Der Gerichtshof der Europäischen Union (EuGH) hat in seinem Urteil vom 6. Oktober 2015 die Entscheidung der Europäischen Kommission vom 26. Juli 2000 für ungültig erklärt, wonach Unternehmen in den USA über ein ausreichendes Schutzniveau in Bezug auf die Bearbeitung von personenbezogenen Daten aus EU-Staaten verfügen, wenn sie die Safe-Harbor-Grundsätze einhalten und sich dafür beim US-Handelsministeriums registrieren.
Schutzniveau von Drittländern
Die Europäische Datenschutzrichtlinie 95/46/EG verbietet grundsätzlich eine Übermittlung von personenbezogenen Daten aus EU-Mitgliedstaaten in Staaten, welche kein vergleichbares Schutzniveau haben. Die USA besitzen keine genügenden rechtlichen Bestimmungen, mit welchen sie die Standards des europäischen Datenschutzes gewährleisten würden. Befolgten die registrierten amerikanischen Unternehmen jedoch die Regeln von Safe Harbor, durften sie trotzdem Daten aus Europa bearbeiten.
Begründung des EuGH
In seiner Pressemitteilung zum Urteil schreibt der EuGH unter anderem, dass für amerikanische Unternehmen "die Erfordernisse der nationalen Sicherheit, des öffentlichen Interesses und der Durchführung von Gesetzen der Vereinigten Staaten Vorrang vor der Safe-Harbor-Regelung" haben, so dass bei Interessenskonflikten die europäische Datenschutzrichtlinie nicht eingehalten werden kann. Auch hätten die betroffenen EU-Bürger weder eine Möglichkeit zu erfahren, welche Daten über sie gespeichert werden, noch könnten sie deren Berichtigung oder Löschung erreichen. Ein wirksamer Rechtsbehelf zur Durchsetzung der Rechte eines Bürgers gehört jedoch nicht nur zu den grundlegenden Prinzipien des europäischen Datenschutzes, sondern generell zum europäischen Verständnis eines Rechtsstaats.
Beschwerde im Zusammenhang mit Facebook
Der Österreicher Maximilian Schrems hatte Beschwerde bei der irischen Datenschutzbehörde eingereicht, weil mit Blick auf die NSA-Enthüllungen seiner Ansicht nach die in Facebook eingegebenen und von der irischen Tochtergesellschaft auf Server in den USA übermittelten Daten nicht als ausreichend geschützt angesehen werden können.
Dieses Urteil stellt einen Meilenstein in den europäischen Bemühungen für einen angemessenen Datenschutz dar. Lesen Sie dazu auch die Pressemitteilung der Artikel-29-Datenschutzgruppe, in welcher Liechtenstein vertreten ist, und den Gastkommentar des Datenschutzbeauftragten im Liechtensteiner Volksblatt vom 10. Oktober 2015.