauseln die Behörden oder Dienste der Vereinigten Staaten nicht bänden und den betroffenen Personen nur vertragliche Rechte gegenüber dem Datenexporteur und/oder ‑importeur einräumten.

51. Unter diesen Umständen sah sich der DPC außerstande, ohne vorherige Prüfung der Gültigkeit der SVK-Beschlüsse durch den Gerichtshof über die Beschwerde von Herr Schrems zu entscheiden. Gemäß der in Rn. 65 des Urteils Schrems gemachten Vorgabe machte der DPC daher ein Verfahren vor dem vorlegenden Gericht anhängig, damit dieses, sollte es die Zweifel des DPC teilen, den Gerichtshof um Vorabentscheidung über die Gültigkeit der SVK-Beschlüsse ersuche.

52. Die Regierung der Vereinigten Staaten, das Electronic Privacy Information Centre (EPIC), die Business Software Alliance (BSA) und Digitaleurope wurden als Streithelfer im Verfahren vor dem vorlegenden Gericht zugelassen.

53. Um beurteilen zu können, ob die Zweifel des DPC an der Gültigkeit der SVK-Beschlüsse berechtigt sind, nahm der High Court (Hoher Gerichtshof) die von den Parteien des Rechtsstreits vorgelegten Beweise entgegen und hörte deren Vorbringen sowie das der Streithelfer. Insbesondere waren die Bestimmungen des Rechts der Vereinigten Staaten Gegenstand der Vorlage von Beweisen durch Sachverständige. Nach irischem Recht gilt ausländisches Recht als Tatsache und muss wie jede andere Tatsache bewiesen werden. Auf der Grundlage dieser Beweise prüfte das vorlegende Gericht die Bestimmungen des Rechts der Vereinigten Staaten, die die Überwachung durch die Regierungsbehörden und ‑dienste erlauben, die Funktionsweise von zwei öffentlich als bestehend zugestandenen Überwachungsprogrammen („PRISM“ und „Upstream“), die verschiedenen Rechtsbehelfe für Private, deren Rechte durch Überwachungsmaßnahmen verletzt worden sind, sowie die systemischen Garantien und die Kontrollmechanismen. Die Ergebnisse dieser Prüfung legte dieses Gericht in einem Urteil vom 3. Oktober 2017 dar, das seiner Vorlageentscheidung als Anlage beigefügt ist (im Folgenden: Urteil des High Court [Hoher Gerichtshof] vom 3. Oktober 2017).

54. In diesem Urteil verweist das vorlegende Gericht unter den Rechtsgrundlagen, die das Erfassen ausländischer Kommunikation durch die amerikanischen Nachrichtendienste erlauben, auf Section 702 des Foreign Intelligence and Surveillance Act (FISA) (Gesetz zur Überwachung in der Auslandsaufklärung) und die Executive Order 12333 (Präsidialerlass Nr. 12333, im Folgenden: EO 12333).

55. Nach den in diesem Urteil getroffenen Feststellungen können der Attorney General (Generalbundesanwalt, Vereinigte Staaten) und der Director of National Intelligence (DNI) (Direktor der nationalen Nachrichtendienste) gemeinsam für einen Zeitraum von einem Jahr zur Beschaffung von Informationen im Bereich der Auslandsaufklärung die Überwachung von Personen genehmigen, die keine amerikanischen Staatsbürger sind und die sich nicht ständig in den Vereinigten Staaten aufhalten (sogenannte „Nicht-US-Personen“), wenn bei vernünftiger Betrachtung anzunehmen ist, dass sie sich außerhalb des Hoheitsgebiets der Vereinigten Staaten befinden ( 14 ). Nach dem FISA bezeichnet der Begriff „Auslandsaufklärung“ die Informationen, die die Fähigkeit der Regierung, sich gegen ausländische Angriffe zu schützen, den Terrorismus, die Proliferation von Massenvernichtungswaffen und die Führung der Außenpolitik der Vereinigten Staaten betreffen ( 15 ).

56. Diese jährlichen Genehmigungen wie auch die Verfahren betreffend das Targeting der zu überwachenden Personen und die Verarbeitung (Minimisierung) der gewonnenen Informationen ( 16 ) müssen vom Foreign Intelligence Surveillance Court (FISC) (Gericht für die Überwachung der Auslandsgeheimdienste, Vereinigte Staaten) gebilligt werden. Während für die „traditionelle“ Überwachung auf der Grundlage anderer Bestimmungen des FISA ein „wahrscheinlicher Grund“ für den Verdacht erforderlich ist, dass die überwachten Personen einer ausländischen Macht angehören oder deren Agenten sind, setzen die nach Section 702 FISA durchgeführten Überwachungstätigkeiten weder den Nachweis eines solchen „wahrscheinlichen Grundes“ noch die Billigung des Targeting bestimmter Personen durch den FISC voraus. Zudem gelten nach den Feststellungen des vorlegenden Gerichts die Minimisierungsverfahren nicht für Nicht-US-Personen, die sich außerhalb der Vereinigten Staaten befinden.

57. In der Praxis sendet die NSA nach Erteilung der Genehmigung durch den FISC an in den Vereinigten Staaten niedergelassene Betreiber von elektronischen Kommunikationsdiensten Anordnungen mit den Suchkriterien, den sogenannten „Selektoren“, die erfassten Personen zugeordnet sind (wie etwa Telefonnummern oder E‑Mail-Adressen). Diese Betreiber sind dann verpflichtet, die den Selektoren entsprechenden Daten an die NSA zu übermitteln, und müssen die an sie gerichteten Anordnungen geheim halten. Sie können beim FISC einen Antrag auf Änderung oder Nichtbeachtung einer Anordnung der NSA stellen. Gegen die Entscheidung des FISC ist ein Rechtsbehelf zum Foreign Intelligence Surveillance Court of Review (FISCR) (Rechtsmittelgericht für Entscheidungen im Bereich der Überwachung der Auslandsgeheimdienste, Vereinigte Staaten) gegeben.

58. Nach den Feststellungen des High Court (Hoher Gerichtshof) ist Section 702 die Rechtsgrundlage für die Programme PRISM und Upstream.

59. Im Rahmen des PRISM-Programms sind die Betreiber von elektronischen Kommunikationsdiensten verpflichtet, der NSA die gesamte Kommunikation „von“ dem oder „an“ den von dieser übermittelten Selektor vorzulegen. Ein Teil dieser Kommunikation wird an das FBI und an die Central Intelligence Agency (CIA) (Zentraler Nachrichtendienst, Vereinigte Staaten) weitergeleitet. 2015 sollen 94386 Personen überwacht worden sein, und 2011 soll sich die Regierung der Vereinigten Staaten im Rahmen dieses Programms 250 Millionen Kommunikationsvorgänge beschafft haben.

