Source: https://planit.legal/das-ende-von-safe-harbor-folgen-noch-unklar/
Timestamp: 2020-02-17 00:39:06+00:00

Document:
Das Ende von Safe Harbor - Folgen noch unklar - PLANIT//LEGAL
Von Dr. Bernhard Freund am 6. Oktober 15 Beitrag drucken
Kompetenzen der EU-Kommission nach Art. 25 der Datenschutzrichtlinie
Zunächst legt der EuGH dar, dass die EU-Kommission gemäß Art. 25 Abs. 6 Datenschutzrichtlinie (DSRL) feststellen kann, dass ein bestimmter Drittstaat ein angemessenes Datenschutzniveau gewährleistet. Eine solche Entscheidung genießt – wie alle Rechtsakte der EU-Organe – die Vermutung der Richtigkeit. Sie kann nur durch den EuGH für nichtig erklärt werden. Zudem ist die Entscheidung für die Mitgliedstaaten bindend. Sie dürfen daher keine der Kommissionsentscheidung widersprechenden Maßnahmen treffen. Bis hierhin dürfte sich der irische Datenschutzbeauftragte noch gefreut haben.
Prüfrecht- und Prüfpflicht der Aufsichtsbehörden bleiben unberührt
Jedoch kann eine Angemessenheits-Entscheidung nach Art. 25 Abs. 6 DSRL nach Ansicht des EuGH nicht die Befugnisse einschränken, die den Datenschutz-Aufsichtsbehörden von der Richtlinie verliehen werden. Die Betroffenen können sich daher weiterhin an die Behörden wenden. Diese sind befugt „in völliger Unabhängigkeit“ konkrete Einwände gegen das angemessene Datenschutzniveau eines Drittstaates zu prüfen. Der Hinweis des irischen Datenschutzbeauftragten an Schrems, er könne leider nicht prüfen, weil ihm die Hände gebunden sein, war daher falsch. Ganz im Gegenteil: Aufgrund des fundamentalen Rechtstaatsprinzips, so der EuGH, seien entsprechende Eingaben von den Behörden sogar „mit aller gebotenen Sorgfalt zu prüfen“.
Der EuGH zeigt auch auf, wie ein solches Prüfverfahren weitergeht: in jedem Fall steht der Weg zu den Gerichten offen. Lehnt die Behörde die Beschwerde als unbegründet ab, muss – wie im Fall von Schrems – der Betroffene die Möglichkeit zur Klage haben. Hält die Behörde hingegen die Beschwerde für begründet und erachtet sie damit die für sie bindende Kommissionsentscheidung für falsch, so muss ihrerseits der Behörde der Weg zur Klage (gegen die Kommissionsentscheidung) offen stehen.
Safe-Harbor Entscheidung ist nichtig
Mit den vorstehenden Ausführungen hat der EuGH die Vorlagefrage bereits beantwortet. Doch um des Datenschutzes willen gehen die Richter noch weiter: Ohne dass dies erforderlich gewesen wäre, prüfen sie – „um dem vorlegenden Gericht eine vollständige Antwort zu geben“ – die Rechtmäßigkeit der Safe-Harbor-Entscheidung gleich selbst. Im Ergebnis erklären sie diese für nichtig. Grundlage der Safe-Harbor-Entscheidung ist die Kompetenz der Kommission nach Art. 25 Abs. 6 DSRL,
festzustellen, dass ein Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen … hinsichtlich des Schutzes der Privatsphäre sowie der Freiheiten und Grundrechte von Personen ein angemessenes Schutzniveau im Sinne des Absatzes 2 [dieses Artikels] gewährleistet.
Ganz wichtig ist dabei die Aussage des EuGH, dass die Kommission angesichts der Bedeutung des Datenschutzes bei Entscheidungen nach Art. 25 Abs. 6 DSLR nur einen eingeschränkten Wertungsspielraum habe. Vielmehr müssten die Anforderungen der Richtlinie streng geprüft werden. Dies ist wichtig, weil in der Praxis lange bekannt war, dass Safe-Harbor diesen Anforderungen nicht genügt und nur ein „Feigenblatt“ aus ökonomisch-politischen Erwägungen darstellt. Nun ist klar, dass die Kommission die Grundrechte der Unionsbürger in puncte Datenschutz nicht aufgrund eines solchen Kalküls opfern darf.
