Sehr geehrte Damen und Herren,

angesichts des in der letzten Woche ergangenen und aus datenschutzrechtlicher Sicht lang ersehnten Urteils zur Aufrechterhaltung der Safe-Harbor-Grundsätze möchten wir Sie über die Inhalte und Auswirkungen informieren. Sicherlich ist Ihnen nicht entgangen, dass der Europäische Gerichtshof mit Urteil vom 6. Oktober 2015 (Az. C‑362/14) insoweit eine wegweisende Entscheidung getroffen hat.

I. Datenübermittlung im innereuropäischen Raum

Aufgrund des innerhalb des EWR weitgehend harmonisierten Datenschutzniveaus gelten für alle Anwender, Anbieter und Unter-Anbieter dieselben datenschutzrechtlichen Anforderungen nach der Richtlinie 95/46/EG. Durch vertragliche Vereinbarungen zwischen dem Anwender und dem Anbieter müssen der Ort bzw. die Orte der technischen Verarbeitung personenbezogener Daten sowie der maßgebende Inhalte eindeutig festgelegt werden. Hierzu bedient man sich entsprechender Auftragsdatenverarbeitungsvereinbarungen nach den §§ 11 und 9 BDSG.

II. Datenübermittlung im außereuropäischen Raum/ Safe Harbor

Erfolgen die Datenverarbeitungen allerdings außerhalb der EU und des EWR, indem die Anbieter und/oder Unter-Anbieter eine Datenverarbeitung in Drittstaaten vornehmen, so gelten die besonderen Anforderungen der §§ 4b, 4c BDSG für den Drittstaatentransfer. Falls in dem Drittstaat kein angemessenes Datenschutzniveau besteht, müssen daher durch den Anwender als verantwortliche Stelle ausreichende Garantien zum Schutz des allgemeinen Persönlichkeitsrechts und der Ausübung der damit verbundenen Rechte vorgewiesen werden. Die Garantien können sich aus Standardvertragsklauseln oder u.U. aus Binding Corporate Rules (BCR; insbesondere BCR für Auftragsverarbeiter, sog. Processor Binding Corporate Rules) ergeben. In jedem Fall ist ein besonderes Augenmerk auf die Festlegung eines technischen und organisatorischen Datenschutzes zu legen.

Bei der Übermittlung von personenbezogenen Daten in ein sog. Drittland, also ein außereuropäisches Land, ist mithin die Erfüllung eines angemessenen Datenschutzniveaus erforderlich. Diese Maßgabe hat insbesondere dazu geführt, dass zwischen den Mitgliedsstaaten der Europäischen Union und den Vereinigten Staaten von Amerika das Safe Harbor Abkommen im Jahr 2000 auf Grundlage der Datenschutzrichtlinie 95/46/EG geschaffen wurde.

Das Verfahren sieht vor, dass sich US-Unternehmen in eine entsprechende Liste im US-Handelsministerium eintragen, wenn sie die Safe Harbor Principles akzeptieren und sich diesen unterwerfen. US-Anbieter oder Unter-Anbieter mit Sitz in den USA können sich dabei auf freiwilliger Basis gegenüber dem US-Handelsministerium selbst zertifizieren, indem sie eine Beitrittserklärung unterzeichnet und eine Datenschutzerklärung veröffentlicht haben.

III. Kritikpunkte zu Safe Harbor

Allerdings hat die Europäische Kommission stets betont, dass die nationalen Aufsichtsbehörden die Datenübermittlung dorthin aussetzen können, wenn eine „hohe Wahrscheinlichkeit“ besteht, dass die Safe-Harbor-Grundsätze oder Standardvertragsklauseln verletzt sind.

Bereits im Jahr 2013 haben insofern die deutschen Aufsichtsbehörden Safe Harbor insbesondere aufgrund der Rechtsverletzungen durch die NSA und anderer ausländischer Geheimdienste in Frage gestellt. Zwar enthält die Safe-Harbor-Vereinbarung eine Regelung, die die Geltung der Grundsätze des „sicheren Hafens“ begrenzt, sofern es die nationale Sicherheit erfordert oder Gesetze solche Ermächtigungen vorsehen. Im Hinblick auf das Ziel eines wirksamen Schutzes der Privatsphäre soll jedoch von diesen Eingriffsbefugnissen nur im Rahmen des tatsächlich Erforderlichen und nicht exzessiv Gebrauch gemacht werden. Ein umfassender und anlassloser Zugriff auf personenbezogene Daten kann daher durch Erwägungen zur nationalen Sicherheit in einer demokratischen Gesellschaft nicht gerechtfertigt werden.

