TTIP und TISA: Die USA wollen Datenschutz wegverhandeln

Dieser Beitrag „TTIP und TISA: Die USA wollen Datenschutz wegverhandeln“ ist zuerst in unserem „Jahrbuch Netzpolitik 2014“ erschienen.

TTIP und TISA: Die USA wollen Datenschutz wegverhandeln

In den Verhandlungen zum transatlantischen Freihandelsabkommen (TTIP) zwischen den USA und der EU wird man sich auch den Themen E-Commerce und transatlantischen Datenflüssen widmen. In diesem Zusammenhang gibt es immer mehr Hinweise darauf, dass die europäischen Datenschutzstandards durch ein solches Handelsabkommen unterwandert werden könnten. Zivilgesellschaft und Verbraucherorganisationen sowohl in der EU als auch den USA. Privacy International, das Center for Digital Democracy, der Europäische Verbraucherverband BEUC und der US-Verbraucherverband waren darin bislang am aktivsten und warnen, dass die Entwürfe der Kapitel zu E-Commerce und elektronischen Datenflüssen das Datenschutzgrundrecht in der EU bedrohten.

EU: „Haltet den Datenschutz aus den Handelsgesprächen heraus“

Die Verhandlungsführer der EU-Kommision haben wiederholt öffentlich betont, dass sie nicht über ein Mandat für die Verhandlung von Regeln für den Datenschutz verfügten (so zum Beispiel bei der Anhörung der Grünen/EFA-Fraktion im Europaparlament am 5. März 2014). Auch die damalige EU-Justizkommissarin Viviane Reding hat dies in einer Rede in Washington im Oktober 2013 betont:

[…] Es gibt Themen, die TTIP leicht entgleisen lassen könnten. Eines davon sind Daten und der Schutz persönlicher Daten. In der EU ist dies ein wichtiges Thema, weil Datenschutz ein Grundrecht ist. […] Aus diesem Grund warne ich davor, Datenschutz in die Handelsgespräche einzubeziehen. Datenschutz ist ist kein Verwaltungsaufwand und keine Zollgebühr. Datenschutz ist ein Grundrecht und als solches nicht verhandelbar.

Das Verhandlungsmandat der EU-Kommission bezieht sich stattdessen auf Art. XIV des Allgemeinen Abkommens über Handel mit Dienstleistungen (GATS) der Welthandelsorganisation, welches eine allgemeine Ausnahmeklausel enthält:

Unter der Voraussetzung, daß Maßnahmen nicht in einer Weise angewendet werden, die ein Mittel zu willkürlicher oder unberechtigter Diskriminierung unter Ländern, in denen gleiche Bedingungen herrschen, oder eine verdeckte Beschränkung für den Handel mit Dienstleistungen darstellen würde, darf dieses Übereinkommen nicht dahingehend ausgelegt werden, daß es die Annahme oder Durchsetzung von Maßnahmen eines Mitglieds verhindert […]

die erforderlich sind, um die Erhaltung von Gesetzen oder sonstigen Vorschriften zu gewährleisten, die nicht im Widerspruch zu diesem Übereinkommen stehen, einschließlich solcher: […] zum Schutz der Persönlichkeit bei der Verarbeitung und Weitergabe personenbezogener Daten und zum Schutz der Vertraulichkeit persönlicher Aufzeichnungen und Konten.

Das Verhandlungsmandat der EU-Kommission besagt in Art. 18:

Das Abkommen wird der Durchsetzung von Ausnahmen für die Erbringung von Dienstleistungen nicht entgegenstehen, die nach den einschlägigen WTO-Regeln (Art. XIV und XIV GATS) zu rechtfertigen sind.

Art. XIV des GATS wurde in der Tat wörtlich in einen Textentwurf für das TTIP-Abkommen übernommen, der von den Verhandlungsführern der EU-Kommission im Juli 2013 vorgeschlagen und im Februar 2014 geleakt wurde.

Also ist alles gut? Mit Sicherheit nicht. Dies ist nur das Mandat der EU-Verhandlungsführer. Aber bei jedem internationalen Abkommen gehören zum Tango immer zwei.

