[datensicherheit.de, 12.10.2015] Geradezu von einem Donnerschlag wurde vor einer Woche der erste Messetag der „it-sa 2015“ begleitet – der Europäische Gerichtshof (EuGH) stärkte mit seinem Aufsehen erregenden Urteil den grenzüberschreitenden Datenschutz (Safe Harbor-Urteil).

Genugtuung und Zustimmung an vielen Messeständen

Die Nachricht lief wir ein Lauffeuer von Stand zu Stand. Viele IT-Sicherheitsexperten zeigten Genugtuung, warfen aber auch die Frage nach dem weiteren Vorgehen und den praktischen Konsequenzen auf.

Recht der EU-Datenschutzbeauftragten gestärkt

Mit seinem Urteil (Rs. C – 362/14) vom 6. Oktober 2015 habe der EuGH das Recht der Datenschutzbeauftragten in den Mitgliedstaaten bekräftigt, den Export von Daten über Menschen in der EU uneingeschränkt zu überprüfen, betonte der Berliner Beauftragte für Datenschutz und Informationsfreiheit, Dr. Alexander Dix, in seiner Stellungnahme am selben Tag.
Dies könne insbesondere weitreichende Konsequenzen nicht nur für facebook, sondern für den gesamten transatlantischen Datenverkehr zwischen Europa und den USA haben.

No Safe Harbor

Seit 1995 dürfen Unternehmen in Europa Daten über Personen nur dann in Drittländer exportieren, wenn dort ein angemessenes Datenschutzniveau herrscht – im Jahr 2000 hatte die Europäische Kommission mit der US-Regierung das sogenannte „Safe-Harbor-Abkommen“ geschlossen, welches für US-Unternehmen als Empfänger von Daten aus der EU ein System der Selbstzertifizierung vorsah. Danach konnten US-Unternehmen sich selbst die Einhaltung angemessener Datenschutzstandards bescheinigen, was von US-Behörden nur begrenzt überprüft werden konnte.
Mit den Veröffentlichungen über die exzessive Datensammeltätigkeit von Nachrichtendiensten insbesondere in den USA stellte sich die Frage, ob europäische Datenschutzbehörden trotz des Abkommens von 2000 berechtigt sind, die Angemessenheit des Datenschutzniveaus bei Unternehmen mit „Safe-Harbor“-Zertifizierung selbständig zu überprüfen.
Der EuGH bejahte diese Frage nun mit seinem Urteil. Er habe damit eine von den Datenschutzbeauftragten in Deutschland stets vertretene Auffassung bestätigt, erklärte Dr. Dix. Darüber hinaus habe der Gerichtshof auch das Abkommen und die darauf beruhende Kommissionsentscheidung von 2000 für ungültig erklärt. Die Kommission sei nicht befugt gewesen, die Kontrollrechte der unabhängigen Datenschutzbehörden einzuschränken.
Dix begrüßt das Urteil: Damit habe das höchste europäische Gericht erneut bekräftigt, dass es dem Schutz der Grundrechte einen ebenso hohen Stellenwert beimesse wie das Bundesverfassungsgericht – dies sei ist ein guter Tag für den Datenschutz in Europa und den USA. Die Datenschutzbehörden in Deutschland und Europa würden sich jetzt auf ein gemeinsames Vorgehen zur Umsetzung des EuGH-Urteils verständigen.

Der europäischen Grundrechtecharta Geltung verschafft

Auch die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Andrea Voßhoff, hat noch am selben Tag das Urteil des EuGH begrüßt, die „Safe-Harbor“-Entscheidung der Europäischen Kommission für ungültig zu erklären.
Nach den „bahnbrechenden Urteilen zu Google und zur Vorratsdatenspeicherung“ habe der EuGH mit seinem energischen Eintreten für die Grundrechte europäischer Bürger erneut einen „Meilenstein für den Datenschutz“ gesetzt, unterstreicht Voßhoff.
Der EuGH habe einmal mehr „die überragende Bedeutung des Datenschutzes unterstrichen und der europäischen Grundrechtecharta Geltung verschafft“. Diese Entscheidung bedeute ebenfalls eine erhebliche Stärkung der Befugnisse der europäischen Datenschutzbehörden als Wächter über die Datenschutzrechte der europäischen Bürger. Datenübermittlungen in die USA müssten von nun an im Lichte dieses Urteils betrachtet werden.

[datensicherheit.de, 09.07.2013] Der  Europäische Gerichtshof hat heute mit großem Medieninteresse eine Anhörung über die Vorratsdatenspeicherung abgehalten. Dabei ging es um Klagen gegen die umstrittene Richtlinie zur Vollüberwachung sämtlicher Bürger seitens der irischen NGO „Digital Rights Ireland“ und Bedenken des Österreichischen Verfassungsgerichtshofes.

