Source: https://openjur.de/u/859036.html
Timestamp: 2019-03-27 03:32:47
Document Index: 75701988

Matched Legal Cases: ['EuG', 'EuG', 'Art. 51', 'Art. 7', 'Art. 7', 'Art. 7', 'Art. 25', 'Art. 1', 'Art. 7', 'Art. 8', 'Art. 28', 'Art. 8', 'Art. 16', 'Art. 2', 'Art. 25', 'Art. 25', 'Art. 25', 'Art. 288', 'Art. 25', 'Art. 25', 'Art. 28', 'Art. 25', 'Art. 25', 'Art. 7', 'Art. 47', 'Art. 47', 'Art. 25']

EuGH, Urteil vom 06.10.2015 - C-362/14 - openJur
EuGH, Urteil vom 06.10.2015 - C-362/14
openJur 2015, 17607
„(2) Die Datenverarbeitungssysteme stehen im Dienste des Menschen; sie haben, ungeachtet der Staatsangehörigkeit oder des Wohnorts der natürlichen Personen, deren Grundrechte und ?freiheiten und insbesondere deren Privatsphäre zu achten und zum ... Wohlergehen der Menschen beizutragen.
(63) Diese Stellen sind mit den notwendigen Mitteln für die Erfüllung dieser Aufgabe auszustatten, d. h. Untersuchungs- und Einwirkungsbefugnissen, insbesondere bei Beschwerden, sowie Klagerecht. ...
... [D]as Handelsministerium [legt] unter seiner gesetzlichen Autorität, internationalen Handel zu pflegen, zu fördern und zu entwickeln, dieses Papier und so genannte ‚Häufig gestellte Fragen‘ – FAQs (‚die Grundsätze‘) vor. Die Grundsätze wurden in Absprache mit der Industrie und der breiten Öffentlichkeit entwickelt, um den Handel zwischen der Europäischen Union und den Vereinigten Staaten zu erleichtern. Sie sind ausschließlich für den Gebrauch durch US-Organisationen bestimmt, die personenbezogene Daten aus der Europäischen Union erhalten, um sich für den ‚sicheren Hafen‘ und die daraus erwachsende Vermutung der ‚Angemessenheit‘ des Datenschutzes zu qualifizieren. Da die Grundsätze ausschließlich für diesen spezifischen Zweck erarbeitet wurden, können sie für andere Zwecke ungeeignet sein. ...
Die Entscheidung der einzelnen Organisationen, sich für den ‚sicheren Hafen‘ zu qualifizieren, ist vollkommen freiwillig, und die Organisationen können sich für das Konzept des ‚sicheren Hafens‘ auf verschiedene Arten qualifizieren. ...
3. Beschreibung der Geschäftsbedingungen für den Datenschutz der Organisation, die folgende Angaben umfassen muss: a) Ort, an dem diese Beschreibung von der Öffentlichkeit eingesehen werden kann; b) Tag, an dem diese Vorkehrungen in Kraft gesetzt wurden; c) Kontaktstelle, die für die Bearbeitung von Beschwerden, Auskunftsersuchen und anderen Angelegenheiten des sicheren Hafens zuständig ist; d) die gesetzliche Aufsichtsbehörde, die über Beschwerden gegen die Organisation wegen unlauteren oder irreführenden Geschäftsgebarens und wegen Verletzung von datenschutzrechtlichen Vorschriften entscheidungsbefugt ist (und im Anhang zu den Grundsätzen aufgeführt ist); e) die Bezeichnungen aller Datenschutzprogramme, an denen die Organisation teilnimmt; f) die Art der anlassunabhängigen Kontrolle (z. B. intern oder extern) ... und g) das unabhängige Schiedsverfahren zur Behandlung ungelöster Beschwerdefälle.
