Dieses Urteil wurde mit Spannung erwartet. Doch auch nach der Entscheidung des EuGH sind viele Fragen im Hinblick auf den europäischen Datenschutz noch nicht endgültig beantwortet.

Eine Einschätzung.

Ausgangspunkt – worum handelt es sich bei „Safe-Habor“?

Das Safe-Harbor-Abkommen legt fest, unter welchen Bedingungen Internetunternehmen Nutzerdaten aus Europa in den USA verarbeiten dürfen. Hierbei zielt das Abkommen auf personenbezogene Daten ab. Safe-Harbor fußt auf einer Entscheidung der EU-Kommission aus dem Jahr 2000 und Regeln des US-Handelsministeriums. Diese Vereinbarung sieht vor, dass Internetunternehmen zusichern müssen, die Daten ihrer europäischen Nutzer angemessen zu schützen. Treten sie dem Abkommen bei, dürfen sie die Daten in den USA weiterverarbeiten.

Urteil des EuGH – Safe-Harbor und angemessener Datenschutz?

Der EuGH entschied mit diesem Urteil nun also über die Rechtsfrage, ob einerseits den nationalen Datenschutzbehörden ein angemessener Entscheidungsspielraum zusteht, um das Safe-Harbor-Abkommen hinsichtlich des Datenschutzes zu hinterfragen – was nach Einschätzung des Gerichts hier gegeben sei. Andererseits nahmen die Richter das Abkommen selbst unter die Lupe und erklärten es schlussendlich für rechtswidrig. Dies begründete der EuGH u.a. mit der Argumentation, dass die persönlichen Daten europäischer Internetnutzer in den USA nicht ausreichend vor dem Zugriff der Behörden geschützt seien.

In einer Pressemitteilung zu diesem Urteil heißt es zurecht kritisch:

„Der Gerichtshof fügt hinzu, dass eine Regelung, die es den Behörden gestattet, generell auf den Inhalt elektronischer Kommunikation zuzugreifen, den Wesensgehalt des Grundrechts auf Achtung des Privatlebens verletzt.“

Ebenso deutlich verweisen die Richter auf ein weiteres Problem – EU-Bürger können gegen die Weiternutzung ihrer Daten nicht gerichtlich Einspruch erheben, deshalb sei „der Wesensgehalt des Grundrechts auf wirksamen gerichtlichen Rechtsschutz verletzt“.

Formulierung des Urteils – kann man es noch klarer auf den Punkt bringen?

„Aus all diesen Gründen erklärt der Gerichtshof die Entscheidung der Kommission vom 26. Juli 2000 für ungültig. Dieses Urteil hat zur Folge, dass die irische Datenschutzbehörde die Beschwerde von Herrn Schrems mit aller gebotenen Sorgfalt prüfen und am Ende ihrer Untersuchung entscheiden muss, ob nach der Richtlinie die Übermittlung der Daten der europäischen Nutzer von Facebook in die Vereinigten Staaten auszusetzen ist, weil dieses Land kein angemessenes Schutzniveau für personenbezogene Daten bietet.“

Auswirkungen für die Praxis – was kommt jetzt?

Wie von vielen Experten erwartet, schloss sich das Gericht der Einschätzung des EuGH-Generalanwalts an. Yves Bot hatte Ende September erklärt, er halte die Safe-Harbor-Regelung mit den USA vor dem Hintergrund der Aktivitäten von US-Geheimdiensten für ungültig. Somit überrascht die Entscheidung des EuGH im Ergebnis nicht. Spannend ist jedoch zu beobachten, welche Schlüsse die nationalen Datenschutzbehörden – sowie insbesondere auch die Europäische – aus diesem wegweisenden Urteil ziehen.

Die EU-Kommission plant schon jetzt eine Neuverhandlung eines entsprechenden Abkommens zwischen den USA und Europa. Daher bleibt zunächst erst einmal nur abzuwarten und zu hoffen, dass bei der Neuregelung die gesetzlichen Rahmenbedingungen für den Schutz von personenbezogenen Daten noch weiter verschärft und damit an das europäische Datenschutz-Niveau angeglichen werden.

Nun fehlt es für einen sichereren Hafen also nur noch an den richtigen Kapitänen.