Stellung zur Vorratsdatenspeicherung nahmen unter anderem Vertreter aus Italien, Spanien und England. Keinem der Befürworter sei es gelunge überzeugende Argumente für die Richtlinie vorzubringen. Die Argumentation ließe erhebliche Zweifel an der Verhältnismäßigkeit aufkommen. Die Rückfragen des Gerichts konnten oftmals nicht oder nur ausweichend beantwortet werden.

Die Gegner der Überwachung verwiesen auf den Umstand, daß es bis heute keine Statistik gebe, die die Notwendigkeit der Vorratsdatenspeicherung beweise. Auch der EU-Datenschutzbeauftragte Peter Hustinx brachte erhebliche Bedenken gegen das Speichern der Telefon- und Internetverbindungsdaten vor.

„Das Bundesverfassungsgericht hat die Vorratsdatenspeicherung in Deutschland zu Recht aufgehoben. Durch die jüngeren Entwicklungen ist noch deutlicher geworden, dass eine politische Abkehr auf EU-Ebene von der bisherigen Datenspeicherungsagenda dringend geboten ist“, so Dennis Romberg von Digitalcourage.

Der EuGH habe in mehrmaligen Nachfragen auch die Umsetzung der Richtlinie bemängelt. „Die Vorratsdatenspeicherung ist bei ihrer Verabschiedung gar nicht auf ihre Verträglichkeit mit der EU-Menschenrechtscharta geprüft wurde“, sagt Kai-Uwe Steffens vom Arbeitskreis Vorratsdatenspeicherung. „Dass man dies den umsetzenden Mitgliedstaaten überlässt, gleichzeitig aber deren Verfassungsgerichten keinen direkten Einfluss auf die Richtlinie zugesteht, zeigt allein schon die Notwendigkeit, die Richtline sofort aufzuheben.“

[datensicherheit.de, 07.03.2012] Der Schutz Geistigen Eigentums sei ein hohes Gut, so der Chef der Berliner Senatskanzlei, Staatssekretär Björn Böhning, anlässlich der Debatte im Abgeordnetenhaus von Berlin in Bezug auf das „Anti-Counterfeiting Trade Agreement“ (ACTA):
Er fordert, dass dieser Grundsatz auch international zur Geltung kommen muss. ACTA sei grundsätzlich nicht mehr als eine internationale Übereinkunft zur Sicherung des Urheberrechts für Kulturschaffende und auch Produzenten – insofern sei an einer entsprechenden internationalen Vereinbarung im Grundsatz nichts zu beanstanden. Allerdings produzierten die Intransparenz der Vertragsverhandlungen und unbestimmte sowie ungenaue juristische Formulierungen in diesem Abkommen große Unklarheiten darüber, ob ACTA mit wesentlichen Grund- und Freiheitsrechten vereinbar ist, kritisiert Staatssekretär Böhning. Diese Unklarheiten müssten aus Sicht des Berliner Senats dringend überprüft und überarbeitet werden.
Besonders kritisch sei zu beurteilen, dass die Verhandlungen intransparent stattgefunden hätten und Unterlagen zum Teil nicht veröffentlicht worden seien; rechtliche Fragen zu möglichen Auswirkungen seien bisher unbeantwortet geblieben. Ferner kritisiert er die Möglichkeit, dass durch die Intransparenz Netzsperren „durch die Hintertür“ verabschiedet werden könnten – Grundrechte würden aufgeweicht, wenn Provider die Rolle von „Internet-Polizisten“ übernehmen und Inhalte überwachen müssten, um sich vor Haftungsrisiken zu schützen. Zudem sei bisher kein Rechtsschutz für betroffene Nutzer vorgesehen – dies bleibe den nationalen Rechtsordnungen überlassen.
Das Land Berlin begrüßt laut Staatssekretär Böhning, dass der Europäische Gerichtshof (EuGH) nun überprüft, inwiefern der Abkommensentwurf mit den Grund- und Freiheitsrechten vereinbar ist. Der Schutz des Geistigen Eigentums müsse mit dem Recht auf informationelle Selbstbestimmung und Informationsfreiheit in Balance gebracht werden. Komme es zu Bedenken des EuGH, werde der Senat eine breite, öffentliche Diskussion unter Einbeziehung des europäischen und der nationalen Parlamente unterstützen.

