Internes Dokument der EU-Kommission: USA wollen transatlantisches Datenschutz-Abkommen verwässern

Die USA wollen EU-Bürger auch beim Datenaustausch zur Strafverfolgung als Menschen zweiter Klasse behandeln. Das geht aus einem Arbeitsdokument zum ersten transatlantischen Datenschutzabkommen hervor, das wir veröffentlichen. Geheimdienste und „nationale Sicherheit“ werden darin gleich komplett ausgeklammert.

Erstes transatlantisches Datenschutzabkommen

Seit fast vier Jahren verhandelt die EU-Kommission über das erste Datenschutzabkommen mit den USA. Hintergrund waren die Auseinandersetzungen um transatlantische Datenübermittlungsabkommen wie Bankdaten bei SWIFT und Reisedaten bei PNR. Statt bei jeder neuen Datenübermittlung erneut über Datenschutzbestimmungen zu verhandeln, sollten einmal datenschutzrechtliche Grundsätze erarbeitet werden, die dann für alle Abkommen im Strafverfolgungsbereich gelten. Eigentlich eine gute Idee, wenn denn dieses Datenschutz-Rahmenabkommen solide ist.

Leider sind die Verhandlungen nach ein paar ersten Runden schnell wieder eingeschlafen, vor allem während der Präsidentschaftswahl in den USA 2012 bewegte sich nichts. Erst Ende letzten Jahres wurden die Verhandlungen wieder aufgenommen, nach dem „Sommer von Snowden“ und Druck vom EU-Parlament. Vor dem Hintergrund des Überwachungsskandals versprach die Kommission großspurig die „Wiederherstellung des Vertrauens in die Datenströme zwischen der EU und den USA“:

Die laufenden Verhandlungen über ein Rahmenabkommen, das die Datenübermittlung und -verarbeitung im Zusammenhang mit der polizeilichen und justiziellen Zusammenarbeit regelt, sollten rasch zum Abschluss gebracht werden. Das Abkommen sollte ein hohes Datenschutzniveau für die Bürger gewährleisten und gleiche Rechte für die Bürger auf beiden Seiten des Atlantiks vorsehen. Insbesondere sollten allen nicht in den Vereinigten Staaten ansässigen EU-Bürgern geeignete Rechtsmittelverfahren offenstehen.

Das Parlament verlangte als Mindestanforderungen:

1. EU-Bürgern muss ein Auskunftsrecht gewährt werden, wenn ihre Daten in den Vereinigten Staaten verarbeitet werden;
2. es muss sichergestellt werden, dass der Zugang von EU-Bürgern zum Rechtssystem der Vereinigten Staaten dem Zugang entspricht, den US-Bürger genießen;
3. insbesondere muss ein Recht auf Rechtsschutz eingeräumt werden;

Ein Grundproblem des gesamten Abkommens ist, dass es nur Datenaustausch im Rahmen von polizeilicher und justizieller Zusammenarbeit betrifft. Daten für „Nationale Sicherheit“ und dafür verantwortliche Behörden sind explizit ausgenommen. Womit die NSA („Nationale Sicherheitsbehörde“) einmal komplett raus ist.

Interner Stand der Verhandlungen

Leider gibt es keinen öffentlichen Stand des Verhandlungstexts. Nach Informationen von netzpolitik.org hat noch nichtmal das EU-Parlament einen aktuellen Zwischenstand.

Jetzt haben wir ein „nur für den Dienstgebrauch“ eingestuftes Arbeitsdokument erhalten, das wir an dieser Stelle exklusiv veröffentlichen.

Auf 16 Seiten informieren die Dienststellen der Kommission die Justiz- und Innen-Berater des Rats der EU über den Stand der Verhandlungen.

Kein Rechtsschutz für EU-Bürger

Im Dokument fällt sofort auf, dass vor allem die Kernfrage nach Rechtsmittelverfahren von EU-Bürgern gegenüber den USA nach wie vor umstritten ist:

Diese inoffizielle Arbeitsdokument befasst sich nicht mit der Frage nach gerichtlichem Rechtsschutz für EU-Bürger, wenn ihre Daten mit den USA zu Strafverfolgungszwecken geteilt werden, weil bisher noch keine zufriedenstellende Lösung gefunden wurde.

Obwohl EU-Kommission und Kommissarin Reding immer wieder die Wichtigkeit dieses Punkts betonen, scheint sich das Justizministerium der USA hier nicht zu bewegen. Laut Brüssel-Insidern müsste dazu der amerikanische Privacy Act of 1974 geändert werden – ein Unterfangen, das der US-Kongress sicher nicht für ein Datenschutzabkommen mit der EU unternimmt.

