Safe Harbor

Safe Harbor (englisch für „sicherer Hafen“, teilweise auch: Safe-Harbor-Abkommen, Safe-Harbor-Pakt) ist ein Beschluss der Europäischen Kommission auf dem Gebiet des Datenschutzrechts aus dem Jahr 2000, der vom Europäischen Gerichtshof (EuGH) durch das Schrems-I-Urteil am 6. Oktober 2015 für ungültig erklärt worden ist. Durch den Beschluss sollte es Unternehmen ermöglicht werden, personenbezogene Daten in Übereinstimmung mit der europäischen Datenschutzrichtlinie aus einem Land der Europäischen Union in die USA zu übermitteln. Die Bezeichnung als „Abkommen“ rührt daher, dass dieses Vorgehen mit den USA abgesprochen worden war. Auch eine Nachfolgeregelung namens EU-US Privacy Shield aus dem Jahr 2016 wurde 2020 ebenfalls vom EuGH aufgehoben.

Entscheidung 2000/520/EG
Titel:	Entscheidung der Kommission vom 26. Juli 2000 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des von den Grundsätzen des „sicheren Hafens“ und der diesbezüglichen „Häufig gestellten Fragen“ (FAQ) gewährleisteten Schutzes, vorgelegt vom Handelsministerium der USA
Bezeichnung: (nicht amtlich)	Safe-Harbor-Abkommen
Geltungsbereich:	EWR
Rechtsmaterie:	Datenschutzrecht
Grundlage:	Richtlinie 95/46/EG, insbesondere Artikel 25 Absatz 6
Fundstelle:	ABl. L 215 vom 25. August 2000, S. 7–47
Volltext	Grundfassung
Regelung wurde für nichtig erklärt.
Hinweis zur geltenden Fassung von Rechtsakten der Europäischen Union

Nachfolger ist das EU-US Data Privacy Framework, für das die Europäische Kommission im Juli 2023 den Angemessenheitsbeschluss angenommen hat. Der Angemessenheitsbeschluss kann ab diesem Zeitpunkt als Grundlage für Datenübermittlungen an zertifizierte Organisationen in den USA dienen.

Unabhängig hiervon besteht eine ähnliche Vereinbarung der Vereinigten Staaten mit der Schweiz, die den gleichen Zweck in Bezug auf den Datenverkehr zwischen diesen beiden Staaten verfolgt (U.S.-Swiss Safe Harbor Framework). Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) Hanspeter Thür sah darin 2015 jedoch wegen des Urteils des EuGH keine ausreichende Grundlage für die Übermittlung personenbezogener Daten in die USA mehr und bat den Bundesrat, die Vereinbarung aufzukündigen.

Geschichte

Die Datenschutzrichtlinie 95/46/EG verbot es grundsätzlich, personenbezogene Daten aus Mitgliedstaaten der Europäischen Union in Staaten zu übertragen, deren Datenschutz kein dem EU-Recht vergleichbares Schutzniveau aufwies. Dazu zählten auch die Vereinigten Staaten, denn das US-amerikanische Recht kennt keine umfassenden gesetzlichen Regelungen, die den Standards der EU insoweit entsprechen würden.

Damit der Datenverkehr zwischen der EU und den USA nicht zum Erliegen kam, wurde zwischen 1998 und 2000 ein besonderes Verfahren entwickelt. US-Unternehmen konnten dem Safe Harbor beitreten und sich auf der entsprechenden Liste des US-Handelsministeriums eintragen lassen, wenn sie sich verpflichteten, die Safe Harbor Principles ‚Grundsätze des sicheren Hafens‘ und die dazugehörenden – verbindlichen – FAQ zu befolgen.

In der Safe-Harbor-Entscheidung hatte die Europäische Kommission im Juli 2000 anerkannt, dass bei den Unternehmen, die diesem System beigetreten sind, ein ausreichender Schutz für die personenbezogenen Daten von EU-Bürgern bestehe.

