EU-US Privacy Shield

Durchführungsbeschluss  (EU) 2016/1250
Titel:	Durchführungsbeschluss (EU) 2016/1250 der Kommission vom 12. Juli 2016 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes
Bezeichnung: (nicht amtlich)	EU-US-Datenschutzschild
Geltungsbereich:	EWR
Rechtsmaterie:	Datenschutzrecht
Grundlage:	Richtlinie 95/46/EG, insbesondere Artikel 25 Absatz 6
Fundstelle:	ABl. L 207 vom 1.8.2016, S. 1–112
Volltext	Konsolidierte Fassung (nicht amtlich) Grundfassung
Regelung wurde für nichtig erklärt.
Bitte den Hinweis zur geltenden Fassung von Rechtsakten der Europäischen Union beachten!

Der EU-US Privacy Shield (auch EU-US-Datenschutzschild) ist eine informelle Absprache auf dem Gebiet des Datenschutzrechts, die von 2015 bis 2016 zwischen der Europäischen Union und den Vereinigten Staaten von Amerika ausgehandelt wurde. Sie besteht aus einer Reihe von Zusicherungen der US-amerikanischen Bundesregierung und einem Angemessenheitsbeschluss der EU-Kommission. Die Kommission hatte am 12. Juli 2016 beschlossen, dass die Vorgaben des Datenschutzschilds dem Datenschutzniveau der Europäischen Union entsprechen; seitdem kann das Übereinkommen angewendet werden.

Die Absprache regelt den Schutz personenbezogener Daten, die aus einem Mitgliedsstaat der Europäischen Union in die USA übertragen werden. Sie war notwendig geworden, nachdem der Europäische Gerichtshof (EuGH) im Oktober 2015 die bis dahin angewendete Safe-Harbor-Entscheidung der Europäischen Kommission für ungültig erklärt hatte.

Am 16. Juli 2020 erklärte der EuGH auch den Angemessenheitsbeschluss der EU-Kommission über das EU-US Privacy Shield durch das Schrems-II-Urteil für ungültig.

Geschichte

Die Einigung mit den USA auf den EU-US Privacy Shield gab die Europäische Kommission am 2. Februar 2016 bekannt.

Als Voraussetzung unterzeichnete US-Präsident Barack Obama am 25. Februar 2016 mit dem Judicial Redress Act ein Gesetz, das EU-Bürgern eine Klagemöglichkeit in den USA eröffnet, die eine Verletzung des Datenschutzes geltend machen. Anders als amerikanische Staatsbürger muss man nach Wertung des ehemaligen Bundesdatenschutzbeauftragten Peter Schaar dabei zunächst versuchen, seine Rechte auf dem Verwaltungsweg durchzusetzen.

Das Abkommen sowie begleitende europarechtliche Beschlüsse und Regelungen wurden am 29. Februar 2016 veröffentlicht und in der Folge nur noch unwesentlich geändert. Der Wortlaut der Texte wurde bei der Vorstellung der Regelungen bekanntgegeben.

Anfang Juli 2016 stimmten die meisten EU-Mitgliedsstaaten dem Datenschutzschild zu. Österreich, Kroatien, Slowenien und Bulgarien enthielten sich. Die Bundesdatenschutzbeauftragte Andrea Voßhoff erklärte, „insbesondere im sogenannten kommerziellen Teil“ habe die Kommission zuvor „viele Forderungen der Datenschützer berücksichtigt“ und den ursprünglich vorgelegten Entwurf abgeändert. Es solle aber für die Datenschützer keine weitere Möglichkeit mehr zur Stellungnahme geben.

In der Übergangszeit orientierten sich amerikanische Unternehmen an den Standardvertragsklauseln nach Artikel 26 Absatz 2 der EU-Datenschutzrichtlinie von 1995, denen Datenschützer der EU einst zugestimmt hatten. Auf dieses Vorgehen hatte die Europäische Kommission verwiesen.

Die Kommission hat den Angemessenheitsbeschluss, wonach „die Garantien für die Übermittlung von Daten auf der Grundlage des neuen EU-US-Datenschutzschilds den Datenschutzstandards in der EU entsprechen“, nach der Anhörung der Artikel-29-Datenschutzgruppe am 12. Juli 2016 gefasst und den EU-Mitgliedsstaaten zugeleitet.

