Erzwungene "Grenzpartnerschaft": Abkommen zum US-Datenzugriff auf der Zielgeraden

Fast alle EU-Staaten werden von der Regierung in Washington gezwungen, ein weitgehendes Abkommen zur Öffnung ihrer Polizeidatenbanken abzuschließen. Zum Jahreswechsel hat die EU-Kommission ein Mandat für Verhandlungen über ein transatlantisches Rahmenabkommen für eine solche „Enhanced Border Security Partnership“ (EBSP) erhalten. Das Verfahren soll zur Prüfung eines Antrags auf elektronische Reisegenehmigung (ESTA) in die USA angewendet werden und danach bei der Grenzkontrolle an US-Flughäfen.

Bereits der erste geleakte Entwurf zeigte, wie umfassend die USA auf Daten zugreifen würden. Demnach sollen die Daten zur Identitäts- und Sicherheitsüberprüfung, aber auch zum „Screening“ von Personen genutzt werden dürfen. Diese Formulierungen ermöglichen auch die automatisierte Analyse mit KI-basierten Systemen, wie sie US-Polizei- und Grenzbehörden mit Technik von Palantir und anderen Firmen eingeführt haben. Sogar anschließende „Entscheidungen mit erheblich nachteiligen Folgen“ für die Betroffenen dürfen automatisiert erfolgen, wenn dies in den beteiligten Ländern zulässig ist.

Nun hat die britische NGO Statewatch den aktuellen Entwurf für die geplante „Grenzpartnerschaft“ veröffentlicht. Darin gibt es zwar kleinere Einschränkungen: So soll etwa die US-Abfrage einer Person in europäischen Datenbanken nur mithilfe von Fingerabdrücken möglich sein, nicht aber mit einem Gesichtsbild. Dafür geht der mögliche Zugriff in die Breite: Laut dem ersten Entwurf sollten nur „relevante“ Datenbanken abgefragt werden dürfen, nun fehlt diese Beschränkung. Die anschließende Rückmeldung an die US-Behörden kann dann außerdem Lichtbilder der Person umfassen.

Visafreiheit an Polizeidatenzugriff geknüpft

Der Abschluss einer solchen „Partnerschaft“ ist eine neue Bedingung im Visa-Waiver-Programm (VWP) der USA. Bürger:innen der über 40 teilnehmenden Länder – darunter mit Ausnahme von Zypern, Bulgarien und Rumänien alle EU-Mitgliedstaaten – wird im VWP erlaubt, für bis zu 90 Tage visafrei in die USA einzureisen. Das Programm beruht auf Gegenseitigkeit: Auch US-Bürger:innen profitieren in den Partnerländern von der Visafreiheit.

Weigern sich Regierungen, die neue bilaterale „Grenzpartnerschaft“ einzugehen, werden sie hingegen von der Regierung in Washington aus dem VWP ausgeschlossen. Staatsbürger:innen des betreffenden Landes sind dann wieder visumspflichtig. Die Frist für eine Zustimmung läuft bis Ende 2026.

In dem EU-US-Abkommen werden nur die Rahmenbedingungen für den Zugriff auf die Polizeidatenbanken geregelt. Für die konkrete Umsetzung muss jeder Staat mit den USA dann noch ein bilaterales Abkommen schließen. Darin werden etwa die teilnehmenden Polizei- und Grenzbehörden, die abzufragenden Datenbanken und Löschfristen festgelegt.

Weit gefasste Gründe für automatisierte Abfragen

Als Auslöser für Abfragen europäischer Polizeidatenbanken gilt laut dem Rahmenabkommen, wenn zu der überprüften Person „Grund zu der Annahme besteht, dass die Einreise oder der Aufenthalt eine ernsthafte und unmittelbare Gefahr für die öffentliche Sicherheit oder die öffentliche Ordnung darstellen könnte“.

Im aktuellen Vertragstext wurde vor „Gefahr“ das Wort „ernsthafte“ eingefügt – eine Beschränkung also. Jedoch sind die möglichen „Zweifel“ weit gefasst: Der Datentausch kann etwa wegen einer schlechten „Risikobewertung“ der Person erfolgen.

