Bußgeldverfahren gegen Firmen wegen Weiterverwendung der Safe-Harbor-Regeln

Das Safe-Harbor-Abkommen für den transatlantischen Datenaustausch ist nicht mehr gültig. Trotzdem agieren Firmen offenbar nach den veralteten Regelungen. Hamburgs Datenschutzbeauftragter Johannes Caspar hat deshalb ein Bußgeldverfahren gegen mehrere Firmen in der Hansestadt eingeleitet, die gewerblichen Datenverkehr in die USA betreiben. Betroffen seien deutsche Töchter von US-Firmen, erklärte ein Sprecher von Caspar am 24.02.2016. Gegen zwei weitere Unternehmen würden Sanktionen noch geprüft.

Bußgeld bis zu 300.000 Euro möglich

Die von dem Bußgeldverfahren betroffenen Firmen hatten nach Angaben von Caspars Sprecher Daten über Server und per E-Mail ausgetauscht. Hinweise, nach denen die Dienste von Drittanbietern genutzt wurden, habe der Datenschutzbeauftragte bislang nicht. Weil es sich um ein laufendes Verfahren handele, könne er keine Details zu den Unternehmen nennen, so Caspar. Ihnen drohe bei vorsätzlichen Taten ein Bußgeld von bis zu 300.000 Euro. Die beschuldigten Betriebe sollten zunächst angehört werden. Erst danach werde gegebenenfalls ein Bußgeldbescheid erlassen.

Firmen kümmerten sich nicht um angepasstes Vorgehen

Den bisherigen Rechtsrahmen "Safe Harbor“ für den Transfer von Daten zwischen der Europäischen Union und den USA ist seit einem Urteil des Europäischen Gerichtshofs von Oktober 2015 nicht mehr in Kraft (NJW 2015, 3151). Die Richter sahen die Informationen in den Vereinigten Staaten nicht ausreichend vor dem Zugriff durch Geheimdienste geschützt. Der Richterspruch zur "Safe Harbor“-Regelung betrifft Unternehmen, die gewerblich Daten verarbeiten. Sie müssen sich, was den Schutz der Informationen angeht, an EU-Regeln halten. Heißt: Werden die Daten deutscher Nutzer im Ausland gespeichert, gilt der von der EU festgelegte Rechtsrahmen. Weil die bisherige Regelung nicht mehr gültig ist, hätten die betroffenen Firmen den Datentransfer in die USA aussetzen müssen oder einen eigenen Rechtsrahmen mit den US-Unternehmen nach den inhaltlichen Vorgaben der EU aushandeln müssen.

Caspar moniert lasche Einstellung zum Datenschutz

Auch Monate nach dem Urteil hätten die Firmen ihren Datenverkehr nicht umgestellt oder eine andere Rechtsgrundlage für den transatlantischen Datenaustausch geschaffen, moniert der Hamburger Datenschützer. Anfang Februar 2016 hatten sich die EU-Kommission und die USA zwar grundsätzlich auf einen Nachfolger von "Safe Harbor“ mit dem Namen "EU-US Datenschutzschild“ ("EU-US Privacy Shield“) geeinigt. In Kraft getreten ist diese Vereinbarung aber noch nicht. Details sollen noch ausgearbeitet werden. Zudem fehlt bislang die Zustimmung des EU-Parlaments.