Interoperabilität“ oder „Angemessenheit“?

Auf der amerikanischen Seite gab es bereits zahlreiche Versuche, die europäischen Datenschutzregeln im Zusammenhang mit den Handelsgesprächen auszuhöhlen. Neue Lobbyverbände wurden gegründet, wie zum Beispiel die Coalition for Privacy and Free Trade — die Koalition für Privatsphäre und freien Handel, die von der US-Anwaltskanzlei Hogan Lovells gesteuert wird und einige politische Schwergewichte zu seinen Mitgliedern zählen kann. Unter ihnen befinden sich der frühere EU-Botschafter in den USA Hugo Paemen, der frühere US-Handelsvertreter Clayton Yeutter und Daniel Weitzner, der frühere stellvertretende technische Leiter für Internetpolitik.

Ein wiederkehrendes Thema dieser Lobby-Bemühungen war in den letzten Jahren der Versuch, auf die „Interoperabilität“ zwischen den amerikanischen und den europäischen Regel des Datenschutzes zu drängen. Dies würde im Grundsatz eine gegenseitige Anerkennung der jeweiligen Regeln auf der anderen Seite des Atlantiks bedeuten, möglicherweise mit ein paar juristischen Tricks, um es solide erscheinen lassen.

Der Haken: In der Vereinigten Staaten gibt es derzeit keine umfassenden Datenschutzgesetze. Die Safe-Harbor-Entscheidung von 2000, durch welche sich amerikanische Firmen freiwillig den europäischen Standards unterwerfen können, um damit persönliche Daten aus Europa verarbeiten zu dürfen, ist weitgehend wirkungslos. Das Europaparlament hatte Safe Harbor schon zur Zeit seiner Entwicklung im Jahre 2000 kritisiert. Im Abschlussbericht der Untersuchung zu den NSA-Enthüllungen wurde am 12. März 2014 sogar dessen Aufhebung gefordert. Aus europäischer Sicht gibt es also nichts, was als „interoperabel“ zu bezeichnen wäre, mit der Ausnahme freiwilliger Maßnahmen zur Selbstregulierung und den üblichen, nicht durchsetzbaren Verpflichtungen zur Transparenz, die dem Verbraucher „Wahlmöglichkeiten“ geben, die unter langen und unlesbaren Geschäftsbedingungen versteckt sind.

„Interoperabilität“ ist ein Versuch, europäische Datenschutzstandards zu untergraben. Die Anforderungen des Datenschutzes in der EU enthalten weit mehr als „Interoperabilität“. Art. 25 der Datenschutzrichtlinie von 1995 verlangt, dass

[…] die Übermittlung personenbezogener Daten, die Gegenstand einer Verarbeitung sind oder nach der Übermittlung verarbeitet werden sollen, in ein Drittland vorbehaltlich der Beachtung der aufgrund der anderen Bestimmungen dieser Richtlinie erlassenen einzelstaatlichen Vorschriften zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet.

Kurz: Die europäische Grundlage für die Übermittlung personenbezogener Daten an Drittländer ist die „Angemessenheit“ von deren Datenschutzsituation. Auf Seiten der USA versucht man, das durch bloße „Interoperabilität“ zu ersetzen.

Einige europäische Datenschutzexperten sind bereits Teil dieses „Interoperabilität“-Manövers. Ende April 2014 haben das Massachusetts Institute of Technology und die Universität Amsterdam eine Reihe von Gesprächsrunden mit dem Titel Privacy bridges — Datenschutzbrücken — veranstaltet.

mit dem Zweck, Rahmenbedingungen für praktische Interoperabilitätsmöglichkeiten zu entwickeln, um die Lücken zwischen den Rechtssystemen der Europäischen Union und der Vereinigten Staaten zu überbrücken. […] In den nächsten 18 Monaten wird die Gruppe ein gemeinsames Weißbuch vorbereiten, das einen Weg nach vorne aufzeigt zwischen der EU und den USA. Die Bestrebungen zielen darauf ab, einen Rahmen praktischer Möglichkeiten zu schaffen, der starke, weltweit akzeptierte Werte der Privatsphäre in einer Weise voranbringt, die Interoperabilität erschafft und die inhaltlichen und prozeduralen Unterschiede zwischen beiden Rechtssystemen respektiert.