Am 16. September 2016 reichte die irische Organisation Digital Rights Ireland beim Gericht der Europäischen Union (EuG) eine Nichtigkeitsklage nach Art. 263 AEUV gegen den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Datenschutzschild ein. Auch Netzaktivisten von La Quadrature du Net und das French Data Network FDN sowie FFDN leiteten entsprechende Verfahren ein.

Daher erklärte der EU-Justiz- und Verbraucherkommissar Didier Reynders im Mai 2020 im Schreiben EN E-001120/2020: „Die Kommission ist eine Partei in den zwei vor dem Europäischen Gerichtshof anhängigen Verfahren, die für den Privacy Shield relevant sind (T-738-16, La Quadrature du Net und C-311/18, Schrems II). Zwar kann die Kommission das Ergebnis der Rechtsstreitigkeiten nicht vorhersagen, aber sie nimmt mögliche Szenarien in Augenschein… Parallel setzt die Kommission ihre Arbeit bezüglich alternativer Instrumente für den internationalen Austausch personenbezogener Daten fort; dazu gehört auch die Überprüfung bestehender Standardvertragsklauseln.“ Der EU-Generalanwalt äußerte vor der Verhandlung zur Geltung vor dem Europäischen Gerichtshof (EuGH) am 16. Juli 2020 erhebliche Zweifel an der Gültigkeit des EU-US Privacy Shield-Abkommens.

Nach dem Wechsel zur Regierung Trump erklärte die EU-Justizkommissarin Věra Jourová im März 2017, sie setze die Absprachen außer Kraft, falls die Bundesregierung der USA „etwas ‚signifikant‘ ändere“. Die „Unberechenbarkeit“ der neuen Regierung sei „ein Problem“. In ihrem ersten Bericht zu Erfahrungen mit dem Abkommen erklärte sie im Oktober 2017, das Verfahren „funktioniere“ und biete „weiterhin ein angemessenes Datenschutzniveau“. Sie empfahl „Verbesserungen“, darunter die Aufklärung der EU-Bürger über ihre Rechte aus dem Datenschutzschild. Auch forderte sie, den Ombudsmann bald möglichst zu ernennen. Der Hauptgeschäftsführer der Nichtregierungsorganisation Digitale Gesellschaft, Alexander Sander, widersprach der Stellungnahme der Kommission. Der Rechtsschutz für EU-Bürger sei unzureichend ausgestaltet.

Mit Urteil vom 16. Juli 2020 (Rechtssache C-311/18) erklärte der Europäische Gerichtshof den Durchführungsbeschluss (EU) 2016/1250 der Kommission vom 12. Juli 2016 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes für ungültig. Datenschutzrechtlich Verantwortliche können sich nun nicht mehr länger bei Datentransfers zu Verantwortlichen oder Auftragsverarbeitern mit Sitz in den Vereinigten Staaten, die sich selbst nach dem EU-US Privacy Shield zertifiziert haben, auf die Angemessenheit des Datenschutzniveaus gem. Art. 45 DSGVO berufen.

Regelungen

Der Privacy Shield besteht der Ende Februar 2016 veröffentlichten Fassung zufolge aus einem Paket an Regelungen: Dem Abkommen selbst, einem „Angemessenheitsbeschluss“ der Europäischen Kommission und weiteren Texten, die in das europäische Gesetzgebungsverfahren eingebracht werden sollen. Darunter sind die Grundsätze zum Datenschutz, die von den amerikanischen Unternehmen einzuhalten sind, sowie schriftliche Zusicherungen der US-amerikanischen Bundesregierung, die im US-Bundesregister zu veröffentlichen sind. Diese Zusicherungen enthielten „Garantien und Beschränkungen für den Datenzugriff durch Behörden“.

Die amerikanischen Unternehmen werden sich, ähnlich wie schon zuvor bei der Safe-Harbor-Liste, wiederum in eine entsprechende Liste eintragen und sich selbst dazu verpflichten, die diesbezüglichen Verpflichtungen einzuhalten.

Die amerikanische Seite habe zur Überzeugung der Europäischen Kommission zugesichert, wirksame Aufsichtsmaßnahmen gegen Unternehmen durchzuführen, die mit Sanktionen bewehrt sind, bis hin zur Streichung aus der Liste der begünstigten Unternehmen. Die Weitergabe von Daten an dritte Unternehmen sei nunmehr an strengere Voraussetzungen gebunden.

