Luca Maria Thieme, LL.M. res., RAin, und Simon Clemens Wegmann, RA

Transatlantischer Datenstillstand nach Schrems II?

Zum zweiten Mal in fünf Jahren führt ein Urteil des Gerichtshofs der Europäischen Union (EuGH) dazu, dass der transatlantische Datenverkehr kräftig ins Wanken gerät. Deutlich kurzlebiger als sein Vorgänger “Safe Harbour” hat der EU-US Privacy Shield mit der Entscheidung des EuGH vom 16.7.2020 (Rs. C-311/18) nach gerade einmal vier Jahren sein vorzeitiges Ende gefunden. Für Unternehmen aus der EU bzw. dem EWR, die personenbezogene Daten in die USA übermitteln wollen, bedeutet das erhebliche Rechtsunsicherheit. Der Beitrag fasst die Ergebnisse des Urteils zusammen, dessen Bedeutung weit über das bloße Schicksal des Privacy Shield hinausgehen, ordnet die aus Sicht der Autoren wesentlichen Punkte rechtlich ein, und gibt einen Ausblick darauf, welche Maßnahmen Unternehmen zur Begrenzung der entstandenen Risiken ergreifen können.

I. Das Schrems II-Urteil in Kürze

Nachdem der österreichische Datenschutzaktivist Maximilian Schrems 2015 erreicht hatte, dass Facebook seine personenbezogenen Daten nicht mehr auf Grundlage des Safe Harbour-Abkommens in die USA übermitteln durfte, wurde zum einen mit dem Privacy Shield ein Nachfolgemechanismus geschaffen. Zum anderen stützten Facebook und andere US-Konzerne die Übermittlung personenbezogener Daten in die USA (z. T. zusätzlich) auf von der EU-Kommission für Drittstaatstransfers verabschiedete Vertragswerke, die sog. Standardvertragsklauseln. Herr Schrems wandte sich jedoch weiterhin gegen die Datenübermittlung der irischen Facebook-Tochter an ihre amerikanische Muttergesellschaft. Bei der irischen Datenschutzaufsichtsbehörde beschwerte er sich mit dem Argument, dass auch die Standardvertragsklauseln die seinen Daten in den USA drohenden Gefahren nicht beseitigen könnten. Die Behörde machte sich diese Bedenken zu eigen und zog vor den Irischen High Court. Dieser legte dem EuGH die Sache zur Entscheidung vor.