Mit dem EU-US Privacy Shield haben die EU-Kommission und die USA einen neuen Rechtsrahmen für den transatlantischen Datenaustausch vereinbart, nachdem im Oktober 2015 die bis dahin gültige Safe-Harbor-Regelung vom Europäischen Gerichtshof (EuGH) kassiert worden war. Hintergrund waren die Schnüffeleien der US-Geheimdienste, vor denen Safe Harbor die europäischen Unternehmen nicht angemessen sicherte.
Das Privacy Shield sieht nun vor, dass die amerikanische Federal Trade Commission (FTC) US-Unternehmen kontrolliert, die Daten aus Europa verarbeiten. Verstoßen diese Firmen gegen bestimmte Datenschutzstandards, drohen Sanktionen. Außerdem sollen sich Konsumenten und Unternehmen, die sich in ihren Datenschutzrechten verletzt fühlen, an einen unabhängigen Ombudsmann wenden können. Eine massenhafte Überwachung von Daten, die unter den neuen Regeln ausgetauscht werden, ist damit nach Ansicht der Verhandlungspartner ausgeschlossen. Noch ist das Abkommen nicht rechtsgültig: Vertreter der EU-Staaten und des Europaparlaments müssen es noch prüfen.
Verbände und Politiker sind happy
Bundesinnenminister Thomas de Maizière und wichtige ITK-Fachverbände begrüßten das Abkommen. Der Minister sagte, es sei ein "wichtiger Schritt in Richtung auf Regeln, die für alle diesseits und jenseits des Atlantiks gelten". Dass die Amerikaner einem Ombudsmann und gemeinsamen Berichtspflichten zugestimmt hätten, sei ein großer Fortschritt.
Der Bitkom betonte, EU-Bürger erhielten im Rahmen des Privacy Shield Möglichkeiten, sich gegen unbefugte Zugriffe auf ihre Daten zu wehren. In einem Beschwerdeverfahren könnten sie - mit Unterstützung des Ombudsmanns - gegen Datenschutzverstöße vorgehen.
Viel skeptischer äußerten sich indes Datenschützer und Bürgerrechtsorganisationen. Aus ihrer Sicht fehlt es dem Abkommen an Verbindlichkeit, Transparenz und Kontrolle. Die Deutsche Vereinigung für Datenschutz (DVD) monierte, dass hier ungelegte Eier bejubelt würden. Die wesentlichen Verhandlungen über konkrete Vereinbarungen ständen noch bevor. Zwar hätten die USA der EU-Kommission schriftlich zugesichert, dass der Datenzugriff durch nationale Sicherheits- und Strafverfolgungsbehörden eingeschränkt und beaufsichtigt werden soll, doch gebe es dafür bislang kein Gesetz. Vor dem Hintergrund, dass die US-Regierung im letzten Jahr ihrer Amtszeit stehe, sei diese Zusicherung nichts wert, urteilte Werner Hülsmann, stellvertretender Vorsitzender der DVD.
Formloser Austausch von Briefen
Wenig überraschend äußerte sich auch Deutschlands schärfster Datenschützer, der für Schleswig-Holstein zuständige Thilo Weichert, kritisch. Wie die noch zu schaffende Behörde eines "Ombudsmanns" aussehen solle, bei dem Beschwerden zu Übergriffen von Geheimdiensten auflaufen können, sei völlig unklar. Die Position sei "rechtlich unsinnig". Weichert sagte in einer Mitteilung der DVD, deren Vorstandsmitglied er ist: "Bei Grundrechtseingriffen, um die es sich bei den Zugriffen der US-Geheimdienste handelt, bedarf es eines rechtsstaatlichen Kontrollverfahrens." Die geplante Regelung reiche nicht aus, um für europäische Bürger einen wirksamen Schutz ihrer Grundrechte zu gewährleisten.
Ein Scheitern würde allen schaden
Die DVD-Datenschützer glauben auch nicht, dass der Europäische Gerichtshof das EU-US Privacy Shield in der jetzigen Form akzeptieren wird. Die Vereinbarung werde dem "Grundrecht auf Achtung des Privatlebens" nicht gerecht. Käme es nun wieder zu einem Richterspruch gegen eine transatlantische Einigung, würde das die globale Wirtschaft treffen.
Für die EU-Kommission sicherlich unangenehm ist, dass sich mit der "Artikel-29-Datenschutzgruppe" (Article 29 Working Party oder WP 29) auch das unabhängige Beratungsgremium der Kommission kritisch äußerte. Das Gremium, das die europäischen Datenschützer vertritt, hatte mit Frist zum 31. Januar 2016 - dem Tag, an dem das Safe-Harbor-Abkommen ungültig wurde - eine Lösung für die Umsetzung der datenschutzrechtlichen Vorgaben des EuGH-Urteils verlangt.
In einer Pressekonferenz teilte die WP29-Vorsitzende Isabelle Falque-Pierrotin nun mit, sie habe bisher zu der Vereinbarung nur mündliche Mitteilungen von Kommissionsmitgliedern erhalten, aber keine Dokumente gesehen. Bis Ende Februar erwarte sie volle Einsicht in die Dokumente, außerdem müsse deren rechtliche Verbindlichkeit dann überprüft werden.
Foto: Article 29 Working Party
Generell bekräftigte Falque-Pierrotin, dass es verbindliche, transparente und einklagbare Garantien für den Umgang der US-Geheimdienste mit den Daten europäischer Bürger in den USA geben müsse - ansonsten sei ein Datentransfer in die USA nicht möglich. Deshalb seien die Datenschützer von Ende Februar an bereit zu prüfen, ob der Privacy Shield ihre Bedenken hinsichtlich der Datenverarbeitung durch die US-Geheimdienste ausräume.
Safe Harbor ist jetzt illegal
Falque-Pierrotin sagte, eine Verwendung von Safe Harbor über den 31. Januar 2016 hinaus sei ganz klar illegal. Eine entsprechende Strafverfolgung könne von den nationalen Datenschutzorganisationen in der EU initiiert werden. Unternehmen, die Datentransfers in die USA mit der juristischen Grundlage der "Standardvertragsklausel" oder den "Binding Rules" abgesichert haben, agierten derzeit in einer rechtlichen Grauzone. Erst wenn die rechtlichen Grundlagen für Privacy Shield klar seien, könne geklärt werden, wie es damit weitergehe.
Die WP29-Sprecherin machte deutlich, dass die europäischen Datenschützer über das Privacy Shield letztendlich nicht mehr wüssten als die Öffentlichkeit. Sie seien in die Verhandlungen nicht involviert gewesen. Die EU-Kommission werde innerhalb der nächsten drei Wochen die fertigen Dokumente vorlegen, anhand derer die Vereinbarung überprüft werden könne. Das könne bis April 2016 dauern.