Mit seinem Urteil vom heutigen Tag (Rs. C - 362/14) hat der Europäische Gerichtshof das Recht der Datenschutzbeauftragten in den Mitgliedstaaten bekräftigt, den Export von Daten über Menschen in der EU uneingeschränkt zu überprüfen. Das kann insbesondere weitreichende Konsequenzen nicht nur für Facebook, sondern für den gesamten transatlantischen Datenverkehr zwischen Europa und den USA haben.

Seit 1995 dürfen Unternehmen in Europa Daten über Personen nur dann in Drittländer exportieren, wenn dort ein angemessenes Datenschutzniveau herrscht. Im Jahr 2000 hatte die Europäische Kommission mit der US-Regierung das sog. Safe-Harbor-Abkommen geschlossen, das für US-Unternehmen als Empfänger von Daten aus der Europäischen Union ein System der Selbstzertifizierung vorsah. Danach konnten US-Unternehmen sich selbst die Einhaltung angemessener Datenschutzstandards bescheinigen, was von US-Behörden nur begrenzt überprüft werden konnte.

Die Datenschutzaufsichtsbehörden hatten sich bereits im Jahr 2010 kritisch zu Safe Habor geäußert. Eine Entschließung der Datenschutzbeauftragten des Bundes und der Länder vom März 2015 enthielt u.a. folgende Forderungen für einen Datenverkehr in die USA:

• Sicherstellung der Zweckbindung der Daten
• Beschränkung der staatlichen Zugriffsmöglichkeiten
• effektiver Rechtsschutz

Mit den Veröffentlichungen über die exzessive Datensammeltätigkeit von Nachrichtendiensten, insbesondere in den USA, stellte sich die Frage, ob europäische Datenschutzbehörden trotz des Abkommens von 2000 berechtigt sind, die Angemessenheit des Datenschutzniveaus bei Unternehmen mit Safe-Harbor-Zertifizierung selbständig zu überprüfen.

Der Europäische Gerichtshof hat diese Frage jetzt bejaht. Er bestätigt damit eine von den Datenschutzbeauftragten in Deutschland stets vertretene Auffassung. Darüber hinaus hat der Gerichtshof auch das Abkommen und die darauf beruhende Kommissionsentscheidung von 2000 für ungültig erklärt. Die Kommission war nicht befugt, die Kontrollrechte der unabhängigen Datenschutzbehörden einzuschränken.

Die Datenschutzbehörden in Deutschland und Europa werden sich jetzt auf ein gemeinsames Vorgehen zur Umsetzung des EuGH-Urteils verständigen.