Bis September 2015 waren etwa 5500 amerikanische Unternehmen dem Safe-Harbor-Abkommen beigetreten, darunter IBM, Microsoft, General Motors, Amazon.com, Google, Hewlett-Packard, Dropbox und Facebook.

Kritik

Der Düsseldorfer Kreis hatte bereits im April 2010 erklärt, dass sich Datenexporteure in Deutschland nicht auf die Behauptung einer Safe-Harbor-Zertifizierung von US-amerikanischen Unternehmen verlassen dürften, und forderte konkrete Mindeststandards, die gewährleistet und auf Nachfrage der Aufsichtsbehörden auch nachgewiesen werden müssten.

Da im Rahmen des USA PATRIOT Act US-Sicherheitsbehörden unter Umständen auch ohne Benachrichtigung der Dateninhaber Zugriff auf die in den Vereinigten Staaten gespeicherten Daten gewährt werden muss, geriet das Safe-Harbor-Abkommen immer mehr in die Kritik. Nach Ansicht des Unabhängigen Landeszentrums für Datenschutz in Schleswig-Holstein sei Safe Harbor „das Papier nicht wert, auf dem es geschrieben steht“.

Nach den Enthüllungen Edward Snowdens hatten die deutschen Datenschutzbeauftragten am 24. Juli 2013 die deutsche Bundesregierung und die Europäische Kommission aufgefordert, das Safe-Harbor-System zu überprüfen und bekanntgegeben, dass sie bis auf weiteres keinen Datenexport in die USA unter dem Safe-Harbor-System zulassen.

Einen Tag darauf, am 25. Juli 2013, wurde bekannt, dass zwei Beschwerden gegen Apple und Facebook vor der irischen Datenschutzbehörde nicht bearbeitet wurden. Die irische Datenschutzbehörde stellte fest, dass PRISM an der Gültigkeit von Safe Harbor nichts geändert habe und für die Frage der Rechtmäßigkeit des Datenexports in die USA weiterhin allein auf die Zugehörigkeit des Empfängerunternehmens zu der Safe-Harbor-Liste abzustellen sei. Des Weiteren stellte die Behörde fest, dass die EU schon im Jahr 2000 eine Datenverwendung wie für das PRISM-Programm „vorausgesehen und geregelt“ hätte.

Die EU hatte bereits zuvor am 19. Juli 2013 eine Überprüfung von Safe Harbor bis zum Jahresende 2013 angekündigt. In einer Stellungnahme zur Entscheidung der Datenschutzbehörde in Irland stellte die EU-Kommission fest: „Im Lichte der Veröffentlichungen rund um PRISM scheint es, dass die Datenschutzerfordernisse durch das ‚Safe Harbor‘-Abkommen nicht den europäischen Standards entsprechen.“

Die EU-Justizkommissarin Viviane Reding kündigte am 6. September 2013 eine Reform des EU-Datenschutzes an, in dem Unternehmen „mit Strafen von bis zu zwei Prozent des weltweiten Jahresumsatzes“ rechnen müssen, wenn sie „etwa illegal Daten übermitteln“. Mit 544 Ja-Stimmen, 78 Gegenstimmen und 60 Enthaltungen stimmten die EU-Abgeordneten des Europaparlamentes im März 2014 für eine Aussetzung des Safe-Harbor-Abkommens.

Schrems-I-Urteil des Europäischen Gerichtshofs 2015

Im September 2015 erhielt Safe Harbor einen weiteren Rückschlag, als der Generalanwalt am Europäischen Gerichtshof Yves Bot in seinen Schlussanträgen in der Rechtssache C-362/14 – Schrems/Data Protection Commissioner – die Safe-Harbor-Entscheidung der Kommission für nicht bindend und für ungültig befand. Der irische High Court hatte dem EuGH die Frage zur Entscheidung vorgelegt, ob die Safe-Harbor-Entscheidung die irische Datenschutzbehörde daran hindere, eine Beschwerde zu prüfen, mit der geltend gemacht wurde, dass ein Drittland kein ausreichendes Schutzniveau gewährleiste, und gegebenenfalls die mit der Beschwerde angefochtene Datenübermittlung auszusetzen. Der Beschwerdeführer hatte sich konkret gegen die Übermittlung von Daten durch das soziale Netzwerk Facebook in die USA gewandt.

