Was steckt hinter dem Schutzschild? Entwirrung des sogenannten „EU-US Privacy Shield“ Wirrwarrs
Wenn es eine Einigung gab, warum wurde dann nichts veröffentlicht?
Dies ist die Standard Vorgehensweise der Europäischen Kommission. Sobald eine Einigung erzielt wird, veröffentlicht die Kommission eine Pressemeldung – nicht so bei dieser Einigung. Auf diese Weise kann die Kommission das Maß der zu veröffentlichen Information für die Journalisten und die Öffentlichkeit kontrollieren. Normalerweise platziert sie dann die tatsächlichen Dokumente, sobald der erste Pressezyklus vorüber ist und de Details nicht länger berichtenswert erscheinen.
Gab es überhaupt eine Einigung?
Eigentlich gab es keine. Am 2. Februar musste die Europäische Kommission irgendetwas verkünden, um die Datenschutzaufsichtsbehörden daran zu hindern, nachteilige Maß-nahmen gegen Unternehmen einzuleiten, die immer noch rechtswidrig Daten in die USA übermittelten, übermitteln und damit fortfahren.
Ist es strategisch klug, eine Einigung zu verkünden, bevor die Verhandlungen abgeschlossen sind?
Für die USA, ja, natürlich. Für die EU ist es eine strategische Katastrophe. Dadurch dass die EU Verhandlungsführer eine Einigung verkündet haben, entglitt ihnen jeglicher Einfluss auf die Details des Vertragswerks. Dadurch wurde es politisch unmöglich, irgendeinen der jetzt folgenden Vorschläge der US Seite abzulehnen, weil es nun politisch unmöglich geworden ist, die Verhandlungen noch abzubrechen, nachdem man deren erfolgreichen Abschluss verkündet hat.
Gibt es noch wichtige offene Fragen?
Ja. Die USA waren so sicher, sie könnten die EU überreden, die Verhandlungen aufzugeben, dass sie den sogenannten Schein-‚Cyber-Security Act‘ verabschiedeten. Nach diesem Gesetz wurde auch eine Vorschrift verabschiedet, die Internet-Unternehmen (freiwillig oder unter Zwang) dazu verpflichtet, auf geheimen Wegen persönliche Daten US-Behörden offen zu legen. Dies steht im direkten Gegensatz zu der Entscheidung des Europäischen Gerichtshofes vom 6.10.2015.
Gleichermaßen ist das oben genannte und unveröffentlichte ‚Privacy Shield‘- Abkommen weitgehend lückenhaft und bedarf jetzt schon einer Neu- Verhandlungen, ehe es je verabschiedet wird. Aber die EU hat keinerlei Druckpotential, diese Nachverhandlungen zu fordern. Hinzu kommt noch, dass der entscheidende Juridical Redress Act‘, beschlossen durch den US Senat, bedeutet, dass Personen außerhalb der USA nur dann Ansprüche geltend machen können, wenn ihre jeweilige Regierung ausreichend Daten an die US Behörden liefert.
Welche Auslegung greift?
Ein weiteres zentrales Problem entsteht durch eine unterschiedliche Auslegung dessen, was mit „Erhebung“ gemeint ist. Nach der derzeitigen US Vorgehensweise begründet die „Erhebung“ von Daten von EU Bürgern noch keine „Verarbeitung“ derselben und ist daher zulässig. Demgegenüber ist die EU Vorgehensweise die, dass das „Erheben“ von Daten von EU Bürgern bereits „Verarbeitung“ derselben ist und sie daher ausgenommen sind.
Soll es dabei genügen, dass die EU Kommission diese Einigung jährlich überprüfen wird?
Unter dem rechtswidrigen Safe Harbor Abkommen sollte die Kommission bis zum Juli 2003 eine Evaluierung vorlegen. Sie hielt diese Frist nicht ein und überschritt sie um 15 Monate. Teilweise wurde die Verzögerung damit begründet, dass es einen erheblichen Aufwand bedeutete, diejenigen Nachweise zu (er-)finden, die das Funktionieren des tatsächlich versagenden Vertrages bestätigen. Niemand machte die Kommission dafür verantwortlich, dass sie ihre Fristen nicht einhielt.
Gleichermaßen sollte die Kommission für die EU Vorratsdatenspeicherungs-Richtlinie einen Umsetzungsbericht bis zum September 2010 vorlegen. Dieser Bericht wurde dann 6 Monate später veröffentlicht. Auch hier machte niemand die Kommission dafür verantwortlich, dass sie ihre Fristen nicht einhielt.
Aber die EU Kommission wird in der Lage sein, das Privacy-Shield-Abkommen auszusetzen, wenn sie den Eindruck gewinnt, dass es nicht respektiert wird?
Als die Kommission im Jahre 2013 (höchst wahrscheinlich bereits seit 2004) erkannte, dass das Safe Harbor Abkommen EU Grundrechte nicht zu schützen vermochte, hätte sie schon damals das Abkommen aussetzen können und sollen. Die politische Entscheidung ging in die gegenteilige Richtung und die Kommission wurde für diese Pflichtverletzung nie zur Verantwortung gezogen.
Nachdem nun dieses Privacy-Shield-Abkommen ausgehandelt ist, wird es politisch umso schwieriger, das Abkommen auszusetzen. Es ist völlig aussichtslos, dass die Kommission, dieses Abkommen jemals aussetzen wird.
Aber wenigstens wird es keinerlei Massenüberwachung mehr geben?
Es ist schon richtig, dass es ein paar bemerkenswerte Reformen in den USA gab – auch wenn sie einige recht merkwürdige undemokratische Vorgehensweisen festschrieben. So haben zum Beispiel nach einer US Reform die US Behörden zugesagt, Gesetze, nachdem sie verabschiedet wurden, nicht mehr anders auszulegen. Dennoch bleiben ein paar ganz grundsätzliche Probleme bestehen durch die Maßnahmen der Massenüberwachung nach Abschnitt 702 des Foreign Intelligence Surveillance Act (FISA) und der Ausführungsbestimmung 12.333 hierzu. Es drängt sich eine einfache Frage auf:
• Solange die gesamte Gerichtsbarkeit die Umsetzung von FISA übersieht und „systematisch in die Irre“ geführt werden kann,
• wenn die Urheber des Patriot Act beklagen, dass der Gesetzgeber missbraucht wurde,
• wenn eine Gruppe von Kongress-Abgeordneten glaubhaft den Geheimdienstdirektor des „Meineides“ bezichtigen kann,
wie kann dann ein Nicht-US-Bürger sich auf Briefe verlassen, die ein scheidender US-Präsident unterzeichnet?
Aber wenigstens wird es eine Kontrolle der geschäftsmäßigen Auswertung von personenbezogenen Daten geben?
Nicht wirklich.
• Sollte ein Einzelner herausfinden, was eine Datenschutz-Politik bedeutet,
• und dann Auskunft erhalten kann, wie auf der anderen Seite des Atlantiks seine Daten verarbeitet werden,
• unter einer ganz anderen Gerichtsbarkeit
dann wird er einige – nicht sehr klar, welche – Möglichkeiten besitzen. Hierzu gibt es eine Auflistung von Fakten des US Handelsministeriums, die eher irritierend sind. Einleitend spricht es von „strenger Umsetzung“, ohne dass im Text je von konkreter proaktiver Umsetzung gesprochen wird, danach nimmt er – in undeutlicher Sprache – auf eine „Erarbeitung von Lösungen“ Bezug.
Von Joe McNamee, EDRi,
aus dem Englischen von Roland Schäfer