EU-Innenausschuss zum Privacy Shield: Nachbessern oder aussetzen

Die Privacy-Shield-Verabredung zwischen der EU und den USA kann die Rechte von Europäern bei Datentransfers in die Vereinigten Staaten nicht ausreichend schützen. Zu dieser Position kam gestern der federführende Ausschuss für bürgerliche Freiheiten, Justiz und Inneres des EU-Parlaments (LIBE). Die LIBE-Abgeordneten fordern, die EU-Kommission solle das Privacy Shield zum 1. September aussetzen, sollte man sich in Verhandlungen mit den USA nicht auf effektiveren Datenschutz einigen.

Das Privacy Shield ist derzeit die zentrale Grundlage für transatlantische Datenverkehre. Nachdem der Europäische Gerichtshof (EuGH) im Oktober 2015 den Vorgänger Safe Harbour aufgrund der Massenüberwachung im Rahmen des Prism-Programms gekippt hatte, handelte die EU-Kommission zum Juli 2016 das früh und immer wieder als unzureichend kritisierte Privacy Shield als neuen Rechtsrahmen aus. Die Vereinbarung ermöglicht es US-Firmen, persönliche Daten von EU-Bürgern ohne größeren juristischen Aufwand in die USA zu übertragen. Dafür sichern die USA zum Beispiel zu, sich in mit ihrer Massenüberwachung auf sechs – äußerst schwammig formulierte – Bereiche zu beschränken. Auch stellt das US-Außenministerium eine Ombudsperson zur Verfügung, die bei Datenschutzbeschwerden aus Europa schlichten soll.

Frist bis zum 1. September

Der LIBE-Ausschuss schlägt dem Parlament nun vor, die EU-Kommission durch einen Beschluss aufzufordern, das Privacy Shield zu überarbeiten. Die entscheidende Abstimmung darüber im Plenum erfolgt voraussichtlich im Juli. Die Resolution des Parlaments wäre jedoch nicht bindend. Das letzte Wort darüber, ob das Abkommen tatsächlich aufgehoben wird, hat die Kommission. Vergangenen Oktober hatte sie das Abkommen erstmals geprüft und trotz erheblicher Mängel zunächst durchgewunken. Die Privatsphäre aller EU-Bürger sei ausreichend geschützt. In dem gestern nur mit knapper Mehrheit beschlossenen Resolutionsvorschlag fordert der LIBE-Ausschuss die EU-Kommission nun zu mehr Konsequenz auf. Der Deal zur Datenübertragung in Richtung USA solle andernfalls ab 1. September ausgesetzt werden.

Der zentrale Kritikpunkt am Privacy Shield ist, dass die Zusagen der US-Regierung nicht weit genug gehen und die amerikanischen Behörden weiterhin massenhaft persönliche Daten von EU-Bürgern abgreifen können. Auch gilt die Ombudsperson als nicht unabhängig und als ineffizient. Letztlich bleibt das Privacy Shield, ebenso wie der gekippte Vorgänger Safe Harbour, ein loses Versprechen und kann deshalb nicht den gleichen Schutz bieten wie ein bindendes völkerrechtliches Abkommen. In dem seit Jahren andauernden Rechtsstreit zwischen Max Schrems und Facebook prüft der EuGH inzwischen auch die Wirksamkeit des umstrittenen Privacy Shields.

Der Ausschuss begründet seine Entscheidung auch mit dem Skandal um die Privacy-Shield-zertifizierten Firmen Facebook und Cambridge-Analytica. Er verweist außerdem auf den erst im vergangenen März erlassenen viel kritisierten, aber verabschiedeten „Clarifying Lawful Overseas Use of Data (CLOUD) Act“. Das Gesetz verpflichtet Software- und Diensteanbieter dazu, Behörden auch Zugriff auf außerhalb der USA gespeicherte Daten von US-Bürgern zu gewähren.

Knappe Mehrheit für klare Forderungen

Der LIBE-Vorsitzende und Verhandlungsführer des Parlaments, Claude Moraes (S&D), teilte gestern der Presse mit, es bestünden keine Zweifel, dass das Privacy Shield der DSGVO und der EU-Grundrechtecharta zuwiderlaufe:

„Der LIBE-Ausschuss hat heute seine klare Position zum EU-US-Abkommen Privacy Shield verabschiedet. […] In seiner aktuellen Form kann das Privacy Shield keinen angemessenen Datenschutz gewährleisten, der den Anforderungen der DSGVO und der EU-Grundrechtecharta genügen. Deshalb liegt es nun an den US-Behörden und der EU-Kommission, Maßnahmen zu ergreifen um, damit das Abkommen in vollem Umfang der DSGVO gerecht wird.“ [Eigene Übersetzung]

Dessen ungeachtet stellen sich bekannte Datenschutzgegner gegen das Vorhaben. Die konservative EVP wollte bereits die Abstimmung im Innenausschuss aufschieben und stimmte schließlich gegen den von Sozialdemokraten, Grünen und Liberalen getragenen Beschluss. Schattenberichterstatter Axel Voss (EVP) mahnte an, man würde im Parlament beim Einsatz für besseren Datenschutz die Risiken für die europäische Wirtschaft aus den Augen verlieren. Anders als sein sozialdemokratischer Gegenspieler Moraes sieht er keinen Grund zur Sorge, der Handel mit persönlichen Daten sei schließlich notwendig für funktionierende transatlantische Wirtschaftsbeziehungen:

„Es muss klar sein, dass das Privacy Shield einwandfrei und gefahrenlos funktioniert. Es schafft Vorteile für kleine und mittelständische Unternehmen aus Europa, da diese sich nicht mit langwierigen Verhandlungen über fürs Geschäft notwendige Datenübertragungen mit Handelspartnern jenseits des Atlantiks herumschlagen müssen. […] Der Beschlussvorschlag leugnet alle existierenden, ausgereiften und sorgfältig geprüften Mechanismen, auf die das Privacy Shield aufbaut.“ [Eigene Übersetzung]

Dass es bei dem Abkommen mit dem vielversprechenden Namen um den Schutz persönlicher Daten von mehr als 800 Millionen EU- und US-Bürgern geht – und nicht nur um kleine und mittelständische Unternehmen –, fällt in dieser Argumentation unter den Tisch.

Die liberale EU-Abgeordnete Sophie in’t Veld hält es für unwahrscheinlich, dass die Kommission zu einer Überarbeitung bereit ist, und hofft eher auf eine erneute Aufhebungsentscheidung vom EuGH. Bleibt ein Entgegenkommen der USA weiterhin aus, könnte das Privacy Shield tatsächlich für unrechtmäßig erklärt werden. Dadurch würde nicht nur der transatlantische Datentransfer massiv erschwert. Auch für besseren transatlantischen Datenschutz müsste zunächst eine neue Rechtsgrundlage her. Eine menschenrechtsorientierte Einigung in Form eines völkerrechtlichen Abkommens erscheint unter der Trump-Regierung allerdings mehr als unwahrscheinlich.