Jetzt ist es offiziell: Die EU-Kommission hat das Datenschutzniveau in den USA als angemessen anerkannt und damit eine neue rechtliche Grundlage für den transatlantischen Datenverkehr geschaffen. Dienste und Plattformen wie Google, Facebook oder Amazon, aber auch kleinere Unternehmen, welche die personenbezogenen Daten europäischer Nutzer in den USA speichern und verarbeiten, können diese in Zukunft wieder legal ohne weitere Schutzmaßnahmen dorthin übermitteln. In einer Pressekonferenz mit US-Handelsministerin Penny Pritzker hat die EU-Kommissarin für Justiz und Verbraucherschutz, Věra Jourová, die Angemessenheitsentscheidung heute vorgestellt und begründet. Grundlage sind die sogenannten „Privacy Shield“-Vereinbarungen, in denen die US-Regierung bestimmte Maßnahmen und Standards zusichert, mit denen das Datenschutzniveau in den USA gespeicherter, personenbezogener Daten auf ein EU-Standards entsprechendes Niveau angehoben werden soll.
Nötig geworden war die neue Angemessenheitsentscheidung, weil der Europäische Gerichtshof (EuGH) im vergangenen Oktober die 15 Jahre alte Safe-Harbor-Entscheidung der EU-Kommission für ungültig erklärt hatte. 2013 hatte sich der Jurist und Datenschutzaktivist Max Schrems bei der zuständigen irischen Datenschutzbehörde beschwert, dass seine Daten bei Facebook in den USA nicht „angemessen geschützt“ sein könnten, solange es dort ungehinderte staatliche Massenüberwachung gibt. In der Folge waren zunächst der Generalanwalt des Europäischen Gerichtshofes und dann der EuGH selbst der Argumentation von Schrems über weite Strecken gefolgt: Unter anderem aufgrund des in den USA gesetzlich ermöglichten massenhaften Abgriffs der personenbezogenen Daten von EU-Bürgern, die von Unternehmen wie Facebook gespeichert werden, könne das Schutzniveau nicht als angemessen betrachtet werden.
Im Februar hat die EU-Kommission dann ihren neuen Vorstoß vorgestellt: Privacy Shield, für welches das Logo fertig war, bevor die Verabredung stand. Im Rahmen der Vereinbarung sichern die USA nun zum Beispiel zu, ihre Massenüberwachung einzugrenzen, indem sie nur noch in sechs (dehnbar interpretierbaren) Bereichen angewendet werden soll. Außerdem soll eine Ombudsperson im US-Außenministerium für Datenschutzbeschwerden aus Europa ansprechbar sein und im Streitfall vermitteln. Eine Zustimmung des EU-Parlaments ist laut dem im europäischen Datenschutzrecht vorgesehen Angemessenheitsentscheidungsverfahren nicht notwendig. Lediglich der sogenannte Artikel-31-Ausschuss, in dem Regierungsvertreter der EU-Mitgliedsstaaten zusammenkommen und in dem Deutschland vom Innenministerium vertreten wird, musste seine Zustimmung geben. Die Verabredung gilt für alle EU-Mitgliedsstaaten und die Mitglieder des Europäischen Wirtschaftsraumes.
Kritik auf breiter Front
Privacy Shield war von Beginn an heftig umstritten. So haben etwa in nicht-bindenden Stellungnahmen das Europäische Parlament und die Artikel-29-Arbeitsgruppe der nationalen Datenschutzbeauftragten massive Kritik an der geplanten Verabredung geäußert. Auch der Europäische Datenschutzbeauftragte Giovanni Buttarelli und diverse zivilgesellschaftliche Organisationen übten Kritik.
Im Kern geht es dabei darum, dass die Zusagen der US-Regierung nicht weit genug gehen und sich die Gesetzeslage in den USA nicht geändert hat: Amerikanischen Behörden bleibt der massenhafte Zugriff auf personenbezogene Daten aus Europa weiter möglich. Auch die neu eingerichtete Ombudsstelle wird als zu wenig unabhängig und letztlich ineffizient für den Schutz europäischer Bürger angesehen. Zudem wird die Verabredung auch in ihrer Form kritisiert: Versprechen der US-Regierung sind deutlich weniger wert als ein bindendes völkerrechtliches Abkommen. Letztlich werde die neue Angemessenheitsentscheidung vor dem Europäischen Gerichtshof ebenso wenig bestand haben wie Safe Harbor, so viele Kritiker.
