Es ist ein guter Tag für Max Schrems und ein eher peinlicher für die EU-Kommission: Yves Bot, Generalanwalt am Europäischen Gerichtshof (EuGH), ist der Ansicht, die Kommission hätte die USA nicht als "sicheren Hafen" für personenbezogene Daten von EU-Bürgern einstufen dürfen. Mit anderen Worten: Er hält das Safe-Harbor-Abkommen für ungültig.

Anlass des Verfahrens sind Facebook, Edward Snowden, die NSA und eine irische Behörde, die sich seit Jahren lieber auf die Seite von Facebook schlägt, als europäische Nutzerinteressen nachdrücklich zu schützen.

Losgetreten hat das alles Max Schrems, ein junger Jurist aus Wien. Er legt sich mit seiner Initiative Europe versus Facebook seit vier Jahren immer wieder mit Facebook und den zuständigen irischen Datenschützern an, weil er der Ansicht ist, das US-Unternehmen mit seinem europäischen Sitz in Dublin verletze europäisches Datenschutzrecht.

Kampf gegen Prism

Als die Snowden-Enthüllungen das Prism-Programm der NSA bekannt machten, nahm Schrems an, dass er als Facebook-Mitglied auch davon betroffen sei, weil Facebook die Daten seiner europäischen Nutzer auf Servern in den USA speichert. So wie auch andere große Internetunternehmen – namentlich Google, YouTube, AOL, Apple, Microsoft, Skype, Paltalk und Yahoo – muss Facebook diese Nutzerdaten an den US-Geheimdienst herausgeben, wenn es vom Geheimgericht Fisc dazu gezwungen wird.

Laut der EU-Datenschutzrichtlinie ist die Übertragung in die USA aber eigentlich verboten, weil es dort kein ebenbürtiges Datenschutzniveau gibt. Also legte Schrems Beschwerde beim irischen Datenschutzbeauftragten ein. Der lehnte die Beschwerde jedoch ab und verwies auf das Safe-Harbor-Abkommen, das die Übertragung unter bestimmten Umständen doch gestattet.

Das Abkommen aus dem Jahr 2000 ist kein völkerrechtlicher Vertrag, sondern eine Entscheidung der EU-Kommission. Sie regelt die gewerbliche Datenübermittlung zwischen der EU und den USA. US-Unternehmen können sich demnach selbst bescheinigen, dass sie ein angemessenes Datenschutzniveau bieten. Sie müssen dazu lediglich der US-Handelsbehörde FTC versichern, dass sie sich an einige Prinzipien halten. Dass sich längst nicht alle Unternehmen dann auch daran halten, ist lange bekannt. Weil das den irischen Datenschutzbeauftragten nicht zu stören schien, zog Schrems vor den obersten irischen Gerichtshof. Dieser wiederum legte den Fall dem EuGH in Luxemburg vor.

Nun also hat der Generalanwalt seine Schlussanträge veröffentlicht. Meistens, aber nicht immer, folgt das Gericht der Meinung des Generalanwalts. Das wäre in diesem Fall brisant, denn wenn Safe Harbor kippt, bräuchten mehr als 4.000 US-Unternehmen eine neue rechtliche Grundlage oder ein anderes Abkommen für den Datentransfer aus Europa. Das könnten sogenannte Standard Contractual Clauses oder Binding Corporate Rules (BCRs) sein, und auch die EU-Datenschutzrichtlinie sieht in Artikel 26 Ausnahmeregelungen vor. Doch einen Freibrief bedeuten die allesamt nicht für die Unternehmen, jedenfalls nicht in dem Umfang, wie es bei Safe Harbor der Fall ist. Für US-Cloud-Anbieter und Soziale Netzwerke wäre das Ende von des Abkommens also zumindest anfangs ein Problem. Facebook teilt mit, man warte – wie die anderen US-Unternehmen auch – nun auf das Urteil des EuGH.

US-Überwachung sei "massiv und nicht zielgerichtet"

Die Begründung von Yves Bot ist ziemlich grundsätzlich: Demnach bedeutet der Datenaustausch von US-Internetfirmen mit der NSA einen Eingriff in das Recht auf Achtung des Privatlebens und den Schutz personenbezogener Daten. Dieser Eingriff in die Grundrechte sei ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, vor allem, weil die US-Überwachung "massiv und nicht zielgerichtet" sei. Bot vertritt außerdem die Ansicht, dass die Entscheidung der EU-Kommission zugunsten des sogenannten Safe-Harbor-Abkommens die Befugnisse nationaler Aufsichtsbehörden nicht aufhebt. Das bedeutet, die irische Datenschutzbehörde dürfte den Transfer personenbezogener Daten europäischer Facebook-Nutzer in die USA durchaus stoppen.

Max Schrems ist natürlich zufrieden. In einem ersten Statement teilte er mit: "Es scheint, als ob sich unsere jahrelange Arbeit auszahlt. Nun müssen wir hoffen, dass der EuGH dem Generalanwalt in seinem Urteil folgt." Den vollständigen, 45-seitigen Schlussantrag des Generalanwalts müssen Juristen nun aber erst einmal analysieren.

Für die EU-Kommission kommt das Gutachten jedenfalls zur Unzeit, denn sie hat in den vergangenen zwei Jahren das Safe-Harbor-Abkommen mit den USA neu verhandelt. Laut der Nachrichtenagentur Reuters standen die Verhandlungen kurz vor dem Abschluss.