EU-Parlament stellt sich gegen Mechanismus zum transatlantischen Datenaustausch

In der heutigen Plenarsitzung hat das EU-Parlament für einen Beschluss gestimmt, der dem Mechanismus zum Datenaustausch mit den USA eine lange Liste von Mängeln attestiert. Damit liegt der Ball nun bei der EU-Kommission. Bessert sie nicht nach, indem sie Druck auf die Verantwortlichen in den USA ausübt und von ihnen Zugeständnisse fordert, verlangen die EU-Abgeordneten, das Abkommen zum 1. September auszusetzen. Die heute mit 303 zu 223 Stimmen verabschiedete Resolution ist nicht rechtlich bindend, die EU-Kommission muss sie also nicht befolgen.

Der transatlantische Austausch der persönlichen Daten von insgesamt etwa 800 Millionen Menschen, den das Abkommen regeln soll, ist mit dem Datenskandal um Facebook und Cambridge Analytica wieder in die Schlagzeilen geraten. Nach den Enthüllungen von Edward Snowden vor fünf Jahren war der vorherige Mechanismus, Safe Harbor, 2015 vom Europäischen Gerichtshof (EuGH) gekippt worden.

Überwachungsausbau in den USA betrifft auch EU-Bürger

Der zentrale Kritikpunkt am jetzigen Privacy Shield ist, dass die Zusagen der US-Regierung nicht weit genug gehen und die amerikanischen Behörden weiterhin massenhaft persönliche Daten von EU-Bürgern abgreifen können. So kritisieren die Abgeordneten etwa die Verlängerung des US-amerikanischen Foreign Intelligence Acts, der US-Geheimdiensten weltweit weitreichende Befugnisse gibt. Dazu kommt der im März in den USA verabschiedete CLOUD Act (Clarifying Lawful Overseas Use of Data Act), der amerikanische IT-Dienstleister verpflichtet, Strafverfolgern auch dann Zugriff auf gespeicherte Daten zu gewähren, wenn die Speicherung nicht in den USA erfolgt.  Außerdem gilt die Ombudsperson, die neutral vermitteln soll, als nicht unabhängig und als ineffizient.

Der Innenausschuss des EU-Parlaments, der den Beschluss im Juni auf den Weg brachte, begründet die Entscheidung auch mit dem Skandal um die Privacy-Shield-zertifizierten Firmen Facebook und Cambridge-Analytica. Ihnen sollte die Zertifizierung entzogen werden. So kritisieren die Abgeordneten etwa, dass Facebook kurz vor Inkrafttreten der DSGVO die Vertragsbedingungen von 1,5 Milliarden Menschen änderte, damit sie sich nicht auf die gleichen Rechte und Klagebefugnisse wie Menschen in der EU berufen könnten. Claude Moraes Vorsitzender des EU-Justizausschusses und Mitglied der S&D-Fraktion im Europaparlament sagt:

Die Resolution macht klar, dass das Privacy Shield in seiner derzeitigen Form den vom europäischen Datenschutzrecht und der EU-Charter geforderten angemessenen Schutz nicht bietet. Vor dem Hintergrund von Datenlecks wie dem Facebook und Cambridge-Analytica-Skandal ist es wichtiger denn je, unser Grundrecht auf Datenschutz zu sichern. [W]enn die US-Autoritäten dabei versagen, die Bedingungen zu erfüllen, muss die Vereinbarung suspendiert werden, bis sie es tun.

Endstation Gerichtsurteil?

In dem seit Jahren andauernden Rechtsstreit zwischen Max Schrems und Facebook prüft der EuGH inzwischen auch die Wirksamkeit des umstrittenen Privacy Shields. Europäische Datenschützer hatten bereits im letzten Jahr bemängelt, dass das Privacy-Shield-Abkommen der gerade in Kraft getretenen Datenschutzgrundverordnung und der EU-Grundrechtecharta zuwiderlaufen und Nachbesserungen bis Mai diesen Jahres gefordert. Da diese nun nicht gekommen sind, stellen die EU-Abgeordneten nun ein öffentlichkeitswirksames Ultimatum und hoffen ein letztes Mal auf Nachbesserungen. Sie halten auch fest, dass sie kommende Prozesse vor dem EuGH genau beobachten werden.

Update, 6. Juli 2018: Statement von Claude Moraes und die Kritik am CLOUD Act eingefügt.