«Ein grossartiger Zwischensieg gegen sehr starke Interessen»

6. Oktober 2015

tagesanzeiger.ch

Das Urteil des Europäischen Gerichtshofs stelle auch das Schweizer Datenschutzabkommen mit den USA infrage, sagt Anwalt Martin Steiger.

Die Daten europäischer Internetnutzer sind in den USA nicht ausreichend vor dem Zugriff der Behörden geschützt. Das hat der Europäische Gerichtshof entschieden. Deshalb wurde die Vereinbarung zur einfachen Datenübermittlung in die USA (Safe Harbor) für ungültig erklärt. Die Entscheidung der EU-Kommission dazu im Jahr 2000 beruhte auf der Annahme, dass die USA ein angemessenes Schutzniveau von übermittelten personenbezogenen Daten gewährleisten.

Herr Steiger, wie wichtig ist das Urteil?

Das Urteil ist von grösster Bedeutung. Man kann diesen Zwischensieg für den Datenschutz gar nicht überschätzen. Es stellt die gängige Grundlage für die Bearbeitung europäischer Personendaten in den USA infrage, also die sogenannte Safe-Harbor-Regelung. Das Urteil wirkt sich indirekt auch auf die Schweiz aus, weil unser Land ein vergleichbares Abkommen mit den USA abgeschlossen hat.

Was regelt dieses Abkommen genau?

Die Safe-Harbor-Regelung legt fest, unter welchen Bedingungen für Daten aus Europa bei Unternehmen in den USA ein ausreichendes Datenschutzniveau besteht. Dabei geht es um Daten, die sich auf eine bestimmte oder bestimmbare Person beziehen.

Ist das schweizerische Abkommen mit demjenigen der EU vergleichbar?

Die beiden Abkommen sind zwar nicht identisch, die schweizerische Variante ist aber inhaltlich ohne weiteres vergleichbar.

Was heisst denn das nun für die Schweiz?

Die Schweiz muss sich fragen, ob ihr eigenes Safe-Harbor-Abkommen mit den USA noch haltbar ist. Es stellt sich auch hierzulande die Frage, ob in den USA durch das Abkommen ein ausreichendes Datenschutzniveau besteht. Für die EU hat der Europäische Gerichtshof nun festgestellt, dass die nationalen Datenschutzbehörden in den EU-Mitgliedstaaten völlig unabhängig überprüfen können, ob es in den USA ein ausreichendes Datenschutzniveau gibt.

Brauchte es in der Schweiz also auch einen Max Schrems, der die Gültigkeit des Schweizer Safe-Harbor-Abkommens anficht?

Das wäre eine Möglichkeit, wobei Facebook und Co. normalerweise in Bezug auf die erhobenen Personendaten keine Niederlassung in der Schweiz haben. Dennoch könnten der Eidgenössische Datenschutzbeauftragte oder ein Gericht zum Schluss kommen, dass das Safe-Harbor-Abkommen kein ausreichendes Datenschutzniveau in den USA gewährleistet. Allerdings dürfte es wie bei Max Schrems im Streitfall ein sehr langer und teurer Rechtsweg werden.

Aber kann man gegen Firmen wie Facebook vorgehen, wenn sie hier gar keine Niederlassung haben?

Es ist nicht unmöglich, aber es erschwert das rechtliche Vorgehen. Hingegen wäre es allenfalls denkbar, gegen Schweizer Unternehmen vorzugehen, die Personendaten in den USA bearbeiten lassen. Solche Rechtsstreitigkeiten gibt es bislang schon, zum Beispiel aufgrund der Lieferung von Personendaten durch Schweizer Banken wie die Credit Suisse an die USA. Das Urteil wird ohne Zweifel auch die laufende Revision des Datenschutzrechtes in der Schweiz beeinflussen. Allerdings kann ein ausreichendes Datenschutzniveau auch durch vertragliche Vereinbarungen gewährleistet werden.

Zurück zu Europa. Dürfen nun Facebook, Google und Co. Daten europäischer Nutzer nur noch in Europa speichern?