60. Das Upstream-Programm beruht auf der obligatorischen Unterstützung durch die Unternehmen, die das „backbone“ (Rückgrat) – d. h. das Netz von Kabeln, Switches und Routern – betreiben, über das die Telefon- und die Internetkommunikation übertragen wird (im Folgenden: Telekommunikations-Backbone). Diese Unternehmen müssen der NSA erlauben, die Internetverkehrsflüsse zu kopieren und zu filtern, um Zugang zur Kommunikation „von“ einem, „an“ einen oder „über“ einen in einer Anordnung dieser Agentur genannten Selektor zu erlangen. Kommunikation „über“ einen Selektor ist eine solche, in der auf diesen Selektor Bezug genommen wird, ohne dass die diesem Selektor zugeordnete Nicht-US-Person daran beteiligt sein muss. Aus einer Stellungnahme des FISC vom 26. April 2017 ergibt sich zwar, dass die amerikanische Regierung seit diesem Zeitpunkt keine Kommunikation „über“ einen Selektor mehr sammelt und erlangt, doch geht daraus nicht hervor, dass die NSA die durch ihr Überwachungssystem geleiteten Kommunikationsflüsse nicht mehr kopiert und filtert. Das Upstream-Programm würde somit bedeuten, dass die NSA Zugriff sowohl auf die Metadaten als auch auf die Kommunikationsinhalte hat. Seit 2011 soll die NSA im Rahmen des Upstream-Programms etwa 26,5 Millionen Kommunikationsvorgänge erhoben haben, was jedoch nur einen kleinen Teil der nach diesem Programm gefilterten Kommunikation ausmachen soll.

61. Ferner erlaubt die EO 12333 nach den Feststellungen des High Court (Hoher Gerichtshof) die Überwachung elektronischer Kommunikation außerhalb des Hoheitsgebiets der Vereinigten Staaten, indem sie für Zwecke der Auslandsaufklärung den Zugang zu Daten ermöglicht, die „in der Übertragung in“ oder „in der Übertragung durch“ dieses Hoheitsgebiet befindlich sind, ohne dass sie dazu bestimmt sind, dort verarbeitet zu werden, sowie die Sammlung und die Speicherung dieser Daten. Gemäß der EO 12333 umfasst der Begriff „Auslandsaufklärung“ Informationen über die Fähigkeiten, die Absichten und die Aktivitäten ausländischer Regierungen, ausländischer Organisationen und ausländischer Personen ( 17 ).

62. Die EO 12333 soll die NSA zum Zugang zu den auf dem Grund des Atlantischen Ozeans verlegten Seekabeln, mittels deren Daten aus der Union in die Vereinigten Staaten übermittelt werden, ermächtigen, bevor diese Daten in den Vereinigten Staaten ankommen und damit den Bestimmungen des FISA unterliegen. Es gibt jedoch keinen Beweis, dass irgendein Programm auf der Grundlage dieses Präsidialerlasses durchgeführt worden wäre.

63. Die EO 12333 sieht zwar Beschränkungen für die Sammlung, die Aufbewahrung und die Verbreitung von Informationen vor, doch gelten diese nicht für Nicht-US-Personen. Letztere verfügen nur über die Garantien nach der Presidential Policy Directive 28 (Strategische Präsidialrichtlinie Nr. 28, im Folgenden: PPD 28), die auf alle Aktivitäten der Sammlung und Verwendung von Informationen im Bereich der elektronischen Auslandsaufklärung Anwendung findet. Die PPD 28 bestimmt, dass die Achtung des Privatlebens integraler Bestandteil der Erwägungen ist, die bei der Planung dieser Aktivitäten zu berücksichtigen sind, dass die Sammlung ausschließlich dem Ziel der Erlangung von Informationen im Bereich der Auslandsaufklärung und der Spionageabwehr dienen darf und dass diese Aktivitäten „so gezielt wie möglich“ sein müssen.

64. Dem vorlegenden Gericht zufolge unterliegen die Tätigkeiten der NSA auf der Grundlage der EO 12333, die vom Präsidenten der Vereinigten Staaten jederzeit geändert oder aufgehoben werden kann, nicht dem Gesetz, sind nicht Gegenstand gerichtlicher Kontrolle und können nicht vor Gericht angefochten werden.

65. Auf der Grundlage dieser Feststellungen ist dieses Gericht der Ansicht, dass die Vereinigten Staaten eine massenhafte und wahllose Verarbeitung personenbezogener Daten durchführten, die die betroffenen Personen der Gefahr von Verletzungen der ihnen nach den Art. 7 und 8 der Charta zustehenden Rechte aussetzten.

66. Überdies verfügten Unionsbürger nicht über dieselben gerichtlichen Rechtsbehelfe gegen die rechtswidrige Verarbeitung ihrer personenbezogenen Daten durch die amerikanischen Behörden wie amerikanische Staatsbürger. Der Vierte Zusatzartikel zur Verfassung der Vereinigten Staaten, der den wichtigsten Schutz gegen illegale Überwachung darstelle, gelte nicht für Unionsbürger, die keine signifikante freiwillige Verbindung mit den Vereinigten Staaten hätten. Sie verfügten zwar über gewisse andere Rechtsbehelfe, doch stünden diesen erhebliche Hindernisse entgegen.

67. Im Einzelnen mache Art. III der Verfassung der Vereinigten Staaten jede Klage vor den Bundesgerichten davon abhängig, dass der Betroffene seine Klagebefugnis („standing“) nachweise. Die Klagebefugnis setze u. a. voraus, dass diese Person dartue, einen wirklichen Schaden erlitten zu haben, der zum einen konkret und individuell und zum anderen gegenwärtig sei oder unmittelbar bevorstehe. Unter Hinweis auf das Urteil des Supreme Court of the United States (Oberster Gerichtshof der Vereinigten Staaten) Clapper v. Amnesty International US ( 18 ) führt das vorlegende Gericht aus, diese Voraussetzung sei in der Praxis u. a. deshalb äußerst schwer zu erfüllen, weil es keinerlei Verpflichtung gebe, die betroffenen Personen von den ihnen gegenüber getroffenen Überwachungsmaßnahmen zu unterrichten ( 19 ). Ein Teil der Unionsbürgern zur Verfügung stehenden Klagen unterliege überdies anderen restriktiven Voraussetzungen wie dem Erfordernis, einen Geldschaden nachzuweisen. Die den Nachrichtendiensten zuerkannte hoheitliche Immunität und die Einstufung der betreffenden Informationen als geheim stünden der Inanspruchnahme bestimmter Rechtsbehelfe ebenfalls entgegen ( 20 ).

68. Darüber hinaus benennt der High Court (Hoher Gerichtshof) verschiedene Mechanismen zur Kontrolle und Überwachung der Tätigkeiten der Nachrichtendienste.

69. Dazu gehöre zum einen der Mechanismus der jährlichen Zertifizierung der auf Section 702 FISA gestützten Programme durch den FISC, in dessen Rahmen dieser allerdings nicht die individuellen Selektoren genehmige. Ferner unterliege die Sammlung von Informationen im Bereich der Auslandsaufklärung gemäß der EO 12333 keinerlei gerichtlicher Vorabkontrolle.