[datensicherheit.de, 25.11.2011] Die Anordnung eines belgischen Gerichts, das einen Internet-Zugangsprovider zum Aufbau einer Sperrstruktur verpflichten wollte, verstößt gegen die Charta der Grundrechte der Europäischen Union und muss aufgehoben werden – so die Entscheidung des Europäischen Gerichtshofs in Luxemburg vom 24. November 2011:
Gegen die Anordnung geklagt hatte der betroffene Provider Scarlet Extended SA, der auf eigene Kosten den gesamten Datenverkehr seiner Kunden überwachen und Urheberrechtsverstöße unterbinden sollte. Dies sei ein richtungsweisendes Urteil, das Europas Bürger und Unternehmen vor Willkürentscheidungen ohne gesetzliche Grundlage schütze, kommentiert eco-Vorstand Oliver Süme. Der Aufbau von Internetsperren und die Kontrolle elektronischer Kommunikation verstießen gegen die Grundrechte.
Dies habe der EU-Gerichtshof eindeutig festgehalten. Ein solcher Eingriff könne nur dann gerechtfertigt sein, wenn er andere, gleichwertige Rechte schützt und zugleich durch ein nationales Gesetz legitimiert wird – allerdings nur, wenn dieses ausreichend genau darlege, welche Art von Maßnahmen es dafür vorsieht.
Im konkreten Fall hätte das belgische Gericht seine Anordnung allerdings auf eine äußerst vage formulierte Grundlage gestützt – ein Gesetz, das belgischen Richtern beliebige Anordnungen gegen Unternehmen gestattet, deren Dienste von Dritten für Urheberrechtsverletzungen missbraucht werden. Dies erlaube in den Augen der europäischen Richter allerdings keine Einschränkung der Grundrechte, da diese Möglichkeit im Gesetzestext nicht ausdrücklich und von vornherein vorgesehen gewesen sei. Weder müssten Bürger davon ausgehen, dass ihre gesamte digitale Kommunikation aufgrund einer solchen richterlichen Anordnung überprüft würde, noch könne man Unternehmen auf dieser Basis zu Investitionen in Höhe von vielen Millionen Euro verpflichten.
Sie seien froh, dass der Europäische Gerichtshof dabei mit Sachverstand und Augenmaß entschieden habe, so eco-Vorstand Süme. Alle Experten seien sich seit Langem einig, dass Internetsperren reine Symbolpolitik seien – technisch wirkungslos und in wenigen Sekunden zu umgehen. Für solche Symbole dürften weder die Menschenrechte eingeschränkt werden, noch dürfe man Unternehmen völlig sinnlose Millionenausgaben aufbürden.

[datensicherheit.de, 09.03.2010] Die Datenschutzaufsicht über die Privatwirtschaft in Deutschland sei nicht unabhängig und genüge den Anforderungen der EG-Datenschutzrichtlinie nicht, so der Europäische Gerichtshof (EuGH) in seinem heutigen Urteil:
Europarechtswidrig sei nicht nur die organisatorische Einbindung knapp der Hälfte der Datenschutzaufsichtsbehörden für den nicht-öffentlichen Bereich in die jeweiligen Innenministerien, sondern auch die Aufsicht der Landesregierungen über die Datenschutzbehörden.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Peter Schaar, freut sich über diese klaren Worte des EuGH – dies sei eine deutliche Stärkung des Datenschutzes. Nun sei Deutschland verpflichtet, alle Maßnahmen zu ergreifen, um die Vertragsverletzung zu beseitigen. Auch wenn sich das Urteil direkt auf die Aufsichtsbehörden der Länder beziehe, werde auch zu untersuchen sein, welche weiteren Konsequenzen sich für die anderen Stellen ergäben, die über den Datenschutz wachten.

Artikel 28
Kontrollstelle
(1) Die Mitgliedstaaten sehen vor, daß eine oder mehrere öffentliche Stellen beauftragt werden, die Anwendung der von den Mitgliedstaaten zur Umsetzung dieser Richtlinie erlassenen einzelstaatlichen Vorschriften in ihrem Hoheitsgebiet zu überwachen.
Diese Stellen nehmen die ihnen zugewiesenen Aufgaben in völliger Unabhängigkeit wahr.

Quelle: Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr / Amtsblatt Nr. L 281 vom 23/11/1995 S. 0031 – 0050
http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:DE:HTML

Die Datenschutz-Aufsichtsbehörden müssten ihre Aufgaben in völliger Unabhängigkeit ausführen können, so die klare Forderung des Artikels 28 der EG-Datenschutzrichtlinie. Wie weit diese Unabhängigkeit in der Praxis geht, war bisher indes umstritten. Der EuGH habe nun klargestellt, dass jedes Risiko einer Einflussnahme auf die objektive und unabhängige Entscheidung der Datenschutzaufsichtsbehörden vermieden werden müsse, so Schaar.

Weitere Informationen zum Thema:

BfDI, 09.03.2010
Europäischer Gerichtshof: Deutschland verstößt gegen EG-Datenschutzrecht