USA sind kein „sicherer Hafen“ – und Hamburg auch nicht

Frachtschiff_Hamburg1deutsche Konzerntöchter müssen Bußgelder zahlen

Der Europäische Gerichtshof für Menschenrechte erklärte am 24.September 2015 das Safe-Harbor-Abkommen für ungültig. „Safe Harbor“ waren Richtlinien des us-amerikanischen Handelsministeriums, denen sich us-amerikanische Firmen freiwillig unterwerfen konnten und damit datenschutzrechtlich mit europäischen Firmen gleich gestellt waren – ein großer Vorteil, wenn man personenbezogene Daten möglichst einfach über den großen Teich transferieren möchte.

Das EuGH-Urteil wurde von Max Schrems angestrengt, der seine personenbezogenen Daten bei facebook als nicht ausreichend geschützt ansah und sich daher an die Irländische Datenschutzbehörde wenden musste, wo Facebook seine europäische Hauptniederlassung hat. Die Behörde konnte ihm sein Recht auf Auskunft aber auch nicht verschaffen und so gelangte die Sache an den EuGH.

Mit der Ungültigkeit von Safe-Harbor mussten Unternehmen, die ihre Daten in den USA verarbeiten (lassen) diese Verarbeitungen auf eine andere rechtliche Basis stellen; Möglichkeiten des legalen Datentransfers in die USA existieren ja nach wie vor (sogenannte „Standardvertragsklauseln“ oder die Genehmigung des Datentransfers durch die Datenschutzbehörde); im „schlimmsten“ Fall mussten die Server an einen europäischen Standort übersiedelt werden.

Nun bekommen einige Unternehmen, die das EuGH-Urteil nicht weiter beachtet und ihre Datenverarbeitungen weiterhin wie gehabt vollzogen haben, die Rechnung präsentiert. Der Hamburger Datenschutzbeauftragt Johannes Caspar forderte nach einer Vorwarnung und dem Versuch der Kontaktaufnahme mit den betroffenen Großunternehmen – vorwiegend Töchter von us-amerikanischen Konzernen –  Konsequenzen, wie der Spiegel berichtete. Die meisten betroffenen Firmen wechselten auf Standardvertragsklauseln, einige arbeiteten weiter wie bisher. „Es handelt sich um große, international tätige Unternehmen, bei denen man davon ausgeht, dass sie umfassend datenschutzrechtlich beraten werden und die wissen, dass Safe Harbor nicht mehr gilt„, sagte Caspar. „Unsere Frist war bekannt.“ Adobe, Punica und Uniqa müssen nun wegen erfolgter unzulässigen Datenübermittlungen von MitarbeiterInnen- und KundInnendaten in die USA Bußgelder zwischen 8.000 EUR und 11.000 EUR zahlen.

Dass eine deutsche Behörde hier Strafen einheben kann, mag gelernte ÖsterreicherInnen erstaunen. Grund hierfür ist die unterschiedliche Gesetzeslage. Während die deutschen Datenschutzbehörden dazu berechtigt sind, Sanktionen einzuheben (und das beispielsweise in Hamburg und Schleswig-Holstein auch medienwirksam tun), ist die österreichische Behörde dazu nicht berechtigt. Hierzulande müsste ein Landesgericht erster Instanz eine Strafe verhängen – und hat es bislang nicht getan.

Mit der neuen europäischen Datenschutzgrundverordnung wird es ab 2018 auch in Österreich Aufgabe der Datenschutzbehörde sein, Beschwerden anzunehmen selbst wenn die Konzernzentale anderswo angesiedelt ist und im Falle des Falles Strafen zu verhängen – und die wurden bekanntlich bemerkenswert erhöht.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

+ 60 = 66