Safe Harbor gesunken — wer fischt jetzt im Trüben?
Der Draht nach Übersee hat einen Kurzschluss. Der Europäische Gerichtshof hat das Safe-Harbor-Abkommen für tot erklärt — und damit jene Brücke eingerissen, über die seit Jahren persönliche Daten von EU-Bürgern in US-Server strömten. Maximilian Schrems, ein Österreicher mit zu viel Aktenmappe und zu wenig Geduld, hat das eingefädelt. Sein Anliegen: Facebook-Daten, die in Irland lagern, aber von amerikanischen Behörden abgeschöpft werden. PRISM, UPSTREAM — Programme, die nicht der Schutzbrille, sondern dem Fangnetz dienen.
Was bleibt, ist ein Trümmerfeld aus Verträgen. Die EU-Grundrechtecharta war bisher Kulisse, jetzt wird sie Hammer. Richter in Luxemburg haben entschieden, dass die Zusicherungen der USA — Buchstaben auf Papier, mehr nicht — nicht ausreichen, wenn die NSA im Hintergrund fischt. Was hier kollidiert, ist kein technisches Problem. Es ist ein Kampf zweier Rechtssysteme: hie strenger Grundrechtsschutz, dort Überwachungsapparat mit globalem Hunger.
Die Profiteure? Ganz klar Big Tech. Solange Safe Harbor stand, durften Konzerne wie Facebook und Google Daten legal über den Atlantik schaufeln — ohne sich um europäische Standards scheren zu müssen. Nun müssen sie nachweisen, dass ihre Empfänger in den USA tatsächlich schützen, was die EU schützen will. Due Diligence nennt man das. Klingt sauber, ist in der Praxis ein Papierkrieg, den kleine Anbieter verlieren, während die Großen Anwaltskanzleien bezahlen.
Unter der neuen GDPR-Architektur gibt es Auswege: Angemessenheitsentscheidungen, Standardvertragsklauseln, bindende Unternehmensregeln. Werkzeuge, ja — aber wer bedient sie? Das Schrems-II-Urteil verschärft die Prüfung. Nachweisen muss der Datenexporteur, nicht der Importeur. Die Beweislast liegt beim Absender.
Unklar bleibt, wie viele Unternehmen tatsächlich ihre Datenflüsse umgebaut haben — und wie viele weiterhin im Nebel operieren, weil Kontrolle teuer ist, Vertrachen billig.