70. Zum anderen verweist das vorlegende Gericht auf mehrere außergerichtliche Mechanismen zur Überwachung von nachrichtendienstlichen Tätigkeiten. Im Einzelnen nennt es die Rolle der Inspectors General (Generalinspektoren, Vereinigte Staaten), die in jedem Nachrichtendienst mit der Aufsicht über die Überwachungstätigkeiten betraut seien. Des Weiteren erhalte das Privacy and Civil Liberties Oversight Board (PCLOB) (Aufsichtseinrichtung für Privatsphäre und Freiheitsrechte, Vereinigte Staaten), eine unabhängige Agentur innerhalb der Exekutive, die Berichte der in jedem Dienst als Beauftragte für Freiheitsrechte oder Privatsphäre benannten Personen („civil liberties or privacy officers“). Das PCLOB erstelle regelmäßig Berichte für parlamentarische Ausschüsse und den Präsidenten. Die betreffenden Dienste müssten Fälle von Verstößen gegen die Regeln und Verfahren betreffend die Sammlung von Informationen im Bereich der Auslandsaufklärung u. a. dem DNI zur Kenntnis bringen. Über diese Vorfälle werde auch dem FISC berichtet. Auch der amerikanische Kongress sei über die Nachrichtendienstausschüsse des Repräsentantenhauses und des Senats für die Kontrolle der Tätigkeiten der Auslandsaufklärung zuständig.

71. Der High Court (Hoher Gerichtshof) hebt jedoch den grundlegenden Unterschied hervor zwischen den Regeln, mit denen sichergestellt werden solle, dass die Daten rechtmäßig erlangt und erlangte Daten nicht missbräuchlich verwendet würden, einerseits und den bei Verstößen gegen diese Regeln zur Verfügung stehenden Rechtsbehelfen andererseits. Der Schutz der Grundrechte der betroffenen Personen sei nur dann sichergestellt, wenn sie bei Verstößen gegen diese Regeln ihre Rechte mit wirksamen Rechtsbehelfen geltend machen könnten.

72. Unter diesen Umständen erachtet das vorlegende Gericht das Vorbringen des DPC für begründet, dass die im amerikanischen Recht vorgesehenen Beschränkungen des Klagerechts der Person, deren Daten aus der Union übermittelt würden, nicht den Wesensgehalt des durch Art. 47 der Charta gewährleisteten Rechts wahrten und jedenfalls unverhältnismäßige Eingriffe in die Ausübung dieses Rechts darstellten.

73. Nach Ansicht des High Court (Hoher Gerichtshof) wird diese Beurteilung durch die Einführung des im „Datenschutzschild“-Beschluss beschriebenen Ombudsmechanismus durch die Regierung der Vereinigten Staaten nicht in Frage gestellt. Dieser Mechanismus stehe Unionsbürgern offen, die bei vernünftiger Betrachtung davon ausgingen, dass ihre Daten im Einklang mit den SVK-Beschlüssen ( 21 ) übermittelt worden seien, doch sei die Ombudsperson kein den Anforderungen des Art. 47 der Charta genügendes Gericht und insbesondere nicht unabhängig von der staatlichen Exekutive ( 22 ). Zweifelhaft sei auch, ob die Einschaltung der Ombudsperson, deren Entscheidungen nicht mit einer Klage angefochten werden könnten, einen wirksamen Rechtsbehelf darstelle. Sie erlaube nämlich den betroffenen Personen, deren Daten in rechtswidriger Weise gesammelt, verarbeitet oder geteilt worden seien, nicht, eine Entschädigung oder die Anordnung der Einstellung der rechtswidrigen Handlungen zu erlangen, da die Ombudsperson weder bestätige noch verneine, dass ein Antragsteller Gegenstand elektronischer Überwachung gewesen sei.

74. Nach dieser Darlegung seiner Zweifel, dass die im amerikanischen Recht vorgesehenen Garantien und die sich aus den Art. 7, 8 und 47 der Charta ergebenden Anforderungen der Sache nach gleichwertig sind, bezeichnet es das vorlegende Gericht als fraglich, ob die in den SVK-Beschlüssen – die ihrer Natur nach die amerikanischen Behörden nicht bänden – vorgesehenen Standardvertragsklauseln gleichwohl den Schutz der Grundrechte der betroffenen Personen sicherstellen könnten. Im Ergebnis teilt es die Zweifel des DPC an der Gültigkeit dieser Beschlüsse.

75. Das vorlegende Gericht führt insoweit u. a. aus, Art. 28 Abs. 3 der Richtlinie 95/46, auf den Art. 4 des Beschlusses 2010/87 verweise, wonach die Aufsichtsbehörden befugt seien, Datenübertragungen auszusetzen oder zu verbieten, die auf die in diesem Beschluss aufgeführten Standardvertragsklauseln gestützt seien, genüge nicht, um diese Zweifel auszuräumen. Abgesehen davon, dass diese Befugnis nur Ermessenscharakter habe, stelle sich im Licht des elften Erwägungsgrundes des Beschlusses 2010/87 die Frage, ob sie ausgeübt werden könne, wenn die festgestellten Mängel nicht einen besonderen und außergewöhnlichen Fall beträfen, sondern allgemeiner und systemischer Natur seien ( 23 ). Auch die Gefahr, dass es in verschiedenen Mitgliedstaaten zu voneinander abweichenden Entscheidungen komme, könne dagegen sprechen, die Feststellung solcher Mängel den Aufsichtsbehörden zu übertragen.