Der Generalanwalt führte aus, die Kommission sei nicht ermächtigt, die Befugnisse der nationalen Kontrollbehörden zu beschränken. Wenn in einem Drittland „systemische Mängel festgestellt werden“, müsse ein Mitgliedstaat der Europäischen Union „die erforderlichen Maßnahmen ergreifen können, um die Grundrechte, die von der Charta der Grundrechte der Europäischen Union geschützt werden, wie das Recht auf Achtung des Privat- und Familienlebens und das Recht auf den Schutz personenbezogener Daten, zu wahren“. Die USA erlaubten Datensammlungen von EU-Bürgern „in großem Umfang […], ohne dass sie über einen wirksamen gerichtlichen Rechtsschutz verfügen“. Die amerikanischen Geheimdienste übten eine Überwachung aus, die „massiv und nicht zielgerichtet“ und daher nicht verhältnismäßig sei. Daher sei es nicht ausreichend, dass die Kommission mit den USA in Verhandlungen eingetreten sei, um diese Grundrechtseingriffe abzustellen. Sie hätte auch die Anwendung der Safe-Harbor-Entscheidung aussetzen müssen.

In seinem Urteil vom 6. Oktober 2015 (genannt „Schrems I“) folgte der Europäische Gerichtshof den Schlussanträgen des Generalanwalts und erklärte, die Safe-Harbor-Entscheidung der Kommission hindere die irische Datenschutzbehörde nicht zu prüfen, ob die Übermittlung von Nutzerdaten in die USA durch Facebook auszusetzen wäre. Die Entscheidung der Europäischen Kommission stehe dem nicht entgegen, denn die Kommission könne die Befugnisse der nationalen Datenschutzbehörden weder beseitigen noch beschränken. Es fehle ihr an der dazu erforderlichen Kompetenz.

Der Europäische Gerichtshof stellte überdies fest, er allein habe letztlich über die Gültigkeit einer Entscheidung der Kommission zu befinden. In dieser Sache kam er zu dem Ergebnis, die Safe-Harbor-Regelung laufe ins Leere, da die US-amerikanischen Unternehmen, die sich ihr unterworfen hätten, jederzeit und ohne Einschränkung verpflichtet seien, die Schutzregeln unangewendet zu lassen und personenbezogene Daten an die US-amerikanischen Sicherheitsbehörden herauszugeben, „ohne dass es in den Vereinigten Staaten Regeln gibt, die dazu dienen, etwaige Eingriffe zu begrenzen, noch, dass es einen wirksamen gerichtlichen Rechtsschutz gegen solche Eingriffe gibt.“ Damit sieht das Gericht den Wesensgehalt der Grundrechte auf Achtung des Privatlebens und des wirksamen gerichtlichen Rechtsschutzes verletzt. Deshalb sei die Safe-Harbor-Entscheidung ungültig.