Weitere Auslöser wären das Vorliegen von „kriminalpolizeilichen Erkenntnissen“ („criminal intelligence“), falsche Angaben bei der ESTA-Registrierung oder beim Grenzübertritt oder sonstige, von den US-Behörden behauptete „verdächtige Aktivitäten“ der Reisenden. Das könnte auch Postings in Sozialen Medien betreffen. Die jeweiligen Accounts sollen nach einem Vorschlag der Trump-Administration bei einem ESTA-Antrag zwingend mitgeteilt werden. Bislang ist dies noch freiwillig.

„Treffer“ öffnet Tür zu weiteren Polizeidaten

Im automatisierten Datentausch erhält die anfragende US-Behörde eine Mitteilung, ob im angefragten EU-Staat ein Eintrag seiner Bürger:innen in der nationalen Polizeidatenbank vorliegt. Im „Trefferfall“ schickt die ersuchte Behörde dann einen Datensatz aus Name und Fingerabdrücken zurück.

Diese Meldung soll Angaben über „strafrechtliche Verurteilungen, Gefahren für die nationale Sicherheit, terroristische Bedrohungen und/oder Verstöße gegen das Einwanderungsrecht“ und, falls vorhanden, Fotos enthalten.

Im nächsten Schritt können weitere Erkenntnisse aus weiteren nationalen Informationssystemen ausgetauscht werden. Wie schnell, lässt das EU-US-Rahmenabkommen offen – dies soll in den bilateralen Abkommen festgelegt werden. Die Rede ist aber von „unverzüglich“, denn die Reisenden in die USA sollen an der Grenzkontrolle möglichst schnell abgefertigt werden.

Auskunft zu politischen Meinungen

Sogar besonders sensible Daten zu „rassischer oder ethnischer Herkunft“, religiösen Überzeugungen, politischen Meinungen, Gewerkschaftszugehörigkeit sowie zu Gesundheit oder Sexualleben dürfen die EU-Staaten an die US-Polizei- und Grenzbehörden weitergeben – als „Ausnahmen“ und mit Beschränkung der Verarbeitungszwecke sowie auf befugtes Personal. Diese aufgezählten Schutzmaßnahmen werden allerdings mit dem Wort „may“ („dürfen“/„können“) abgeschwächt. Sie sind also nicht bindend.

Auch die Weiterverarbeitung der personenbezogenen Daten durch andere Behörden ist von dem Rahmenabkommen gedeckt, sofern der neue Zweck mit dem ursprünglichen „nicht unvereinbar“ ist. Möglich ist zudem die Weitergabe der erhaltenen Daten an Behörden in Drittstaaten oder an internationale Organisationen – sofern die ursprünglich ersuchte Behörde im EU-Staat zugestimmt hat.

EU sieht unabhängige Kontrolle vor – die USA nicht

Im Entwurf für das transatlantische Rahmenabkommen werden auch vermeintliche Schutzklauseln definiert. Auf EU-Seite gehören dazu die Einbindung der unabhängigen Datenschutzbehörden der Mitgliedstaaten. Auf US-amerikanischer Seite dagegen soll die Aufsicht „kumulativ“ durch unterschiedliche Institutionen erfolgen. Genannt werden etwa Inspekteur:innen einzelner Behörden, behördeninterne Datenschutzbeauftragte oder Rechnungsprüfungsämter.

Sämtliche dieser Stellen sind jedoch organisatorisch in der jeweiligen US-Behörde selbst angesiedelt. Damit genügen sie den Anforderungen an den transatlantischen Datenaustausch nicht: Unter anderem aus diesem Grund wurden etwa das „Safe Harbor“-Abkommen von 2015 und das „Privacy Shield“ von 2020 vom Europäischen Gerichtshof für ungültig erklärt.

Beide Fälle gingen auf Klagen des österreichischen Datenschutzaktivisten Max Schrems zurück. Er hält auch die nun diktierte transatlantische „Grenzpartnerschaft“ für rechtswidrig. Die geplante Aufsichtsstruktur stehe im Widerspruch zur EU-Grundrechtecharta, die unabhängige Behörden verlangt, sagt Schrems zu netzpolitik.org. Probleme sieht Schrems auch beim vorgesehenen Rechtsschutz für Betroffene von US-Abfragen in europäischen Polizeidatenbanken. Das Abkommen verweise zwar auf gerichtlichen Rechtsschutz nach US-Recht. In der Praxis scheitere dieser aber häufig an der fehlenden Klagebefugnis in Datenschutzfällen, etwa wenn die Betroffenen ihre Privatsphäre verletzt sehen.