Schrems I

TL;DR

Schrems I war ein Fall, der den Europäischen Gerichtshof erreichte. Benannt nach Max Schrems, beruhte er auf der Behauptung, dass im Rahmen des PRISM-Programms der NSA, das Edward Snowden der Öffentlichkeit enthüllte, US-Unternehmen nicht in der Lage seien, einen angemessenen Schutz personenbezogener Daten zu gewährleisten. Daher wurde entschieden, dass es gemäss der europäischen Datenschutzrichtlinie nicht legal sei, persönliche Daten zwischen der EU und den USA zu übermitteln. Dies führte zur Ungültigkeitserklärung der Safe-Harbor-Vereinbarung und hatte schwerwiegende Auswirkungen auf die Aktivitäten mehrerer Unternehmen.

Was ist mit Schrems I gemeint?

Schrems I ist die allgemeine Bezeichnung für ein datenschutzrechtliches Gerichtsverfahren vor dem EuGH. Es ist nach Max Schrems benannt, einem österreichischen Aktivisten, der eine Klage gegen Facebook einreichte und argumentierte, dass das Unternehmen keine angemessenen Maßnahmen zum Schutz seiner persönlichen Daten gewährleisten könne, da diese von der EU in die Vereinigten Staaten übermittelt würden.

Der Fall begann 2013 in Irland, dem Hauptsitz von Facebook in Europa, mit einer Beschwerde beim irischen Datenschutzbeauftragten. Der Fall eskalierte und erreichte 2015 den EuGH, da Max Schrems mit der Antwort, die er erhielt, nicht zufrieden war, und reichte daraufhin eine Beschwerde gegen den Datenschutzkommissar selbst ein. Der Europäische Gerichtshof entschied im Oktober 2015 zugunsten von Schrems.

Was waren die Folgen von Schrems I ?

Dies bedeutete, dass ein ganzes transnationales Abkommen zwischen der EU und den USA, der so genannte "Safe Harbor", automatisch außer Kraft gesetzt wurde. In der Praxis war es nicht mehr möglich, die Daten europäischer Bürger in die USA zu übermitteln, da die USA keine ausreichenden Datenschutzstandards gewährleisten konnten. Dies geschah im Zusammenhang mit dem PRISM-Skandal der NSA, der zeigte, dass die US-Behörde ohne jegliche Zustimmung auf private Daten zugriff.

Daher waren alle Unternehmen, die geschäftlich mit Daten von EU-Bürgern zu tun hatten, nicht mehr durch den Safe Harbor geschützt, und eine Zeit lang war es für sie illegal, persönliche Daten zu verarbeiten. Dies hätte große Auswirkungen auf mehrere Unternehmen gehabt. Jedes Unternehmen musste nun überlegen, ob einfache Prozesse wie der Zugriff von Benutzern auf ihre Webseiten dazu führen könnten, dass ihre persönlichen Daten (IP, Standort, andere in Cookies gespeicherte Daten) illegal in die USA übertragen würden. Dies war der Fall, wenn besagte Webseiten Apps von US-Drittanbietern wie z.B. Google Analytics verwenden.

Obwohl die EU und die USA an einem späteren Abkommen, dem so genannten Privacy Shield, arbeiteten, wurde auch dieses im Jahr 2020 außer Kraft gesetzt, nachdem eine weitere Beschwerde desselben Mannes zum Fall Schrems II führte.