Wenn die Organisation wünscht, dass ihr die Vorteile des sicheren Hafens auch bei Personaldaten zuteil werden, die zur Verwendung im Rahmen von Beschäftigungsverhältnissen aus der EU übermittelt werden, muss es eine gesetzliche Aufsichtsbehörde geben, die über Beschwerden gegen die Organisation hinsichtlich Arbeitnehmerdaten beschwerdebefugt ist; diese Stelle muss im Anhang zu den Grundsätzen genannt sein. ...
Das Ministerium (oder die von ihm benannte Stelle) führt eine Liste aller Organisationen, die sich selbst zertifizieren und denen damit die Vorteile des ‚sicheren Hafens‘ zustehen. Die Liste wird nach den jährlich eingehenden Selbstzertifizierungsschreiben und den nach FAQ 11 eingegangenen Mitteilungen aktualisiert. ...
Die Verbraucher sollen dazu angehalten werden, Beschwerden zunächst an die Organisation zu richten, die ihre Daten verarbeitet, ehe sie eine unabhängige Beschwerdestelle anrufen. ...
Die FTC will Beschwerden wegen Verletzung der Grundsätze des sicheren Hafens, die Selbstregulierungsorgane für den Datenschutz wie BBBOnline und TRUSTe und EU-Mitgliedstaaten an sie verweisen, vorrangig behandeln, und feststellen, ob gegen Abschnitt 5 des FTC Act verstoßen wurde, der unlautere und irreführende Geschäftspraktiken verbietet. ...
In Abschnitt 2 dieser Mitteilung führt die Kommission aus, dass „die Bedenken mit Blick auf das Schutzniveau für in die USA übertragene personenbezogene Daten von EU-Bürgern immer weiter zu[nehmen]“ und dass „[a]ufgrund des freiwilligen und deklaratorischen Charakters des [Safe-Harbor-]Systems ... das Augenmerk verstärkt auf dessen Transparenz und Durchsetzung gelegt [wird]“.
Überdies weist die Kommission in Abschnitt 7 der Mitteilung darauf hin, dass „alle Unternehmen, die am Programm PRISM [Programm zur umfassenden Sammlung von Informationen] beteiligt sind und den US-Behörden den Zugriff auf in den USA gespeicherte und verarbeitete Daten gestatten, der Safe-Harbor-Regelung beigetreten [sind]“, die damit „zu einem Informationskanal geworden [ist], über den die US-Nachrichtendienste auf personenbezogene Daten zugreifen können, die ursprünglich in der EU verarbeitet worden sind“. Hierzu stellt die Kommission in Abschnitt 7.1 der Mitteilung fest, dass „das US-amerikanische Recht die umfassende Erhebung und Verarbeitung personenbezogener Daten zu[lässt], die von Unternehmen mit Sitz in den USA gespeichert oder in anderer Weise verarbeitet werden. ... Diese groß angelegten Programme können dazu führen, dass auf der Grundlage der Safe-Harbor-Regelung transferierte Daten von US-Behörden über das Maß hinaus, das für den Schutz der nationalen Sicherheit (im Sinne der Ausnahmeklausel in der [Entscheidung 2000/520]) unbedingt nötig und angemessen wäre, abgerufen und weiterverarbeitet werden.“
Die Kommission kam in Abschnitt 8 zu folgendem Schluss: „Ernsthaft in Frage zu stellen ist ..., ob die Datenschutzrechte europäischer Bürger, deren Daten in die USA übermittelt werden, angesichts des umfassenden Zugriffs der Nachrichtendienste auf Daten, die von Safe-Harbor-Unternehmen in die USA übermittelt werden, kontinuierlich geschützt sind.“
Da diese Rechtssache jedoch die Durchführung des Rechts der Union im Sinne von Art. 51 der Charta betreffe, sei die Rechtmäßigkeit der im Ausgangsverfahren in Rede stehenden Entscheidung anhand des Unionsrechts zu beurteilen. Die Entscheidung 2000/520 genüge aber weder den Anforderungen der Art. 7 und 8 der Charta noch den vom Gerichtshof im Urteil Digital Rights Ireland u. a. (C-293/12 und C-594/12, EU:C:2014:238) aufgestellten Grundsätzen. Das durch Art. 7 der Charta und durch die Grundwerte, die sich aus den gemeinsamen Verfassungstraditionen der Mitgliedstaaten ergäben, gewährleistete Recht auf Achtung der Privatsphäre würde seiner Tragweite völlig beraubt, wenn den Behörden gestattet würde, auf die elektronische Kommunikation in beliebiger und pauschaler Weise, ohne jede auf Erwägungen der nationalen Sicherheit oder der Verbrechensverhütung, die speziell mit den Betroffenen in Zusammenhang stünden, basierende objektive Rechtfertigung und ohne begleitende angemessene und nachprüfbare Schutzmechanismen zuzugreifen.
