{"id":2697,"date":"2015-10-05T12:02:01","date_gmt":"2015-10-05T11:02:01","guid":{"rendered":"http:\/\/www.cr-online.de\/blog\/?p=2697"},"modified":"2015-10-07T11:32:24","modified_gmt":"2015-10-07T10:32:24","slug":"eugh-countdown-fuer-safe-harbor-teil-33-auswirkungen-eines-potenziellen-urteils","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2015\/10\/05\/eugh-countdown-fuer-safe-harbor-teil-33-auswirkungen-eines-potenziellen-urteils\/","title":{"rendered":"EuGH: Countdown f\u00fcr Safe Harbor \u2013 Teil 3\/3: Auswirkungen eines potenziellen Urteils"},"content":{"rendered":"<h2><strong>Unsere Countdown-Serie (Autoren: <em>Flemming Moos<\/em> und <em>Jens Schefzig<\/em>)<\/strong><\/h2>\n<p>Noch vor\u00a0Urteilsverk\u00fcndung stellen wir\u00a0in einer Serie von drei Blogbeitr\u00e4gen die Schlussantr\u00e4ge des Generalanwalts ausf\u00fchrlich dar und untersuchen deren juristische Implikationen:<\/p>\n<ul>\n<li>In <a href=\"http:\/\/www.cr-online.de\/blog\/2015\/10\/01\/eugh-countdown-fuer-safe-harbor-in-verfahren-c-36214-teil-1-argumentation-des-generalanwalts\/\" target=\"_blank\">Teil 1<\/a> haben wir die Argumentation des Generalanwalts im Detail vorgestellt.<\/li>\n<li>Auf dieser Grundlage haben wir uns\u00a0in <a href=\"http:\/\/www.cr-online.de\/blog\/2015\/10\/02\/eugh-countdown-fuer-safe-harbor-teil-23-anmerkungen-zur-argumentation-des-generalanwalts\/\" target=\"_blank\">Teil 2<\/a> kritisch damit auseinandergesetzt, welchen Sachverhalt der Generalanwalt seinen Schlussantr\u00e4gen zugrunde legen darf und wie er begr\u00fcndet, dass die nationalen Datenschutzbeh\u00f6rden an die Entscheidung der\u00a0<em>EU-Kommission<\/em>\u00a0zu Safe Harbor nicht gebunden w\u00e4ren.<\/li>\n<li>In diesem Teil 3 zeigen wir nun die Dimensionen auf, in denen sich\u00a0die Auswirkungen eines EuGH-Urteils auf jede Form des Datentransfers in die USA und sonstige Drittl\u00e4nder bewegen k\u00f6nnten.<\/li>\n<\/ul>\n<h2><strong>Teil 3:\u00a0Auswirkungen eines potenziellen Urteils: Wird &#8222;Safe Harbor&#8220; zur &#8222;Open Sea&#8220;?<\/strong><\/h2>\n<p>In diesem dritten und letzten Teil behandeln wir die juristischen Auswirkungen, die das morgige Urteil des EuGH haben k\u00f6nnte, wenn das Gericht den <a href=\"http:\/\/curia.europa.eu\/juris\/document\/document.jsf;jsessionid=9ea7d0f130d5ec5540d6345a4b52bee3e0bf3792a5a8.e34KaxiLc3eQc40LaxqMbN4ObNqOe0?text=&amp;docid=168421&amp;pageIndex=0&amp;doclang=EN&amp;mode=req&amp;dir=&amp;occ=first&amp;part=1&amp;cid=346192\" target=\"_blank\">Schlussantr\u00e4gen<\/a> folgt. Dabei besch\u00e4ftigen wir uns ausf\u00fchrlich ausschlie\u00dflich mit der Frage, wie das Urteil internationale Datentransfers beeinflussen w\u00fcrde.<\/p>\n<h2><strong>1.\u00a0Datentransfers<\/strong><\/h2>\n<h3><strong><em>Anf\u00e4ngliche oder nachtr\u00e4gliche Unwirksamkeit von Safe Harbor<\/em><\/strong><\/h3>\n<p>Nach den Ausf\u00fchrungen des Generalanwalts ist davon auszugehen, dass Unternehmen nicht bef\u00fcrchten m\u00fcssen, dass ihre bereits erfolgten Daten\u00fcbermittlungen mit Wirkung <em>ex tunc<\/em> f\u00fcr unwirksam rechtswidrig erkl\u00e4rt werden. Stattdessen w\u00fcrde die <a href=\"http:\/\/eur-lex.europa.eu\/legal-content\/DE\/TXT\/PDF\/?uri=CELEX:32000D0520&amp;from=de\" target=\"_blank\">Entscheidung 2000\/520\/EG<\/a>, also die \u201eSafe Harbor Entscheidung\u201c <em>ex nunc<\/em> au\u00dfer Kraft gesetzt (<a href=\"http:\/\/curia.europa.eu\/juris\/document\/document.jsf;jsessionid=9ea7d0f130d5ec5540d6345a4b52bee3e0bf3792a5a8.e34KaxiLc3eQc40LaxqMbN4ObNqOe0?text=&amp;docid=168421&amp;pageIndex=0&amp;doclang=EN&amp;mode=req&amp;dir=&amp;occ=first&amp;part=1&amp;cid=346192\" target=\"_blank\">Tz.