Safe Harbor: Ein sicherer Hafen für europäische Daten?

Was ist Safe Harbor?

Safe Harbor ist ein Abkommen, das zwischen der EU und den USA zwischen 2000 und 2015 bestand. Es handelt sich hierbei konkret um einen Beschluss der Europäischen Kommission auf der Grundlage eines Verfahrens des US-Handelsministeriums.

Safe-Harbor-Prinzipien

Damit personenbezogene Daten in die USA übermittelt werden durften, mussten die entsprechenden Unternehmen an Safe Harbor teilnehmen. Es gab aber bei Safe Harbor keine externe Zertifizierung. Unternehmen, die unter diese Regelung fallen wollten, mussten lediglich öffentlich erklären, sich an die vom Handelsministerium aufgestellten Prinzipien zu halten.

Die sieben Grundsätze, an die sich laut der Safe-Harbor-Regelung ein Unternehmen halten muss, sind folgende:

1. Informationspflicht: Betroffene müssen über die erhobenen Daten und den Verwendungszweck unterrichtet werden
2. Wahlmöglichkeit: Betroffene müssen anderen Nutzungen auch widersprechen können
3. Weitergabe: Vor einer Weitergabe an Dritte muss der Betroffene unterrichtet werden und die Möglichkeit zum Widerspruch (siehe zweiten Punkt) erhalten
4. Sicherheit: Das Unternehmen muss für eine ausreichende Datensicherheit der gespeicherten Informationen sorgen
5. Datenintegrität: Die erhobenen Daten müssen richtig und vollständig sein
6. Auskunftsrecht: Der Betroffene muss gegenüber dem Unternehmen die Möglichkeit haben, eine Auskunft über die gespeicherten Daten zu bekommen und sie gegebenenfalls ändern oder löschen zu lassen
7. Durchsetzung: Betroffene müssen sich bei Beschwerden an eine geeignete Stelle wenden können, die ihrerseits die Einhaltung der Prinzipien auch mit Sanktionen durchsetzen kann

Mit der Anerkennung der Datenschutz-Grundsätze von Safe Harbor wurden Unternehmen in eine Liste des US-Handelsministeriums aufgenommen. Es handelte sich hierbei um eine Selbstzertifizierung, weil die Umsetzung der Prinzipien vom Ministerium nicht überprüft wurde.

Den in der Liste enthaltenen Unternehmen wurde mit dem Safe-Harbor-Beschluss der Europäischen Kommission ein ausreichendes Datenschutzniveau zugeschrieben. Eine Übermittlung von personenbezogenen Daten aus Europa in die USA wurde damit rechtlich möglich.

Kritik an der Safe-Harbor-Regelung

Safe Harbor sah sich breiter Kritik ausgesetzt. So monierten Datenschützer unter anderem, dass das ganze Verfahren auf der Behauptung der Unternehmen fuße, gewisse Standards einzuhalten, ohne dass deren Einhaltung auch gewährleistet und überprüfbar sei.

Zudem wurde Safe Harbor zum Teil als gegenstandslose Vereinbarung kritisiert, da die Gesetzeslage in den USA (etwa durch den USA PATRIOT Act) staatlichen Behörden ohne Wissen des Betroffenen den Zugriff auf gespeicherte Daten erlaubt. Nach den Snowden-Enthüllungen, die das Ausmaß der Überwachungsmaßnahmen seitens der USA zeigte, wurde die bereits bestehende Kritik an Safe Harbor immer lauter.

Das Ende der Vereinbarung: Safe-Harbor-Urteil 2015

Der gängigen Praxis setzte der Europäische Gerichtshof (EuGH) mit dem Safe-Harbor-Urteil im Oktober 2015 ein Ende. Dem vorausgegangen war eine Klage des österreichischen Datenschutzaktivisten Maximilian Schrems, der bei der irischen Datenschutzbehörde Beschwerde gegen Facebook einlegte, weil er keinen hinreichenden Schutz für seine Daten auf US-amerikanischen Servern sah.

Die Behörde berief sich auf das Safe-Harbor-Abkommen, das den Datenschutz der registrierten Unternehmen für äquivalent mit dem europäischen Niveau erklärt. Daraufhin ließ der irische High Court vor dem EuGH prüfen, ob eine nationale Datenschutzbehörde unabhängig von der Safe-Harbor-Entscheidung der Kommission eine Beschwerde prüfen und das Datenschutzniveau in diesem Fall als unzureichend bewerten kann.

Wie urteilte das Gericht?

Der EuGH folgte in seinem Urteil der Schlusserklärung des Generalanwalts und erklärte das Safe-Harbor-Abkommen insgesamt für ungültig. Ein gleichwertiges Schutzniveau in den USA und der EU sei durch Safe Harbor nicht gewährleistet, weil es dort an entsprechenden Rechtsvorschriften und Verpflichtungen mangele.

Des Weiteren seien keine ausreichenden Rechtsschutzmöglichkeiten für EU-Bürger gegeben, die wirksam für einen Zugang und gegebenenfalls eine Korrektur oder Löschung der personenbezogenen Daten sorgen könnten. Außerdem könne der Beschluss der Kommission nicht die Zuständigkeit der Datenschutzbehörden aushebeln, die Anforderungen selbst zu prüfen.

Nach dem Urteil: Der Safe-Harbor-Nachfolger „Privacy Shield“

Nach der Aushebelung von Safe Harbor durch den EuGH wurde von der EU-Kommission zur Wiederherstellung der Rechtssicherheit bei der Übermittlung von personenbezogenen Daten in die USA eine Nachfolgeregelung ausgehandelt.

2016 trat die Vereinbarung mit dem Namen EU-US Privacy Shield in Kraft. Als direkte Reaktion auf das EuGH-Urteil sieht sie Verbesserungen in den bemängelten Punkten vor. So wurde eine von den Geheimdiensten unabhängige Ombudsstelle im US-Außenministerium eingerichtet, die Beschwerden von EU-Bürgern bearbeiten kann. Zudem wurden die Anforderungen an den Datenschutz verglichen mit Safe Harbor verschärft und etwa die Informationspflichten genauer definiert.

(55 Bewertungen, Durchschnitt: 4,00 von 5)

Loading...

Über den Autor

Louisa N.

Louisa hat Informatik an der Hochschule für Technik und Wirtschaft in Berlin studiert und mehrere Jahre im Bereich IT-Sicherheit gearbeitet. Seit 2018 ist sie Redakteurin bei datenschutz.org und unterstützt unser Team mit ihrer Expertise. Ihre Texte befassen sich u. a. mit Themen wie Datenlöschung und Datenrettung.