1. Ist ein unabhängiger Amtsträger, der von Rechts wegen mit der Handhabung und der Durchsetzung von Rechtsvorschriften über den Datenschutz betraut ist, bei der Prüfung einer bei ihm eingelegten Beschwerde, dass personenbezogene Daten in ein Drittland (im vorliegenden Fall in die Vereinigten Staaten von Amerika) übermittelt würden, dessen Recht und Praxis keinen angemessenen Schutz der Betroffenen gewährleisteten, im Hinblick auf die Art. 7, 8 und 47 der Charta, unbeschadet der Bestimmungen von Art. 25 Abs. 6 der Richtlinie 95/46, absolut an die in der Entscheidung 2000/520 enthaltene gegenteilige Feststellung der Union gebunden?2. Oder kann und/oder muss der Amtsträger stattdessen im Licht tatsächlicher Entwicklungen, die seit der erstmaligen Veröffentlichung der Entscheidung der Kommission eingetreten sind, eigene Ermittlungen in dieser Sache anstellen?
Zunächst ist darauf hinzuweisen, dass die Bestimmungen der Richtlinie 95/46, soweit sie die Verarbeitung personenbezogener Daten regeln, die zu Beeinträchtigungen der Grundfreiheiten und insbesondere des Rechts auf Achtung der Privatsphäre führen kann, notwendigerweise im Licht der durch die Charta garantierten Grundrechte auszulegen sind (vgl. Urteile Österreichischer Rundfunk u. a., C-465/00, C-138/01 und C-139/01, EU:C:2003:294, Rn. 68, Google Spain und Google, C-131/12, EU:C:2014:317, Rn. 68, sowie Ryneš, C-212/13, EU:C:2014:2428, Rn. 29).
Wie sich aus Art. 1 und aus den Erwägungsgründen 2 und 10 der Richtlinie 95/46 ergibt, soll diese nicht nur einen wirksamen und umfassenden Schutz der Grundfreiheiten und Grundrechte natürlicher Personen, insbesondere des Grundrechts auf Achtung der Privatsphäre, bei der Verarbeitung personenbezogener Daten gewährleisten, sondern auch ein hohes Niveau des Schutzes dieser Grundrechte und Grundfreiheiten. Die Bedeutung sowohl des durch Art. 7 der Charta gewährleisteten Grundrechts auf Achtung des Privatlebens als auch des durch ihren Art. 8 gewährleisteten Grundrechts auf Schutz personenbezogener Daten wird im Übrigen in der Rechtsprechung des Gerichtshofs hervorgehoben (vgl. Urteile Rijkeboer, C-553/07, EU:C:2009:293, Rn. 47, Digital Rights Ireland u. a., C-293/12 und C-594/12, EU:C:2014:238, Rn. 53, sowie Google Spain und Google, C-131/12, EU:C:2014:317, Rn. 53, 66 und 74 sowie die dort angeführte Rechtsprechung).