__

Bildquelle

Pixabay (CCO Public Domain)

__

Ausgangssituation 

„Ausspähen unter Freunden, das geht gar nicht“ – klarer hätte die Aussage von Bundeskanzlerin Angela Merkel nicht sein können, als bekannt wurde, dass der US-Geheimdienst auch ihr Handy abhörte. Damit setzte sie einen klaren Maßstab. Dieser könnte ihr jetzt allerdings zur Verhängnis werden.

Wie WDR, NDR und die Süddeutsche Zeitung berichteten, nutzte der US-Geheimdienst NSA die Abhörstation des BND im bayrischen Bad Aibling, um hochrangige Beamte des französischen Außenministeriums, des französischen Präsidentenpalastes in Paris und der EU-Kommission in Brüssel auszuspähen.

Dazu kamen auch erste konkrete Details ans Tageslicht. Der BND bekam wohl für die Überwachung des Datenverkehrs von Bad Aibling aus viele Suchmerkmale (sogenannte Selektoren) von der NSA vorgegeben. Diese Selektoren bezogen sich beispielsweise auf IP-Adressen oder Telefonnummern zu Zielen in Europa.

Politische Tragweite 

Bereits vor Jahren informierte der deutsche Geheimdienst (BND) das Kanzleramt über die unzulässigen Spähversuche seitens der USA. Hierauf folgte lange keine Reaktion. Erst durch die Nachfragen aus dem NSA-Untersuchungsausschuss, begannen intensive Nachforschungen der Bundesregierung, der seit März detaillierte Informationen zur Geheimdienstaffäre vorliegen.

Zurzeit verlangen folgende Fragen auf eine Antwort: Wer wusste ab wann was von dieser fragwürdigen Zusammenarbeit und warum gab es dazu keine öffentliche Bekanntgabe. Ebenfalls müssen sich die Politiker die Frage gefallen lassen, warum erst jetzt erste Konsequenzen daraus gezogen werden. Die Beantwortung dieser Fragestellungen könnte weitreichende – auch personelle – Folgen haben.

Der außenpolitische Druck auf Deutschland steigt durch die jüngsten Enthüllungen deutlich. So fordert Jean-Claude Junker (EU-Kommissionspräsident) Aufklärung von Deutschland. Noch deutlicher wird der Präsident des EU-Partaments, Martin Schulz (SPD): „Sollte sich der Verdacht bewahrheiten, wäre dies ein gravierender Vorgang“. Ferner sieht die Partei „Die Linke“ die deutsch-französische Freundschaft durch die Geheimdienstaffäre bedroht und beharrt auf einer Regierungserklärung.

Was neben diesen öffentlichen Äußerungen jedoch hinter den Kulissen passierte, kann nur vermutet werden. Nach einem Medienbericht schränkt seit dieser Woche der BND die Kooperation mit der NSA drastisch ein und stellt angeblich keine Informationen zur Überwachung von Internet- und Telefonverbindungen mehr zur Verfügung. Nach Abstimmung zwischen dem deutschen Geheimdienst und dem Bundeskanzleramt, wurde eine präzise Forderung an die USA übermittelt: Zukünftig muss eine klare Begründung für die Überwachung von Personen oder Institutionen geliefert werden – andernfalls soll der BND nicht mehr im Auftrag der NSA tätig werden.

Warum die NAS-Affäre uns alle angeht

Trotz der anhaltenden Medienberichterstattung glauben nicht viele Menschen, die BND-NSA-Affäre betreffe sie nicht, da sie „nichts zu verbergen haben“. Außerdem fällt es in der Masse der Meldungen gar nicht leicht, den Überblick zu behalten.

Nach den Offenlegungen von Snowden ahnten netzaffine Bürger, die täglich Privates in den sozialen Netzwerken posten, sich von Google Now rechtzeitig vor einem Termin in ihrem Google Calendar erinnern und die Wegbeschreibung gleich mitliefern lassen, dass Geheimdienste auf ebensolche Informationen zugreifen können.

Wer die einschlägigen Netzdienste nicht so häufig nutzt, fühlt sich folglich auch nicht von den Aktivitäten der Geheimdienste berührt. Dieses Sicherheitsgefühl ergibt sich wohl aus der Tatsache, dass die erhobenen Datenmengen riesig und sehr abstrakten wirken. Gleichermaßen ist dies auch dem Umstand geschuldet, dass sich der „Durchschnittsbürger“ nichts unter dem Begriff „Meta- und Verbindungsdaten“ vorstellen kann.

