„Grenzpartnerschaft“: Auch der EU-Datenschützer rügt geplantes Polizeiabkommen mit den USA

Der Europäische Datenschutzbeauftragte (EDSB) Wojciech Wiewiórowski hat das geplante Rahmenabkommen zwischen der EU und den USA zum lesenden Zugriff auf nationale Polizeidatenbanken scharf kritisiert. In einer am 27. Oktober veröffentlichten Stellungnahme verlangt die Aufsichtsbehörde klare Grenzen für den geplanten Datenaustausch und warnt vor einer massenhaften Übermittlung biometrischer Daten.

Den Abschluss einer solchen „Enhanced Border Security Partnership“ hat die US-Regierung zur neuen Bedingung für das Visa-Waiver-Programm (VWP) gemacht. An diesem Programm nehmen mehr als 40 Länder teil, deren Bürger*innen deshalb bis zu 90 Tage ohne Visum in die USA einreisen dürfen; diese Vereinbarung gilt gegenseitig. Wer sich der neuen „Grenzpartnerschaft“ verweigert, riskiert den Ausschluss aus dem VWP. Die Frist für das Rahmenabkommen läuft bis Ende 2026. Anschließend müssen einzelne Regierungen – auch Deutschlands – ein konkretisierendes Umsetzungsabkommen abschließen.

Ein Entwurf für den heiklen Datendeal wurde inzwischen ausgehandelt. Am 10. September hat die Europäische Kommission einen unterzeichnungsreifen Entwurf veröffentlicht, er liegt inzwischen samt Annex auch auf Deutsch vor. Wegen der von den USA diktierten Frist ist ein zweigleisiges Verfahren vorgesehen: Nachdem das Rahmenabkommen von den EU-Staaten und der US-Regierung unterzeichnet wurde, soll es sofort vorläufig angewendet werden. Die demokratische Legitimation mit Zustimmung des Europäischen Parlaments soll dann nachgeholt werden, dafür gibt es einen inhaltsgleichen Entwurf.

Anlässe für Abfragen sind vage

Gegenüber einem früheren Entwurf enthält die finale Version Änderungen. Eine US-Abfrage in europäischen Datenbanken soll demnach nur mit alphanumerischen Personendaten oder Fingerabdrücken möglich sein, nicht mehr mit einem Gesichtsbild. Die anschließende Antwort an die US-Behörden kann dann auch biometrische Lichtbilder enthalten.

Nach Angaben der US-Seite soll der Datenzugriff vor allem der Identitätsüberprüfung und dem Sicherheitsscreening von Reisenden bei Grenzverfahren und Visaanträgen dienen. Das Abkommen erlaubt Suchläufe, wenn ein „Grund zu der Annahme“ besteht, dass die Einreise oder der Aufenthalt einer Person eine „ernsthafte und tatsächliche Gefahr für die öffentliche Sicherheit oder die öffentliche Ordnung“ darstellt. Wiewiórowski dringt darauf, diesen Begriff eng auszulegen. „Öffentliche Ordnung“ sei im EU-Recht nicht einheitlich definiert und könne sowohl Straftaten als auch Ordnungswidrigkeiten umfassen.

Die weite Fassung der Zwecke im derzeitigen Entwurf gewährt den USA außerdem Zugriff zur Verfolgung schwerer Kriminalität und terroristischer Straftaten. Auch wenn die „Grenzpartnerschaft“ nicht direkt darauf zielt, wäre in diesem Rahmen die Ausforschung linker Bewegungen in Deutschland möglich: der US-Präsident und seine Regierung haben letztes Jahr unter anderem die deutsche „Antifa Ost“ und ihre angeblichen Mitglieder oder Unterstützer*innen als „Foreign Terrorist Organization“ eingestuft und treiben die Verfolgung linker Gruppen seitdem weltweit voran.

Keine unabhängige Aufsicht

Dass die Befürchtung einer politischen Verfolgung mithilfe der „Grenzpartnerschaft“ nicht weit hergeholt ist, zeigt sich auch in der Formulierung von „Trendanalysen“ verdächtiger Aktivitäten, aufgrund derer eine US-Abfrage in deutschen Polizeidaten erfolgen dürfte. Der EDSB sieht darin eine Gefahr von Rasterfahndungen anhand von Verhaltensmustern. Diese könnten zu Profilbildung und einer ungerechtfertigter Ungleichbehandlung führen, so Wiewiórowski.

Für den ersten automatisierten Abgleich, bei dem auch Fingerabdrücke übermittelt werden, verlangt der EDSB mehr Transparenz. Die anfragende Behörde solle zumindest angeben, worauf sich der Verdacht bezieht. Zudem soll der Zugriff ausschließlich auf nationale Datenbanken einzelner Staaten beschränkt bleiben. Darin sind häufig auch Datenbestände aus großen EU-Plattformen wie dem Schengener Informationssystem (SIS), dem Visa-Informationssystem (VIS) oder dem Europäischen Reiseinformations- und ‑genehmigungssystem (ETIAS) übernommen. Eine indirekte Weitergabe dieser Daten aus EU-Systemen an US-Behörden müsse ausgeschlossen werden, fordert Wiewiórowski.

Der EDSB bemängelt zudem eine Schwachstelle, auf die auch schon der Datenschutzaktivist Max Schrems gegenüber netzpolitik.org verwiesen hatte: Zwar sehe der Entwurf des Rahmenabkommens vor, dass die Staaten mit den USA gegenseitig unabhängige Aufsichtsstellen benennen. Für die USA bleibe aber unklar, welche Behörden diese Aufgabe übernehmen sollen. Denn in den USA existieren keine behördenunabhängige Stellen, wie sie in der EU üblich sind. Die EU-Kommission gibt sich in dem Abkommen offenbar mit internen Stellen der US-Einwanderungsbehörden zufrieden.

Bundesregierung schweigt zu Verhandlungen

Wiewiórowski weist außerdem darauf hin, dass allein das Vorhandensein von Daten in irgendeiner europäischen Polizeidatei nicht als Anhaltspunkt für weitere Maßnahmen gelten darf. Denn dort sind häufig nicht nur Beschuldigte, sondern auch Zeug*innen und Opfer gespeichert. So ist es auch beim deutschen Informationssystem der Polizei (INPOL) der Fall. Diese beim Bundeskriminalamt für alle Bundesländer geführte Datei wird vermutlich im deutsch-amerikanischen Umsetzungsabkommen für die „Grenzpartnerschaft“ geöffnet.

Für das bilaterale Umsetzungsabkommen ist auf deutscher Seite das Bundesinnenministerium zuständig. Wie es sich angesichts des Zeitdrucks auf die noch dieses Jahr abzuschließenden Verhandlungen vorbereitet, will die von Alexander Dobrindt (CSU) geführte Behörde nicht sagen. Auf eine Presseanfrage antwortete das Ministerium lediglich, die Regierung ergreife derzeit alle erforderlichen Schritte.

Das Auswärtige Amt unter Johann Wadephul (CDU), das spätestens zur Unterzeichnung eines final entworfenen Umsetzungsabkommens eingebunden werden müsste, wollte inhaltlich gar nicht antworten. Auch eine parlamentarische Anfrage der Abgeordneten Clara Bünger (Die Linke) wurde mit Verweis auf den „Kernbereich exekutiver Eigenverantwortung“ nicht beantwortet.