Zu den Befugnissen, über die die nationalen Kontrollstellen hinsichtlich der Übermittlung personenbezogener Daten in Drittländer verfügen, ist festzustellen, dass Art. 28 Abs. 1 der Richtlinie 95/46 den Mitgliedstaaten vorschreibt, eine oder mehrere öffentliche Stellen damit zu beauftragen, in völliger Unabhängigkeit die Einhaltung der Unionsvorschriften über den Schutz natürlicher Personen bei der Verarbeitung solcher Daten zu überwachen. Dieses Erfordernis ergibt sich auch aus dem Primärrecht der Union, namentlich aus Art. 8 Abs. 3 der Charta und aus Art. 16 Abs. 2 AEUV (vgl. in diesem Sinne Urteile Kommission/Österreich, C-614/10, EU:C:2012:631, Rn. 36, und Kommission/Ungarn, C-288/12, EU:C:2014:237, Rn. 47).
Die Gewährleistung der Unabhängigkeit der nationalen Kontrollstellen soll die wirksame und zuverlässige Kontrolle der Einhaltung der Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten sicherstellen und ist im Licht dieses Zwecks auszulegen. Sie wurde eingeführt, um die von den Entscheidungen der Kontrollstellen betroffenen Personen und Einrichtungen stärker zu schützen. Die Einrichtung unabhängiger Kontrollstellen in den Mitgliedstaaten stellt daher – wie dem 62. Erwägungsgrund der Richtlinie 95/46 zu entnehmen ist – ein wesentliches Element zur Wahrung des Schutzes der Personen bei der Verarbeitung personenbezogener Daten dar (vgl. Urteile Kommission/Deutschland, C-518/07, EU:C:2010:125, Rn. 25, und Kommission/Ungarn, C-288/12, EU:C:2014:237, Rn. 48 und die dort angeführte Rechtsprechung).
Die Übermittlung personenbezogener Daten aus einem Mitgliedstaat in ein Drittland stellt jedoch als solche eine Verarbeitung personenbezogener Daten im Sinne von Art. 2 Buchst. b der Richtlinie 95/46 dar (vgl. in diesem Sinne Urteil Parlament/Rat und Kommission, C-317/04 und C-318/04, EU:C:2006:346, Rn. 56), die im Hoheitsgebiet eines Mitgliedstaats vorgenommen wird. In dieser Bestimmung wird die „Verarbeitung personenbezogener Daten“ nämlich als „jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten“ definiert und als Beispiel „die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung“ genannt.
Im 60. Erwägungsgrund der Richtlinie 95/46 heißt es, dass Übermittlungen personenbezogener Daten in Drittländer nur unter voller Einhaltung der Rechtsvorschriften erfolgen dürfen, die die Mitgliedstaaten gemäß dieser Richtlinie erlassen haben. Insoweit wurde in Kapitel IV der Richtlinie, in dem sich ihre Art. 25 und 26 befinden, eine Regelung geschaffen, die eine Kontrolle der Übermittlungen personenbezogener Daten in Drittländer durch die Mitgliedstaaten gewährleisten soll. Diese Regelung ergänzt die allgemeine Regelung in Kapitel II der Richtlinie über die allgemeinen Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten (vgl. in diesem Sinne Urteil Lindqvist, C-101/01, EU:C:2003:596, Rn. 63).
Die Kommission kann auf der Grundlage von Art. 25 Abs. 6 der Richtlinie 95/46 eine Entscheidung erlassen, in der sie feststellt, dass ein Drittland ein angemessenes Schutzniveau gewährleistet. Eine solche Entscheidung richtet sich nach Art. 25 Abs. 6 Unterabs. 2 an die Mitgliedstaaten, die die aufgrund der Feststellung gebotenen Maßnahmen treffen müssen. Nach Art. 288 Abs. 4 AEUV bindet sie alle Mitgliedstaaten und ist damit für alle Organe der Mitgliedstaaten verbindlich (vgl. in diesem Sinne Urteile Albako Margarinefabrik, 249/85, EU:C:1987:245, Rn. 17, und Mediaset, C-69/13, EU:C:2014:71, Rn. 23), soweit sie die Übermittlung personenbezogener Daten aus den Mitgliedstaaten in das betreffende Drittland gestattet.