Solange eine flächendeckende Kontrolle der Selbstzertifizierungen US-amerikanischer Unternehmen durch die Kontrollbehörden in Europa und den USA nicht gewährleistet ist, trifft auch die auslagernden Unternehmen in Deutschland eine Verpflichtung, gewisse Mindestkriterien zu prüfen, bevor sie personenbezogene Daten an ein auf der Safe-Harbor-Liste geführtes US-Unternehmen übermitteln. Auch bei Datenübermittlungen in die USA aufgrund der Standardverträge muss der Datenimporteur also zusichern, dass seines Wissens in seinem Land keine Rechtsvorschriften bestehen, die die Garantien aus den Klauseln in gravierender Weise beeinträchtigen. Eine solche Generalermächtigung scheint aber in den USA zu bestehen; denn nur so lässt sich erklären, dass der US-amerikanische Geheimdienst auf personenbezogene Daten, die aufgrund der Standardverträge übermittelt werden, mit hoher Wahrscheinlichkeit routinemäßig zugreift.

IV. Urteil des EUGH vom 06.10.2015

Die aus datenschutzrechtlicher Sicht, bereits seit mindestens dem Jahr 2013, bestehenden Kritikpunkte hat nunmehr auch der Europäische Gerichtshof (EuGH) in Luxemburg aufgegriffen und am 6. Oktober 2015 das Safe Harbor Abkommen, nach nunmehr 15 Jahren, für ungültig erklärt.

Der EuGH folgte somit im Grundsatz den Schlussanträgen von Generalanwalt Bot, welche im Rahmen des Rechtsstreit gegen das US-Unternehmen Facebook (Az.: C-362/14) verfasst wurden. In seiner Entscheidung wird vor allem der EU Grundrechtscharta genüge getan, in der eine „massenhafte Überwachung unverhältnismäßig“ eingestuft wird und die Rechte der Betroffenen durch entsprechende Widerspruchserklärungen gegen eine Datenweitergabe gestärkt werden sollen. Damit wird klargestellt, dass die nationalen Regelungen der USA zum Datenschutz in keinem angemessenen Verhältnis zum Datenschutzniveau der EU stehen.

Begründet wird dies unter anderem damit, dass

• keine hinreichenden Feststellungen zu den konkreten Maßnahmen zur Umsetzung eines angemessenen Datenschutzniveaus in US-innerstaatliche Vorschriften bestehen;
• unbestimmte und weitgehende mit europäischen Recht unvereinbare Verpflichtungen oder ausdrückliche Eingriffsermächtigungen der US-Behörden (der Patriot Act, der Foreign Intelligence Surveillance Act, der Electronic Privacy Act, der Stored Communications Act, die Rechtsprechung von US-Gerichten über „Bank of Nova Scotia Subpoena“ und Einwilligungsanordnungen (Compelled Consent Order) welche die Grundrecht von EU-Bürgern einschränken können;
• keine Feststellung zum Bestehen eines wirksamen gerichtlichen Rechtsschutzes gegen derartige Eingriffe (s.o.) enthalten sind.

V. Zusammenfassung und Ausblick

Das bedeutet, dass ein neues Abkommen zum Datentransfer mit den USA zu verhandeln ist. Daraus ergeben sich auch weitreichende Auswirkungen für europäische Unternehmen, welche bisher auf Grundlage des Safe Harbor Abkommens Datenübermittlungen in die USA vornehmen, da die personenbezogenen Daten in ein Drittland ohne ausreichendes Datenschutzniveau übermittelt werden.

Grundsätzlich muss nun im Einzelfall durch die nationalen Datenschutzbehörden vorab geprüft werden, ob eine Datenübermittlung zulässig ist oder inwieweit verbindliche Unternehmensregelungen (Binding Cooperate Rules) zugelassen werden.

Ob das Urteil Auswirkungen auf die Verhandlungen zur EU-Datenschutzgrundverordnung oder das Freihandelsabkommen TTIP hat bleibt abzuwarten, aber es stellt in jedem Fall einen Meilenstein im Datenschutz dar. Auch aus deutscher Sicht wurden die Erwartungen der 90. Konferenz des Datenschutzbeauftragten des Bundes und der Länder bestätigt und das grundgesetzlich verankerte Recht auf informationelle Selbstbestimmung gestärkt.

Gerne stehen wir Ihnen für nähere Informationen oder bei Fragen zur Verfügung.