\u00a0127<\/a>).<\/p>\n<h3><strong><em>Wirksamkeit der EU-Standardvertr\u00e4ge (Model Clauses)<\/em><\/strong><\/h3>\n<p>Standardvertr\u00e4ge bilden neben Safe Harbor die zweite wesentliche Methode, um Daten\u00fcbermittlungen in die USA abzusichern. Legt man allerdings die Argumentation des Generalanwalts als Ma\u00dfstab an, erscheint es zweifelhaft, dass dieses Instrument k\u00fcnftig weiterhin in der Lage w\u00e4re, ein angemessenes Datenschutzniveau in den USA zu garantieren. Denn es ist nicht ersichtlich, warum sich im Hinblick auf Standardvertr\u00e4ge die Rechtslage grundlegend von der Rechtslage im Hinblick auf Safe Harbor unterscheiden sollte: Die DSRL weist der <em>EU-Kommission<\/em> gem\u00e4\u00df <a href=\"http:\/\/eur-lex.europa.eu\/legal-content\/DE\/TXT\/?uri=CELEX:31995L0046\" target=\"_blank\">Art. 26 Abs.\u00a04 i.V.m. Abs.\u00a02 DSRL<\/a> auch f\u00fcr Standardvertr\u00e4ge grunds\u00e4tzlich die Befugnis zu, dar\u00fcber zu entscheiden, dass sie ein angemessenes Datenschutzniveau beim Empf\u00e4nger sicherstellen. Die Zugriffsm\u00f6glichkeiten seitens der amerikanischen Sicherheitsbeh\u00f6rden auf die Daten beim Empf\u00e4nger werden aber durch den Abschluss der Standardvertragsklauseln nicht ber\u00fchrt. Der Standardvertrag f\u00fcr Auftragsdatenverarbeiter adressiert sogar explizit den Fall von rechtlich bindenden Anfragen seitens Beh\u00f6rden und verbietet eine Herausgabe der Daten nicht (<a href=\"http:\/\/ec.europa.eu\/justice\/data-protection\/international-transfers\/files\/clauses_for_personal_data_transfer_set_i_2001-497-ec.doc\" target=\"_blank\">Clause 5[d]<\/a>).<\/p>\n<p>Allerdings scheint der regulatorische Rahmen hier ohnehin nicht entscheidend zu sein. Falls die faktische und etablierte Datenverarbeitung seitens der Sicherheitsbeh\u00f6rden kein angemessenes Datenschutzniveau beachtet, sind die regulatorischen Grundlagen wohl nicht von Belang.<\/p>\n<p>Mit der Argumentation des Generalanwalts w\u00fcrde man deshalb wohl zu dem Ergebnis kommen, dass auch bei Abschluss eines Standardvertrags kein angemessener Schutz bei einem Datenempf\u00e4nger in den USA gew\u00e4hrleistet ist und deshalb auch diese Gestaltungsvariante nicht mehr zur Verf\u00fcgung st\u00fcnde.<\/p>\n<h3><strong><em>Wirksamkeit von Binding Corporate Rules<\/em><\/strong><\/h3>\n<p>Die soeben gemachten Ausf\u00fchrungen lassen sich auf Binding Corporate Rules (\u201eBCR\u201c) entsprechend \u00fcbertragen. Auch diese Binding Corporate Rules k\u00f6nnen den Zugriff der Sicherheitsbeh\u00f6rden in den USA nicht verhindern. Demnach d\u00fcrften auch sie kein angemessenes Datenschutzniveau sicherstellen.<\/p>\n<h3><strong><em>Verbleibende Handlungsm\u00f6glichkeiten bei Datentransfers<\/em><\/strong><\/h3>\n<p>Und was nun? Standardvertragsklauseln und BCRs stellen keine Alternative dar. Es verblieben also keine rechtlichen standardisierten Instrumente, mittels derer bei einer \u00dcbertragung von Daten in die USA ein angemessenes Datenschutzniveau zu gew\u00e4hrleisten w\u00e4re. Auch Unternehmen, die nur die eigenen HR-Daten an die US-amerikanische Muttergesellschaft \u00fcbermitteln wollen, st\u00e4nden damit vor exorbitanten Herausforderungen.