Solange die Entscheidung der Kommission vom Gerichtshof nicht für ungültig erklärt wurde, können die Mitgliedstaaten und ihre Organe, zu denen ihre unabhängigen Kontrollstellen gehören, somit zwar keine dieser Entscheidung zuwiderlaufenden Maßnahmen treffen, wie etwa Rechtsakte, mit denen verbindlich festgestellt wird, dass das Drittland, auf das sich die Entscheidung bezieht, kein angemessenes Schutzniveau gewährleistet. Für die Rechtsakte der Unionsorgane gilt nämlich grundsätzlich eine Vermutung der Rechtmäßigkeit, so dass sie Rechtswirkungen entfalten, solange sie nicht zurückgenommen, im Rahmen einer Nichtigkeitsklage für nichtig erklärt oder infolge eines Vorabentscheidungsersuchens oder einer Einrede der Rechtswidrigkeit für ungültig erklärt wurden (Urteil Kommission/Griechenland, C-475/01, EU:C:2004:585, Rn. 18 und die dort angeführte Rechtsprechung).
Insoweit ist auf die ständige Rechtsprechung des Gerichtshofs hinzuweisen, wonach die Union eine Rechtsunion ist, in der alle Handlungen ihrer Organe der Kontrolle daraufhin unterliegen, ob sie insbesondere mit den Verträgen, den allgemeinen Rechtsgrundsätzen und den Grundrechten im Einklang stehen (vgl. in diesem Sinne Urteile Kommission u. a./Kadi, C-584/10 P, C-593/10 P und C-595/10 P, EU:C:2013:518, Rn. 66, Inuit Tapiriit Kanatami u. a./Parlament und Rat, C-583/11 P, EU:C:2013:625, Rn. 91, und Telefónica/Kommission, C-274/12 P, EU:C:2013:852, Rn. 56). Die nach Art. 25 Abs. 6 der Richtlinie 95/46 ergangenen Entscheidungen der Kommission können daher einer solchen Kontrolle nicht entzogen sein.
Die nationalen Gerichte sind zwar berechtigt, die Gültigkeit eines Unionsrechtsakts wie einer nach Art. 25 Abs. 6 der Richtlinie 95/46 ergangenen Entscheidung der Kommission zu prüfen; sie sind jedoch nicht befugt, selbst die Ungültigkeit eines solchen Rechtsakts festzustellen (vgl. in diesem Sinne Urteile Foto-Frost, 314/85, EU:C:1987:452, Rn. 15 bis 20, sowie IATA und ELFAA, C-344/04, EU:C:2006:10, Rn. 27). Erst recht sind die nationalen Kontrollstellen bei der Prüfung einer Eingabe im Sinne von Art. 28 Abs. 4 der Richtlinie, die die Vereinbarkeit einer nach Art. 25 Abs. 6 der Richtlinie ergangenen Entscheidung der Kommission mit dem Schutz der Privatsphäre sowie der Freiheiten und Grundrechte von Personen zum Gegenstand hat, nicht befugt, selbst die Ungültigkeit einer solchen Entscheidung festzustellen.
In Bezug auf die Kontrolle solcher Übermittlungen bestimmt jedoch Art. 25 Abs. 6 Unterabs. 1 der Richtlinie, dass die Kommission „feststellen [kann], dass ein Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen ... hinsichtlich des Schutzes der Privatsphäre sowie der Freiheiten und Grundrechte von Personen ein angemessenes Schutzniveau im Sinne des Absatzes 2 [dieses Artikels] gewährleistet“.
