MS „Facebook“ trotz „Privacy Shield“ im „Safe Harbour” versenkt – schon wieder Niederlage vor EuGH

Der Europäische Gerichtshof hat erneut die Datentransfer-Regeln zwischen Europäischer Union und den USA für nichtig erklärt. Damit hat die österreichische Datenschutzorganisation „Noyb“ zum zweiten Mal gegen den US-Datenkonzern Facebook obsiegt. Der wehrt sich seit Jahren dagegen, die Weitergabe von Daten europäischer Nutzer in die USA zu stoppen.

Zum zweiten Mal mussten sowohl die Europäische Kommission (EU) als auch der US-Datenkonzern Facebook eine Niederlage vor dem Europäischen Gerichtshof (EuGH) hinnehmen. Die österreichische Datenschutzorganisation „Noyb – None Of Your Business“ (Das geht Dich nichts an) hatte dagegen geklagt, dass unter dem Schutz des sogenannten „Privacy Shield“ (offiziell: Datenschutzschild) persönliche Daten europäischer Facebook-Nutzer an US-Behörden weitergegeben werden.

Der Gang durch die Gerichte beginnt 2011

2013 erreichte den EuGH zum ersten Mal eine Klage wegen des Datentranfers zwischen der EU und den USA. Max Schrems, der die Organisation „Noyb“ 2017 gründete, hatte zuvor im Jahr 2011 für Furore gesorgt, als er von Facebook Auskunft darüber verlangte, welche Daten von ihm gespeichert wurden. Der US-Konzern dachte damals möglicherweise, er habe es mit einem normalen Jurastudenten zu tun, den man herablassend behandeln könne. Schrems wurden mehr als 1000 bedruckte Seiten ausgehändigt. Doch das stachelte den Ehrgeiz des seinerzeit angehenden Juristen nur noch mehr an. Denn Schrems fand in dem Papierberg Daten, die er eigentlich schon gelöscht hatte. Dagegen waren Daten, bei denen er sicher davon ausgehen konnte, dass Facebook sie gespeichert hatte, angeblich nicht vorhanden. 

Schrems zeigte den US-Datenriesen bei der irischen Datenschutzbehörde DPC an, wegen Verstoß gegen die Datenschutzbestimmungen der EU. Facebook hat seinen europäischen Sitz in Irland. Die DPC verweigerte hartnäckig Akteneinsicht, verzögerte in jeder nur denkbaren Art und Weise einen schnellen Fortgang des Verfahrens und bescheinigte Facebook die Einhaltung aller Bestimmungen. Dies betraf insbesondere das sogenannte „Safe Harbour“-Abkommen zwischen der EU und den USA.

Selbst als der Whistleblower Edward Snowden 2013 die Welt schockierte, in welch gewaltigem Ausmaß der US-Geheimdienst NSA und der britische Geheimdienst GCHQ in der elektronischen Kommunikation von Abermillionen Menschen herumschnüffeln, sah die EU keinen Anlass, ihre Bürger gegen den Zugriff von US-Geheimdiensten auf ihre persönlichen Daten zu schützen. Obwohl bekannt wurde, in welchem Umfang auch die Server von Facebook, Google und anderen für die Internetkommunikation essentiell wichtigen Unternehmen kontrolliert werden. 

Schrems erweiterte daraufhin seine Anzeigen gegen Facebook bei der DPC. Die entschied, seine Beschwerde nicht zu bearbeiten. Schrems klagte. Das Ganze landete beim EuGH, der 2015 die „Safe Harbour“-Vereinbarung kurz und bündig als „rechtswidrig“ beerdigte. Eine Blamage für die EU, die dennoch mit den USA eilig eine Nachfolgeregelung aushandelte, den sogenannten Privacy Shield, von dem Kritiker schon bei seiner Einführung bemängelten, er sei de facto ein erneuter Kniefall vor den Forderungen der USA. 

Weil der sowohl systematische als auch subtile Widerstand von Facebook, DPC und EU-Kommission gegen die Bemühungen von Max Schrems und seinen Unterstützern viel Zeit und enorme Ressourcen kostete, was als „Zermürbungstaktik“ möglicherweise Teil der Prozessstrategie von Facebook sein könnte, gründete Schrems 2017 „Noyb“ und sammelte dafür viele Spenden von Tausenden Menschen, die ihn bereits bei einer anderen Klage in Österreich unterstützt hatten, die letztlich scheiterte, weil der auch in dieser Angelegenheit angerufene EuGH urteilte, dass Österreich für eine Klage gegen Facebook in Irland nicht zuständig sei.

Also konzentrierte sich „Noyb“ auf den EU-Sitz von Facebook in Irland. Dort bemängelte die Organisation erneut die illegale Weitergabe personenbezogener Daten von EU-Bürgern an US-amerikanische Behörden durch Facebook. Ein irisches Gericht rief den EuGH als Streitschlichter an, und der stellte nun abermals fest, dass auch der „Privacy Shield“ nicht mit dem Recht der EU vereinbar ist. Denn, so urteilten die Richter in Luxemburg, personenbezogene Daten von EU-Bürgern dürfen nur dann außerhalb des Unionsgebietes transferiert werden, wenn ihr Schutz auf dem gleichen Niveau wie in der EU gewährleistet ist. 

Erste Medienreaktionen auf das Urteil, die behaupteten, die Datenweitergabe in die USA sei für Facebook weiterhin legal, wenn es sich um sogenannte Standardverträge (SCC) handelt, bewogen die Organisation „Noyb“ zu einer raschen Klarstellung. Auf der Internetseite der Organisation lässt sich nachlesen:

Als „diese Überwachungsgesetze“ ist vor allem der US-amerikanische „Foreign Intelligence Surveillance Amendments Act – FISA“ von 2008 anzusehen, unter dessen Paragraph 702 die genannten IT-Unternehmen fallen. 

Für Facebook und die Europäische Union ist das Urteil inzwischen mehr als nur eine Blamage, sondern ein Desaster, weil es all das weihevolle Gerede vom Schutz der Privatsphäre der Bürger in der EU im Vergleich zu angeblichen oder tatsächlichen Unrechtsstaaten erneut als reine Propaganda entlarvt. Abgesehen von den Beteuerungen, jeder Bürger könne sich mit den Mitteln des Rechtsstaates gegen Willkür von mächtigen Weltkonzernen wehren.

Max Schrems hat in einer Reaktion  auf das nunmehrige Luxemburger Urteil nachdenklich festgestellt:

Mit welchen Methoden Konzerne wie Facebook auftreten, um lästige Kritiker einzuschüchtern oder auszumanövrieren, erfuhr Schrems 2014. Der Konzern, der noch drei Jahre zuvor meinte, dem damaligen Jurastudenten seine angeforderten persönlichen Daten in Form eines Paketes von mehr als 1000 Blatt zu übergeben, sozusagen als Stinkefinger in Papierform, der gleiche Weltkonzern reagierte 2014 denkbar unsouverän und genervt, als er dem Datenschutzaktivisten untersagte, für sein Buch „Kämpfe um Deine Daten“ auf seinem Facebook-Konto zu werben, weil dies „gegen die Geschäftsbedingungen“ verstoße.