<\/p>\n<p>Es w\u00fcrden dann nur noch zwei M\u00f6glichkeiten existieren, um auf der sogenannten zweiten Stufe einen Datentransfer zu rechtfertigen:<\/p>\n<ul>\n<li>Eine <span style=\"text-decoration: underline;\">Einwilligung der Betroffenen<\/span> oder<\/li>\n<li>eine <span style=\"text-decoration: underline;\">Genehmigung durch die Datenschutzbeh\u00f6rden im Einzelfall<\/span>.<\/li>\n<\/ul>\n<p>Beide Optionen sind nicht zufriedenstellend:<\/p>\n<p>Das Einholen von massenhaften <strong>Einwilligungen<\/strong> ist h\u00e4ufig schon kaum praktikabel, au\u00dferdem besteht die Gefahr, dass Betroffenen sie jederzeit widerrufen. F\u00fcr die Ausgestaltung kontinuierlicher, umfassender Gesch\u00e4ftsprozesse sind sie deshalb ungeeignet.<\/p>\n<p><strong>Eine Genehmigung der Datenschutzbeh\u00f6rden<\/strong> ben\u00f6tigt mehrere Monate und ist mit einem erheblichen Koordinationsaufwand verbunden. Jedenfalls soweit nicht unbedeutende personenbezogene Daten betroffen sind, d\u00fcrfte es au\u00dferdem nur in Ausnahmef\u00e4llen m\u00f6glich sein, eine derartige Genehmigung zu erhalten. Denn die Datenschutzbeh\u00f6rden werden die staatlichen Zugriffsm\u00f6glichkeiten naturgem\u00e4\u00df auch f\u00fcr derartige Einzelgenehmigungen ber\u00fccksichtigen m\u00fcssen.<\/p>\n<h3><strong><em>Betroffenheit anderer Jurisdiktionen<\/em><\/strong><\/h3>\n<p>Die Argumentation des Generalanwalts f\u00fchrt dazu, dass Daten\u00fcbermittlungen auch in viele weitere Staaten erheblich erschwert werden d\u00fcrften. Denn gerade der ungehinderte staatliche Zugriff auf im Land gespeicherte Daten ist sicher kein origin\u00e4r US-amerikanisches Ph\u00e4nomen.<\/p>\n<p>Auch in China, Russland und vielen weiteren L\u00e4ndern (!) d\u00fcrften die Beh\u00f6rden sehr umfangreiche Befugnisse haben, die einen weitgehenden Zugriff auf Daten erm\u00f6glichen und den M\u00f6glichkeiten der amerikanischen Sicherheitsbeh\u00f6rden mindestens gleichkommen. Ein entsprechendes Urteil des EuGH h\u00e4tte also beileibe nicht nur Auswirkungen auf Datentransfers in die USA.<\/p>\n<h2><strong>2. Faktische Auswirkungen<\/strong><\/h2>\n<p>Die faktischen Auswirkungen eines entsprechenden Urteils des EuGH sind kaum abzusehen. Es k\u00f6nnen an dieser Stelle nur kursorische \u00dcberlegungen angestrengt werden:<\/p>\n<ul>\n<li><strong>Neues &#8222;Safe Harbor&#8220;-Abkommen: \u00a0<\/strong>Die <em>EU-Kommission<\/em> wird ihre Verhandlungen mit den USA im Hinblick auf das \u201eSafe Harbor\u201c-Abkommen forcieren. Jedoch ist es wohl eher unwahrscheinlich, dass die USA zu den Garantien bereit sind, die der Generalanwalt in seinen Schlussantr\u00e4gen fordert.<\/li>\n<li><strong>Territoriale Verlagerung der Datenverarbeitung: \u00a0<\/strong>US-amerikanische Cloud-Anbieter werden deshalb wahrscheinlich verst\u00e4rkt dazu \u00fcbergehen, ihre Dienste \u00fcber europ\u00e4ische Tochtergesellschaften anzubieten. Auf diese Weise k\u00f6nnen sie vermeiden, dass ein Datentransfer in die USA notwendig ist, um diese Dienste zu nutzen. Das befreit diese Unternehmen freilich nicht von dem Problem, dass amerikanische Gerichte die Unternehmen verpflichten, auch Daten, die sich bei europ\u00e4ischen Tochtergesellschaften befinden, bei Vorliegen einer entsprechenden Rechtspflicht an die amerikanischen Beh\u00f6rden herauszugeben (zur Unm\u00f6glichkeit rechtskonformer Daten\u00fcbermittlung f\u00fcr gleichzeitig in USA und Deutschland operierende