„Safe Harbor“ mit neuem Anstrich: Der Datenschutz-Deal „EU-US Privacy Shield“ gewährt in NRW lebenden Menschen keinen Schutz vor anlassloser Massenüberwachung

I. Sachverhalt

Ende Februar hat die Europäische Kommission das bereits angekündigte Legislativpaket zum sogenannten „EU-US Privacy Shield“ veröffentlicht. Die Einigung zwischen der Europäischen Kommission und der US-amerikanischen Regierung soll zukünftig den Datenaustausch zwischen beiden Regionen regeln, insbesondere den Verkehr personenbezogener Kundendaten. In erster Linie geht es der Kommission darum, das Vertrauen der in der EU lebenden Menschen, in den Schutz ihrer personenbezogenen Daten vor der anlasslosen Massenüberwachung durch US-amerikanische Sicherheitsbehörden, zurückzugewinnen.

Kern der Einigung ist eine neue „Adäquanzentscheidung“, die beweisen soll, dass die Datenschutzregeln in den USA grundsätzlich denen in der EU „angemessen“ sind. Aus den veröffentlichten Dokumenten geht hervor, dass mit dem „Privacy Shield“ vor allem die staatliche Kontrolle der geltenden Rechtslage in den USA, sowie die Beschwerdemöglichkeiten betroffener Bürger verbessert werden sollen.

Gleichzeitig wird in den Texten mehr als deutlich, dass die USA zu keinerlei Zugeständnissen bezüglich ihrer eigenen Aktivitäten zur Massenüberwachung bereit sind. Der US-amerikanische Director of National Intelligence James Clapper sagte in einem mitveröffentlichten Schreiben lediglich zu, dass die USA technische Aufklärung nur nutzen würden, um ihre nationale Sicherheit und ihre außenpolitischen Interessen zu stärken, sowie ihre Bürger und die ihrer Alliierten und Partner vor Schaden zu bewahren. Vor diesem Hintergrund verwundert es nicht, dass der im Rahmen des „EU-US Privacy Shields“ zugestandene „begrenzte Datenzugriff“ auch weiterhin die Verwendung von Massenüberwachungsdaten in sechs definierten Fällen erlaubt: So kann nicht davon ausgegangen werden, dass weitgefasste Nutzungsgründe wie „Cybersecurity“ oder „länderübergreifende kriminelle Bedrohungen“ zu einer restriktiveren Verwendung von in der EU erhobenen personenbezogenen Daten führt. Auch die durch den aktuellen Stand des „Privacy Shield“-Deals erfolgte Zusicherung der US-Regierung zur Einhaltung ihrer eigenen Überwachungsgesetze stellt eine Selbstverständlichkeit dar und ist keine substanzielle Weiterentwicklung eines Datenschutzabkommens.

Auch die geplante Ansiedlung einer (formal unabhängigen) Ombudsperson im US-Außenministerium, welche eine bessere Durchsetzbarkeit von Rechten gegenüber den US-Behörden garantieren soll, erntete scharfe Kritik. Die Europäische Ombudsfrau (oder Europäische Bürgerbeauftragte) Emily O’Reilly sah sich sogar genötigt der zuständigen EU-Kommissarin einen offenen Brief zu schicken, in dem sie sich über die Verwendung des Begriffes „Ombusman“ für die getroffene Regelung beschwerte, da sie den Bürgern vollkommene Unabhängigkeit der Stelle suggerieren würde.

Ein neues Abkommen zwischen der EU und den USA war insbesondere deshalb notwendig geworden, weil der Europäische Gerichtshof (EuGH) am 06. Oktober 2015 die Entscheidung zu „Safe Harbor“ der Europäischen Kommission für ungültig erklärt hatte (Rechtssache C-362/14). Die Safe-Harbor-Entscheidung aus dem Jahr 2000 genehmigte per se die Übermittlung personenbezogener Daten an Unternehmen in den Vereinigten Staaten, da davon ausgegangen wurde, dass US-Firmen gleichwertige Datenschutzstandards wie die innerhalb der EU gewähren. Hauptbegründung im EuGH-Urteil: Das ursprünglich definierte gleichwertige Datenschutzniveau zwischen den USA und der EU habe heute keinen Bestand mehr. Somit hat der EuGH die Grundannahme von Safe Harbor, das gleichwertige Schutzniveau, abgelehnt. Gleichzeitig hatte der EuGH mit seinem Urteil unmissverständlich darauf hingewiesen, dass die nationalen Datenschutzbehörden bei vermuteten bzw. beklagten Grundrechtsverletzungen nicht untätig bleiben und sich auf EU-Entscheidungen berufen dürfen.

Das veröffentlichte Legislativpaket zum „EU-US Privacy Shield“ wurde von der Kommission noch nicht final verabschiedet. Zuerst muss noch das Gremium der EU-Datenschutzbehörden, die „Artikel 29-Gruppe“, sich zu dem Paket verhalten. Dessen Stellungnahme wird für Mitte April erwartet.

II. Der Landtag stellt fest

1. Das veröffentlichte Legislativpaket zum „EU-US Privacy Shield“ stellt insbesondere hinsichtlich des Schutzes personenbezogener Daten gegenüber der anlasslosen Massenüberwachung durch US-amerikanische Sicherheitsbehörden keine substanzielle Weiterentwicklung der für ungültig erklärten Safe Harbor-Entscheidung dar.
2. Die anlasslose Massenüberwachung von in Europa lebenden Menschen durch US-amerikanische Sicherheitsbehörden und die damit verbundenen Grundrechtsverletzungen werden mit dem aktuellen Stand des „EU-US Privacy Shields“ nicht verhindert werden können.
3. Der zentrale Kritikpunkt des EuGH an der Safe Harbor-Entscheidung, nämlich dass man nicht von einem gleichwertigen Schutzniveau in der EU und den USA ausgehen kann, wird im veröffentlichten Stand des „EU-US Privacy Shields“ nicht ausgeräumt.

III. Der Landtag beschließt

1. Der Landtag fordert die nordrhein-westfälische Landesregierung auf, sich auf allen politischen Ebenen für ein wirksames Datenschutzniveau im „EU-US Privacy Shield“, das in Nordrhein-Westfalen lebenden Menschen echten Schutz vor der anlasslosen Massenüberwachung durch US-amerikanische Sicherheitsbehörden und die damit verbundenen Grundrechtsverletzungen bietet, einzusetzen.

Mitschnitt der kompletten Debatte: