Cloud Act: Kritik an Datenabkommen zwischen USA und Großbritannien

In ungewöhnlich deutlichen Worten haben die europäischen Datenschutzbehörden ein Abkommen zwischen den USA und dem Vereinigten Königreich kritisiert, das künftig Strafverfolgungsbehörden wechselseitig umfassenden Zugriff auf persönliche Daten in Ermittlungsverfahren gewähren soll. Die Kritik der Datenschützer:innen könnte Konsequenzen für ein ähnliches Abkommen zwischen der USA und Europa und die künftigen Beziehungen der EU mit Großbritannien haben.

Konkret geht es um den Cloud Act. Das US-Gesetz erlaubt den dortigen Behörden den Zugriff auf die Daten auch auf Servern im Ausland, ohne dass zuvor ein Rechtshilfegesuch gestellt wird. Die EU plant mit der E-Evidence-Verordnung längst ein ähnliches Gesetz, das innerhalb der EU den Datenzugriff in Strafverfahren erleichtern soll.

Während die EU und die USA noch über ein wechselseitiges Abkommen über den Datenzugriff verhandeln, hat Großbritannien bereits im Vorjahr als erstes Land weltweit ein Abkommen im Rahmen des Cloud Act mit den USA abgeschlossen. Dies „ermöglicht es den amerikanischen und britischen Strafverfolgungsbehörden mit entsprechender Ermächtigung, elektronische Daten über schwere Verbrechen, einschließlich Terrorismus, sexuellen Kindesmissbrauchs und Cyberkriminalität, direkt von im jeweils anderen Land ansässigen Technologieunternehmen ohne rechtliche Hindernisse einzufordern“, so das US-Justizministerium.

Geharnischter Brief

Der umfassende Datenzugriff zwischen USA und dem Vereinigten Königreich stößt den EU-Behörden sauer auf. Der Europäische Datenschutzausschuss befürchtet, dass Schutzmaßnahmen vor rechtlich problematischen Anfragen aus den USA durch den Cloud Act respektive dem britischen Abkommen ausgehebelt werden. Das schrieb der Ausschuss diese Woche in einem Antwortbrief an den deutschen EU-Abgeordneten Moritz Körner von der FDP und seine liberale Fraktionskollegin Sophie in ´t Veld aus den Niederlanden.

Jedes künftige Abkommen müsse über US-amerikanischen nationalen Bestimmungen stehen und ausreichende datenschutzrechtliche Schutzbestimmungen enthalten, heißt es in dem Brief. Die Schutzmaßnahmen müssten etwa eine vorherige gerichtliche Genehmigung für den Zugriff auf Metadaten und Inhalte von Kommunikationsdaten enthalten, die bisher von US-Geheimdiensten massenhaft unter Schleppnetz-Autorisierungen ausgelesen werden.

Abgeordnete fordern Konsequenzen

Der Brief zeige deutliche Sperrlinien für den Datentransfer zwischen Europa und den USA auf, sagte die liberale Abgeordnete in ´t Veld zu netzpolitik.org. „Die Datenschutzbeauftragten scheinen anzudeuten, dass sie die laxe Haltung der Kommission in Bezug auf den Datenschutz in den internationalen Beziehungen nicht länger tolerieren werden.“ Die Kommission könne nun nicht mehr wie früher vage Zusicherungen der USA akzeptieren, Europäer:innen nicht in Bausch und Bogen zu belauschen. Eine wichtige Vorentscheidung dafür werde die Entscheidung des Europäischen Gerichtshofs im Fall Schrems-II im Juli bringen.

Mögliche Konsequenzen sieht der Brief des Datenschutzausschusses für die künftige Zusammenarbeit zwischen der EU und Großbritannien nach dem endgültigen Ausscheiden des Landes aus dem EU-Rechtsrahmen. Datenweitergabe aus britischer Hand an US-Behörden ohne ausreichende Schutzmechanismen werden Auswirkungen auf die Frage haben, ob die EU dem Vereinigten Königreich ein gleiches Datenschutzniveau wie im eigenen Rechtsraum bescheinigen könne, eine sogenannte Adäquanzentscheidung. So heißt es in dem Brief.

Der FDP-Abgeordnete Körner fordert klare Konsequenzen aus dem britischen Deal mit den USA. „Das einseitige Datenaustausch-Abkommen zwischen Großbritannien und den USA verunmöglicht ein Fortführen des Datenaustauschs zwischen der EU und Großbritannien“, sagt Körner. „Das Vereinigte Königreich wird sich zwischen hohen europäischen Standards und amerikanischer Massenüberwachung entscheiden müssen, oder es wird am Ende zwischen den Stühlen sitzen.“