Datenabkommen “in wenigen Monaten” vor EuGH: Droht Schrems III?

EU-Kommissionspräsidentin Ursula von der Leyen durfte es dort verkünden, wo Max Schrems am aktivsten ist: auf Twitter. Die Kommission hat das von den USA vorgeschlagene Data Privacy Framework (DPF) betreffend personenbezogener Daten aus der EU für angemessen erklärt. Das neue Datenabkommen kann daher in Kraft treten – doch wie lange es bestehen bleibt, ist aktuell fraglich.

Seit der Außerkraftsetzung des Vorgänger-Abkommens Privacy Shield durch den EuGH (Schrems II-Urteil) bewegte sich jedes Unternehmen, das personenbezogene Daten in die USA sendet – also z.B. US-Marketing-Tools wie Google Analytics nutzt – auf rechtlich dünnem Eis. Durch den Angemessenheitsbeschluss können Unternehmen auf beiden Seiten des Atlantiks können vorerst aufatmen. Transfers werden nun wieder einfacher möglich. 

Aber ist die Rechtssicherheit wirklich gegeben?

Wer den Aussagen der Datenschutz-Aktivisten von None of your Business (NOYB) rund um Max Schrems glaubt, könnte an der Nachhaltigkeit des Abkommens zweifeln. Schon kurz nach der Vorstellung der neuen Datenschutzmaßnahmen, die den EuGH diesmal wirklich zufrieden stellen sollten, kündigte NOYB die Anfechtung des Abkommens an – den Forderungen des Gerichts werde nicht Genüge getan.

Die wesentlichen Kritikpunkte von NOYB

• Der EuGH stellte fest, dass die Massenüberwachung gemäß dem US-Gesetz FISA 702 im Sinne der Charta der Grundrechte der EU nicht „verhältnismäßig“ ist. FISA wurde und wird seitens der USA jedoch nicht reformiert.
  
• Die Executive Order des US-Präsidenten, die die neuen Maßnahmen enthält, spricht von „Verhältnismäßigkeit” bei der Verwendung von EU-Daten, laut der Aktivisten jedoch mit einer anderen Bedeutung als jene des EuGH.
• Der Ombudsmann-Mechanismus wurde umbenannt und aufgeteilt in einen Beauftragten für den Schutz der Bürgerrechte (CLPO) und ein neues Gericht, das NOYB jedoch nicht für eine unabhängige Instanz hält.
• Beschwerdeführer werden keinen direkten Kontakt zu den neuen Einrichtungen haben.

Diese und weitere Defizite wurden auch in der kritischen Entschließung des Europäischen Parlaments gegen das neue Framework unterstrichen. Bemängelt wurde insbesondere, dass die eingeführten Datenschutzmaßnahmen in den USA nicht durch den Gesetzgeber, sondern durch die Exekutive eingeführt wurden und jederzeit widerrufen werden können.

Schrems: Data Privacy Framework „in wenigen Monaten“ vor dem EuGH

Jetzt, nach Verkündung der Angemessenheit, hat NOYB sein Vorhaben wieder bekräftigt: Man werde den Instanzenweg starten und das Thema werde bereits “in wenigen Monaten” vor dem EuGH landen. “Der angeblich ‘neue’ transatlantische Datenschutzrahmen ist größtenteils eine Kopie des gescheiterten ‘Privacy Shield’”, schreiben die Aktivisten auf ihrer Homepage. “Trotz der Bemühungen der Europäischen Kommission in der Öffentlichkeitsarbeit gibt es kaum Veränderungen im US-Recht oder im Ansatz der EU.”

Man habe sich schon auf die Entscheidung vorbereitet. Eine Anfechtung vor dem EuGH liege „schon in der Schublade“.

Es sei “nicht unwahrscheinlich”, dass die Anfechtung bereits Ende 2023 oder Anfang 2024 dem EuGH von einem nationalen Gericht vorgelegt wird. “Der EuGH hätte dann sogar die Möglichkeit, das neue Abkommen für die Dauer des Verfahrens auszusetzen”, schreibt NOYB. 

Dass mit Max Schrems zu rechnen ist, hat die Vergangenheit (Schrems, Schrems II) bewiesen. Ob wir uns an den Begriff Schrems III gewöhnen müssen, werden wir bald erfahren. Für Unternehmen dürfte allerdings die Planungs- und Rechtsunsicherheit in Bezug auf Datentransfers in die USA bestehen bleiben.

Blogeintrag von NOYB | Titelfoto: Georg Molterer