Safe Harbor: Geburtsstunde eines europäischen Verfassungsgerichts?

Die Safe Harbor-Entscheidung des EuGH ist ein Paukenschlag (Volltext EuGH, Urt. v. 6.10.2015 - C-362/14, CR 10/2015), der noch lange nachklingen wird (siehe CRonline News). Dies nicht zuletzt deshalb, weil sich der EuGH selbst die Befugnis einräumt, letztverbindlich darüber zu entscheiden, ob ein europäischer Rechtsakt mit der Grundrechtecharta (GRCh) vereinbar ist. Und man mag von der Entscheidung halten, was man möchte: Hochachtung, Max Schrems, für diesen Erfolg. (zu den Kernpunkten des Urteils auch Moos/Schefzig, "Der Countdown endet: Safe Harbor-Entscheidung der Kommission unwirksam", CRonline Blog, v. 6.10.2015).

• Unvereinbarkeit:  Der EuGH erklärt die Safe Harbor-Entscheidung der Europäischen Kommission (2000/520/EG) für unvereinbar mit Art. 7 und 8 sowie mit Art. 47 GRCh, mit den Grundrechten auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten sowie mit dem Recht auf einen wirksamen Rechtsbehelf.
• Keine pauschale Freistellung ausländischer Unternehmen:  Der EuGH stützt seine Entscheidung maßgeblich auf einen umfassenden Vorbehalt, der sich in der Safe Harbor-Entscheidung findet und der amerikanische Unternehmen vollständig von allen Verpflichtungen zum Datenschutz freistellte

„insoweit, als Erfordernissen der nationalen Sicherheit, des öffentlichen Interesses oder der Durchführung von Gesetzen Rechnung getragen werden muss", sowie „durch Gesetzesrecht, staatliche Regulierungsvorschriften oder Fallrecht, die unvereinbare Verpflichtungen oder ausdrückliche Ermächtigungen schaffen, vorausgesetzt, die Organisation kann in Wahrnehmung dieser Ermächtigungen nachweisen, dass die Nichteinhaltung der Grundsätze sich auf das Ausmaß beschränkte, das die Einhaltung übergeordneter berechtigter Interessen aufgrund eben dieser Ermächtigung erforderte". (EU-Kommission, Entscheidung 2000/520/EG, ABl. L 215 v. 25.8.2000, S. 7 (10))

• Legitimation für Datenübermittlungen in die USA:  Das Safe Harbor-Abkommen zwischen der EU und den USA ist damit obsolet. Safe Harbor kann eine Übermittlung von Daten in die USA ab sofort nicht mehr legitimieren.
• Rolle der Datenschutzbehörden:  Der EuGH stärkt die europäischen Datenschutzbehörden. Aus Art. 8 Abs. 3 GRCh leitet der EuGH ab, dass die Europäische Kommission nicht befugt ist, die Kontrollbefugnisse der Datenschutzbehörden einzuschränken.

__________ Anzeige: __________

• Konkrete Daten:  Max Schrems hatte die irische Datenschutzbehörde ursprünglich aufgefordert, Facebook eine Speicherung personenbezogener Daten auf Servern in den USA zu untersagen, da Schrems damit rechnen musste, dass die Daten in den USA dem Zugriff der NSA und anderer amerikanischer Dienste unterlagen.
• Zulässigkeit der Speicherung auf Facebook:  Ob eine Speicherung von Daten in den USA zulässig ist, hat der EuGH offen gelassen. Der Fall geht zurück nach Dublin. Dort wird jetzt die irische Datenschutzbehörde neu über das Anliegen des Max Schrems zu entscheiden haben.
• Kein generell "unsicherer Hafen":  Der EuGH hat auch nicht entschieden, dass die USA generell ein "unsicherer Hafen" für die Daten europäischer Bürger ist. Die Übermittlung personenbezogener Daten in die USA ist somit auch in Zukunft nicht generell verboten, unterliegt jedoch deutlich strengeren Anforderungen. Alle - europäischen und amerikanischen - Unternehmen, die Daten in die USA übermitteln und sich bisher auf Safe Harbor verlassen konnten, müssen prüfen, ob und inwieweit Änderungs- und Anpassungsbedarf besteht (vgl. Schätzle, "Nach dem Paukenschlag des Generalanwalts – Suche nach Alternativen", PinG Blog v. 1.10.2015).
• Neues Safe Harbor-Abkommen:  Der EuGH hat der EU-Kommission auch alle Türen offen gelassen für die bereits laufenden Verhandlungen über ein neues Safe Harbor-Abkommen mit den USA. Allerdings wird sich die EU-Kommission in dem neuen Abkommen nicht damit begnügen können, amerikanischen Unternehmen einen Freibrief zu geben für den Fall, dass ein Geheimdienst oder eine andere amerikanische Sicherheitsbehörde Zugriff auf Daten verlangt.

• Verfassungsgericht:  Europa hat laut der GRCh kein Verfassungsgericht. Umso bemerkenswerter ist es, dass sich der EuGH in der Safe Harbor-Entscheidung selbst zum Verfassungsgericht ernennt.
• Kompetenz:  Der EuGH beansprucht für sich selbst das alleinige und ausschließliche Recht, über die Verfassungskonformität europäischer Rechtsakte zu entscheiden.
• Rechtsweg:  Und der EuGH verlangt von allen Mitgliedsstaaten prozessuale Vorschriften, die Art. 100 GG nachgebildet sind. Komme eine Datenschutzbehörde zum Ergebnis, ein Rechtsakt (wie Safe Harbor oder vielleicht demnächst das neue deutsche Gesetz zur Vorratsdatenspeicherung) verstoße gegen die GRCh, so müsse der Behörde ein Klagerecht zustehen, das dem angerufenen Gericht eine Vorlage beim EuGH ermöglicht.