Privacy Shield gekippt: Transatlantischer Datenschutz bleibt ungewiss
von André Westphal | 12 Kommentare
Der Gerichtshof der Europäischen Union hat das Privacy-Shield-Abkommen zwischen der EU und den USA gekippt. Das bedeutet auch, dass dadurch nun die Übertragung persönlicher Daten von EU-Bürgern in die USA in zumindest einigen Fällen illegal wird. Für Unternehmen, die mit Kundendaten arbeiten, bedeutet das eine Zeit der Ungewissheit.
Im Kern geht es dabei natürlich um große Plattformen und Unternehmen aus den USA wie Apple, Facebook oder Google, die viele Nutzer in Europa haben. Entsprechend fließen auch viele Daten von EU-Bürgern in die USA. Wie sicher dort der Datenschutz ist bzw. ob er EU-Anforderungen genügt, das ist immer wieder Gegenstand von Debatten. Privacy Shield legt dabei vereinfacht gesagt einige Mindestanforderungen fest – als Alternative bzw. Ergänzung zu Standardvertragsklauseln.
Letztere können weiter verwendet werden, Privacy Shield aber nicht. Zu Fall gebracht wurde das Abkommen auch durch eine Klage des Datenschutzaktivistens Max Schrems aus Österreich, der auch schon auf ähnliche Weise gegen Safe Harbor vorgegangen war. Auch Safe Harbor wurde für ungültig erklärt. Im Falle Privacy Shield ist das potenzielle Problem, dass die USA zwar formal zusagt, die Daten von EU-Bürgern zu schützen. Faktisch sei das aber laut Kritikern gar nicht möglich, weil die Gesetzgebung dort Geheimdienste und weitere Behörden ermächtige bei Bedarf auf die durch Konzerne gesammelten Daten zuzugreifen. Auch gebe es für Anwender im Grunde keine Möglichkeit da in den USA Einblicke zu erlangen oder sich konkret zu beschweren.
Der konkrete Stein des Anstoßes war Facebook, deren Europasitz in Irland liegt. Facebook Irland schleust nun natürlich Daten zum Mutterkonzern in die USA weiter. Darüber beschwerte sich Max Schrems bei der irischen Datenschutzbehörde. Letztere übergab den Fall an die Gerichte und ein irisches Gericht erkundigte sich beim EuGH zur Rechtslage. Nun wurde dort entschieden, dass Privacy Shield nicht mit den europäischen Datenschutzstandards vereinbar sei.
Weitere Informationen zum Thema findet ihr auch in der offiziellen Pressemitteilung des Gerichtshofs der Europäischen Union.
Wird geladen ...
Alles was China je machen könnte, ist längst Realität.
Wie Snowden schon vor Jahren enthüllte, und dem nicht Mal widersprochen wurde, haben die großen Geheimdienste – Dank „Lücken“ in der Software aller großer Internetunternehmen und Service Provider – einen nahezu ungehinderten Zugriff auf unsere Daten.
Hinzu kommt seit Jahren die EU-US-Datenschutzvereinbarung „Privacy Shield“ – die den USA einen fast ebenso ungehinderten „offiziellen“ Zugang zu Daten der europäischen Bürger ermöglicht.
Daten, die dann ganz offiziell NSA oder FBI abfragen können – ohne das sich Betroffene – im Gegensatz zu US-Bürgern – dagegen wehren können.
Es ist gut, dass der EU Gerichtshof diese Überwachung erst einmal beendet hat.
Ich musste auch schmunzeln, weil es erst ein paar Tage her ist, dass die UK auf Drängen der USA Huawei mit genau den jetzt geltend gemachten Sicherheitsbedenken aus Ihrer 5G-Infrastruktur verbannt haben.
Die europäische Bevölkerung scheint PRISM, Vault7 etc gänzlich verdrängt zu haben. Schön, dass hier wenigstens auf judikativer Ebene mal eine Nebelkerze geschmissen wird.
Die Compliance zu der US-amerikanischen Gesetzgebung ist aber Wirtschaftsrecht und nicht Datenschutz. Natürlich wirft man dem dummen Volk den Allgemeinplatz Datenschutz vor. In Wirklichkeit geht es aber schlichtweg um Protektionismus und harte, wirtschaftliche Interessen auf allen Seiten.
eine sehr begruessenwerte entscheidung des EuGH. das privacy shield war genauso wenig wert wie davor safe harbour. von daher war die entscheidung abzusehen. der EuGH hat das ha schon damals in aussicht gestellt als SH gekippt wurde, dass auch ein folgeabkommen gekippt wird, wenn dieses nicht nachvollziehbar ein entsprechendes datenschutzniveau gewaehrleistet.