Am Beispiel von Handy-Verbindungsdaten lassen sich Metadaten anschaulich betrachten. Ein altmodisches Handy – kein Smartphone – genügt, um anhand der Einwahl bei den Mobilfunkmasten, ein zeitlich und örtlich genaues Bewegungsprofil zu erstellen. Weiterhin ergeben Dauer, Empfänger und Anzahl der Gespräche und SMS ein Bild des sozialen Umfelds und dies ganz ohne Einbeziehung von Facebook.

Die Sammlung dieser Metadaten und anderer Informationen gehören zum Tagesgeschäft von Geheimdiensten. Aus ihrer Sicht scheint es nachvollziehbar, alle Möglichkeiten zu nutzen und den gesamten Netzverkehr abzufangen und auszuwerten. Allerdings führt das massive Abfischen der (Internet-) Kommunikation dazu, dass wir alle unter Beobachtung stehen und so behandelt werden, als ob wir verdächtig wären.

Festzuhalten ist, dass Überwachung die persönliche Freiheit jedes Einzelnen einschränkt. Das Gefühl überwacht zu werden, führt zu sogenannten Chilling Efects: Man ändert vorauseilend sein Verhalten aus Angst vor negativen Konsequenzen.

Auch wenn die Geheimdienste einen vermeintlich legitimen Zwecken verfolgen, wie die Terror- und Gefahrenabwehr, sind deren Interessen mit den Freiheitsrechten der Bürger abzuwägen. Warum aber im Ergebnis ein Verhältnis 100 gegen 0 zu Lasten des Bürgers entstehen muss, ist dabei nicht nachvollziehbar.

Edward Snowden trifft zu guter Letzt eine ähnlich klare Aussage, wie unsere Bundeskanzlerin, wenn er sagt: „Ich will nicht in einer Gesellschaft leben, die so etwas macht“.

__

Bildquelle

Pixabay (CCO Public Domain)

__

An diesem Tag besuchte ich den GDD-Erfa Kreis in Berlin, ein Fachkreis von internen und externen Datenschutzbeauftragten in der IHK in Berlin.

Der Auftakt bildete der gelungene Vortrag von Herrn Fiedler über den Datenschutz in den USA, über den ich hier berichte.

Unterschiedliche Kulturauffassung

Um es gleich vorweg zu nehmen: Es ist also beileibe nicht so, dass es in den Staaten keinen Datenschutz gäbe. Vielmehr unterscheiden sich beide Kulturen in der Betrachtung des Themas als solches: Während sich der Datenschutz in Deutschland vom Grundrecht auf die informationelle Selbstbestimmung herleitet, so ist der Datenschutz in den USA ein Ausfluss des Verbraucherschutzrechts.  Und es ist in der Tat so, dass die US-Amerikaner beim Thema Verbraucherschutz keinen Spaß kennen. So machen wir uns so manchen Scherz über das für unser Verständnis schon überzogene Schutzbedürfnis des klassischen Verbrauchers – etwa wenn ein Unternehmen zu horenten Strafzahlungen verurteilt wird, weil er den Gast in nicht genügender Weise darüber aufgeklärt hat, dass der Kaffee, den er serviert bekommt, heiß ist, und der Gast sich deshalb verbrüht hat.

Datenschutzrechtliche Verletzungen werden auch in den USA hart sanktioniert

In der Regel unbekannt bleibt uns, dass auch in Hinblick von Verletzungen datenschutzrechtlicher Vorschriften in den USA durch offiziellen Stellen horrende Strafzahlungen verhängt werden. Darüber hinaus muss das Unternehmen, welches gegen diese Regelungen verstoßen hat, befürchten, legal vor einem entsprechenden virtuellen Pranger gestellt zu werden. Das Prinzip von „Blame and Shame“ wäre in unserem Kulturkreis nicht denkbar. Doch in den USA ist diese Art der Sühne durchaus üblich, und viele Bürger sind  überzeugt, dass diese Praxis abschreckende Wirkung auf Unternehmen hat, die es mit dem Datenschutz nicht sehr ernst nehmen.