76. Unter diesen Umständen hat der High Court (Hoher Gerichtshof) mit Entscheidung vom 4. Mai 2018 ( 24 ), beim Gerichtshof eingegangen am 9. Mai 2018, das Verfahren ausgesetzt und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorgelegt: 1. Findet in dem Fall, dass personenbezogene Daten aufgrund des Beschlusses 2010/87 von einem privaten Unternehmen aus einem Mitgliedstaat der Europäischen Union zu einem gewerblichen Zweck an ein privates Unternehmen in einem Drittland übermittelt und in dem Drittland durch dessen Behörden für Zwecke der nationalen Sicherheit, aber auch der Durchführung von Gesetzen und der Außenpolitik des Drittlands weiter verarbeitet werden können, das Unionsrecht (einschließlich der Charta) ungeachtet der Bestimmungen des Art. 4 Abs. 2 EUV über die nationale Sicherheit und der Bestimmungen des Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 über die öffentliche Sicherheit, die Landesverteidigung und die Sicherheit des Staates auf die Übermittlung der Daten Anwendung? 2. a) Sind bei der Beurteilung des Vorliegens einer Verletzung der Rechte einer natürlichen Person durch die Übermittlung von Daten aus der Union in ein Drittland, die aufgrund des Beschlusses 2010/87 erfolgt, soweit diese für Zwecke der nationalen Sicherheit weiter verarbeitet werden können, der relevante Vergleichsmaßstab im Sinne der Richtlinie 95/46 i) die Charta, der EUV, der AEUV, die Richtlinie 95/46, die Europäische Konvention zum Schutz der Menschenrechte und Grundfreiheiten, unterzeichnet in Rom am 4. November 1950 (im Folgenden: EMRK), (oder eine sonstige Bestimmung des Unionsrechts) oder ii) die nationalen Rechtsvorschriften eines oder mehrerer Mitgliedstaaten? b) Falls der relevante Vergleichsmaßstab derjenige nach Ziff. ii ist, ist in diesen auch die im Kontext der nationalen Sicherheit in einem oder mehreren Mitgliedstaaten bestehende Praxis einzubeziehen? 3. Richtet sich die Beurteilung, ob ein Drittland das nach dem Unionsrecht erforderliche Schutzniveau für in dieses Land übermittelte personenbezogene Daten im Sinne von Art. 26 der Richtlinie 95/46 gewährleistet, a) nach den geltenden Rechtsnormen in dem Drittland, die sich aus seinen innerstaatlichen Rechtsvorschriften oder internationalen Verpflichtungen ergeben, und der Praxis im Hinblick darauf, wie die Einhaltung dieser Normen sichergestellt werden soll, einschließlich der in dem Drittland geltenden Standesregeln und Sicherheitsmaßnahmen, oder b) nach den in Buchst. a genannten Rechtsnormen ebenso wie der Praxis der Verwaltung, Regulierung und Einhaltung von Normen sowie Schutzmaßnahmen, Verfahren, Vorgehensweisen, Kontrollmechanismen und außergerichtlichen Rechtsbehelfe, die in dem Drittland bestehen? 4. Verletzt angesichts der vom High Court (Hoher Gerichtshof) in Bezug auf das Recht der Vereinigten Staaten getroffenen Feststellungen eine Übermittlung personenbezogener Daten aus der Union in die Vereinigten Staaten, die aufgrund des Beschlusses 2010/87 erfolgt, die Rechte von natürlichen Personen nach Art. 7 und/oder 8 der Charta? 5. Wird angesichts der vom High Court (Hoher Gerichtshof) in Bezug auf das Recht der Vereinigten Staaten getroffenen Feststellungen bei einer Übermittlung personenbezogener Daten aus der Union in die Vereinigten Staaten, die aufgrund des Beschlusses 2010/87 erfolgt, a) durch das von den Vereinigten Staaten gewährte Schutzniveau der Wesensgehalt des durch Art. 47 der Charta garantierten Rechts einer natürlichen Person auf einen gerichtlichen Rechtsbehelf wegen einer Verletzung ihrer Datenschutzrechte geachtet? Falls Frage a bejaht wird: b) Sind die Einschränkungen, denen das Recht einer natürlichen Person auf einen gerichtlichen Rechtsbehelf nach dem Recht der Vereinigten Staaten im Kontext der nationalen Sicherheit der Vereinigten Staaten unterliegt, im Sinne von Art. 52 der Charta verhältnismäßig, und gehen sie nicht über das in einer demokratischen Gesellschaft für Zwecke der nationalen Sicherheit erforderliche Maß hinaus? 6. a) Welches Schutzniveau muss personenbezogenen Daten bei einer Übermittlung in ein Drittland, die aufgrund von Standardvertragsklauseln erfolgt, die im Einklang mit einer Feststellung der Kommission nach Art. 26 Abs. 4 der Richtlinie 95/46 angewendet werden, nach den Bestimmungen dieser Richtlinie, insbesondere ihren Art. 25 und 26 in Verbindung mit der Charta, gewährt werden? b) Welche Gesichtspunkte sind bei der Beurteilung zu berücksichtigen, ob das Schutzniveau, das Daten bei einer Übermittlung in ein Drittland, die aufgrund des Beschlusses 2010/87 erfolgt, gewährt wird, den Anforderungen der Richtlinie und der Charta entspricht? 7. Führt der Umstand, dass die Standardvertragsklauseln im Verhältnis zwischen Datenexporteur und Datenimporteur gelten und keine Bindungswirkung für nationale Behörden eines Drittlands haben, die den Datenimporteur verpflichten können, die personenbezogenen Daten, die aufgrund der im Beschluss 2010/87 genannten Klauseln übermittelt werden, ihren Sicherheitsbehörden zur weiteren Verarbeitung zugänglich zu machen, dazu, dass die Klauseln keine ausreichenden Garantien im Sinne von Art. 26 Abs. 2 der Richtlinie 95/46 bieten? 8. Ist eine Datenschutzbehörde in dem Fall, dass ein Datenimporteur eines Drittlands Überwachungsgesetzen unterliegt, die nach Ansicht einer Datenschutzbehörde mit den Klauseln im Anhang des Beschlusses 2010/87 oder den Art. 25 oder 26 der Richtlinie 95/46 und/oder der Charta unvereinbar sind, verpflichtet, von ihren Durchsetzungsbefugnissen nach Art. 28 Abs. 3 der Richtlinie 95/46 Gebrauch zu machen, um Datenübermittlungen auszusetzen, oder ist die Ausübung dieser Befugnisse im Licht des elften Erwägungsgrundes des Beschlusses 2010/87 lediglich auf Ausnahmefälle begrenzt, oder kann eine Datenschutzbehörde ihr Ermessen dahin ausüben, von einer Aussetzung von Datenübermittlungen abzusehen? 9. a) Stellt der „Datenschutzschild“-Beschluss im Sinne von Art. 25 Abs. 6 der Richtlinie 95/46 eine allgemeingültige Feststellung dar, die für die Datenschutzbehörden und Gerichte der Mitgliedstaaten dahin gehend verbindlich ist, dass die Vereinigten Staaten aufgrund ihrer innerstaatlichen Rechtsvorschriften oder der von ihnen eingegangenen internationalen Verpflichtungen ein angemessenes Schutzniveau im Sinne von Art. 25 Abs. 2 der Richtlinie gewährleisten? b) Wenn dies nicht der Fall ist, welche Bedeutung kommt gegebenenfalls dem „Datenschutzschild“-Beschluss bei der Beurteilung der Angemessenheit der Garantien zu, die für Daten bei einer Übermittlung in die Vereinigten Staaten, die aufgrund des Beschlusses 2010/87 erfolgt, gewährt werden? 10. Wird angesichts der Feststellungen des High Court (Hoher Gerichtshof) in Bezug auf das Recht der Vereinigten Staaten durch die Einrichtung der „Datenschutzschild“-Ombudsstelle nach Anhang III A des „Datenschutzschild“-Beschlusses in Verbindung mit der in den Vereinigten Staaten bestehenden Regelung gewährleistet, dass die Vereinigten Staaten betroffenen Personen, deren personenbezogene Daten aufgrund des Beschlusses 2010/87 in die Vereinigten Staaten übermittelt werden, einen Rechtsbehelf bieten, der mit Art. 47 der Charta im Einklang steht? 11. Verstößt der Beschluss 2010/87 gegen Art. 7, 8 und/oder 47 der Charta?

77. Der DPC, Facebook Ireland, Herr Schrems, die Regierung der Vereinigten Staaten, das EPIC, die BSA, Digitaleurope, Irland, die belgische, die tschechische, die deutsche, die niederländische, die polnische und die portugiesische Regierung sowie die Regierung des Vereinigten Königreichs, das Europäische Parlament und die Kommission haben schriftliche Erklärungen beim Gerichtshof eingereicht. Der DPC, Facebook Ireland, Herr Schrems, die Regierung der Vereinigten Staaten, das EPIC, die BSA, Digitaleurope, Irland, die deutsche, die französische, die niederländische und die österreichische Regierung sowie die Regierung des Vereinigten Königreichs, das Parlament und die Kommission sowie der Europäische Datenschutzausschuss (European Data Protection Board, EDPB) waren in der mündlichen Verhandlung vom 9. Juli 2019 vertreten.