Cloud-Anbieter siehe\u00a0<a href=\"http:\/\/ec.europa.eu\/justice\/data-protection\/international-transfers\/files\/clauses_for_personal_data_transfer_set_i_2001-497-ec.doc\" target=\"_blank\"><em>Becker\/Nikolaeva<\/em>, &#8222;Das Dilemma der Cloud-Anbieter zwischen US Patriot Act und BDSG&#8220;, <a href=\"https:\/\/online.otto-schmidt.de\/db\/suche?q=%5B%7B%22txt%22:%22pubyear:2012%22%7D,%7B%22txt%22:%22source_page:170%22%7D,%7B%22txt%22:%22all_source_2:cr%22%7D%20%5D\" target=\"_blank\" rel=\"nofollow\">CR 2012, 170<\/a> ff.<\/a>).<\/li>\n<li><strong>Unternehmerische Data-Sourcing-Strategie: \u00a0<\/strong>Europ\u00e4ische Unternehmen k\u00f6nnten gezwungen sein, ihre Sourcing-Strategie bzgl. Mitarbeiter- und Kundendaten <em>ad hoc<\/em> zu \u00fcberdenken und das Datenhosting evtl. kurzfristig auf andere Anbieter oder Jurisdiktionen zu \u00fcbertragen. Schwieriger \u2013 um nicht zu sagen unm\u00f6glich \u2013 w\u00fcrde es bei so genannten Funktions\u00fcbertragungen, bei denen z.B. Mitarbeiterdaten an eine US-amerikanische Muttergesellschaft f\u00fcr eigene Zwecke \u00fcbertragen werden \u2013 etwa weil von dort bestimmte HR-Funktionen erbracht werden. Wie hier eine datenschutzkonforme L\u00f6sung aussehen kann, ist noch nicht absehbar. Vermutlich sollten sich betroffene Unternehmen schnellstm\u00f6glich mit der f\u00fcr sie zust\u00e4ndigen Datenschutzbeh\u00f6rde ins Benehmen setzen, um gemeinsam L\u00f6sungsszenarien zu erarbeiten.<\/li>\n<\/ul>\n<h2><strong>3.\u00a0Was wird der EuGH morgen entscheiden?<\/strong><\/h2>\n<p>Wir wissen es nicht!<\/p>\n<h3><em>Aus f\u00fcr etabliertes System internationaler Datentransfers<\/em><\/h3>\n<p>Allerdings hat der EuGH in der Vergangenheit bewiesen, dass er keine Hemmungen hat, auch \u00fcberraschend Urteile zu f\u00e4llen, die weitreichende faktische Konsequenzen haben k\u00f6nnen:<\/p>\n<ul>\n<li>Das Urteil aus dem letzten Jahr, in dem er ein \u201eRecht auf Vergessen\u201c statuiert hat (<a href=\"http:\/\/www.juris.de\/jportal\/?quelle=jlink&amp;docid=jzs-CR-2014-07-0460-1-R-06&amp;psml=jurisw.psml&amp;max=true\" target=\"_blank\">EuGH, Urt. v. 13.5.2014 &#8211; C-131\/12, <a href=\"https:\/\/online.otto-schmidt.de\/db\/suche?q=%5B%7B%22txt%22:%22pubyear:2014%22%7D,%7B%22txt%22:%22source_page:460%22%7D,%7B%22txt%22:%22all_source_2:cr%22%7D%20%5D\" target=\"_blank\" rel=\"nofollow\">CR 2014, 460<\/a> ff.<\/a>), und<\/li>\n<li>das Urteil aus der letzten Woche, mit dem er die innereurop\u00e4ischen datenschutzrechtlichen Kollisionsnormen weitgehend au\u00dfer Kraft gesetzt hat (<a href=\"http:\/\/www.cr-online.de\/42142.htm\" target=\"_blank\">EuGH, Urt. v. 1.10.2015 &#8211; C-230\/14, CRonline News v. 1.10.2015<\/a>),<\/li>\n<\/ul>\n<p>sind zwei Beispiele f\u00fcr solche Urteile. Jedenfalls nach unserer Wahrnehmung entsprachen beide Urteile nicht der herrschenden Meinung in der Kommentarliteratur (<a href=\"http:\/\/www.juris.de\/jportal\/?quelle=jlink&amp;docid=jzs-CR-2014-07-0447-1-A-03&amp;psml=jurisw.psml&amp;max=true\" target=\"_blank\"><em>Arning\/Moos\/Schefzig<\/em>, <a href=\"https:\/\/online.otto-schmidt.de\/db\/suche?q=%5B%7B%22txt%22:%22pubyear:2014%22%7D,%7B%22txt%22:%22source_page:447%22%7D,%7B%22txt%22:%22all_source_2:cr%22%7D%20%5D\" target=\"_blank\" rel=\"nofollow\">CR 2014, 447<\/a> ff.<\/a>). Aus diesem Grund scheint es auch im vorliegenden Verfahren durchaus m\u00f6glich, dass der EuGH den Antr\u00e4gen des Generalanwalts folgt und damit das etablierte System internationaler Datentransfers ins Chaos st\u00fcrzt.