Da das eine zentrale Forderung sowohl von Kommission als auch Parlament ist, wird sich das Abkommen daran messen lassen müssen.

Einigungen bei Zweck, Fristen und Logs

Geeinigt hat man sich hingegen über den Zweck der Vereinbarung:

ein hohes Maß an Schutz von persönlichen Daten zu gewährleisten und die Zusammenarbeit zwischen den USA und der EU zur Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten zu verbessern.

So über den Atlantik geschickte Daten sollen „nicht länger als erforderlich und angemessen aufbewahrt werden“. Die Aufbewahrungsfristen müssen veröffentlicht „oder anderweitig öffentlich zugänglich gemacht“ werden.

Sinnvoll erscheint auch dieser Absatz:

Die beiden Seiten sind sich einig, dass sie wirksame Methoden (z. B. Protokolle) zum Nachweis der Rechtmäßigkeit der Verarbeitung und Nutzung von persönlichen Informationen haben sollen.

Es wird jedoch drauf zu achten sein, wie die konkrete Ausgestaltung dieser Einigung im Abkommen lauten wird.

„Automatisierte Entscheidungsfindung“

Ein spannender Absatz beschäftigt sich mit „automatisierter Entscheidungsfindung“:

Es gibt ein gemeinsames Verständnis, dass Entscheidungen, welche die relevanten Interessen einer Person beeinträchtigen, nicht ausschließlich auf automatisierter Verarbeitung personenbezogener Daten basieren können, außer wenn innerstaatliches Recht das zulässt und geeignete Schutzmaßnahmen getroffen werden, einschließlich der Möglichkeit eines menschlichen Eingriffs.

Auf deutsch: Entscheidungen, die negative Auswirkungen für Personen haben, dürfen nicht ausschließlich von „automatisierter Verarbeitung personenbezogener Daten“ erfolgen. Außer es gibt ein Gesetz, welches das erlaubt.

Streitpunkte: Rechtsschutz, Zweckbindung, sensible Daten

Abschließend wird noch einmal dargelegt, welche Streitpunkte noch ungeklärt sind:

Während beide Seiten sich mittlerweile in den meisten Fragen der Verhandlungsrichtlinien einig sind, befassen sich die restlichen Bereiche der Diskussion mit Fragen, die zentral für einen erfolgreichen Abschluss dieser Verhandlungen sind. Dazu gehören die Bestimmungen über gerichtliche Rechtsschutz, Zweckbindung und sensible Daten.

Zum Abschluss stellen die Dienststellen der Kommission noch klar, dass sie Rat und Parlament über alle relevanten Entwicklungen in den Verhandlungen informieren wollen. Wir würden uns freuen, wenn auch die Öffentlichkeit informiert wird, immerhin geht es um die Daten von mehr als 800 Millionen EU- und US-Bürgern.

Große Chance, leider vertan?

Das erste verbindliche Datenschutzabkommen über den Atlantik bietet eine große Chance, klare Regeln für den Umgang mit Daten, die über den Teich getauscht werden, festzulegen. Es zeigt sich jedoch, dass es schwer ist, sich mit „unseren amerikanischen Freunden“ über vernünftige Standards zu einigen. Ganz offensichtlich gibt es auch nach Snowden kein Bewusstsein für den Umgang mit personenbezogenen Daten.

Wir werden den weiteren Prozess genau beobachten. Obwohl schon fast die gesamte Legislaturperiode daran gearbeitet wird, sind die zentralen Fragen noch immer ungeklärt. Immerhin hat Justizkommissarin Reding angekündigt, die Verhandlungen bald abgeschlossen zu haben. Das muss sie auch, denn nach der Europawahl Ende Mai wird auch die Kommission neu zusammengesetzt. Ob es bis dahin einen Verhandlungserfolg der EU geben wird, steht in den Sternen.

Wer einmal lügt, dem glaubt man nicht

Zur Glaubwürdigkeit der NSA hat Sascha Lobo mal wieder alles gesagt:

Wer einmal lügt, dem glaubt man nicht, wer tausend Mal lügt, beraubt sich selbst jeder Kommunikationsmöglichkeit mit der Öffentlichkeit. Auch das Schild mit den Öffnungszeiten der NSA-Kantine ist ziemlich sicher gelogen und wenn nicht, dann weil eine geheime Agenda dahintersteht.

Wenn jedoch das Fazit der EU-Kommission lautet, die NSA und ihre Partnerdienste der EU-Staaten aus derartigen Abkommen gleich vollständig auszuklammern, ist das ein weiteres Einknicken der Politik vor den Diensten.