Noch einiges zu tun: Hamburg bringt Bundesratsinitiative zum EU-US-Umbrella-Agreement ein

In der EU wurden Ende letzten Jahres die Verhandlungen für das EU-US-Umbrella-Agreement zu Ende gebracht, das den Datenschutz bei dem Transfer persönlicher Daten für Strafverfolgungszwecke zwischen den USA und der EU regeln soll.

Der verhandelte Endstand enthält noch einige Datenschutz-Schlupflöcher. Das findet auch der Hamburger Senat, der nun eine Bundesratsinitiative eingebracht hat, die bestehende Probleme anspricht und nebenbei gut zusammenfasst.

Zweckbindung und Datenweitergabe nicht konsequent geregelt

Zwar ist eine Zweckbindung für Belange der Strafverfolgung im Text verankert, eine effektive Einschränkung, dass die Empfängerbehörde Daten an Dritte weitergibt, findet sich jedoch nicht. Daten können nationalen Regelungen entsprechend an andere Behörden übermittelt werden. Die Einschränkung, dass Daten für den spezifischen Fall relevant sein müssen und die Weitergabe nicht unverhältnismäßig sein darf, lässt Interpretationsspielraum.

Datenweitergabe an Drittstaaten ist laut dem Umbrella Agreement weiterhin möglich. Dass diese Staaten ein angemessenes Datenschutzniveau gewährleisten müssen, ist schwer kontrollierbar, vor allem wenn diese Staaten ihrerseits nach nationaler Gesetzgebung Daten weiterübermitteln und eine Nachverfolgung zunehmends schwieriger wird.

Ebenso fehlt ein Ausschluss der Datenweitergabe, falls die Daten zur Verhängung einer Todesstrafe führen könnten. Das hatte der Bundesrat im Dezember 2015 gefordert.

Der Hamburger Justizsenator Till Steffen kommentiert gegenüber netzpolitik.org:

Für unsere Strafverfolgungsbehörden gelten enge Grenzen für den Umgang mit den Daten der Bürgerinnen und Bürger. Darauf gründet das Vertrauen in Polizei und Justiz. Deswegen braucht es klare Regeln für die Übergabe von Daten an Staaten außerhalb der EU. Eine Übermittlung muss in den Fällen ausscheiden, in denen die Verwendung der Daten in einem Strafverfahren die Todesstrafe nach sich ziehen könnte. Auch muss sichergestellt sein, dass die übermittelten Daten nicht noch weiteren Staaten zur Verfügung gestellt werden, denen die europäischen Datenschutzstandards egal sind. Diesen Schutz bietet das geplante Umbrella Agreement zwischen der EU und den USA zum Datenaustausch zu Strafverfolgungszwecken bisher nicht. Unsere Bundesratsinitiative will diese Schutzlücken schließen.

Rechtsansprüche für Betroffene nicht garantiert

Eine der Bedingungen der EU beim Abschluss des Abkommens war, dass EU-Bürger ihre Rechtsansprüche bezüglich Einsicht, Löschung und Korrektur von Daten durchsetzen können. Ein entsprechender Passus findet sich auch, er gewährleistet nur unzureichenden Schutz. Wir schrieben bereits im letzten Jahr:

Wenn es darum geht, dass dem Bürger Auskunftsrecht gewährt werden soll, sieht es ähnlich aus. Es bleibt die HinterVordertür, dass der Zugang zu den persönlichen Daten nach „den rechtlichen Rahmenbedingungen des Staates geregelt wird, in dem der Zugang gesucht wird.“ Und die Möglichkeiten, den Zugang zu blockieren gehen noch weiter. Sieben verschiedene Gründe gibt es, „angemessene Beschränkungen in inländischem Recht“ umzusetzen, natürlich mit guten Bekannten wie der Gefährdung nationaler Sicherheit und der Behinderung der Arbeit von Strafverfolgern. Es wird also faktisch immer einen Weg geben, einen Auskunftsanspruch zu verweigern. Gleiches gilt für Transparenzpflichten.

Will man Rechtsmittel einlegen, gilt wieder die Anwendung nationaler Gesetze. Von einer Abschaffung der Ungleichbehandlung von US-Personen und Nicht-US-Personen ist man dementsprechend noch meilenweit entfernt, solange die USA letztere nicht als Menschen mit vollem Anspruch auf Grundrechte ansehen.

Gleichstellung von US-Personen und Nicht-US-Personen rückt näher

Für das Inkrafttreten des Umbrella Agreements war eine Gesetzesänderung in den USA notwendig, die Nicht-US-Personen gleiche Rechte wie US-Personen bezüglich ihrer Daten zugesteht. Dieser Judicial Redress Act würde das oben genannte Problem mildern. Präsident Obama muss das vom Senat verabschiedete Gesetz noch unterzeichnen.

Das Umbrella Agreement ist nicht das einzige Datenschutzabkommen zwischen EU und USA, das derzeit in Planung ist. Am 2. Februar hat die Europäische Kommission bekannt gegeben, dass mit den USA ein Nachfolger für Safe Harbor verhandelt wurde, das „EU-US Privacy Shield“. Datenschützer haben das Privacy Shield überwiegend kritisiert. So lange aber kein konkreter Text veröffentlicht ist, lässt sich das Gesamtpaket schwer beurteilen. Wir sind gespannt, wann ein erster Entwurf veröffentlicht wird.