EuGH kritisiert Fluggastdaten-Abkommen mit Kanada: Keine aus­rei­chenden Garan­tien für die Pri­vat­sphäre

2/2: Auswirkungen auf andere Rechtsgrundlagen zum Datentransfer

Das Gutachten des EuGH geht in seiner Bedeutung über den Austausch von Fluggastdaten hinaus, denn die Anforderungen an detaillierte Regelungen zum Zugriff durch Behörden auf Daten sind auch bei anderen Instrumenten des internationalen Datentransfers von Bedeutung. Als der Gerichtshof im Oktober 2015 das Safe-Harbor-Abkommen für Datenübermittlungen in die USA für ungültig erklärte, hat er noch relative generische Anforderungen gestellt.

Nun wird deutlicher, wie sich der EuGH einen wirksamen Schutz von personenbezogenen Daten im Empfängerland vorstellt. Ob das EU/US Privacy Shield oder die Standardvertragsklauseln, die Datenübermittlungen in Drittländer ermöglichen, diesen Anforderungen genügen, wird damit immer fraglicher. Dies gilt gleichermaßen für Entscheidungen der Europäischen Kommission über die Angemessenheit des Datenschutzniveaus in Drittländern wie beispielsweise Israel. Die damit verbundenen Unsicherheiten belasten schon heute den internationalen Wirtschaftsverkehr.

Rechtliche Risiken entstehen nicht von jetzt auf gleich

Zu besorgt sollten Unternehmen jedoch nicht sein, denn in der Safe-Harbor-Entscheidung wurde klargestellt, dass nur der EuGH Entscheidungen der Europäischen Kommission zur Angemessenheit von Datenschutzinstrumenten für unwirksam erklären kann. Derzeit ist nur ein solches Verfahren in Bezug auf das EU/US Privacy Shield anhängig (T-670/16). Es ist zu erwarten, dass die Luxemburger Richter die Klage für unzulässig erklären, weil eine nicht direkt betroffene Organisation, Digital Rights Ireland, gegen die Europäische Kommission geklagt hat. Weitere Verfahren kann es freilich geben.
In Deutschland haben die Datenschutzaufsichtsbehörden ein neues Klagerecht vor dem Bundesverwaltungsgericht erhalten, um Entscheidungen der Europäischen Kommission angreifen zu können. Auch dies könnte zu einer Vorlage führen.

Wenn die Klage von Digital Rights Ireland unzulässig ist, wird der EuGH entsprechend der üblichen Verfahrenslaufzeiten voraussichtlich nicht vor 2019 über die übrigen internationalen Instrumente und Bestimmungen zum Datenschutz und –transfer richten. Bis dahin werden das EU/US Privacy Shield, die Standardvertragsklauseln und die Angemessenheitsentscheidungen zu Drittländern wohl fortgelten. Danach bestehen rechtliche Risiken, die sich auf langfristige IT-Infrastrukturentscheidungen von Unternehmen auswirken können. Der Trend geht deshalb klar in die Richtung, Daten direkt innerhalb der Europäischen Union bereits vor der Übermittlung zu verarbeiten, soweit dies praktisch möglich ist.

Prof. Dr. Ulrich Wuermeling ist Rechtsanwalt und Counsel bei Latham & Watkins LLP und auf datenschutzrechtliche Beratung und Prozessführung spezialisiert.