Nur noch kosmetische Änderungen vorgenommen
In Anbetracht der massiven Kritik, die offenbar auch Ländervertreter im Veto-berechtigten Artikel-31-Ausschuss zögern ließ, hatten EU-Kommission und US-Regierung im Juni nochmals nachverhandelt und einige Änderungen verabredet. Die veränderte Fassung wurde von dem Ausschuss am Freitag dann abgesegnet und auf Drängen einiger EU-Parlamentarierer von Kommissarin Jourová dann gestern im Innenausschuss des Europaparlaments vorgestellt, ohne dass dieser noch Einfluss hätte nehmen können. Selbst EU-Kommissarin Jourová gab hier zu, dass sie mit Privacy Shield „nicht glücklich“ sei – es sei jedoch besser als die alte Safe-Harbor-Verabredung und einen Versuch wert. Die NGO Privacy International kritisierte, dass der Schutzschild auch nach den Veränderungen löchrig bleibt. Der grüne Abgeordnete Jan Philipp Albrecht bezeichnete die Neuerungen uns gegenüber als lediglich kosmetische Veränderungen.
Auch die Bundesdatenschutzbeauftragte Andrea Voßhoff zeigte sich trotz Lob für einige Fortschritte auf Anfrage von netzpolitik.org enttäuscht. Sie kritisierte insbesondere das Vorgehen der EU-Kommission, welche die europäischen Datenschutzbeauftragten nach Überarbeitung der Verabredung nicht mehr anhörte:
Insbesondere im sogenannten kommerziellen Teil wurden viele Forderungen der Datenschützer berücksichtigt. Dies ist natürlich erfreulich. Im Sicherheitsteil des Abkommens scheinen allerdings nicht in gleichem Maße Ergänzungen gemacht worden zu sein. Um dies zu bewerten, bedarf es jedoch einer Analyse des Textes, welche die Artikel-29-Gruppe durchführen wird. Bedauerlich ist, dass der Artikel-29-Gruppe im laufenden Verfahren von der Kommission nicht erneut die Gelegenheit zur Stellungnahme eingeräumt wurde.
Umstrittene Zukunft der Vereinbarungen
Während der heutigen gemeinsamen Pressekonferenz mit US-Handelsministerin Penny Pritzker bekräftigte Věra Jourová, dass die „Privacy Shield“-Vereinbarungen fundamentale Änderungen gegenüber dem Safe-Habor-Abkommen enthalten und ein hohes Datenschutzniveau sicherstellen werden. Die neue Regelung sei aus den Vorgaben des EuGH und den Empfehlungen unabhängiger europäischer Datenschutzbehörden entwickelt worden. Jourová betonte die gute Zusammenarbeit mit den Datenschützern, die sie auch in Zukunft weiter führen will. Auf die Frage, ob das Abkommen durch einen erneuten Prozess vor dem EuGH zu Fall gebracht werden könne, versicherten beide, dass sie von einem Standhalten gegen eine Klage überzeugt seien.
In einer Gegenveranstaltung zu dieser Pressekonferenz diskutierten der Europaabgeordnete Jan Philipp Albrecht und Max Schrems in Brüssel über das neue Abkommen. Dabei hielten sie zunächst fest, dass weiterhin signifikante Unterschiede zwischen europäischen Datenschutzregelungen und amerikanischem Recht bestünden und dass sich darüber hinaus an der Realität der US-Massenüberwachung nichts geändert habe. Bezüglich der Standfestigkeit der neuen „Privacy Shield“-Regelung sagte Albrecht: „Die EU-Kommission hat zugegeben, dass sie nicht sicher sind, ob das Abkommen dem EuGH standhalten wird.“ Er bekräftigte, dass er sich für eine Klage durch das Europäische Parlament einsetzen wird, ansonsten aber auch die Möglichkeit besteht, dass erneut Privatpersonen eine Klage vor den EuGH bringen. Max Schrems fügte an, dass er hoffe, dass auch andere Bürger und vor allem die Datenschutzbehörden gegen Privacy Shield klagen werden.
Auch zivilgesellschaftliche Organisationen sehen keine Verbesserungen in dem Abkommen und erwarten ein erneutes Eingreifen des EuGH.
Joe McNamee, Direktor von European Digital Rights, sagte gegenüber netzpolitik.org:
Unglücklicherweise hilft diese Einigung niemandem, weder der Privatsphäre noch der Wirtschaft. Wir müssen nun warten bis der EuGH diese Vereinbarung erneut für rechtswidrig erklärt, wonach die EU und die USA vielleicht eine ernstzunehmende Regelung verhandeln werden.
Alexander Sander, Hauptgeschäftsführer Digitale Gesellschaft e.V., teilte netzpolitik.org mit:
Die EU hat es versäumt, eine rechtmäßige, vertrauenswürdige und wirksame Grundlage für transatlantische Datenflüsse auf den Weg zu bringen. Das Privacy Shield genügt den Vorgaben der Safe-Harbor Entscheidung des Europäischen Gerichtshofs (EuGH) keineswegs. Noch immer können die Geheimdienste der USA massenhaft und faktisch unkontrolliert auf personenbezogenen Daten der Europäerinnen und Europäer zugreifen und diese speichern und verarbeiten. Zudem hat man versäumt, einen ausreichenden Rechtsschutz für die europäischen Bürgerinnen und Bürger zu implementieren. Es ist nur eine Frage der Zeit, bis auch diese Vereinbarung vom EuGH zu Fall gebracht wird.