Die deutschen Datenschutzbehörden haben in einem gemeinsamen Positionspapier der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz) vom 26. Oktober 2015 klargestellt, dass eine Übermittlung von Daten, die allein auf Safe Harbor gestützt ist, durch das Urteil des Europäischen Gerichtshofs nunmehr ausgeschlossen sei. Solche Übermittlungen würden untersagt, wenn die Behörden davon Kenntnis erlangten. Neue Genehmigungen von Datenübermittlungen aufgrund von Datenexportverträgen und Unternehmensregelungen würden nicht mehr erteilt. Die Auffassung der britischen und der irischen Datenschutzbehörden, wonach das Gericht lediglich Safe Harbor für unwirksam erklärt hätte, nicht jedoch den Datenexport aufgrund von EU-Standardvertragsklauseln oder der „informierten Einwilligung“, teilen die deutschen Datenschützer nicht. Wiederholte, massenhafte und routinemäßige Datentransfers könnten durch eine Einwilligung grundsätzlich nicht mehr gedeckt werden. Das gelte insbesondere für die Daten von Beschäftigten oder von Dritten. Der Gesetzgeber wurde aufgefordert, den Datenschutzbehörden ein eigenes Klagerecht einzuräumen. Die europäischen Datenschutzbehörden einigten sich im Oktober 2015 auf eine Übergangsfrist für eine Neuregelung der Datenübertragung in die USA bis Ende Januar 2016. Nach mehrmonatigen Verhandlungen wurde das Nachfolgeabkommen EU-US Privacy Shield am 12. Juli 2016 von der Europäischen Kommission angenommen. Es konnte zwischen dem 1. August 2016 und 16. Juli 2020 angewendet werden.

Safe Harbor USA-Schweiz

Das Schweizer Staatssekretariat für Wirtschaft (SECO) und der Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) haben gemeinsam mit den USA auch für die Schweiz ein Regelwerk ausgearbeitet, welches für die darunter zertifizierten Unternehmen ein ausreichendes Datenschutzniveau gewährleisten soll.

Der EDÖB hielt fest, mit dem U.S.-Swiss Safe Harbor Framework sei mit den USA eine Grundlage geschaffen worden, die den Datentransfer mit der Schweiz und den US-Unternehmen erleichtere.

Nach dem erwähnten Urteil des Europäischen Gerichtshofs vom 6. Oktober 2015 (Rs. C-362/14) hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte eine knappe Stellungnahme veröffentlicht, worin er feststellt, auch das Abkommen zwischen der Schweiz und den USA werde durch dieses Urteil in Frage gestellt.

Siehe auch

• EU-Datenschutzreform

Literatur

• Georg Borges: Datentransfer in die USA nach Safe Harbor NJW 2015, 3617
• Alexander Genz: Datenschutz in Europa und den USA. Eine rechtsvergleichende Untersuchung unter besonderer Berücksichtigung der Safe-Harbor-Lösung (= DuD-Fachbeiträge). Deutscher Universitäts-Verlag, Wiesbaden 2004, ISBN 3-8244-2185-2 (Zugl.: Dissertation, Universität Gießen, 2004). 
• Dirk Heckmann, Tobias Starnecker: Kein Land in Sicht – das Dilemma des Safe-Harbor-Urteils. In: Juris. Die Monatszeitschrift. 2016, S. 58. 
• Robert Klecha: Datenübermittlungen in die USA nach dem Safe-Harbor-Urteil des EuGH. Eine Untersuchung unter besonderer Berücksichtigung des EU-US Privacy Shield (= Beiträge zu Datenschutz und Informationsfreiheit. Nr. 22). Dr. Kovač, Hamburg 2018, ISBN 978-3-339-10480-9. 
• Hannes Rathke:: Aktueller Begriff: Europa. Ungültigkeit der Kommissionsentscheidung zu den Grundsätzen des „sicheren Hafens“ – EuGH-Urteil in der Rs. C – 362/14 (Schrems). Hrsg.: Wissenschaftlicher Dienst des Deutschen Bundestags. Fachbereich Europa. Nr. 06/15, 9. Oktober 2015 (bundestag.de [PDF; abgerufen am 15. Oktober 2015]). 

Weblinks

• Safe Harbor – Website des US-Handelsministeriums
• Safe Harbor bietet keinen ausreichenden Schutz für den Datentransfer in die USA – Entschließung der 89. Konferenz der Datenschutzbeauftragten des Bundes und der Ländern am 18./19. März 2015 in Wiesbaden