Facebook – Datenschutz-Urteil: Schwere Niederlage für soziales Netzwerk

Der Europäische Gerichtshof hat Facebook einen Dämpfer verpasst. Die Richter kippten das Datenabkommen Privacy Shield zwischen den USA und der EU. Damit dürfen persönliche Daten von EU-Bürgern nicht mehr an US-Server geschickt werden.

In dem Verfahren geht es um den Rechtsstreit des österreichischen Juristen Max Schrems mit Facebook. Laut Max Schrems seien über 5.000 US-Unternehmen direkt von dem Urteil betroffen, da sie bisher auf Basis von Privacy Shield persönliche Daten von EU-Bürgern in die USA exportieren. Die Richter in Luxemburg befanden dies nun für unzulässig.

Geklagt hatte der Datenschutzaktivist Max Schrems. "Ich bin sehr glücklich mit diesem Urteil. Auf den ersten Blick scheint es, als sei der Gerichtshof uns in allen Aspekten gefolgt", teilt Schrems als Reaktion auf das Urteil mit. "Das ist ein totaler Schlag für die Irische Datenschutzbehörde und Facebook. Es ist klar, dass die USA ihre Überwachungsgesetze ernsthaft ändern müssen, wenn US-Unternehmen weiter eine Rolle auf dem EU-Markt spielen wollen."

Grund sind weitreichende Befugnisse der US-Geheimdienste

Hintergrund für die Entscheidung der Richter ist ein Gesetz, das dem US-Geheimdienst Zugriff auf persönliche Daten erlaubt, die auf den Servern von US-Unternehmen gespeichert sind. Dies haben die Richter für nicht vereinbar mit der Datenschutz-Grundverordnung (DSGVO) erklärt.

Facebook selbst setzt für den Datenaustausch zwischen USA und EU zwar auf die grundsätzlich weiterhin gültigen Standardvertragsklauseln. Diese können grundsätzlich den Datentransfer personenbezogener Daten mit jedem Unternehmen erlauben, egal wo es sitzt. Allerdings muss der Datenaustausch ausgesetzt werden, wenn der Datenschutz nicht auf angemessenem Niveau gewährleistet werden kann. Dafür ist zunächst das Unternehmen selbst zuständig. Wird es nicht tätig, muss die jeweils zuständige Datenschutzbehörde handeln.

Vom Urteil könnten auch Facebook und andere betroffen sein

Den unzulänglichen Schutz der Daten in den USA haben die Richter des EuGH nun bestätigt. Somit könnte die zuständige Datenschutzbehörde in Irland den Austausch persönlicher Daten von EU-Bürgern durch Facebook stoppen. In der Vergangenheit zeigte sich die Behörde in dieser Sache aber untätig.

Laut der Einschätzung von Max Schrems verpflichtet das Urteil die Behörden nun zum Handeln. "Der Gerichtshof sagt nicht nur der Irischen Datenschutzbehörde, dass sie nach sieben Jahren Inaktivität ihren Job machen soll, sondern auch, dass alle europäischen Datenschutzbehörden die Pflicht haben, zu handeln, anstatt einfach in die andere Richtung zu schauen." Nach Schrems’ Ansicht haben viele Behörden den Erfolg der DSGVO dadurch untergraben, dass sie Beschwerden nicht bearbeitet haben. "Der Gerichtshof hat den Datenschutzbehörden nun klar gesagt: Setzt euch in Gang, vollstreckt das Gesetz."

Große Herausforderung für Unternehmen und Start-ups

Für Tausende Unternehmen wird diese unsichere rechtliche Situation nun zur Herausforderung, erklärt der IT-Branchenverband Bitkom: "Nach dem gescheiterten Safe-Harbor-Abkommen fällt jetzt zum zweiten Mal die Rechtsgrundlage für die Datenverarbeitung zwischen der EU und den USA. Auch die bis dato gültige Praxis der Standardvertragsklauseln gerät mit dieser Entscheidung ins Wanken. Für Unternehmen mit einer Datenverarbeitung in den USA entsteht durch dieses Urteil massive Rechtsunsicherheit."

• Facebook-Urteil: Irland verhökert unsere Rechte

Der technikpolitische Sprecher der FDP-Bundestagsfraktion, Mario Brandenburg, erklärte das Urteil zwar zu einer "Chance auf dem Weg zur digitalen Souveränität Europas", warnte aber auch vor den "handfesten Herausforderungen", die "insbesondere Start-ups" beträfen. Er forderte außerdem Bundeswirtschaftsminister Peter Altmaier zum Handeln auf: "Es braucht jetzt schnellstmöglich eine Reform des amerikanischen FISA-Courts und des CLOUD Acts, damit transatlantischer Datenaustausch möglich wird, der dem starken EU-Datenschutz gerecht wird." Hier müsse auf die USA eingewirkt werden.

Der Datenschutzaktivist Max Schrems hat nicht zum ersten Mal für Wirbel in der digitalen Szene gesorgt. Auf sein Betreiben hatte der EuGH 2015 bereits den Vorgänger des Privacy Shield, die Safe-Harbor-Regelung, beanstandet, weil sie die Daten europäischer Bürger nicht ausreichend vor dem Zugriff durch US-Behörden geschützt habe. Für diese Einschätzung spielten auch die Enthüllungen des Whistleblowers Edward Snowden 2013 zur ausufernden Internetüberwachung durch US-Geheimdienste eine wichtige Rolle.