© Rancz Andrei, 123RF

Strenge Auflagen, klare Schutzvorkehrungen, jährliche Überprüfung: Durch solche Mechanismen sieht die EU-Kommission das jetzt angenommene Privacy-Shield-Abkommen den Datenschutz der Bürger gewährleisten. Die Wirtschaftsverbände sind zufrieden, die Datenschützer weniger.

Mitte Juli hat die Europäische Kommission den EU-US-Datenschutzschild (alias Privacy Shield) angenommen. Der Nachfolger des vom Europäischen Gerichtshof im vergangenen Herbst kassierten Safe-Harbor-Abkommens ist damit in Kraft getreten. Der Privacy Shield regelt wie der Vorgänger, was US-Unternehmen beim Sichern von personenbezogenen Daten von EU-Bürgern beachten müssen und inwiefern US-Behörden darauf zugreifen können.

Regelungen

Andrus Ansip, für den digitalen Binnenmarkt zuständiger Vizepräsident der Europäischen Kommission, und Vera Jourová, Kommissarin für Justiz, Verbraucher und Gleichstellung, haben eine gemeinsame Erklärung abgegeben und loben darin den Privacy Shield [1] als wirkungsvolles Instrument zum Schutz der Daten von EU-Bürgern beim Transfer in die USA: Im Rahmen der neuen Regelung überprüfe das US-Handelsministerium die Liste der teilnehmenden Unternehmen regelmäßig und aktualisiere sie, um sicherzustellen, dass die Anbieter die Regeln einhalten, schreiben die Kommissare. Bei Verstößen müssen Firmen mit Sanktionen und der Streichung von der Liste rechnen, heißt es.

Rechtsmittel

Die USA hätten der EU zugesichert, dass der Datenzugriff von Behörden aus Gründen der Rechtsdurchsetzung oder der nationalen Sicherheit nur unter Einhaltung klarer Beschränkungen, Schutzvorkehrungen und Aufsichtsmechanismen gestattet sei, erläutern Ansip und Jourová in ihrer Erklärung [2], und allen Personen in der EU ständen damit erstmals Zugang zu Rechtsschutzmechanismen in diesem Bereich zu.

Massenüberwachung

Es sei zudem ausgeschlossen, dass die USA eine unterschiedslose Massenüberwachung der im Rahmen des Datenschutzschilds in die USA übermittelten personenbezogenen Daten durchführen, lässt die EU-Kommission wissen. Eine Sammelerhebung finde nur unter bestimmten Voraussetzungen und einer möglichst gezielten Ausrichtung statt. Treten solche Umstände ein, sollen die Schutzvorkehrungen für die Verwendung von Daten im Einzelnen geregelt werden. Dafür habe der US-Außenminister im Außenministerium eine Ombudsstelle eingerichtet, an die sich EU-Bürger mit Rechtsschutzbegehren wenden können, die den Bereich der nationalen Sicherheit betreffen.

Abbildung 1: Ein Schiedsverfahren über den Ombudsmann im US-Außenministerium ist möglich.. © bowie15, 123RF

Die Pflichten des Privacy Shield sind außerdem vererbbar. Das heißt, wenn ein Unternehmen, das sich zur Einhaltung des Abkommens verpflichtet hat, Daten an eine andere Firmen weiterleitet, sind auch diese Firmen dazu verpflichtet, mit den Daten nach den Maßgaben des Privacy Shield zu verfahren.

Überprüfung

Die Europäische Kommission und das US-Handelsministerium wollen die Einhaltung der Bestimmungen jährlich überprüfen. Diese Prüfung erfolge gemeinsam, es sollen dazu auch Sachverständige der US-Nachrichtendienste und der europäischen Datenschutzbehörden hinzugezogen werden.

Bescheinigung für US-Unternehmen

Die USA veröffentlichen den Rahmen für den Datenschutzschild im US-Bundesregister, vergleichbar mit dem EU-Amtsblatt. Anwendung findet seitens der USA der Datenschutzschild dann, wenn die Unternehmen Gelegenheit hatten, den Rahmen zu überprüfen und die eventuell nötigen Anpassungen vorzunehmen. Firmen aus den USA können sich dann ab August vom US-Handelsministerium eine entsprechende Bescheinigung ausstellen lassen.