PS und SH waren vollstaendige lachnummern. US unternehmen konnten einfach beitreten. es wurde seitens der US administration nie was ueberprueft oder auditiert geschweige denn konsequenzen beim zuwiderhandeln gezogen.
beide abkommen waren reine papiertiger.
es ist jetzt gut, dass mit dem kippen erneut wallung in das thema kommt. denn fuer viele unternehmen ist heute morgen die rechtsgrundlage fuer die „zusammenarbeit“ mit us unternehmen weg gebrochen ;-)!
sehr gut und danke, EuGH!
Und wieder mehr Wasser auf die Mühlen der Brexiteers. Wir wollen doch selber entscheiden können, dass die USA unsere Daten nicht bekommt. Niemals hat die EU etwas für uns getan!
Die richtige Antwort darauf ist „der Wein!“. 😉
Scherz beiseite, die DSGVO hat schon dafür gesorgt, dass eine Übertragung der Daten in die USA nicht mehr so einfach möglich ist. Schließlich braucht es keine neue Vereinbarung, die USA müssen sich lediglich an die Regeln der DSGVO halten. Da sie das nicht garantieren können, braucht man drum herum auch keine wohl klingenden Vereinbarungen schnüren. Denn wie nun korrekt festgestellt wurde, müssten auch diese sich an die selben Standards halten. Wo wir wieder am Anfang des Kreises angekommen sind.
Dass ich meine Daten seit Corona auf Fresszettel schreibe, von denen mir in 99% der Fälle nicht bekannt ist, was mit diesen und meinen Daten darauf passiert, das ist eine andere Geschichte… 😉
Wenn man Facebook weiterhin verwenden will muss man folgenden Text in sein Pofil posten:
„Max Schrems spricht nicht für mich. Ich möcte das meine Daten von Facebook weiterhin verwendet werden!1!11“
Bitte teilen, befor es wieder gelösched wird.
Und am besten bei WhatsApp in den Status schreiben… 😉
In meinen Augen ein zu erwartendes Urteil des EuGH. Im Endeffekt war/ist auch Privacy Shield nichts weiter als ein Papiertiger, der keinen Schutz vor dem Zugriff der US-Sicherheitsbehörden auf die in die USA übermittelten Daten von EU-Bürgern bietet. Die bereits im vorhergehenden Urteil zu Safe Habour enthaltenen Kritikpunkte wurden in keiner Weise berücksichtigt. Stattdessen hat man sich vorm Druck der Wirtschaft auf der einen und den US Sicherheitsinteressen auf der anderen Seite gebeugt.
Aus meiner Sicht viel entscheidender ist aber, dass auch SCC im Verhältnis zu US-Unternehmen eigentlich nicht mehr anwendbar sind. Durch die Rechtslage in den USA sind die dortigen Unternehmen gar nicht in der Lage die Anforderungen aus den SCC zu erfüllen. Ein Datenexporteur in der EU kann seine Datenübertragungen in die somit gar nicht auf diese Standard-Klauseln berufen. Wenn er nämlich seiner Pflicht zur Prüfung nachkommt, wird er sehr schnell feststellen, dass die Verpflichtungen vom Empfänger in den USA nicht einzuhalten sind.
Insofern kommt es, zumindest in Bezug auf die USA, auch nicht darauf an, dass der EuGH die SCC grundsätzlich für zulässig erklärt hat, um ein angemessenes Datenschutzniveau mit einem Unternehmen in einem Drittstaat zu schaffen.
Entweder die US-Administration kommt von ihrem hohen Ross herunter und passt ihre Sicherheitsgesetze für EU-Bürger an die Anforderungen der DSGVO an, oder US-Unternehmen werden es auf dem EU-Markt zukünftig sehr schwer haben.
Und nun kommt noch der CLOUD-Act ums Eck und dazu die Vorwürfe verschiedener Datenschutzbeauftragten in Richung MS usw.
Das wird ja jetzt richtig spannend.
Zwang von allen nicht-EU Firmen auch einen EU Firmensitz (ja in der EU nicht in GB, Türkei, Schweiz…) verpflichtend zu machen mit allem drum und dran wer in der EU Kohle kassieren will. Dazu sind die Steuern zu 100% auch in der EU abzuführen, keine Steuerflucht bei Einnahmen der Gelder von EU Bürger.
Keiner Braucht FB, WA, Twitter, Youtube & Co, da gibts auch EU Alternativen wenn nicht gibts eben gute Marktlücken die sich ergeben und Jobs schaffen.
Es wird aufgrund der Restriktionen keine EU alternativen zu diesen Diensten geben (ausser vom Springer Konzern vielleicht, da kann man aber nix eigenes mehr hochladen ^^)