Weiterhin erklärte die EU-Kommission, die amerikanische Regierung habe der EU über das Büro des Direktors der Nachrichtendienste schriftlich zugesichert, den Zugriff auf personenbezogene Daten von EU-Bürgern aus Gründen der nationalen Sicherheit „klaren Beschränkungen, Garantien und Aufsichtsmechanismen“ zu unterwerfen. EU-Bürger könnten sich an einen Ombudsmann beim amerikanischen Außenministerium wenden, um Verstößen nachzugehen und prüfen zu lassen, ob ein Unternehmen rechtswidrig gehandelt habe. Alle schriftlichen Auskünfte und Erklärungen der Ombudsstelle würden im US-Bundesregister veröffentlicht.

EU-Bürgern werden auch gegenüber den amerikanischen Unternehmen Ansprüche eingeräumt. Beschwerden müssten die Unternehmen innerhalb von 45 Tagen nachgehen. Im Streitfall gebe es ein Verfahren zur alternativen Streitbeilegung. Daneben können sich die Bürger aber auch an ihre nationalen Datenschutzbehörden wenden, die gemeinsam mit der Federal Trade Commission Beschwerden nachgehen würden. Unternehmen, die Personaldaten verarbeiten, müssen den Empfehlungen der nationalen Datenschutzbehörden der EU-Mitgliedsstaaten nachkommen; andere Unternehmen können sich hierzu freiwillig verpflichten.

Die Europäische Kommission werde jährlich einen Bericht über die Erfahrungen mit dem Datenschutzschild erstellen und diesen dem Europäischen Parlament und dem Europäischen Rat zuleiten. Die Überprüfung werde von der Kommission gemeinsam mit dem US-Handelsministerium durchgeführt. „Sachverständige der US-Nachrichtendienste und der europäischen Datenschutzbehörden“ würden ebenso beteiligt wie Nichtregierungsorganisationen und „sonstige Beteiligte“, die zu einem Datenschutzgipfel eingeladen würden.

Kritik

Das Abkommen – die amerikanische Presse sprach von einem „Deal“ – war von Anfang an erheblicher Kritik ausgesetzt. So wies Maximilian Schrems, der Kläger in dem Ausgangsverfahren, durch das die Safe-Harbor-Regelung zu Fall gebracht worden war, schon vor der Veröffentlichung der Einzelheiten darauf hin, dass Zusicherungen der US-Bundesregierung kurz vor der Präsidentschaftswahl in den Vereinigten Staaten 2016 „in keiner Weise eine ausreichende Grundrechtsgarantie für Hunderte Millionen Europäer darstelle“. Im Juli 2016 konkretisierte er seine Kritik in einem Interview im Deutschlandfunk dahingehend, es werde nach seinem Dafürhalten nach dem Inkrafttreten des Beschlusses über den EU-US-Datenschutzschild keine wesentlich andere Rechtslage geben als zuvor unter der Geltung von Safe-Harbor: „Da steht genauso drin, US-Recht hat Vorrang, wenn US-Recht sagt, die Daten dürfen abgefangen werden, dann dürfen die abgefangen werden. … Wenn man … die Dokumente anschaut …, steht da ausdrücklich drin, dass es für sechs Fälle auf jeden Fall noch Massenüberwachung gibt. Und dann ist es auch so, dass diese Definition, was Massenüberwachung eigentlich ist, bei den Amerikanern ein bisschen skurril ist.“ Zusammen mit dem grünen Europaabgeordneten Jan Philipp Albrecht bezog Schrems parallel zu der Vorstellung des Privacy Shield am 12. Juli 2016 bei einer Pressekonferenz in Brüssel Position gegen das Abkommen.

Nach Prüfung der veröffentlichten Unterlagen wurde der Privacy Shield auch von 27 Bürgerrechtsorganisationen und von Datenschützern abgelehnt. Moniert wurde vor allem, dass das Abkommen rechtlich nicht verbindlich sei, weil es sich dabei um keinen Vertrag, sondern lediglich um eine Sammlung von Briefen handele. Auch blieben Massenüberwachungsmaßnahmen durch die amerikanische Regierung weiterhin zulässig. Sie unterlägen insbesondere keiner Verhältnismäßigkeitsprüfung, was gegen europäisches Recht verstoße. Außerdem könnten die Betroffenen ihre Rechte weiterhin nicht wirksam verfolgen, weil sie von der Überwachung gar nicht erführen. Deshalb helfe ihnen auch der Ombudsmann nicht, der zudem nicht über die hierzu notwendigen Befugnisse verfüge.