Unter den Teilnehmern befinden sich ein paar wohlbekannte Datenschützer und Verfechter der Privatsphäre, wie der frühere Bundesdatenschutzbeauftragte Peter Schaar. Andere haben wiederum enge Verbindungen zur Industrie, die hinter einer universitären Anbindung verschleiert wird, wie z. B. Mitgründer Daniel Weitzner, der in die Industrievereinigung „Coalition for Privacy and Free Trade“ involviert ist. Alles, was in diesem Kontext entwickelt wird, könnte später in TTIP landen. Der Anspruch des „privacy bridges“-Projektes schließt Änderungen in den Gesetzen der USA aus. Ironischerweise stellt sogar das Weiße Haus in seinem etwa gleichzeitig mit dem Start von Privacy Bridges veröffentlichten Big Data Report explizit fest, dass der rechtliche Schutz von Nicht-Amerikanern im US-Datenschutzrecht ausgeweitet werden müssen. Nach der ersten Publikation dieses Artikels im September 2014 als Statewatch-Analyse diskutiert das Projekt „privacy bridges“ nun, den Begriff „Interoperability“ fallen zu lassen.

Ein paar schwergewichtige Industrie-Player gehen noch einen Schritt über „Interoperabilität“ hinaus. Die Business Coalition for Transatlantic Trade, die von der US-Handelskammer gegründet wurde, verlangt nach einem „Rechtsrahmen, der Flexibilität im Umgang mit der Privatsphäre erlaubt und die kooperative Zusammenarbeit in Sicherheitsfragen fortführt.“ — ganz so, als hätte es nie die NSA-Leaks gegeben und als gäbe es in Europa kein Grundrecht auf Datenschutz.

Sind „Schengen-Routing“ und eine „EU-Cloud“ Handelshemmnisse?

Auf amerikanischer Seite hat man nun seit einigen Monaten mit einem semantischen Trick gespielt. Es begann im Kontext der europäischen Reaktionen auf die durch Snowden bekannt gewordene Überwachungsaffäre. Von verschiedenen Seiten wurden Vorschläge zur Änderung des Routings von Internetpaketen gemacht. Diese sollten einem bestimmten Pfad folgen und in der EU verbleiben oder sogar nur in Deutschland, wenn sowohl Sender als auch Empfänger sich dort befänden. Solche Vorschläge wurden — aus unterschiedlichen Motiven — von verschiedenen Seiten gemacht, etwa vom Datenschutzexperten Ian Brown von der Universität Oxford, aber auch von der Deutschen Telekom AG.

Was auf den ersten Blick als vernünftige Idee erscheint — warum sollte eine E-Mail von Brüssel nach Berlin durch New York oder andere Gegenden mit fragwürdiger Gesetzeslage geleitet werden? — ist technisch nicht einfach und kann sogar durch seine möglichen Nebenwirkungen gefährlich werden. Technisch ist es nicht trivial, weil das Internetprotokoll bei IP-Adressen einen logischen Adressraum verwendet, der nicht weiß, welchen geografischen Standort die IP-Adresse der darunter liegenden physischen Transportebene hat. Dienste, welche die Ortsbestimmung der IP-Adresse ermöglichen, erreichen nur eine Annäherung: Weil es drei offizelle Standorte des Europaparlaments gibt (Brüssel, Luxemburg, Straßburg), sieht meine eigene IP-Adresse im Europaparlament in Brüssel so aus, als wäre ich in Luxemburg.