Angesichts ihres generellen Charakters ermöglicht die Ausnahme in Abs. 4 von Anhang I der Entscheidung 2000/520 es daher, gestützt auf Erfordernisse der nationalen Sicherheit, des öffentlichen Interesses oder von Rechtsvorschriften der Vereinigten Staaten in die Grundrechte der Personen einzugreifen, deren personenbezogene Daten aus der Union in die Vereinigten Staaten übermittelt werden oder werden könnten. Für die Feststellung des Vorliegens eines Eingriffs in das Grundrecht auf Achtung der Privatsphäre kommt es nicht darauf an, ob die betreffenden Informationen über die Privatsphäre sensiblen Charakter haben oder ob die Betroffenen durch den Eingriff Nachteile erlitten haben könnten (Urteil Digital Rights Ireland u. a., C-293/12 und C-594/12, EU:C:2014:238, Rn. 33 und die dort angeführte Rechtsprechung).
Zu dem innerhalb der Union garantierten Schutzniveau der Freiheiten und Grundrechte ist festzustellen, dass eine Unionsregelung, die einen Eingriff in die durch die Art. 7 und 8 der Charta garantierten Grundrechte enthält, nach ständiger Rechtsprechung des Gerichtshofs klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen muss, so dass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht (Urteil Digital Rights Ireland u. a., C-293/12 und C-594/12, EU:C:2014:238, Rn. 54 und 55 sowie die dort angeführte Rechtsprechung).
Desgleichen verletzt eine Regelung, die keine Möglichkeit für den Bürger vorsieht, mittels eines Rechtsbehelfs Zugang zu den ihn betreffenden personenbezogenen Daten zu erlangen oder ihre Berichtigung oder Löschung zu erwirken, den Wesensgehalt des in Art. 47 der Charta verankerten Grundrechts auf wirksamen gerichtlichen Rechtsschutz. Nach Art. 47 Abs. 1 der Charta hat nämlich jede Person, deren durch das Recht der Union garantierte Rechte oder Freiheiten verletzt worden sind, das Recht, nach Maßgabe der in diesem Artikel vorgesehenen Bedingungen bei einem Gericht einen wirksamen Rechtsbehelf einzulegen. Insoweit ist schon das Vorhandensein einer wirksamen, zur Gewährleistung der Einhaltung des Unionsrechts dienenden gerichtlichen Kontrolle dem Wesen eines Rechtsstaats inhärent (vgl. in diesem Sinne Urteile Les Verts/Parlament, 294/83, EU:C:1986:166, Rn. 23, Johnston, 222/84, EU:C:1986:206, Rn. 18 und 19, Heylens u. a., 222/86, EU:C:1987:442, Rn. 14, sowie UGT?Rioja u. a., C-428/06 bis C-434/06, EU:C:2008:488, Rn. 80).
Nach dieser Bestimmung können die Kontrollstellen unter restriktiven Voraussetzungen, mit denen eine erhöhte Eingriffsschwelle geschaffen wird, „[u]ngeachtet ihrer Befugnisse, tätig zu werden, um die Einhaltung einzelstaatlicher Vorschriften, die gemäß anderen Bestimmungen als denjenigen des Artikels 25 der Richtlinie [95/46] erlassen wurden, zu gewährleisten, ... die Datenübermittlung an eine Organisation [aussetzen], die den Grundsätzen [der Entscheidung 2000/520] beigetreten ist“. Diese Bestimmung beeinträchtigt zwar nicht die Befugnisse der Kontrollstellen, tätig zu werden, um die Einhaltung einzelstaatlicher Vorschriften zu gewährleisten, die gemäß der Richtlinie erlassen wurden, doch nimmt sie ihnen die Möglichkeit, Maßnahmen zu ergreifen, die die Einhaltung von Art. 25 der Richtlinie gewährleisten sollen.
Permalink: https://openjur.de/u/859036.html (http://oj.is/859036)