Die EU-Kommission ihrerseits will einen Bürger-Leitfaden zur Erläuterung der Rechtsbehelfe veröffentlichen, sollten Einzelpersonen Verstöße bei der Verwendung der sie betreffenden personenbezogenen Daten vermuten. Die US-Unternehmen müssen auf Beschwerden von den Nutzern binnen 45 Tagen reagieren. Wenn Firmen mehrfach wegen Verstößen gegen den Privacy Shield auffällig werden, können sie von der Liste der US-Handelskommission entfernt werden und müssen die Nutzerdaten löschen.

Rechtssicherheit für Firmen

Der deutsche Verband der Internetwirtschaft Eco e.V. [3] hat in einer Stellungnahme den Privacy Shield begrüßt. “Endlich haben Unternehmen, die auf den Datenaustausch mit den USA angewiesen sind, wieder eine verlässliche Grundlage”, kommentierte Oliver Süme, Eco-Vorstand für Politik und Recht. Diese Rechtssicherheit habe in den vergangenen Monaten gefehlt, so Süme.

Der Eco-Verband sieht zwar die Gefahr, dass – wie gegen Safe Harbor – erneut eine Klage gegen das Abkommen vor dem Europäischen Gerichtshof (EuGH) landet, bescheinigt aber der EU-Kommission, sich eng an den Vorgaben des EuGH orientiert zu haben, um ein erneutes Scheitern zu verhindern. “Der Privacy Shield sieht gegenüber dem alten Safe-Harbor-Abkommen ein deutlich höheres Datenschutzniveau vor, das durch verschiedene Mechanismen abgesichert ist und an das auch die Aufsichtsbehörden gebunden sind”, kommentiert Süme.

Kritik

Der Privacy Shield wird allerdings auch massiv kritisiert. Max Schrems, der österreichische Datenschutzaktivist, der durch seine Klagen gegen Facebook das Safe-Harbor-Abkommen letztlich zu Fall brachte, sieht den Privacy Shield als untauglich an. Das Abkommen werde vor dem Europäischen Gerichtshof nicht bestehen, sagte er im Rahmen einer Veranstaltung gegen den Privacy Shield in Brüssel.

Peter Schaar, der frühere deutsche Bundesbeauftragte für den Datenschutz, der jetzt Vorsitzender der Europäischen Akademie für Informationsfreiheit und Datenschutz ist, hat die neue Vereinbarung ebenfalls kritisiert. Trotz einiger Verbesserungen würden US-Behörden weiterhin in großem Umfang auf Daten von EU-Bürgern zugreifen können, sagte Schaar dem Nachrichtenmagazin “Spiegel”.

Blankoscheck für Datenmissbrauch

Jan Philipp Albrecht, innen- und justizpolitischer Sprecher der Grünen/EFA-Fraktion im Europäischen Parlament kritisiert [4] das Abkommen ebenfalls: “Die Europäische Kommission erteilt den USA einen Blankoscheck für den Transfer personenbezogener Daten aus der EU in die USA und missachtet damit Forderungen aus dem Urteil des Europäischen Gerichtshofs zur Vorgängerregelung Safe Harbor. Die USA bieten bei den individuellen Rechten gegenüber Unternehmen und beim Schutz vor unverhältnismäßiger Überwachung durch Sicherheitsbehörden keinen Datenschutz, der den Standards in der EU gleichwertig ist. Es ist daher ein Fehler, dass die EU-Kommission die jetzigen Zusicherungen akzeptiert, ohne auf Nachbesserungen zu bestehen. Bereits bei der Verabschiedung von Safe Harbor im Jahr 2000 hatte das Europäische Parlament moniert, dass es in den USA kein generelles Datenschutzgesetz gibt.”

Albrecht fordert, EU-Justizkommissarin Vera Jourová müsse unmissverständlich klarmachen, dass mit der Anwendung der neuen Datenschutz-Grundverordnung ab dem Jahr 2018 auch Nachbesserungen bei den Regeln für die Datenweitergabe in die USA erforderlich seien.