Nach Ansicht des EuGH sei zwar nicht prinzipiell ausgeschlossen, dass ein angemessenes Datenschutzniveau auch mithilfe eines nicht-gesetzlichen Systems wie den Safe-Harbor-Prinzipien erfüllt werden könnte. Um ein gleichwertigen Schutz zu gewährleisten müsste die Kommission dann aber prüfen, ob sich diese Regeln auch in der Praxis als wirksam erwiesen. Außerdem müsse die Entscheidung der Kommission – Auftraggebern nach § 11 BDSG wird das bekannt vorkommen – in regelmäßigen Abständen überprüft werden, wobei auch zwischenzeitlich neue Erkenntnisse zu berücksichtigen seien.
Dem wird die Safe-Harbor-Entscheidung nicht gerecht:
Die Kommission hat nicht – wie erforderlich – festgestellt, dass die USA ein angemessenes Schutzniveau „gewährleisten“. Positive Aussagen zur Überwachung und Einhaltung von Safe-Harbor enthält die Kommissionsentscheidung nämlich nicht.
Im Gegenteil hat die Kommission bei späteren Überprüfungen sogar festgestellt, dass die US-Behörden insbesondere aus Erwägungen der nationalen Sicherheit einen Zugriff auf die personenbezogene Daten hätten, der deutlich über das erforderliche Maß hinausgeht. Ein solcher Zugriff ist nach den Ausführungen des EuGH unvereinbar mit den datenschutzrechtlichen Garantien des EU-Rechts.
Schließlich ist auch Art. 3 der Safe-Harbor-Entscheidung, der den Aufsichtsbehörden eine weitergehende Prüfung untersagt, mit dem EU-Recht unvereinbar (s.o.)
Schlussfolgerungen – Datentransfers in die USA insgesamt auf dem Prüfstand
Mit dem Urteil erweist sich der EuGH ein weiteres Mal als Hüter des Datenschutzrechts in der EU. Dies insbesondere, weil er über die Beantwortung der Vorlagefrage hinaus die Safe-Harbor-Entscheidung insgesamt verwirft. Das Urteil wird erst einmal zu verarbeiten sein. Es stellt sich auf mehreren Ebenen die Frage, wie es weitergeht.
Zum einen kommt das Urteil noch rechtzeitig, um im Trilog zwischen Rat, Parlament und Kommission über die neue EU-Datenschutzgrundverordnung berücksichtigt zu werden. Der Entwurf, insbesondere die Vorschriften zu Drittstaaten sowie die vorgesehene Rolle der Kommission und der Aufsichtsbehörden wird mit den Grundsätzen des Urteils abzugleichen sein.
Zum anderen schafft das Urteil eine ganz neue Ausgangslage für die Verhandlungen mit den USA über eine neues Abkommen in der Nachfolge von Safe-Harbor. Der Gerichtshof fordert hier indirekt eine unnachgiebige Haltung gegenüber US-amerikanischen Forderungen, den Datenschutz zugunsten anderer Interessen aufzuweichen.
Schließlich stellt sich ganz konkret die Frage, wie Übermittlungen in die USA künftig zu beurteilen sind. Safe-Harbor scheidet als Rechtfertigung nun endgültig aus. Fraglich ist aber, ob auch die Standardvertragsklauseln angesichts des Urteils noch als „ausreichende Garantien“ für eine angemessenes Datenschutzniveau beim Empfänger angesehen werden können. Zwar stellt der EuGH in seinem nicht explizit fest, dass das Datenschutzniveau in den USA unzureichend ist. Viel fehlt dazu aber nicht. Der EuGH kritisiert insbesondere scharf, dass die Safe-Harbor-Regeln nicht die US-Behörden binden und unter dem Vorbehalt der nationalen Sicherheit, öffentlicher Interessen etc. stehen, was mit EU-Recht unvereinbar sei. An dieser Lage lässt sich aber auch durch die Vereinbarung der EU-Standardvertragsklauseln mit dem empfangenden US-Unternehmen nichts ändern. Update: Die hamburgische Aufsichtsbehörde hat bereits angekündigt, auch Transfers auf Basis der Standardvertragsklauseln und von Binding Corporate Rules neu zu hinterfragen.
Somit bleibt derzeit offen, ob und wie Übermittlungen in die USA derzeit überhaupt noch rechtssicher durchgeführt werden können. Für die Praxis bleibt abzuwarten, wie sich die Aufsichtsbehörden hierzu positionieren. Update: Die Aufsichtsbehörden wollen sich dazu noch in dieser Woche bundesweit und auf europäischer Ebene koordinieren.

References: Art. 25
 EuGH 
 Art. 25
 EuGH 
 Art. 25
 EuGH 
 EuGH 
 EuGH 
 Art. 25
 Art. 25
 EuGH 
 § 11
 EuGH 
 Art. 3
 EuGH 
 EuGH 
 EuGH