Die Datenspeicherung in Europa wäre eine Möglichkeit. Es geht im Wesentlichen um zwei Themen. So ist der Rechtsschutz in den USA gemäss dem Europäischen Gerichtshof ungenügend. Wenn Personendaten von Europäern oder Schweizern in den USA bearbeitet werden, dann bestehen für die betroffenen Personen keine Rechtsmittel. Sie können die Löschung ihrer Daten nicht durchsetzen, aber auch das Auskunftsrecht und der Anspruch auf Berichtigung sind mangelhaft geregelt. Ausserdem stellt sich die Frage nach der Massenüberwachung.

Was heisst das konkret?

Letztlich sitzen alle Staaten im Glashaus, denn in jedem Staat findet die Massenüberwachung der Daten statt, auch in der Schweiz. Die Geheimdienste tauschen Daten faktisch ohne Grenzen aus. Insofern wirkt die Kritik der Europäer an der Massenüberwachung in den USA scheinheilig.

Aber gerade der Europäische Gerichtshof kritisiert die US-Dienste diesbezüglich sehr deutlich.

Diese Analyse ist zwar richtig, doch wurde der Europäische Gerichtshof in diesem Fall gar nicht zur Massenüberwachung in Europa befragt. Hingegen hatte er im Frühjahr 2014 die anlasslose Vorratsdatenspeicherung in Europa für grundrechtswidrig erklärt. Das Problem der Massenüberwachung haben wir in Europa genauso wie in den USA. Wenn man als Land in diesem Punkt glaubwürdig erscheinen möchte, dürfte man keine verdachtsunabhängige Massenüberwachung mehr zulassen. Ausserdem müsste der weitgehend unkontrollierte Datenfluss zwischen den Geheimdiensten unterbunden werden.

Was sind die Folgen, wenn Facebook, Google und Co. Daten europäischer Nutzer nur noch in Europa speichern?

Ich befürchte, dass nun eine Art Datennationalismus entstehen könnte. Aber nur weil die Daten in Europa oder der Schweiz gespeichert werden, ist nicht alles in bester Ordnung. Die Privatsphäre ist ein Menschenrecht, und dieses wird auch in Europa ständig verletzt. Aufgrund der Snowden-Enthüllungen muss man davon ausgehen, dass auch die europäischen Geheimdienste ihre technischen Möglichkeiten zur Datenüberwachung ausreizen, egal was im Gesetz steht.

Die Sammelwut der Unternehmen wird dadurch kaum eingeschränkt, nur weil einfach der Ort der Datenspeicherung oder die allgemeinen Geschäftsbedingungen ändern.

Überhaupt nicht. Auch schweizerische und europäische Unternehmen fallen durch ihre Sammelwut auf. Big Data ist in der Schweiz ebenfalls ein grosses Thema, denken Sie etwa an die Personen- oder Gesichtserkennung zur ständigen Identifikation im Alltag.

Sie sagten zu Beginn, dass man die Bedeutung des Urteils gar nicht überschätzen könne. Was bedeutet das?

Das Urteil ist deshalb so bedeutend, weil es einen grossartigen Zwischensieg gegen sehr starke Interessen darstellt. So haben sich die USA im Vorfeld für die Safe-Harbor-Regelung starkgemacht. Aber auch die wirtschaftlichen Interessen, die auf dem Spiel stehen, sind riesig. Nicht zuletzt ist es auch eine Ohrfeige für die EU-Kommission.

Und wie geht es nun weiter?

Die EU und die USA stehen vor einem Scherbenhaufen, denn eigentlich bestand bereits weitgehende Einigkeit über ein neues Datenschutzabkommen. Das Urteil wird die weiteren Verhandlungen beeinflussen, aber wie es sich genau auswirken wird, muss sich erst noch zeigen. Letztlich stellt sich die Frage, ob nun auch andere Unternehmen direkt in die Verantwortung genommen werden. Facebook ist ein gut gewähltes Ziel, aber nur die Spitze des Eisbergs. In den USA haben sich Tausende Unternehmen dem Safe-Harbor-Abkommen unterstellt, in der Schweiz und in Europa lassen fast alle Firmen direkt oder indirekt Personendaten in den USA oder durch amerikanische Unternehmen bearbeiten.