<\/p>\n<h3><em>Wirksamkeit von &#8222;Safe Harbor&#8220;<\/em><\/h3>\n<p>Vielleicht wird sich der EuGH darauf zur\u00fcckziehen, die Wirksamkeit von \u201eSafe Harbor\u201c gerade nicht grunds\u00e4tzlich zu beurteilen.<\/p>\n<p><strong>Weder Gegenstand der Vorlagefrage, noch entscheidungserheblich<\/strong><\/p>\n<p>Es leuchtet n\u00e4mlich eigentlich nicht ein, warum der EuGH diese Frage hier \u00fcberhaupt behandeln sollte. Weder war die Wirksamkeit der Entscheidung Gegenstand der Vorlagefragen des irischen High Courts, noch ist die Wirksamkeit der Entscheidung \u2013 wenn man der Argumentation des Generalanwalts folgt \u2013 f\u00fcr die Beantwortung der Vorlagefragen wirklich entscheidungserheblich. Denn der Generalanwalt geht ja davon aus, dass die Entscheidung 2000\/520 gerade keine Bindungswirkung f\u00fcr die nationalen Datenschutzbeh\u00f6rden hat. Auch die vom Generalanwalt angef\u00fchrte Kasuistik enth\u00e4lt keinen vergleichbaren Fall, in dem der EuGH die Wirksamkeit einer Entscheidung gepr\u00fcft hat, obwohl diese weder f\u00fcr eine Vorlagefrage relevant, noch Gegenstand einer Vorlagefrage war. Vor diesem Hintergrund scheint es durchaus m\u00f6glich, dass der EuGH die Wirksamkeit der \u201eSafe Harbor \u2013 Entscheidung\u201c nicht betrachtet.<\/p>\n<p><strong>Startsignal f\u00fcr nationale Datenschutzbeh\u00f6rden<\/strong><\/p>\n<p>Dann w\u00e4ren die nationalen Datenschutzbeh\u00f6rden am Zug. Gerade die deutschen Datenschutzbeh\u00f6rden haben sich insoweit bereits anl\u00e4sslich der Enth\u00fcllungen von <em>Edward Snowden<\/em> im Vorfeld klar positioniert. Auch ohne entsprechendes Urteil des EuGH w\u00e4ren demnach interessante Auseinandersetzungen zu der Wirksamkeit von Datentransfers in die USA zu erwarten.<\/p>\n<p><strong>No Business As Usual<\/strong><\/p>\n<p>Nur, falls der EuGH die \u201eSafe Harbor\u2013Entscheidung\u201c f\u00fcr bindend und wirksam erachten sollte, k\u00f6nnten Unternehmen auch in Zukunft personenbezogene Daten in die USA unbesorgt in unver\u00e4nderter Weise transferieren.<\/p>\n<p>&nbsp;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Unsere Countdown-Serie (Autoren: Flemming Moos und Jens Schefzig) Noch vor\u00a0Urteilsverk\u00fcndung stellen wir\u00a0in einer Serie von drei Blogbeitr\u00e4gen die Schlussantr\u00e4ge des Generalanwalts ausf\u00fchrlich dar und untersuchen deren juristische Implikationen: In Teil 1 haben wir die Argumentation des Generalanwalts im Detail vorgestellt. Auf dieser Grundlage haben wir uns\u00a0in Teil 2 kritisch damit auseinandergesetzt, welchen Sachverhalt der Generalanwalt [&hellip;]<\/p>\n","protected":false},"author":435,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[110,34,9,51,35,29],"tags":[],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/2697"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/435"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=2697"}],"version-history":[{"count":5,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/2697\/revisions"}],"predecessor-version":[{"id":2712,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/2697\/revisions\/2712"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=2697"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=2697"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=2697"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}