IV. Analyse

A. Einleitende Erwägungen

78. Nachdem der Gerichtshof die „Safe Harbour“-Entscheidung mit dem Urteil Schrems für ungültig erklärt hatte, wurde die Übermittlung personenbezogener Daten in die Vereinigten Staaten auf anderer Rechtsgrundlage fortgesetzt. Insbesondere konnten die datenexportierenden Unternehmen Verträge mit den Datenimporteuren verwenden, die die von der Kommission erarbeiteten Standardklauseln enthielten. Die Klauseln dienen ebenfalls als Rechtsgrundlage für die Datenübermittlung in zahlreiche andere Drittländer, für die die Kommission keinen Angemessenheitsbeschluss erlassen hat ( 25 ). Der „Datenschutzschild“-Beschluss erlaubt es nunmehr den Unternehmen, die ihre Beachtung der dort aufgeführten Grundsätze selbst zertifiziert haben, personenbezogene Daten ohne weitere Formalitäten in die Vereinigten Staaten zu übermitteln.

79. Wie in der Vorlageentscheidung ausdrücklich dargelegt und von der BSA, Digitaleurope, Irland, der französischen und der österreichischen Regierung sowie vom Parlament und von der Kommission hervorgehoben, geht es in dem beim High Court (Hoher Gerichtshof) anhängigen Ausgangsrechtsstreit allein darum, ob der Beschluss, mit dem die Kommission die Standardvertragsklauseln eingeführt hat, auf die die von der Beschwerde von Herrn Schrems erfassten Übermittlungen gestützt werden, nämlich der Beschluss 2010/87 ( 26 ), gültig ist.

80. In diesem Rechtsstreit beantragt der DPC vor dem vorlegenden Gericht, den Gerichtshof um Vorabentscheidung über die Gültigkeit des Beschlusses 2010/87 zu ersuchen. Diesem Gericht zufolge betrifft der Ausgangsrechtsstreit somit die Inanspruchnahme des Rechtsbehelfs, dessen Schaffung der Gerichtshof den Mitgliedstaaten in Rn. 65 des Urteils Schrems aufgegeben hat.

81. Wie erinnerlich hat der Gerichtshof in Rn. 63 dieses Urteils entschieden, dass eine Aufsichtsbehörde eine Beschwerde, mit der eine Person, deren personenbezogene Daten in ein Drittland übermittelt worden sind oder werden könnten, für das ein Angemessenheitsbeschluss ergangen ist, die Vereinbarkeit dieses Beschlusses mit den in der Charta verankerten Grundrechten in Frage stellt, mit aller gebotenen Sorgfalt zu prüfen hat. Nach Rn. 65 dieses Urteils muss die Aufsichtsbehörde, wenn sie die mit dieser Beschwerde erhobenen Rügen für begründet hält, nach Art. 28 Abs. 3 Unterabs. 1 dritter Gedankenstrich der Richtlinie 95/46 (dem Art. 58 Abs. 5 DSGVO entspricht) im Licht insbesondere von Art. 8 Abs. 3 der Charta ein Klagerecht haben. Insoweit muss der nationale Gesetzgeber Rechtsbehelfe schaffen, die es der Aufsichtsbehörde ermöglichen, die von ihr für begründet erachteten Rügen vor den nationalen Gerichten geltend zu machen, damit diese, wenn sie die Zweifel der Aufsichtsbehörde teilen, um eine Vorabentscheidung über die Gültigkeit des betreffenden Beschlusses ersuchen.

82. Wie das vorlegende Gericht bin ich der Ansicht, dass diese Ausführungen entsprechend gelten, wenn eine Aufsichtsbehörde bei der Behandlung einer bei ihr eingereichten Beschwerde Zweifel an der Gültigkeit nicht eines Angemessenheitsbeschlusses, sondern eines Beschlusses wie des Beschlusses 2010/87 hat, mit dem Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer festgelegt werden. Entgegen dem Vorbringen der deutschen Regierung kommt es nicht darauf an, dass diese Zweifel den vom Beschwerdeführer vor der Aufsichtsbehörde erhobenen Rügen entsprechen oder dass diese Behörde die Gültigkeit des betreffenden Beschlusses selbst in Frage stellt. Denn die Anforderungen nach Art. 58 Abs. 5 DSGVO und Art. 8 Abs. 3 der Charta, auf die der Gerichtshof seine Begründung stützt, gelten unabhängig von der Rechtsgrundlage für die Übermittlung, auf die sich die bei der Aufsichtsbehörde eingelegte Beschwerde bezieht, und von den Gründen, aus denen diese Behörde im Rahmen der Behandlung dieser Beschwerde an der Gültigkeit des betreffenden Beschlusses zweifelt.

83. Der DPC ersucht das vorlegende Gericht um die Befassung des Gerichtshofs mit der Frage der Gültigkeit des Beschlusses 2010/87, weil er dessen Stellungnahme für erforderlich hält, um über die Beschwerde von Herrn Schrems entscheiden zu können, mit der dieser ihn um die Ausübung seiner Befugnis nach Art. 28 Abs. 3 zweiter Gedankenstrich der Richtlinie 95/46 – und nunmehr nach Art. 58 Abs. 2 Buchst. f DSGVO – ersucht, die Übermittlung der ihn betreffenden personenbezogenen Daten durch Facebook Ireland an Facebook Inc. auszusetzen.

84. Während also der Ausgangsrechtsstreit allein die Gültigkeit des Beschlusses 2010/87 in abstracto betrifft, geht es in dem zugrunde liegenden Verfahren vor dem DPC um die Ausübung der Befugnis des Letzteren, in einem konkreten Fall korrigierende Maßnahmen zu erlassen. Ich werde dem Gerichtshof vorschlagen, die vorgelegten Fragen nur insoweit zu prüfen, als es zur Entscheidung über die Frage der Gültigkeit des Beschlusses 2010/87 erforderlich ist, da eine solche Prüfung dem vorlegenden Gericht genügt, um über den bei ihm anhängigen Rechtsstreit zu entscheiden ( 27 ).

85. Vor der Beurteilung der Gültigkeit dieses Beschlusses sind einige gegen die Zulässigkeit des Vorabentscheidungsersuchens erhobene Einwände auszuräumen.

B. Zur Zulässigkeit der Vorlage

86. Die Zulässigkeit der Vorlage ist aus verschiedenen Gründen in Frage gestellt worden, und zwar im Wesentlichen, weil die in den Vorlagefragen genannte Richtlinie 95/46 zeitlich nicht anwendbar sei (Abschnitt 1), weil das Verfahren vor dem DPC nicht weit genug fortgeschritten sei, um die Zweckdienlichkeit der Frage zu rechtfertigen (Abschnitt 2), und weil Ungewissheiten hinsichtlich des vom vorlegenden Gericht geschilderten Sachverhalts bestünden (Abschnitt 3).

87. Bei der Behandlung dieser Zulässigkeitsrügen werde ich berücksichtigen, dass für Fragen, die das Unionsrecht betreffen, eine Vermutung der Entscheidungserheblichkeit gilt. Nach ständiger Rechtsprechung kann der Gerichtshof die Beantwortung eines Vorabentscheidungsersuchens nur ablehnen, wenn die erbetene Auslegung einer Vorschrift des Unionsrechts offensichtlich in keinem Zusammenhang mit der Realität oder dem Gegenstand des Ausgangsrechtsstreits steht, wenn das Problem hypothetischer Natur ist oder wenn der Gerichtshof nicht über die tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind ( 28 ).

