Nächster Fall zu EU-US Datentransfers vor dem EuGH

29. Oktober 2018

Anfang des Jahres hat der irische High Court die Datentransfers zwischen Facebook Europa (mit Sitz in Irland) und Facebook USA abermals dem Europäischen Gerichtshof (EuGH) vorgelegt. Nachdem Edward Snowden aufgedeckt hat, dass große US-Konzerne verpflichtet wurden, im Rahmen des sogenannten „PRISM“-Programms Nutzerdaten an die US-Regierung weiterzugeben, liegt dieser Fall nun schon das zweite Mal beim EuGH.

Nach der ersten Vorlage hat der EuGH das damalige „Safe Harbor“-System, das europäischen Unternehmen erlaubt hat personenbezogene Daten auch bei US-Anbietern zu hosten, für ungültig erklärt. Nun beruft sich Facebook auf einen anderen Mechanismus, um Daten zwischen der EU und den USA zu übertragen: Den sogenannten „Standardvertragsklauseln“, die von vielen Unternehmen nach dem „Safe Harbor“ genutzt wurden.

Grundsatzproblem: US-Überwachungsgesetze

Aber auch bei den „Standardvertragsklauseln“ bleibt das Problem der US-Überwachungsgesetze. Beispielsweise verlangt 702 FISA, dass alle „Electronic Communication Service Provider“ der US-Regierung ermöglichen, die personenbezogenen Daten von jedem abzugreifen. Ausgenommen sind davon nur US-Bürger und Personen mit dauerhaftem Aufenthalt in den USA. Genau diese „Massenüberwachung“ ohne individuellen Verdacht oder richterliche Kontrolle verstößt jedoch gegen Artikel 8 der europäischen Grundrechtecharta und damit gegen die DSGVO.
Jegliches Instrument für den EU-US-Datentransfer (wie etwa „Privacy Shield“, die Standardvertragsklauseln oder Binding Corporate Rules) können den Konflikt zwischen US-Überwachungsgesetzen und EU-Grundrechten nicht auflösen.

„Privacy Shield“ könnte ebenso betroffen sein

Das irische Gericht stellt auch das neue EU-US-Abkommen („Privacy Shield“) in Frage. So will das irische Gericht vom EuGH wissen, ob das Privacy Shield denn für die irischen Behörden bindend sei. Damit kann der EuGH auch erstmalig die Gültigkeit von Privacy Shield überprüfen. Ob der EuGH dies auch tun wird, ist jedoch aktuell nicht klar. Am Ende hängt vieles davon ab, wie großzügig oder eng der EuGH die Fragen des irischen Gerichts beantworten will.

Verhandlung Anfang 2019, Entscheidung Mitte 2019

Grob absehbar ist der weitere Zeitplan. Im Sommer 2018 gaben alle Parteien ihre Stellungnahmen beim EuGH ab. Bald schon sollten diese Stellungnahmen auch übersetzt vorliegen. Mit einer mündlichen Verhandlung ist Anfang 2019 zu rechnen – mit einem Urteil dann Mitte 2019. Das Urteil kann – wie schon bei Safe Harbor – zur rückwirkenden Rechtswidrigkeit der relevanten Datentransfers in die USA führen. Es ist daher ratsam, das Verfahren im Auge zu behalten und gegebenenfalls rechtzeitig vorzusorgen.