Source: https://www.cmshs-bloggt.de/tmc/datenschutzrecht/datenschutz-safe-harbor-abkommen-mit-den-usa-unwirksam/
Timestamp: 2019-09-22 08:35:58
Document Index: 308287762

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG']

Sie sind hier: Home » TMC – Technology, Media & Communications » Datenschutzrecht » Datenschutz: Safe-Harbor-Abkommen mit den USA unwirksam
Christian Runte und Markus Kaulartz 2	SEITE DRUCKEN SEITE SCHICKEN
EuGH: Die Safe Harbor Entscheidung der EU-Kommission, wonach die USA ein angemessenes Niveau im Datenschutz gewährleisten, ist unwirksam.
Personenbezogene Daten dürfen von der EU ins Ausland übertragen werden, wenn im Ausland ein angemessenes Datenschutzniveau gewährleistet wird. Für die USA hat die Kommission im Jahr 2000 festgestellt, dass ein angemessenes Datenschutzniveau bei solchen Unternehmen in den USA anzuerkennen ist, die sich den Safe-Harbor-Regelungen unterworfen haben (2000/520/EG). Unternehmen durften personenbezogene Daten aus der EU also ohne weitere Einschränkungen in die USA übertragen, wenn das empfangende Unternehmen sich dem entsprechenden Safe-Harbor-Regelwerk unterworfen hatte.
Entscheidung des EuGH: Safe-Harbor-Entscheidung ungültig
Der EuGH hat nunmehr entschieden (C-362/14) dass eine Safe-Harbor-Zertifizierung eines US-amerikanischen Unternehmens einen Datentransfer von der EU in die USA nicht mehr rechtfertigt. Der Entscheidung liegt die Klage von Max Schrems zu Grunde, der die Verwertung von Daten bei Facebook als rechtswidrig kritisiert.
Die wesentlichen Argumente des EuGH
Nach der Entscheidung des EuGH genügen die Safe-Harbor-Regelungen nicht, um festzustellen, dass die USA ein angemessenes Datenschutzniveau gewährleisten. Der Gerichtshof argumentiert unter anderem damit, dass amerikanische Unternehmen nach nationalem Recht ohne jede Einschränkung verpflichtet seien, Safe-Harbor-Regelungen außer Acht zu lassen, wenn sie in Widerstreit zu den Erfordernissen der nationalen Sicherheit, des öffentlichen Interesses oder der Durchführung von Gesetzen der USA stehen. Die Safe-Harbor-Regelungen ermöglichen also Eingriffe amerikanischer Behörden in die Grundrechte betroffener Personen. Dies genügt nach der Entscheidung des EuGH nicht, um ein angemessenes Datenschutzniveau zu gewährleisten.
Betroffen sind Unternehmen, die personenbezogene Daten in der EU erheben und in die USA übermitteln. Dazu zählen etwa:
Konsequenzen für die Praxis: pauschaler Verweis auf Safe-Harbor nicht mehr möglich
Betroffene Unternehmen können sich nicht mehr darauf berufen, dass das die personenbezogenen Daten empfangende Unternehmen in den USA nach Safe Harbor zertifiziert ist. Der EuGH stellt fest, dass es den nationalen Datenschutzbehörden obliege, jede einzelne Datenübertragung zu genehmigen. Es ist zu erwarten, dass sich Datenschutzbehörden ablehnend einer Datenübermittlung in die USA äußern. Eine Äußerung der verschiedenen Aufsichtsbehörden oder der Artikel 29 Arbeitsgruppe stehen derzeit noch aus.
Wer den Urteilstext genau liest, stellt sich die Frage, was künftig überhaupt noch Grundlage für eine Übermittlung von personenbezogenen Daten an Stellen außerhalb der EU/des EWR sein soll. Auch die Vereinbarung von EU-Standardvertragsklauseln (Model Clauses) oder Binding Corporate Rules, nach bisheriger Rechtslage eine sichere, wenn auch wegen Haftungsrisiken bzw. langwieriger Genehmigung oft ungeliebte Option zu Herstellung des angemessenen Datenschutzniveaus, scheint nach Auffassung des Gerichts keine ausreichende Grundlage zu sein, um die Anforderungen aus der Grundrechte-Charta zu erfüllen. Es bleibt abzuwarten, wie die Aufsichtsbehörden das Urteil interpretieren.
Fest steht jedenfalls, dass der bisher so oft verwendete, pauschale Verweis auf eine Safe-Harbor-Zertifizierung künftig wirkungslos ist.
Tags: Datenschutzrecht & Recht der IT-Sicherheit Safe Harbor
am 27.10.2015 um 12:02:13
Laut https://www.cojama-hosting.com/blog/safe-harbor-abkommen-durch-eugh-gekippt-was-jetzt/ sind „Kunden […] von jetzt an in der Pflicht, bei ihren Dienstleistern zu prüfen, ob die personenbezogenen Daten rechtskonform in die USA transferiert werden.“ Sollte es nicht eigentlich so sein, dass man sich darüber keinen Kopf machen muss und das alles von entsprechenden Behörden kontrolliert wird?
am 02.11.2015 um 13:52:56
Vielen Dank für Ihre Anmerkung, Herr Thomen.
Die Aufsichtsbehörden trifft hier grundsätzlich keine Pflicht zur Prüfung; grundsätzlich ist und bleibt das Unternehmen, das für die Verarbeitung von personenbezogenen Daten einen Dienstleister einschaltet, hierfür voll verantwortlich. Die Aufsichtsbehörden können die Rechtmäßigkeit der Datenverarbeitung aber im Einzelfall kontrollieren und dem Unternehmen Bußgelder auferlegen, wenn der Dienstleister nicht ordnungsgemäß beauftragt wurde oder die Daten dort nicht rechtmäßig verarbeitet werden.
Safe-Harbor: Sind Datenexporte in die USA noch möglich? Kontext der Safe-Harbor Entscheidung Personenbezogene Daten aus der Europäischen Union dürfen nach der Datenschutzrichtlinie (RL 95/46/EG - DSRL) nur in Drittstaaten mit einem „angemessenen Schutzniveau“…
EU-U.S. Privacy Shield beschlossen – offene… Der neue Datenschutzschild ersetzt das im Oktober 2015 für unwirksam erklärte "Safe Harbor"-Konzept als Grundlage für die Übermittlung personenbezogener Daten in die USA. Die Kritik…