1. Zur zeitlichen Anwendbarkeit der Richtlinie 95/46

88. Facebook Ireland macht geltend, die Vorlagefragen seien unzulässig, weil sie sich auf die Richtlinie 95/46 bezögen, die jedoch mit Wirkung vom 25. Mai 2018, dem Tag des Geltungsbeginns der DSGVO, durch diese Verordnung aufgehoben worden sei ( 29 ).

89. Auch ich bin der Ansicht, dass die Gültigkeit des Beschlusses 2010/87 anhand der Bestimmungen der DSGVO zu prüfen ist.

90. Nach Art. 94 Abs. 2 dieser Verordnung gelten „Verweise auf die aufgehobene Richtlinie … als Verweise auf die vorliegende Verordnung“. Folglich ist die im Beschluss 2010/87 enthaltene Bezugnahme auf Art. 26 Abs. 4 der Richtlinie 95/46 als Rechtsgrundlage als Bezugnahme auf Art. 46 Abs. 2 Buchst. c DSGVO zu verstehen, der im Wesentlichen denselben Inhalt hat wie die erstgenannte Bestimmung ( 30 ). Demgemäß sind die von der Kommission vor dem Inkrafttreten der DSGVO nach Art. 26 Abs. 4 der Richtlinie 95/46 erlassenen Durchführungsbeschlüsse im Licht dieser Verordnung auszulegen. Auch die Gültigkeit dieser Beschlüsse ist gegebenenfalls anhand dieser Verordnung zu beurteilen.

91. Diese Schlussfolgerung wird durch die Rechtsprechung, wonach die Rechtmäßigkeit eines Rechtsakts der Union anhand der Sach- und Rechtslage zum Zeitpunkt des Erlasses des Aktes zu beurteilen ist, nicht in Frage gestellt. Diese Rechtsprechung betrifft nämlich die Prüfung der Gültigkeit eines Rechtsakts der Union mit Blick auf die bei seinem Erlass gegebenen tatsächlichen Umstände ( 31 ) oder die für den Erlass geltenden Verfahrensregeln ( 32 ). Dagegen hat der Gerichtshof wiederholt die Gültigkeit von abgeleiteten Rechtsakten anhand höherrangiger Normen geprüft, die nach dem Erlass dieser Rechtsakte in Kraft getreten sind ( 33 ).

92. Die Nennung eines zeitlich nicht mehr anwendbaren Rechtsakts in den Vorlagefragen rechtfertigt zwar deren Umformulierung, sie kann aber nicht die Unzulässigkeit dieser Fragen nach sich ziehen ( 34 ). Wie der DPC und Herr Schrems geltend gemacht haben, lassen sich die Bezugnahmen auf die Richtlinie 95/46 in den Vorlagefragen im Übrigen damit erklären, dass diese Fragen dem Gerichtshof vor dem Geltungsbeginn der DSGVO vorgelegt worden sind.

93. Jedenfalls haben die Bestimmungen der DSGVO, die zur Prüfung der Vorlagefragen herangezogen werden – insbesondere ihre Art. 45, 46 und 58 –, mit gewissen Fortentwicklungen und Nuancierungen im Wesentlichen denselben Inhalt wie die Art. 25, 26 und 28 der Richtlinie 95/46. Was ihre für die Entscheidung über die Gültigkeit des Beschlusses 2010/87 relevanten Aspekte angeht, sehe ich keinen Grund, diesen Bestimmungen der DSGVO eine andere Bedeutung als den entsprechenden Bestimmungen der Richtlinie 95/46 beizumessen ( 35 ).

2. Zum vorläufigen Charakter der vom DPC geäußerten Zweifel

94. Die deutsche Regierung hält das Vorabentscheidungsersuchen für unzulässig, weil der in Rn. 65 des Urteils Schrems angesprochene Rechtsbehelf voraussetze, dass sich die Aufsichtsbehörde eine abschließende Meinung über die Begründetheit der vom Beschwerdeführer gegen die Gültigkeit des in Rede stehenden Beschlusses angeführten Rügen gebildet habe. Dies sei nicht der Fall, da der DPC die Zweifel an der – von Herrn Schrems im Übrigen nicht bestrittenen – Gültigkeit des Beschlusses 2010/87 in einem Entscheidungsentwurf geäußert habe, den er vorläufig, vorbehaltlich der Einreichung ergänzender Stellungnahmen von Facebook Ireland und von Herrn Schrems, erstellt habe.

95. Meines Erachtens wirkt sich der vorläufige Charakter der vom DPC geäußerten Zweifel nicht auf die Zulässigkeit des Vorabentscheidungsersuchens aus. Die Kriterien für die Zulässigkeit einer Vorlagefrage sind anhand des Gegenstands des Rechtsstreits zu beurteilen, wie er vom vorlegenden Gericht bestimmt worden ist ( 36 ). Unstreitig ist dieser Gegenstand aber die Gültigkeit des Beschlusses 2010/87. Der Vorlageentscheidung und dem dieser beigefügten Urteil zufolge sieht dieses Gericht die vom DPC – sei es vorläufig oder abschließend – geäußerten Zweifel als begründet an und hat dem Gerichtshof folglich die Frage nach der Gültigkeit dieses Beschlusses vorgelegt. Unter diesen Umständen ist die Auskunft des Gerichtshofs zweifellos erheblich für die Entscheidung des bei diesem Gericht anhängigen Rechtsstreits.

3. Zu den Ungewissheiten hinsichtlich der Bestimmung des Sachverhalts

96. Nach Ansicht der Regierung des Vereinigten Königreichs lässt die Darstellung des Sachverhalts durch das vorlegende Gericht mehrere Mängel erkennen, die zur Unzulässigkeit der Vorlagefragen führten. Dieses Gericht habe nicht geklärt, ob die Herrn Schrems betreffenden personenbezogenen Daten tatsächlich in die Vereinigten Staaten übermittelt und, wenn ja, ob sie von den amerikanischen Behörden gesammelt worden seien. Die Rechtsgrundlage für diese eventuelle Übermittlung sei ebenfalls nicht sicher bestimmt worden, da es in der Vorlageentscheidung nur heiße, dass die Daten der europäischen Nutzer des sozialen Netzwerks Facebook „zum großen Teil“ auf der Grundlage der im Beschluss 2010/87 aufgeführten Standardvertragsklauseln übermittelt worden seien. Jedenfalls sei nicht nachgewiesen worden, dass diese Klauseln genau in den für die streitige Übermittlung angeführten Vertrag zwischen Facebook Ireland und Facebook Inc. übernommen worden seien. Die deutsche Regierung stellt die Zulässigkeit des Vorabentscheidungsersuchens auch deshalb in Frage, weil das vorlegende Gericht nicht geprüft habe, ob Herr Schrems ohne jeden Zweifel seine Einwilligung in die fragliche Übermittlung gegeben habe; in diesem Fall wäre diese wirksam auf Art. 26 Abs. 1 der Richtlinie 95/46 (dessen wesentlicher Inhalt in Art. 49 Abs. 1 Buchst. a DSGVO übernommen worden ist) gestützt.

