Wie sagt man so schön? Daten sind das Gold des digitalen Zeitalters. Und so wie zwischen den Handelspartnern EU und USA seit Jahrzehnten ein stetiger Strom an Rohstoffen, Industriegütern und Lebensmitteln über den Atlantik fließt, ist es heutzutage der Austausch von Daten, der aus den Handelsbeziehungen nicht mehr wegzudenken ist. Kaum jemand in Europa verzichtet noch auf Onlinedienste wie Amazon, Microsoft, Google oder Facebook. Laut Umfragen verarbeiten mehr als die Hälfte aller Unternehmen Daten außerhalb der Europäischen Union.

Doch so wichtig der Transfer von Daten über den Atlantik auch sein mag: Die Hürden sind für Unternehmen hoch. Sie dürfen Daten nur unter äußerst strengen Bedingungen in die USA schicken. Informationen müssen pseudonymisiert oder verschlüsselt werden. Bei Verstößen drohen satte Geldstrafen.

Grund dafür sind Urteile des Europäischen Gerichtshofs (EuGH). Nach zwei Klagen des Datenschützers Max Schrems hob das Höchstgericht zunächst das Datenschutzabkommen Safe Harbor auf und brachte im Jahr 2020 auch die Nachfolgeregelung Privacy Shield zu Fall. Aus Sicht der Richterinnen und Richter waren die Datenschutzstandards in den USA zu niedrig. Datentransfers seien deshalb nur unter engen Voraussetzungen erlaubt.

Die dritte Runde

Geht es nach der Europäischen Kommission, soll sich die Situation bald entspannen: Nach einer Executive Order von US-Präsident Joe Biden sei der Weg für einen neuen Rechtsrahmen für Datentransfers frei, erklärte die EU-Behörde Mitte Dezember. Die Bedenken, die der EuGH im "Schrems II"-Urteil über das Privacy Shield geäußert hatte, könnten "ausgeräumt werden".

Doch Schrems selbst, Namensgeber des Urteils, sieht das offenbar anders. Er will gegen den geplanten "Angemessenheitsbeschluss" der EU-Kommission einmal mehr rechtlich vorgehen. "Ich gehe zu 95 Prozent davon aus, dass wir auch gegen die neue Entscheidung klagen werden", sagte er im deutschen "Handelsblatt". Es wäre der dritte Gerichtsprozess. Der Ausgang: offen.

Aus Sicht der Kommission hat Bidens Executive Order den Datenschutz in den USA jedenfalls deutlich verbessert. Die Verordnung sieht etwa die Einrichtung eines neuen Data Protection Review Court (DPRC) vor. Bidens Regierung reagiert damit auf die Kritik der Luxemburger Höchstrichterinnen und Höchstrichter, dass über Datenschutzverletzungen bislang kein unabhängiges Gericht entscheidet.

Massenüberwachung neu?

Auch in Sachen Geheimdienste will die USA den EU-Staaten ein Stück weit entgegenkommen: Daten dürfen laut Bidens Executive Order nur noch unter strengen Voraussetzungen für Überwachungsmaßnahmen verwendet werden. Erlaubt ist der Dateneinsatz demnach nur mehr zur Erreichung bestimmter, in der Verordnung genau definierter Ziele. Die Grundrechte der betroffenen Personen und die Bedeutung der Geheimdiensttätigkeit müssen stets gegeneinander abgewogen werden. Damit entspreche das Schutzniveau jenem der EU, findet die Europäische Kommission.

Die Datenschützer rund um den Österreicher Schrems sehen das naturgemäß anders. Unverhältnismäßige Massenüberwachungen seien weiterhin Bestandteil von US-Geheimdienstaktivitäten. Und auch der neue Review Court genüge keineswegs den europäischen Grundrechten im Hinblick auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht, heißt es in einer Erklärung von Schrems’ Datenschutzorganisation Noyb mit Sitz in Wien.

Deutliche Verbesserung

Aber hätte eine neuerliche Klage tatsächlich Chancen auf Erfolg? Könnte Schrems den Datenaustausch zwischen den USA und Europa ein drittes Mal zu Fall bringen?

"Eine skeptische Haltung ist angesichts der letzten EuGH-Entscheidungen nachvollziehbar", erklärt Rechtsanwältin Nathalie Alon dem STANDARD. "Es sollte dabei jedoch nicht übersehen werden, dass die Verordnung Verbesserungen mit sich bringt." Die US-Regierung habe sich mit den Kritikpunkten des EuGH auseinandergesetzt. Ob dies ausreicht, um einen angemessenen Datenschutz für Unionsbürgerinnen und Unionsbürger zu schaffen, sei allerdings schwer vorhersehbar. (Jakob Pflügl, 27.12.2022)