Aber selbst wenn Geo-Routing technisch machbar wäre, kann es doch nicht unser Ziel sein, die Topologie des transnationalen, weltweiten Internets entlang der Ländergrenzen neu zu formen. Dies würde schnell unerwünschte Folgen nach sich ziehen, beispielsweise Rufe nach „Einwanderungskontrollen“ für Datenpakete, was gleichbedeutend mit Internetzensur wäre. Die Grünen haben im Europaparlament eine Änderung zum Abschlussbericht der NSA-Untersuchung eingereicht, derzufolge der gesamte Internetverkehr Ende-zu-Ende verschlüsselt werden soll, weil es dann nicht länger eine Rolle spielt, wo die Daten entlang fließen. Der Änderungsantrag wurde als Teil eines im Februar 2014 im Ausschuss abgestimmten Kompromisses angenommen und anschließend im März 2014 im Plenum des Parlaments bestätigt.

Nachdem die Debatte über nationales oder zumindest europäisches Routing zu Anfang des Jahres 2014 schon tot geglaubt war, drängte Bundeskanzlerin Angela Merkel in ihrem wöchentlichen Podcast erneut auf ein europäisches Routing. Dies wurde breit in den Medien aufgegriffen — die Debatte köchelt seitdem weiter.

Von amerikanischer Seite wird die Debatte jetzt dazu genutzt, europäische Regeln und Begrenzungen für die Übermittlung personenbezogener Daten an Drittstaaten anzugreifen. Sie werfen Begriffe wie „Schengen-Netzwerk“ und „Cloud Computing“ in einen Topf mit den Drittstaaten-Regeln der EU-Datenschutzrichtlinie und betiteln alles gemeinsam als „Lokalisierung“. Der US-Handelsbeauftragte Michael Froman vertrat dies in der Vorstellung seines Berichts über die Handelsabkommen für den Telekommunikationsmarkt. Er behauptete, die europäischen „Lokalisierungs“-Regeln, die den Datentransport oder die Datenverarbeitung in Europa verlangen, würden ein illegales Handelshemmnis darstellen. Die Business Coalition for Transatlantic Trade argumentiert in die gleiche Richtung. Sie fordert, dass das TTIP-Abkommen „verbietet, dass Dienstleister lokale Server und andere Infrastrukturen verwenden oder eine eine lokale Niederlassung errichten müssen.“

Hier ist es allerdings sehr wichtig, Routing und Datenverarbeitung klar zu trennen. Das ist bereits in Regeln für „reine Durchleitung“ durch Telekommunikationsanbieter enthalten, die nicht für den Inhalt, den sie transportieren, oder die stattfindende Datenverarbeitung bei Sender oder Empfänger verantwortlich gemacht werden können. Während das Aufstellen von Regeln für das Routing von Datenpaketen eine schlechte Idee sein mag, ist es auf der anderen Seite sehr entscheidend, wo die Daten verarbeitet werden — insbesondere wenn es sich dabei um personenbezogene Daten handelt. Auch auf europäischer Seite haben viele noch nicht vollständig verstanden, dass die EU-Regeln des Datenschutzes ganz grundlegend auch Regeln für die Lokalisierung sind. Weil Datenschutz in Europa ein bindendes Grundrecht mit Verfassungsrang in der EU-Charta der Gurndrechte ist, können personenbezogene Daten prinzipiell erst einmal nur in Europa verarbeitet werden. Alle Regeln, die die Übertragung von Daten in Drittländer ermöglichen, stellen Ausnahmen von diesem Prinzip dar und müssen deshalb bestimmte Bedingungen erfüllen – wie beispielsweise ein angemessenes Schutzniveau in dem jeweiligen Drittland.

In Zeiten der Post-Snowden-Ära gibt es in Europa eine eine umfassende Debatte über strengere Bedingungen für die Übermittlung personenbezogener Daten in die USA und andere Drittländer. Das Europaparlament hat einen neuen Art. 43a in seine Version der kommenden Datenschutzverordnung eingeführt, welcher die Behörden von Drittländern davon abhalten soll, ohne ein gegenseitiges Rechtshilfeabkommen Daten von europäischen Datenverarbeitern zu verlangen. Nun wird der Europäische Gerichtshof entscheiden müssen, ob Datenübertragungen in die USA unter dem Safe-Harbor-Abkommen immer noch legal sind, nach einer Vorabentscheidung des Hohen Gerichts Dublin auf Basis einer Beschwerde des Österreichers Max Schrems und seiner Aktivistengruppe Europe vs. Facebook.

