Die Haltung Deutschlands zum Datenaustausch mit Drittstaaten

Am 23. und 24. Januar 2014 haben sich die Justiz- und Innenminister der europäischen Länder zu einem informellen Rat in Athen getroffen. Auf der Tagesordnung standen die europäische Datenschutzgrundverordnung und angesichts der Entwicklungen mit den USA vor allem Regelungen zur Datenübermittlung in Drittstaaten, wie die Safe-Harbor-Vereinbarung.

Deutschland, das vom  Parlamentarischen Staatssekretär des Innenministeriums, Ole Schröder, vertreten wurde, brachte einem Nachbericht zu Folge erneut den zu Safe Harbor konträren Vorschlag ein, die kommende Datenschutzgrundverordnung um Artikel 42a zu ergänzen. Dieser wurde letztes Jahr schon einmal vom damaligen Innenminister Friedrich vorgebracht und beinhaltet, dass Datenübermittlungen an Drittstaaten den Datenschutzaufsichtsbehörden gemeldet und von diesen genehmigt werden müssen, wenn sie nicht als Rechts- oder Amtshilfe gelten. Die EU-Kommission sieht diesen Bedarf jedoch nicht und verteidigt das „Angemessenheits“-Prinzip.

Das bedeutet, wenn die Kommission für ein Drittland ein angemessenes Datenschutzniveau bestätigt, können Übermittlungen ohne weitere Hindernisse wie in europäische Länder vorgenommen werden. Das ist nicht identisch mit Safe Harbor, es besteht nämlich das Problem, dass die USA keine explizite, kodifizierte Datenschutzgesetzgebung für ihre Unternehmen haben, sondern auf Basis von Selbstverpflichtungserklärungen operieren. Angemessenheit kann also per Definition nicht für die USA gelten, daher dient Safe Harbor als „Workaround“, bei dem einzelne Firmen sich offiziell einem europäischen Schutzniveau verpflichten und dafür beim Handelsministerium der USA registriert werden.

Die EU-Kommission verharrt also weiterhin auf ihrem Standpunkt, Safe Harbor aufrechtzuerhalten. Und zwar zumindest so lange, bis im Sommer 2014 geprüft wird, ob die 13 Handlungsempfehlungen an die USA umgesetzt werden, die Ende November letzten Jahres gestellt wurden. Das EU-Parlament teilt diese Haltung nicht, das macht auch der Berichtsentwurf zu den Anhörungen aufgrund der Überwachungsaffäre klar und geht aus einem Debriefing zu einem EU-US-Datenschutzabkommen aus Anlass einer Referentensitzung am 30. Januar hervor. Dort wird auch darauf verwiesen, dass die Kommission auch auf die EU-US-Ministergespräche warten wolle, die Ende Februar und im März stattfinden werden, bevor man Vorschläge zu einer Ausgestaltung einer konkreten Regelung an die Mitgliedsstaaten gebe.

Interessant vor diesem Hintergrund im Zusammenhang mit der Haltung Deutschlands ist auch eine Kleine Anfrage mit dem Titel „Datenschutz bei der Zusammenarbeit deutscher Finanzdienstleister mit IT-Unternehmen insbesondere aus den USA vor dem Hintergrund
des NSA-Skandals“. Auf Frage 18, wie die Bundesregierung die Wahrscheinlichkeit beurteile, dass die NSA durch Kooperation mit von deutschen Finanzdienstleistungsunternehmen beauftragten US-amerikanischen IT-Dienstleistern – möglich durch Safe Harbor – Zugriff auf Daten deutscher Finanzdienstleistungsunternehmen erhalten könne und davon auch Gebrauch mache, lautet die Antwort:

Ein Zugriff der NSA in Kooperation mit entsprechenden IT- Dienstleistern auf Daten deutscher Finanzdienstleistungsunternehmen ist theoretisch nicht auszuschließen. Allerdings dürfte ein solcher Zugriff regelmäßig rechtswidrig sein.