97. Dieses Vorbringen stellt die Erheblichkeit des Vorabentscheidungsersuchens für den Gegenstand des Ausgangsrechtsstreits keineswegs in Frage. Da dieser Rechtsstreit darauf zurückgeht, dass der DPC von dem in Rn. 65 des Urteils Schrems vorgesehenen Rechtsbehelf Gebrauch macht, ist sein Gegenstand gerade, das nationale Gericht zu einem Vorabentscheidungsersuchen über die Gültigkeit des Beschlusses 2010/87 zu veranlassen. Die deutsche Regierung und die Regierung des Vereinigten Königreichs stellen in Wirklichkeit in Abrede, dass die Vorlagefragen erforderlich seien, um dem DPC zu ermöglichen, konkret über die Beschwerde von Herrn Schrems zu entscheiden, nicht aber, um festzustellen, ob dieser Beschluss gültig ist.

98. Jedenfalls erscheinen mir selbst im Hinblick auf dieses dem Ausgangsrechtsstreit zugrunde liegenden Verfahren die Vorlagefragen nach der Gültigkeit des Beschlusses 2010/87 nicht unerheblich. Das vorlegende Gericht hat nämlich festgestellt, dass Facebook Ireland nach der Ungültigerklärung der „Safe Harbour“-Entscheidung weiter die Daten seiner Nutzer in die Vereinigten Staaten übermittelt hat und dass diese Übermittlung zumindest zu einem Teil auf den Beschluss 2010/87 gestützt ist. Zudem kann es zwar von Vorteil sein, dass das vorlegende Gericht den gesamten Sachverhalt feststellt, bevor es seine Befugnis nach Art. 267 AEUV ausübt, doch hat allein dieses Gericht zu beurteilen, in welchem Verfahrensstadium es eine Vorabentscheidung des Gerichtshofs benötigt ( 37 ).

99. Nach alledem erachte ich das Vorabentscheidungsersuchen für zulässig.

C. Zur Anwendbarkeit des Unionsrechts auf die Übermittlung personenbezogener Daten zu gewerblichen Zwecken in einen Drittstaat, der sie möglicherweise für Zwecke der nationalen Sicherheit verarbeitet (erste Frage)

100. Mit seiner ersten Frage möchte das vorlegende Gericht wissen, ob das Unionsrecht auf die zu gewerblichen Zwecken erfolgende Übermittlung personenbezogener Daten durch ein Unternehmen in einem Mitgliedstaat an ein in einem Drittland niedergelassenes Unternehmen anwendbar ist, wenn die Daten nach Einleitung ihrer Übermittlung von den Behörden dieses Landes für Zwecke verarbeitet werden können, zu denen der Schutz der nationalen Sicherheit gehört.

101. Die Bedeutung dieser Frage für die Entscheidung des Ausgangsrechtsstreits liegt darin, dass sämtlichen in der vorliegenden Rechtssache erhobenen Einwänden gegen die Gültigkeit des Beschlusses 2010/87 die Grundlage entzogen wäre, wenn eine solche Übermittlung außerhalb des Anwendungsbereichs des Unionsrechts läge.

102. Wie das vorlegende Gericht ausführt, war die Verarbeitung personenbezogener Daten für Zwecke der nationalen Sicherheit gemäß Art. 3 Abs. 2 der Richtlinie 95/46 von deren Anwendungsbereich ausgenommen. Nunmehr bestimmt Art. 2 Abs. 2 DSGVO, dass diese Verordnung keine Anwendung findet u. a. auf die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, und durch die zuständigen Behörden zum Schutz vor Gefahren für die öffentliche Sicherheit. Diese Bestimmungen spiegeln den Kompetenzvorbehalt wider, den Art. 4 Abs. 2 EUV zugunsten der Mitgliedstaaten im Bereich des Schutzes der nationalen Sicherheit enthält.

103. Der DPC, Herr Schrems, Irland, die belgische, die tschechische, die deutsche, die niederländische, die österreichische, die polnische und die portugiesische Regierung sowie das Parlament und die Kommission machen geltend, Übermittlungen wie die, auf die sich die Beschwerde von Herrn Schrems beziehe, seien von diesen Bestimmungen nicht erfasst und fielen somit unter das Unionsrecht. Facebook Ireland ist gegenteiliger Ansicht. Ich schließe mich der Auffassung der Erstgenannten an.

104. Insoweit ist zu beachten, dass die Übermittlung personenbezogener Daten aus einem Mitgliedstaat in ein Drittland als solche eine „Verarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO darstellt ( 38 ). Gegenstand der ersten Frage ist gerade, ob das Unionsrecht auf die in der Übermittlung selbst bestehende Verarbeitung Anwendung findet. Diese Frage betrifft nicht die Anwendbarkeit des Unionsrechts auf eine etwaige spätere Verarbeitung der in die Vereinigten Staaten übermittelten Daten durch die amerikanischen Behörden für Zwecke der nationalen Sicherheit, die vom räumlichen Anwendungsbereich der DSGVO ausgenommen sind ( 39 ).

105. Daher ist für die Frage, ob das Unionsrecht auf die in Rede stehende Datenübermittlung Anwendung findet, allein auf die Tätigkeit abzustellen, in deren Rahmen diese Übermittlung erfolgt, ohne dass es auf den Gegenstand einer etwaigen weiteren Verarbeitung der übermittelten Daten durch die Behörden des Bestimmungsdrittlands ankommt ( 40 ).

106. Aus der Vorlageentscheidung ergibt sich aber, dass die von der Beschwerde von Herrn Schrems erfasste Übermittlung Teil einer gewerblichen Tätigkeit ist. Zudem ist es nicht Ziel dieser Übermittlung, die spätere Verarbeitung dieser Daten durch die amerikanischen Behörden für Zwecke der nationalen Sicherheit zu ermöglichen.

107. Im Übrigen würde die von Facebook Ireland vertretene Auffassung den Bestimmungen der DSGVO betreffend die Übermittlung in Drittländer ihre praktische Wirksamkeit nehmen, da niemals ausgeschlossen werden kann, dass im Rahmen einer gewerblichen Tätigkeit übermittelte Daten nach der Übermittlung für Zwecke der nationalen Sicherheit verarbeitet werden.

108. Die von mir befürwortete Auslegung wird durch den Wortlaut von Art. 45 Abs. 2 Buchst. a DSGVO bestätigt. Nach dieser Bestimmung berücksichtigt die Kommission beim Erlass eines Angemessenheitsbeschlusses u. a. die Rechtsvorschriften des Bestimmungsdrittlands in Bezug auf die nationale Sicherheit. Daraus lässt sich ableiten. dass die Möglichkeit einer Verarbeitung der Daten durch die Behörden des Bestimmungsdrittlands für Zwecke der nationalen Sicherheit nicht dazu führt, dass das Unionsrecht auf die in der Übermittlung in dieses Drittland bestehende Verarbeitung nicht anwendbar ist.

109. Die Ausführungen und Schlussfolgerungen des Gerichtshofs im Urteil Schrems beruhen ebenfalls auf der Prämisse, dass das Unionsrecht auf Übermittlungen wie die von der Beschwerde von Herrn Schrems erfassten Anwendung findet. Insbesondere hat der Gerichtshof dort die Gültigkeit der „Safe Harbour“-Entscheidung, soweit sie die Übermittlung personenbezogener Daten in die Vereinigten Staaten betraf, wo sie für Zwecke des Schutzes der nationalen Sicherheit gesammelt und verarbeitet werden konnten, anhand von Art. 25 Abs. 6 der Richtlinie 95/46 im Licht der Charta geprüft ( 41 ).