Die Artikel-29-Datenschutzgruppe hatte in einer Stellungnahme am 13. April 2016 Bedenken gegen den Privacy Shield angemeldet. Die Datenschützer führten aus, es liege weiterhin eine flächendeckende und anlasslose Überwachung der EU-Bürger vor. Weiterhin sei darin das Datenaufbewahrungsprinzip nicht anerkannt worden. Dem vorgesehenen Ombudsmann fehle es – als Beamten des amerikanischen Außenministeriums – an der nötigen Unabhängigkeit.

Am 24. Mai 2016 hatte auch das Europäische Parlament mit 501 zu 119 Stimmen in einem gemeinsamen Entschließungsantrag die Kommission aufgefordert, den bekannten Mängeln des Privacy Shields abzuhelfen.

Nachdem der neu gewählte Präsident Donald Trump am 25. Januar 2017 eine Anordnung unterzeichnet hatte, der zufolge die Geltung des Privacy Acts für Personen, die keine US-amerikanischen Staatsangehörigen oder keine ständigen rechtmäßigen Einwohner der USA sind, ausgeschlossen sei, bezweifelte Peter Schaar, ob demnach noch von einem „angemessenen Datenschutzniveau“ für EU-Bürger ausgegangen werden könne.

Das Europäische Parlament hat am 6. April 2017 eine kritische Resolution zum Privacy Shield angenommen. Die Mehrheit des Parlaments stellte darin erhebliche Defizite beim Datenschutz fest und hält die Überwachungspraxis in den USA mit EU-Recht für nicht vereinbar.

Bei der ersten Sitzung des Europäischen Datenschutzausschusses im Januar 2019 wurde moniert, dass die Position des Ombudsmanns noch immer nicht dauerhaft besetzt worden sei; außerdem fehle es an der Offenlegung seiner Befugnisse gegenüber den Sicherheitsbehörden. Der Bundesdatenschutzbeauftragte bezweifelte, dass „der Ombudspersonmechanismus in der Praxis das erforderliche Maß an Rechtsschutz gewährt“, und forderte Abhilfe.

Weitere Angemessenheitsbeschlüsse der EU-Kommission

Die Europäische Kommission hat in weiteren Fällen beschlossen, dass andere Länder ein mit der EU vergleichbares Datenschutzniveau aufweisen. Bis zum Mai 2019 gab es zwölf dementsprechende Angemessenheitsbeschlüsse in Bezug auf den Datenverkehr mit Andorra, Argentinien, den britischen Kronbesitztümern Guernsey, Isle of Man und Jersey, der dänischen Inselgruppe Färöer, Israel, Japan, Kanada (nur für kommerzielle Organisationen), Neuseeland, der Schweiz und Uruguay.

Mit Südkorea wird seit mindestens 2018 (Stand Juli 2020) über einen Angemessenheitsbeschluss verhandelt.

Literatur

• Holger Bleich: FAQ: Das Ende des Privacy Shields. In: c't. Nr. 21, 26. September 2020, S. 176–177 (heise.de). 
• Robert Klecha: Datenübermittlungen in die USA nach dem Safe-Harbor-Urteil des EuGH. Eine Untersuchung unter besonderer Berücksichtigung des EU-US Privacy Shield. In: Schriftenreihe Beiträge zu Datenschutz und Informationsfreiheit. Nr. 22. Verlag Dr. Kovač, Hamburg 2018, ISBN 978-3-339-10480-9. 
• Netzwerk Datenschutzexpertise (Hrsg.): Privacy Shield – Darstellung und rechtliche Bewertung. 7. März 2016 (netzwerk-datenschutzexpertise.de [abgerufen am 1. Oktober 2020]). 

Weblinks

• Privacy Shield – Website der US-amerikanischen Bundesregierung (englisch) zu den Absprachen mit der Europäischen Union und der Schweiz
• EU-US-Datenschutzschild: Häufig gestellte Fragen. In: Europäische Kommission. Europäische Union, 29. Februar 2016; abgerufen am 20. Juli 2020. 
• Angemessenheitsbeschluß der EU-Kommission. – im Amtsblatt der EU
• Überblick zur Kritik am EU-US Privacy Shield – im Blog netzpolitik.org