Sie sind hier: Home » Recht » Datenschutz und Compliance

EuGH: Safe Harbor gekippt


Die Safe Harbor-Principles sind keine tragfähige Grundlage mehr für den grenzüberschreitenden Datenverkehr
Kernaussagen des EuGH: Die Feststellung der Ungültigkeit des Safe Harbor-Abkommens stützt der EuGH unter mehreren Gesichtspunkten auf die fehlenden Feststellungen zu Zugriffsbefugnissen der US-Sicherheitsbehörden und zu (fehlenden) Rechtsbehelfe der dadurch Betroffenen bei solchen Zugriffen trotz Safe Harbor

(29.10.15) - Der EuGH hat am 06.10.2015 in der Rechtssache C-362/14 die Safe Harbor Principles gekippt und die Befugnisse der nationalen Datenschutzaufsichtsbehörden gestärkt. Hintergrund ist die Auseinandersetzung zwischen Max Schrems und Facebook und der irischen Datenschutzaufsichtsbehörde über die Zulässigkeit der Datenübermittlung aus Irland in die USA auf der Grundlage der Safe Harbor-Principles.

Die Kernaussagen des EuGH sind – laut der Pressemitteilung des EuGH vom 06.10.2015:
• >> Der EuGH erklärt den Beschluss der EU-Kommission betreffend Safe Harbor vom 26.07.2000 (Entscheidung 2000/520/EG der Kommission) für ungültig. Safe Harbor ist damit keine Rechtsgrundlage mehr für die Übermittlung von Daten an Unternehmen in den USA.

• >>Die nationalen Datenschutzbehörden müssen bei Beschwerden in völliger Unabhängigkeit prüfen können, ob bei der Übermittlung der Daten einer Person in ein Drittland die in der Richtlinie 95/46/EG aufgestellten Anforderungen gewahrt werden. Sie sind dabei nicht an Entscheidungen der EU-Kommission zur Angemessenheit des Schutzniveaus in dem jeweiligen Drittland gebunden.

Die Feststellung der Ungültigkeit des Safe Harbor-Abkommens stützt der EuGH – laut Pressemitteilung – unter mehreren Gesichtspunkten auf die fehlenden Feststellungen zu Zugriffsbefugnissen der US-Sicherheitsbehörden und zu (fehlenden) Rechtsbehelfe der dadurch Betroffenen bei solchen Zugriffen trotz Safe Harbor. Auch rügt der EuGH, dass die EU-Kommission bei der Entscheidung über Safe Harbor seinerzeit nur die Safe-Harbor-Regelung geprüft habe, aber nicht auch Feststellungen zum Schutzniveau im Lichte der europäischen Datenschutzwerte. Der EuGH trifft dabei keine eigenen Feststellungen zur Frage nach dem angemessenen Schutzniveau in den USA.

Die zweite Feststellung des EuGH hat die langfristig größere Tragweite: Die nationalen Aufsichtsbehörden können trotz Entscheidungen der EU-Kommission zur Angemessenheit des Datenschutzniveaus selbständig prüfen. Allerdings – und das betont der EuGH – sie können sie nicht aus eigener Machtvollkommenheit aussetzen. Das ist der Entscheidung durch den EuGH vorbehalten. Die nationalen Behörden oder der Betroffene müssen die nationalen Gerichte anrufen, die dann die Frage der Angemessenheit dem EuGH zur Entscheidung vorlegen können. Das hat zwei praktische Probleme: Die deutschen Datenschutzaufsichtsbehörden können nicht direkt deutsche Gerichte damit befassen, sondern müssen den Umweg über Anordnungen bzw. Untersagungen oder Bußgelder gehen. Die deutschen Gerichte sind – wie die Praxis zeigt - nicht besonders "vorlagefreudig".

Konsequenz und Alternativen
Die Safe Harbor-Principles sind keine tragfähige Grundlage mehr für den grenzüberschreitenden Datenverkehr. Eine schnell umzusetzende Alternative ist der Abschluss eines sog. EU-Standardvertrags. Gleichwohl bedarf dieser der Erstellung und der Beachtung einiger Vorgaben. Vorteilhaft ist, dass dieser EU-Standardvertrag – anders als Binding Corporate Rules oder Individualverträge – nicht der zuständigen Aufsichtsbehörde zur Genehmigung vorgelegt werden oder angezeigt werden müssen. In einigen EU-Mitgliedstaaten bestehen auch insoweit Anzeige- bzw. Genehmigungspflichten. (BvD: ra)

BvD: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Datenschutz und Compliance

  • KI datenschutzkonform einsetzen

    Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz) legt eine Orientierungshilfe mit datenschutz-rechtlichen Kriterien für die Auswahl und den datenschutzkonformen Einsatz von KI-Anwendungen vor.

  • Möglichkeit von Geldbußen gegenüber Behörden

    Die Bundesregierung hat im Februar 2024 einen Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes (BDSG) vorgelegt (BT-Drs. 20/10859). Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat zu relevanten Punkten des Gesetzentwurfs und zu weitergehendem Regelungsbedarf Stellung genommen.

  • Internet-Nutzer dürfen nicht geschröpft werden

    In einem weiteren offenen Brief wendete sich die Deutsche Vereinigung für Datenschutz e.V. (DVD) gemeinsam mit zwölf Bürgerrechtsorganisationen am 07.03.2024 erneut an die Datenschutzaufsichtsbehörden in der Europäischen Union, um zu verhindern, dass eine datenschutzfreundliche Nutzung des Internets nur noch gegen Bezahlen hoher Gebühren möglich ist.

  • Einstieg in eine anlasslose Massenüberwachung

    Die Verhandlungen zum EU-Verordnungsentwurf zur Bekämpfung des sexuellen Online-Kindesmissbrauchs (CSA-Verordnung) sind in eine entscheidenden Phase. Der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDPS) haben anlässlich dessen in einer Gemeinsamen Stellungnahme den EU-Gesetzgeber dazu aufgerufen, die wesentlichen Änderungsvorschläge des Europäischen Parlaments (EP) zu unterstützen.

  • BfDI kritisiert Nachrichtendienstgesetze

    Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, sieht bei den Neuerungen der Gesetze der Nachrichtendienste noch datenschutzrechtliche Mängel.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen