Zweimal haben sich EU und USA auf ein Abkommen zum Datentransfer geeinigt, zweimal hat das höchste europäische Gericht die Regelung gekippt.

Drei Jahre nach dem Aus der Absprache «Privacy Shield» ist ein neues Datenschutzabkommen zwischen der EU und den USA in Kraft getreten. Die USA gewährleisteten nun ein angemessenes Schutzniveau für personenbezogene Daten, die aus der EU an Unternehmen in Amerika übermittelt würden, teilte die EU-Kommission am Montag in Brüssel mit. Die neue Regelung führt demnach verbindliche Garantien ein, um die zuvor vom Europäischen Gerichtshof (EuGH) geäußerten Bedenken auszuräumen.

Der EuGH hatte den «Privacy Shield» für die Übermittlung von Daten aus Europa über den Atlantik im Juli 2020 mit der Begründung gekippt, dass das Datenschutzniveau in den USA nicht den Standards der EU entspreche. Die Richter bemängelten vor allem die weitreichenden Zugriffsmöglichkeiten von US-Geheimdiensten auf Daten von Europäern. Für Unternehmen war durch das EuGH-Urteil große Rechtsunsicherheit beim Datentransfer zwischen den USA und der EU entstanden. Der «Privacy Shield» war 2016 entstanden, nachdem auch die Vorgänger-Regelung «Safe Harbor» vom EuGH gekippt worden war.

Geklagt hatte in beiden Fällen der österreichische Jurist Max Schrems. Dessen Datenschutzorganisation Noyb beklagte am Montag, dass das neue Abkommen weitgehend eine Kopie des gescheiterten «Privacy Shield» sei. «Wir haben bereits verschiedene juristische Optionen in der Schublade, obwohl wir dieses juristische Ping-Pong satt haben.»

Gericht zur Überprüfung des Datenschutzes

Künftig dürfen US-Geheimdienste auf die Daten nur dann zugreifen, wenn es notwendig und verhältnismäßig sei, hieß es seitens der EU-Kommission. Außerdem soll ein Gericht zur Überprüfung des Datenschutzes eingerichtet werden. «Der neue EU-US-Datenschutzrahmen wird sichere Datenströme für Europäer gewährleisten und Rechtssicherheit für Unternehmen auf beiden Seiten des Atlantiks schaffen», sagte EU-Kommissionspräsidentin Ursula von der Leyen. Der neue Rechtsrahmen soll regelmäßig überprüft werden, so die EU-Kommission.

Die US-Regierung begrüßte das neue Abkommen. Die Ankündigung stelle «den Höhepunkt einer jahrelangen engen Zusammenarbeit» zwischen den USA und der EU dar, teilte US-Präsident Joe Biden mit. «Die Entscheidung spiegelt unser gemeinsames Engagement für einen starken Datenschutz wider und wird unseren Ländern und Unternehmen auf beiden Seiten des Atlantiks größere wirtschaftliche Chancen eröffnen.»

Schrems kritisierte, dass die USA dem Wort «verhältnismäßig» eine andere Bedeutung beimessen würden als der EuGH. Außerdem stelle die Verletzung der Privatsphäre von Nicht-US-Bürgern kein Problem für die USA dar. Auch die vorgeschriebenen Rechtsbehelfe stimmen seiner Meinung nach nicht mit EU-Recht überein.

Der Präsident des Digitalbranchenverbands Bitkom, Ralf Wintergerst, lobte zwar, dass nun eine «dreijährige Hängepartie zu Ende geht.» Unternehmen erhielten damit grundsätzlich wieder Rechtssicherheit und vor allem kleine und mittlere Unternehmen profitierten davon, weil nun keine Einzelfall prüfungen mehr notwendig seien. «Sicher ist aber auch, dass die nun gefundene Neuregelung erneut von den Gerichten überprüft werden wird.»

Scharfe Kritik aus der Politik

Aus der Politik kam scharfe Kritik: «Von der Leyen ist EU-Recht endgültig egal. Sie weiß, dass das neue Abkommen vor dem EuGH scheitern wird», kritisierte der Europaabgeordnete Moritz Körner (FDP). Die finanziellen Kosten müssten dann zum dritten Mal die europäischen Bürgerinnen und Bürger und Unternehmen zahlen. Die sozialdemokratische S&D-Fraktion im Europaparlament kritisierte auf Twitter, dass mit dem Abkommen personenbezogene Daten anfällig für Massenüberwachung seien. Eine echte Reform sei das nicht.