110. Aufgrund dieser Erwägungen bin ich der Ansicht, dass das Unionsrecht auf eine Übermittlung personenbezogener Daten aus einem Mitgliedstaat in ein Drittland Anwendung findet, wenn diese Übermittlung im Rahmen einer gewerblichen Tätigkeit erfolgt, ohne dass es eine Rolle spielt, dass die übermittelten Daten von den Behörden dieses Drittlands zum Schutz der nationalen Sicherheit verarbeitet werden können.

D. Zu dem im Rahmen einer auf Standardvertragsklauseln gestützten Übermittlung geforderten Schutzniveau (erster Teil der sechsten Frage)

111. Mit dem ersten Teil der sechsten Frage möchte das vorlegende Gericht wissen, welches Schutzniveau für die Grundrechte der betroffenen Personen sichergestellt sein muss, damit personenbezogene Daten aufgrund der im Beschluss 2010/87 vorgesehenen Standardvertragsklauseln in ein Drittland übermittelt werden dürfen.

112. Das vorlegende Gericht weist darauf hin, dass der Gerichtshof im Urteil Schrems Art. 25 Abs. 6 der Richtlinie 95/46 (dessen Inhalt im Wesentlichen in Art. 45 Abs. 3 DSGVO übernommen worden ist), wonach die Kommission einen Angemessenheitsbeschluss nur erlassen kann, nachdem sie sich vergewissert hat, dass das Drittland ein angemessenes Schutzniveau gewährleistet, dahin ausgelegt hat, dass diese nachweisen muss, dass dieses Land ein Niveau des Schutzes der Freiheiten und Grundrechte gewährleistet, das dem in der Union aufgrund der Richtlinie 95/46 im Licht der Charta garantierten Niveau der Sache nach gleichwertig ist ( 42 ).

113. In diesem Kontext wird der Gerichtshof mit dem ersten Teil der sechsten Frage gefragt, ob die Anwendung von „Standardvertragsklauseln“, die die Kommission gemäß Art. 26 Abs. 4 der Richtlinie 95/46 erlassen hat – und die den nunmehr in Art. 46 Abs. 2 Buchst. c DSGVO genannten „Standarddatenschutzklauseln“ entsprechen –, das Erreichen eines Schutzniveaus erlauben muss, das demselben Standard der „Gleichwertigkeit der Sache nach“ entspricht.

114. Hierzu sieht Art. 46 Abs. 1 DSGVO vor, dass der für die Verarbeitung Verantwortliche, falls kein Angemessenheitsbeschluss vorliegt, personenbezogene Daten nur in ein Drittland übermitteln darf, „sofern [er] geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen“ (Hervorhebung nur hier) ( 43 ). Nach Art. 46 Abs. 2 Buchst. c DSGVO können sich diese Garantien u. a. aus von der Kommission erarbeiteten Standardschutzklauseln ergeben.

115. Wie der DPC, Herr Schrems und Irland bin ich der Ansicht, dass die in Art. 46 Abs. 1 DSGVO angesprochenen vom Verantwortlichen gebotenen „geeigneten Garantien“ sicherstellen müssen, dass die Rechte der Personen, deren Daten übermittelt werden, wie im Rahmen einer auf einen Angemessenheitsbeschluss gestützten Übermittlung auf einem Niveau geschützt werden müssen, das dem sich aus der DSGVO im Licht der Charta ergebenden Schutzniveau der Sache nach gleichwertig ist.

116. Dies folgt aus dem Zweck dieser Bestimmung und der Regelung, zu der sie gehört.

117. Die Art. 45 und 46 DSGVO sollen den Fortbestand des von dieser Verordnung gewährleisteten hohen Niveaus des Schutzes personenbezogener Daten gewährleisten, wenn diese aus der Union übermittelt werden. In Art. 44 („Allgemeine Grundsätze der Datenübermittlung“) DSGVO am Beginn von deren Kapitel V betreffend Übermittlungen personenbezogener Daten an Drittländer heißt es, dass alle Bestimmungen dieses Kapitels so anzuwenden sind, dass sichergestellt wird, dass das durch die DSGVO gewährleistete Schutzniveau im Fall einer Übermittlung in einen Drittstaat nicht untergraben wird ( 44 ). Durch diesen Grundsatz soll verhindert werden, dass die aus dem Unionsrecht fließenden Schutzstandards umgangen werden, indem personenbezogene Daten aus der Union in Drittländer übermittelt werden, um dort verarbeitet zu werden ( 45 ). Im Hinblick auf dieses Ziel ist es unerheblich, ob die Übermittlung auf einen Angemessenheitsbeschluss oder auf von dem Verantwortlichen u. a. durch Vertragsklauseln gebotene Garantien gestützt wird. Die Erfordernisse des Schutzes der durch die Charta garantierten Grundrechte sind nicht unterschiedlich je nachdem, auf welcher Rechtsgrundlage eine bestimmte Übermittlung stattfindet ( 46 ).

118. Dagegen unterscheidet sich die Art und Weise, wie der Fortbestand des hohen Schutzniveaus gewahrt wird, nach Maßgabe der Rechtsgrundlage für die Übermittlung.

119. Auf der einen Seite soll mit einem Angemessenheitsbeschluss festgestellt werden, dass das betreffende Drittland selbst ein dem vom Unionsrecht geforderten Schutzniveau der Sache nach gleichwertiges Schutzniveau sicherstellt. Der Erlass eines Angemessenheitsbeschlusses setzt voraus, dass die Kommission für ein bestimmtes Drittland zuvor das vom Recht und von der Praxis dieses Landes gewährleistete Schutzniveau anhand der in Art. 45 Abs. 3 DSGVO aufgeführten Faktoren beurteilt. Personenbezogene Daten können dann in dieses Drittland übermittelt werden, ohne dass der Verantwortliche dafür eine besondere Genehmigung benötigt.

120. Auf der anderen Seite soll, wie im folgenden Abschnitt näher auszuführen sein wird, mit den vom Verantwortlichen gebotenen Garantien ein hohes Schutzniveau sichergestellt werden, falls die im Bestimmungsdrittland verfügbaren Garantien unzureichend sind. So erlaubt zwar Art. 46 Abs. 1 DSGVO die Übermittlung personenbezogener Daten in Drittländer, die kein angemessenes Schutzniveau sicherstellen, dies allerdings nur dann, wenn geeignete Garantien durch andere Mittel geboten werden. Die von der Kommission erlassenen Standardvertragsklauseln sehen in dieser Hinsicht einen allgemeinen Mechanismus vor, der für sämtliche Übermittlungen unabhängig vom Bestimmungsdrittland und von dem dort gebotenen Schutzniveau gilt.

E. Zur Gültigkeit des Beschlusses 2010/87 nach Maßgabe der Art. 7, 8 und 47 der Charta (siebte, achte und elfte Frage)

121. Mit seiner siebten Frage möchte das vorlegende Gericht wissen, ob der Beschluss 2010/87 deshalb ungültig ist, weil er die Behörden der Drittstaaten, in die die Daten gemäß den im Anhang dieses Beschlusses vorgesehenen Standardvertragsklauseln übermittelt werden, nicht bindet und i