Der Digital Trade Act und TTIP

Der amerikanische Handelsbeauftragte Michael Formman steht nicht alleine da. Dem US-Senat wurde im Dezember 2013 ein Entwurf für einen Digital Trade Act vorgestellt. Dieser würde Vertretern der Vereinigten Staaten ein bindendes Mandat für internationale Verhandlungen zum E-Commerce in die Hand geben. Regelungen zur „Lokalisierung“ würden dann verbannt werden müssen, während die „Interoperabilität“ der Datenverarbeitung als Grundprinzip verankert würde. Dieses Gesetz würde natürlich auch für die Verhandlungen der entsprechenden Kapitel in TTIP angewendet werden. Ähnliche Bestimmungen finden sich auch in dem Entwurf des parteiübergreifenden Trade Priorities Act, der im Januar 2014 im US-Senat vorgestellt wurde.

Entwürfe von Verhandlungsführern der USA zum E-Commerce in TTIP enthalten bereits diese beiden entscheidenden Aspekte: das Prinzip der „Interoperabilität“ europäischer und amerikanischer Datenschutzbstimmungen und das Verbot der „Lokalisierung“. Es ist offensichtlich, dass die amerikanischen Verhandlungspartner, mit Rückhalt durch die Industrie, massiv darauf drängen, diese Punkte im endgültigen Abkommen zu behalten. Im Oktober 2014 haben dies US-Verhandlungspartner einen konkreten Textvorschlag zu „Datenflüssen“ vorgelegt. Niemand außerhalb der EU-Kommission kann derzeit seine Bedeutung beurteilen. Die Geheimhaltung der Verhandlungen hält sogar den TTIP-Berichterstatter des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres (LIBE) im Europaparlament davon ab, die Schriftstücke einzusehen — dabei ist dieser Ausschuss für den Datenschutz zuständig. Informell bestätigen US-Verhandler aber, dass in dem Text genau die beiden Punkte — „Interoperabilität“ und das Verbot von „Lokalisierung“ stehen.

Die EU-Kommission ist durch ihr Verhandlungsmandat verpflichtet, den Forderungen der USA zur Aufweichung des Datenschutzes in keiner Weise entgegenzukommen. Allerdings führen internationale Verhandlungen immer zu Kompromissen. Es ist stark anzunehmen, dass TTIP zumindest in abgeschwächter Form Regulierungen beinhalten wird, die europäische Datenschutzstandards unterwandern, z. B. bei der Limitierung des Interpretationsraumes für die Ausnahmeklausel des GATS auf außergewöhnliche Umstände.

TTIP auf Steroiden: Das Abkommen über den Handel mit Dienstleistungen (TiSA)

Gleichzeitig zu den TTIP-Verhandlugen und ein Jahr lang weitgehend unbemerkt von der Öffentlichkeit, finden die plurilateralen Verhandlungen zum Abkommen über den Handel mit Dienstleistungen statt. Das sogenannte Trade in Services Agreement (TiSA) würde GATS in den beteiligten Ländern ablösen — bis jetzt sind das die USA, die EU und 21 weitere Industrieländer. Unter ihnen befinden sich die Schweiz, Kanada, Japan, Australien, Südkorea, die Türkei und Länder in Lateinamerika und Asien. Die US-Industrie ist durch die in den letzten Monaten zunehmende öffentliche Kritik an TiSA aufgeweckt worden und hat, wie bereits bei TTIP, eine PR-Kampagne zugunsten einer Lockerung von Handelsbeschränkungen begonnen. Die TiSA Business Coalition, auch „Team TiSA“ genannt, wurde am 18. Juni 2014 in Anwesenheit des US-Handelsbeauftragten und des Japanischen Botschafters gestartet.

