Source: https://www.haufe.de/recht/weitere-rechtsgebiete/wirtschaftsrecht/safe-harbor-abkommen-wird-fuer-ungueltig-erklaert_210_324686.html
Timestamp: 2020-08-13 03:37:39+00:00

Document:
Safe-Harbor-Abkommen wird für ungültig erklärt | Recht | Haufe
Der EuGH erklärt das Safe-Harbor-Abkommen zwischen der EU und den USA für ungültig
News 21.10.2015 Schrems-Entscheidung
Bild: MEV-Verlag, Germany Das Safe-Harbor-Abkommen ist mit der Grundrechtecharta der EU unvereinbar.
Der EuGH hat in der sog. Schrems-Entscheidung entschieden, dass die Vereinbarung zwischen der EU und den USA, die eine Übermittlung von personenbezogenen Daten an Unternehmen in den USA ermöglichen soll („Safe-Harbor“), unwirksam ist. Eine Datenübermittlung auf Grundlage dieser Vereinbarung ist daher unzulässig.
Grundsätzlich ist eine Übermittlung personenbezogener Daten zu Unternehmen außerhalb der EU bzw. des EWR (neben weiteren Voraussetzungen) nur zulässig, wenn diese Unternehmen ein angemessenes Datenschutzniveau gewährleisten. Dies muss grundsätzlich durch das übermittelnde Unternehmen sichergestellt und geprüft werden. Gemäß dem Safe-Harbor-Abkommen wurde ein solches angemessenes Datenschutzniveau ohne weitere Prüfung für US-amerikanische Unternehmen unterstellt, die sich durch eine Art Selbstverpflichtung den Prinzipien des Abkommens unterwarfen und sich in eine Liste des US-Handelsministeriums eintragen ließen.
Ausgangspunkt der Entscheidung ist ein in der Presse viel beachteter und seit 2011 schwelender Rechtsstreit zwischen dem österreichischen Juristen Max Schrems und Facebook. Schrems hatte sich darüber beschwert, dass Facebook seine Daten in die USA übermittelt und dort auch speichert. Hierzu hatte er den irischen Datenschutzbeauftragten (am europäischen Sitz von Facebook) aufgefordert, gegen Facebook tätig zu werden. Dieser weigerte sich mit Hinweis auf das Safe-Harbor-Abkommen.
EuGH, Urteil v. 6.10.2015, C-362/14
Der EuGH entschied, dass Entscheidung der Europäischen Kommission über das Safe-Harbor-Abkommen mit der Grundrechtecharta der EU unvereinbar sei. Der in den Safe-Harbor-Regelungen enthaltene Vorbehalt, der einen nahezu vorbehaltlosen Zugriff von staatlichen Stellen auf die personenbezogenen Daten ermögliche, lasse eine generelle Feststellung eines angemessenen Schutzniveaus bei US-amerikanischen Unternehmen gerade nicht zu. Zudem würden die Befugnisse der nationalen Aufsichtsbehörden durch das Abkommen zu weit eingeschränkt. Es sei zumindest erforderlich, dass auf die Eingabe einer betroffenen Person die Angemessenheit des Schutzniveaus im Einzelfall von den Aufsichtsbehörden geprüft werden könne.
Der EuGH hat sich mit seiner Entscheidung letztlich einer Kritik angeschlossen, die von einigen deutschen Datenschutzaufsichtsbehörden bereits seit längerer Zeit geäußert wird. Nichtsdestotrotz kann die Entscheidung getrost als Paukenschlag bezeichnet werden. Die Folgen für Unternehmen (und auch die Aufsichtsbehörden) sind derzeit noch nicht absehbar.
Entgegen mancher Pressemeldung hat der EuGH nicht entschieden, dass eine Datenübermittlung in die USA generell nicht zulässig sei. Dies sei vielmehr im Einzelfall durch die übermittelnden Unternehmen und in der Konsequenz auch von den Aufsichtsbehörden zu prüfen.
Unternehmen, die Daten in die USA (zum Beispiel auch zu anderen Konzernunternehmen) übertragen wollen, sind nach der Entscheidung des EuGH noch stärker in der Verantwortung. Sie müssen nun neben allen anderen Voraussetzungen auch noch prüfen, ob der Datenempfänger ein angemessenes Datenschutzniveau bietet. Ob dies allein durch den Abschluss entsprechender Verträge gewährleistet werden kann, darf angesichts der Deutlichkeit, in der der EuGH die Überwachungsmaßnahmen der US-amerikanischen Geheimdienste kritisiert hat, bezweifelt werden.
Betroffen von dieser Neuentwicklung sind in ganz besonderem Maße auch IT-Dienstleistungen (wie beispielsweise Cloud-Lösungen) US-amerikanischer Unternehmen, auch wenn die Vertragspartner möglicherweise einen Sitz in der EU haben. Unternehmen, die sich bislang auf die „Safe-Harbor“-Zertifizierung der Anbieter verlassen haben, sollten ihr Datenschutzkonzept daher schnellstmöglich überprüfen lassen.
Schlagworte zum Thema: Datenaustausch, Europäische Union, Datenschutz
Urteil: Europäischer Gerichtshof kippt Datenschutzvereinbarung Privacy Shield
Erneut hat jetzt der EuGH eine Datenschutzvereinbarung zwischen der EU und den USA für ungültig erklärt, weil personenbezogene Daten von EU-Bürgern wegen der Zugriffsrechte der US-Behörden nicht ausreichend geschützt sind. Das Urteil stellt zudem auch die Regelungen über die sogenannten Standardvertragsklauseln in Frage.
ZAP 21/2015, Datenschutz: Übermittlung personenbezogener Daten in die USA
(EuGH, Urt. v. 6.10.2015 – C-362/14) • Die Entscheidung der EU-Kommission vom 26.7.2000, in der festgestellt wird, dass die Vereinigten Staaten von Amerika ein angemessenes Schutzniveau übermittelter personenbezogener Daten gewährleisten, ist ungültig. Die ...

References: EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH