Im Datentransfer- und Datenschutzstreit zwischen der EU und den USA ist kein Ende in Sicht

Das dritte Mal war nicht der Reiz. Nachdem sowohl Safe Harbor als auch Privacy Shield ihren Urheber vor dem Gerichtshof der EU (EuGH) kennengelernt haben, prognostiziert ein neuer Bericht, dass der jüngste Versuch der USA, EU-Bürgern und Einwohnern angemessenen Schutz zu bieten, wenn es um die Übertragung ihrer Daten geht Daten könnten das nächste Todesopfer sein.

Der Bericht bewertete das neue EU-US-Datenschutzrahmenwerk (DPF) auf der Grundlage einer rechtlichen „Eignungsprüfung“, bei der die durch EU-Recht und den EuGH in Urteilen wie Schrems I und Schrems II festgelegten Benchmarks berücksichtigt wurden.

Jedes internationale Datentransferabkommen zwischen der Europäischen Kommission und Drittstaaten muss strikt den Grundsätzen des EU-Vertrags entsprechen und gleichzeitig den Personen in der EU Datenschutzgarantien bieten, die im Wesentlichen denen der DSGVO und der EU-Charta der Grundrechte entsprechen.

Dies war das Ziel der USA mit der Executive Order (EO) 14086, die nach einem Angemessenheitsbeschluss von der Europäischen Kommission genehmigt wurde.

Allerdings weist der DPF aus vier Hauptgründen Mängel auf.

Werden EU-Bürger besser vor der Überwachung durch US-Geheimdienste geschützt?

Erstens bleibt unklar, ob es zu einer nennenswerten Änderung in der Art und Weise führen wird, wie US-Geheimdienste EU-Bürger überwachen.

US-Überwachungsinstrumente wie die Executive Order 12333 über ausländische Signalaufklärungsinformationen und Abschnitt 702 des Foreign Intelligence Surveillance Act (FISA) bleiben in Kraft.

Diese ermöglichen es den US-Behörden, umfangreiche elektronische Kommunikation von Nicht-Amerikanern außerhalb des Landes für Geheimdienstzwecke zu sammeln, ohne dass eine individuelle gerichtliche Überprüfung erforderlich ist.

EO 14086 autorisiert ausdrücklich die Massenerfassung von Daten, wenn Geheimdienstakteure mindestens eines der sechs aufgeführten „legitimen Ziele“ verfolgen.

Diese Ziele sind zu weit gefasst und könnten große Datenmengen umfassen. Auch zum zunehmenden Einsatz automatisierter Datenverarbeitung und KI in den USA schweigt sich die DPF aus.

Zweitens definiert EO 14096 entscheidende Begriffe wie „Massensammlung“ nicht ausreichend. Stattdessen entschied sich der EO für eine Definition und einen Umfang der „Massensammlung“, die der EuGH in Schrems II kritisierte.

Daten, die für Zwecke der nationalen Sicherheit erhoben werden, unterliegen auch im Zusammenhang mit internationalen Datenübermittlungen Beschränkungen und Garantien, was im Einklang mit der Rechtsprechung des EuGH zur Datenspeicherung steht.

Irrungen und Wirrungen

Darüber hinaus führt EO 14086 im Anschluss an die Schrems-Urteile den Begriff der Verhältnismäßigkeit als Grenze für die Sammlung von Signalinformationen ein.

Allerdings werden die enormen Unterschiede zwischen der Auslegung und Anwendung dieses Grundsatzes in der EU und den USA nicht angesprochen.

Nach EU-Recht ist eine Abwägung ausgeschlossen, wenn eine Politik das „wesentliche Wesen“ eines Grundrechts berührt. Auch wenn diese Standards in den Staaten nicht eingehalten werden, stellt die EO fest, dass bei der Verhältnismäßigkeitsprüfung ausschließlich US-Recht berücksichtigt wird.

Schließlich führte EO 14086 einen neuartigen Wiedergutmachungsmechanismus ein, um einen wirksamen Rechtsbehelf bereitzustellen, eine Kernanforderung, die von Schrems II formuliert wurde.

Allerdings handelt es sich beim Data Protection Review Court (DPRC) – trotz seines Namens – nicht um ein unabhängiges Gericht, was eine unabdingbare Voraussetzung für ein faires Verfahren und die Rechtsstaatlichkeit im EU-Rechtssystem ist.

Vielmehr handelt es sich um ein Verwaltungsorgan, das dem US-Justizministerium untersteht und direkt dem Präsidenten rechenschaftspflichtig ist.

Die sogenannten Richter prüfen Einzelbeschwerden in vertraulichen, einseitigen Verfahren und erlassen unanfechtbare Entscheidungen.

Wie Justizkommissar Didier Reynders im Juni 2023 gegenüber den US-Behörden betonte, sind die rechtlichen Schutzmaßnahmen, die die EU von Drittländern erwartet, nicht nur Standard auf EU-Ebene, sondern werden voraussichtlich auch von allen Mitgliedstaaten angewendet.

Tatsächlich forderte das Europäische Parlament eine wirksamere Durchsetzung des EU-Besitzstands im Bereich Datenschutz und Rechtsstaatlichkeit gegenüber den nationalen Geheimdiensten.

Ist irgendetwas davon chartasicher?

Jede Person auf EU-Boden, deren Daten in die EU übermittelt werden, hat unabhängig von ihrer Staatsangehörigkeit Anspruch auf wirksame Rechtsmittel vor unabhängigen Gerichten – sogar vor dem Europäischen Gerichtshof für Menschenrechte.

Da Geheimdienste in EU-Mitgliedstaaten jedoch nicht in den Anwendungsbereich des Angemessenheitsbeschlusses fallen und vom EuGH bei der Bewertung von Datenübertragungsvereinbarungen nicht berücksichtigt werden, muss sich die Beurteilung der Europäischen Kommission darauf konzentrieren, ob diese „EU-Charta-sicher“ sind.

Insgesamt sollten Debatten über die Angemessenheit der transatlantischen Datenübertragung kein „Schönheitswettbewerb“ oder Fingerzeig sein, da dies zu einem weltweiten Wettlauf nach unten führen könnte.

Trotz ernsthafter Bemühungen der Verhandlungsführer auf beiden Seiten wurden wichtige Bedingungen nicht vollständig erfüllt. Solange die US-Politik diesen Standards nicht gerecht wird, kann der Schutz, der EU-Bürgern in den USA geboten wird, noch kein berechtigtes Vertrauen genießen.

Der Angemessenheitsbeschluss der Kommission weist entscheidende Lücken auf, die es der EU letztendlich ermöglichten, grünes Licht für eine Vereinbarung zu geben, die den verfassungsrechtlichen Anforderungen der EU nicht vollständig entspricht.

Da der DPF nun in Betrieb ist, müssen wir abwarten und sehen, was der EuGH sagt, falls ein neuer Fall seine Rechtmäßigkeit in Frage stellen sollte.

Sollte dies geschehen, hoffen wir, dass die EU in ihrem Bestreben, sicherzustellen, dass den EU-Bürgern und in der EU ansässigen Personen dieselben Rechte und Rechtsmittel zustehen, die ihnen in der EU zustehen, nicht nachlässt.

Dies würde dazu beitragen, endlich das immer stärker werdende Gefühl zu lindern, dass unser Privatleben tatsächlich ständig überwacht wird.

Franziska Boehm ist Rechtsprofessorin am FIZ Karlsruhe und am Karlsruher Institut für Technologie, KIT; Sergio Carrera ist Senior Research Fellow und Leiter der Abteilung Justiz und Inneres am CEPS; Valsamis Mitsilegas ist Professor für europäisches und globales Recht und Dekan der School of Law and Social Justice an der University of Liverpool; und Julia Pocze ist wissenschaftliche Mitarbeiterin in der Abteilung Justiz und Inneres.

Bei Euronews glauben wir, dass jede Meinung zählt. Kontaktieren Sie uns unter [email protected], um Pitches oder Einsendungen zu senden und an der Diskussion teilzunehmen.