Ein erklärtes Ziel der Verhandlungen zu TiSA ist es, die Ausnahmen in GATS abzuschaffen, die bestimmte nicht-tarifäre Handelsbeschränkungen schützen, wie unter anderem den Datenschutz. Dies wird durch ein erstes Leak der TISA-Dokumente veranschaulicht. In einem Entwurf für den Finanzdienste-Anhang zu TiSA, der auf Wikileaks am 19. Juni 2014 veröffentlicht wurde, wird es Finanzinstitutionen wie Banken erlaubt, selbst personenbezogenen Daten frei von einem Land ins andere zu übertragen. Dies würde eine radikale Ausnahme von Europäischen Datenschutzregeln bedeuten. Die Übertragung und Analyse von Finanzdaten aus der EU zum „Terrorist Finance Tracking“-Programm (TFTP) in den USA hat bereits einmal die Beziehungen zwischen den Verhandlungspartnern erschüttert und dazu geführt, dass das Europaparlament 2010 sein Veto für das Abkommen einlegte. Der Textentwurf auf dem TISA-Leak würde nun wirklich alle Schleusen öffnen und den Datenschutz den Bach herunter gehen lassen.

Die Schwächung der Datenschutzgesetze der EU in TiSA umfasst noch mehr als „nur“ den Finanzsektor. Quellen zufolge, die in die Verhandlungen involviert sind, enthalte der Entwurf zum Anhang „E-Commerce und Telekommunikation“ Bestimmungen, die keine Beschränkungen für grenzüberschreitende Informationsflüsse mehr zulassen und auch Lokalisierungsanforderungen für Dienstleister im IKT-Bereich verböten. Von den US-Unterhändlern wurde auch eine Formulierung vorgeschlagen, die jegliche Bedingungen für die Übermittlung personenbezogener Daten an Drittländer, wie sie seit 1995 im europäischen Datenschutzrecht existieren, ausschließen würde. Eine weitere Vorschrift, die ebenfalls von den US-Verhandlern eingebracht wurde, würde jegliche Vorgaben für die elektronische Datenverarbeitung innerhalb des jeweiligen Landes verbieten.

Ortsgebundenheit personengebundener Daten als Grundrecht

Durch die Enthüllungen von Edward Snowden ist offensichtlich geworden, dass Europa dringend in den Wiederaufbau einer eigenständigen IT-Industrie investieren müsste, von der Hardware-Ebene bis hin zu Anwendungen und Diensten, wenn es sich vor der Massenüberwachung der NSA schützen will. Europäische Behörden und Privatunternehmen bestehen immer auf Vorschriften zur Lokalisierung, wenn sie Computerdienste einkaufen, um sicherzugehen, dass ihre sensiblen Daten nicht in Gebieten mit fragwürdiger Gesetzeslage landen.

Sogar der Europäische Gerichtshof hat dies in seinem Grundsatzurteil vom April 2014 hervorgehoben, mit dem die Vorratsdatenspeicherung aufgehoben wurde. Die fehlende Verpflichtung zur Lokalisierung wurde hier offen kritisiert:

Zweitens schreibt die Richtlinie nicht vor, dass die fraglichen Daten im Unionsgebiet auf Vorrat gespeichert werden, sodass es nicht als vollumfänglich gewährleistet angesehen werden kann, dass die Einhaltung der in den beiden vorstehenden Randnummern angesprochenen Erfordernisse des Datenschutzes und der Datensicherheit, wie in Art. 8 Abs. 3 der Charta ausdrücklich gefordert, durch eine unabhängige Stelle überwacht wird. Eine solche Überwachung auf der Grundlage des Unionsrechts ist aber ein wesentlicher Bestandteil der Wahrung des Schutzes der Betroffenen bei der Verarbeitung personenbezogener Daten.

Auf Deutsch: Kein Handelsabkommen darf solch eine bevorzugte Behandlung von europäischen IKT-Unternehmen unterbinden. Oder in noch einfacherem Deutsch: „Nimm das, US-Handelsbeauftragter“.

Es bleibt abzuwarten, ob Europa seine Datenschutzbestimmungen unter dem Druck einer Einigung über TTIP und TiSA erreichen, aufrecht erhalten oder gar verstärken können wird.