Das bedeutet faktisch, dass Safe Harbor als „theoretisch“ wirkungslos angesehen werden kann, denn offensichtlich sind die amerikanischen Dienstleister zwar unter Safe Harbor anerkannt, aber auf ein angemessenes Schutzniveau vertraut wird nicht, da dieses durch die Datenweitergabe an die NSA ausgehebelt werden kann. Noch interessanter ist die Antwort auf die zweite Teilfrage, die wissen will, ob deutsche Nachrichtendienste von der NSA Informationen über deutsche Finanzdienstleister erhalten hätten. Die Frage wird nicht beantwortet, mit dem Verweis darauf, dass die Auskunft „im Zusammenhang mit der Aufgabenerfüllung des Bundesnachrichtendienstes bestehende Informationen“ betreffe. Das stößt sauer auf, denn die Kompetenz des Bundesnachrichtendienstes bezieht sich auf die Auslandsaufklärung. Und wenn gezielt Informationen über deutsche Finanzdienstleister bezogen würden, liegt es nahe, dass nicht nur diejenigen Finanztransaktionen berücksichtigt werden, die ausdrücklich zu Konten Nicht-Deutscher gehören.

Noch seltsamer wird es im weiteren Verlauf der „Antwort“:

[Eine Antwort] ließe negative Folgewirkungen für die Quantität und Qualität des Informationsaustausches befürchten: ein Rückgang von Informationen wäre wahrscheinlich.

Faktisch: Man stellt fest, ein Zugriff der NSA auf Daten der amerikanischen IT-Dienstleister, die deutsche Daten vorhalten, wäre rechtswidrig. Würde man jetzt aber ausplaudern, dass der BND diese, illegal ermittelten, Daten mit der NSA austauscht, hätte das negative Folgewirkungen. Außerdem:

[…] können Angaben zu Art und Umfang des Erkenntnisaustauschs mit ausländischen Nachrichtendiensten auch Rückschlüsse auf Aufklärungsaktivitäten und -schwerpunkte des BND zulassen.

Was ist hier wichtiger: Rechtmäßigkeit zum Schutz der eigenen Bürger oder ein flüssiger Datenaustausch für den BND? Und wie war das nochmal mit dem BND als modernem Dienstleister, der auf Transparenz setzt, um eine „breite Vertrauensbasis“ in der Bevölkerung herzustellen? So zumindest kann das nicht funktionieren.

Und langsam sollte man darüber nachdenken den Fokus der medialen Aufmerksamkeit in Deutschland umzuschwenken. Die deutschen Nachrichtendienste sind bisher vergleichsweise unbehelligt geblieben, wenn man die Spähaffäre betrachtet, unbehelligter als wahrscheinlich angemessen. Diese Vermutung legt auch ein internes Begleitdokument zur oben bereits erwähnten Meldung der Kommission nahe, das die Position der Bundesregierung wiedergibt. Dort wird Deutschlands herausragendes Interesse an offiziellen Maßnahmen und Empfehlungen zum Datenaustausch erwähnt, das der „unmittelbaren Betroffenheit“ Deutschlands geschuldet sei. In anderen Mitgliedsstaaten sei das nicht in gleichem Maße der Fall.

Dabei kann Deutschland noch so „interessiert“ an Regelungen für den sicheren Datenaustausch mit Drittstaaten sein, an der Situation des Austauschs mit Geheimdiensten ändert das kaum etwas, auch wenn man das gerne so inszeniert, denn diese sind durch die geplante Datenschutzgrundverordnung nicht betroffen. Zwar wurde in Artikel 2 des Verordnungsentwurfs aus dem LIBE-Ausschuss gestrichen, dass Aktivitäten zu nationalen Sicherheit nicht unter die Regelungskompetenz der Verordnung fallen, öffentliche Stellen, die sich mit der Verhinderung, Ermittlung, Erkennung und Verfolgung von Straftaten befassen, sind immer noch unter Absatz 2e als Ausnahme aufgeführt.

Aber wir können uns sicher sein, dass wir in Zukunft mehr über das Verhältnis unserer Geheimdienste zur NSA und dem Ausmaß der ausgetauschten Daten erfahren werden, denn der Dokumentenfundus Edward Snowdens ist noch lange nicht aufgebraucht und die Andeutungen in seinem Interview sind deutlich. BND und NSA arbeiteten eng zusammen und gingen „miteinander ins Bett“. Sie teilten dafür nicht nur Informationen, sondern ebenso Instrumente und Infrastruktur und arbeiteten gegen gemeinsame Zielpersonen, sagt Snowden und sieht das als große Gefahr. Es lege die Vermutung nahe, dass der BND sich zumindest bewusst sei, dass Daten deutscher Bürger bei der NSA befänden. Snowden verweist darauf, dass er nicht sagen dürfe, ob diese auch explizit vom BND stammen, bevor Journalisten keine Veröffentlichungen dazu gemacht hätten. Der Umkehrschluss, ob Daten deutscher Bürger auch wieder zurück fließen, ist für uns jedoch genauso interessant.