EU will wieder einen sicheren Datenhafen

Heute morgen haben wir erwähnt, dass die EU-Kommission klargemacht hat, Vereinbarungen wie Safe Harbour und die Verhandlungen zu dem geplanten Freihandelsabkommen würden aufgrund des NSA-Skandals vorerst nicht ausgesetzt. Bezüglich des Safe-Harbour-Abkommens gibt es einen separaten Bericht.

Safe Harbour regelt im Wesentlichen die Voraussetzungen für eine legale Datenübermittlung personenbezogener Daten aus der EU in die Vereinigten Staaten. Das heißt, mit Unternehmen, die Datenschutzbestimmungen auf EU-Niveau besitzen, dürfen Daten ausgetauscht werden. Seit Jahren schwelt die Kritik an diesem Abkommen. Zum zehnten Geburtstag im Jahr 2010 wurde an dieser Stelle „Kündigen und neu verhandeln, um unsere Datenschutzrechte besser zu sichern“ gefordert.

Hunderte Unternehmen nehmen trotz fehlender Zertifizierung den Safe-Harbour-Status für sich in Anspruch. Auch US-Behörden griffen unter Berufung auf Safe Harbour auf personenbezogene Daten europäischer Bürger zu, wie etwa die Antwort der Bundesregierung auf eine Anfrage der SPD-Bundestagsfraktion aus dem Jahr 2010 mit Bezug auf ein EU-US-Datenschutzabkommen belegt:

Es ist schon heute absehbar, dass eine Einbeziehung von Daten europäischen Ursprungs, die unter „Safe Harbour“ in die Vereinigten Staaten von Amerika übermittelt wurden und dort dem Zugriff von US-Behörden ausgesetzt sind, völkerrechtliche Fragen der territorialen Souveränität aufwerfen würde, welche einer erfolgreichen Einigung im Wege stehen könnten.

Safe Harbour ist also nicht wirklich „safe“. Aufgrund des bekanntermaßen fragwürdigen Umgangs der USA mit Personendaten sieht die Kommission nun auch Handlungsbedarf, Safe Harbour wieder in vertrauenswürdigere Gewässer zu verlegen und das Datenschutzniveau beim Austausch von Personendaten zwischen Europa und den USA anzuheben – dazu werden in dem Kommissionsbericht 13 Handlungsempfehlungen gegeben, deren Umsetzung im Sommer 2014 überprüft werden soll:

Im Bereich Transparenz wird gefordert, dass die Safe-Harbour-Zertifizierung eines Unternehmens einfacher nachvollziehbar wird, die exakten Datenschutzbedingungen einfach und lesbar auf der Unternehmenswebseite zu finden sind und auch die Bedingungen von dritten Vertragspartnern einschließen. Durch eine vom Handelsministerium geführte, offizielle Liste der Unternehmen, die die Safe-Harbour-Bedingungen erfüllen beziehungsweise noch nicht erfüllen, soll der Verbraucher größere Sicherheit bekommen.

Schlichtungsverfahren zur Geltendmachung von Entschädigungen sollen einfacher zugänglich und nicht mit zusätzlichen Kosten für den geschädigten Kunden verbunden sein. Die Anbieter von Schlichtungsmaßnahmen sollten ihrerseits regelmäßig vom Handelsministerium überprüft werden.

Um eine bessere Durchsetzung der Safe-Harbour-Prinzipien zu erwirken soll es auch außerplanmäßige Kontrollen geben. Bei Verstößen müssen Nachkontrollen durchgeführt und die EU-Datenschutzaufsicht informiert werden.

Es muss deutlich gemacht werden, inwiefern US-Behörden Zugriff auf die Personendaten bekommen könnten und sichergestellt werden, dass sich die Ausnahmen in Fällen der nationalen Sicherheit auf ein Minimum beschränken.

Ließen sich die Empfehlungen der Kommission durchsetzen, würde das Datenschutzniveau ohne Zweifel steigen. Inwieweit das, auch angesichts des sehr ambitionierten Zeitrahmens von nur etwas mehr als einem halben Jahr, realistisch ist, muss abgewartet werden. Aber Viviane Reding, der EU-Kommissarin für Justiz, Grundrechte und Bürgerschaft scheint es ernst zu sein, The Guardian gegenüber sagte sie:

Es besteht jederzeit die Möglichkeit, Safe Harbour fallenzulassen … Es ist wichtig, dass die USA auf diese Empfehlungen bis Sommer 2014 eingehen. Der nächste Sommer ist ein Damoklesschwert. Das ist eine echte To-Do-Liste. Die Umsetzung ist absolut entscheidend. Safe Harbour darf nicht nur eine leere Hülle sein.

Wir werden weiterverfolgen, ob den Worten Taten folgen.