Datenschutz in den USA eher pragmatischer Natur

Insgesamt scheint man mit dem Datenschutz und den Sicherungsmaßnahmen sehr viel pragmatischer umzugehen als hierzulande. Dies trägt gegebenenfalls ebenfalls zu unserem eher negativen Bild mit dem Umgang des Themas in den USA bei. Denn sowie z. B. ein Datendiebstahl hierzulande erst an die Aufsichtsbehörde gemeldet werden muss, bevor etwas anderes passiert, ist das us-amerikanische Unternehmen zunächst verpflichtet, sämtliche zumutbaren Maßnahmen zu ergreifen, die den Schaden des Hackings eindämmt oder minimiert. Erst dann hat es die Behörde über das Datenleck zu informieren und es über die getroffenen Schadensbegrenzungsmaßnahmen zu unterrichten.

Dass die Prävention eine größere Rolle spielt, habe ebenfalls ihre Ursache in den wohl eher pragmatischeren Regelungen: Denn verschlüsselte Daten fallen so grundsätzlich nicht unter den Schutzzielen der dortigen Datenschutzgesetze, während in Deutschland keine Unterschiede gemacht werden, ob die Daten, die z.B. geklaut wurden, verschlüsselt waren oder nicht. Und so soll das Niveau der Datensicherung sowie die Verschlüsselung dieser Daten im Vergleich zu Deutschland ungewöhnlich hoch sein, was auch nachvollziehbar ist: Denn auf den ersten Blick erscheint es in Hinblick auf die Sanktionierungsfolgen bei einem Datenklau eher egal zu sein, ob die Daten verschlüsselt waren oder nicht. Warum also dann noch teuer in eine Verschlüsselung investieren?

Der Unterschied ist bedeutend in dem Verhältnis zwischen Bürger und Staat

Ganz anders ist das Verständnis zwischen Bürger und Staat. Während wir hierzulande eine gesunde Skepsis gegenüber dem Staat und seine (Sicherheits-)Behörden pflegen, scheinen US-Amerikaner blindes Vertrauen in ihm zu haben. So erklärt sich eine große Mehrheit solidarisch mit den nationalen Überwachungsmaßnahmen, die im Namen der Sicherheit ergriffen werden und nur wenige zweifeln an den honorigen Absichten die CIA, FBI, NSA etc. nach außen probagieren.

Nur so erklärt sich, dass wir das leicht verschrobene Bild von den US-Amerikanern in Hinblick auf ihren Datenschutz haben. Datenschutz ist aus deren Sicht zunächst gerade kein Abwehrrecht gegenüber dem Staat, wie er bei uns ursprünglich konzipiert wurde und bis heute noch fort wirkt, sondern wirkt eher als Schutz des beschützenswerten Verbrauchers gegenüber übermächtig wirkenden Unternehmen in den USA.

Der Datenschutz in Deutschland ist Ausfluss des Grundrechts auf informationelle Selbstbestimmung

Das Recht frei zu bestimmen, wer welche Daten von mir haben darf und zu welchem Zweck, ist für uns ein Grundrecht und wirkt so in erster Linie im Verhältnis zwischen Staat und Bürger. So formulierte das Bundesverfassungsgericht in seinem Urteil zur angesetzten Volkszählung 1983, dass der Staat gerade nicht per se und nach Belieben Daten seiner Bürger erfassen und verarbeiten darf. Das Recht eines jeden Bürgers auf die informationelle Selbstbestimmung unterliegt der Interessensabwägung und darf durch Eingriffe des Staates im Kern nicht berührt werden.

Annäherung durch Wandel?

Doch auch das amerikanische Verständnis unterliegt einem natürlichen Wandel. Und so könnte durchaus in der Zukunft eine Annäherung beider Auffassungen im Rahmen einer europäischen Datenschutzgrundverordnung oder einer Verabschiedung eines Freihandelsabkommens stattfinden. Denn die wirtschaftlichen Beziehungen beider Kontinente werden eher weiter zunehmen. Und je intensiver diese wirtschaftlichen Beziehungen werden, desto stärker wird dann auch der Datenaustausch werden. Facebook, Google, Amazon etc. werden ggf. noch größere Bedeutung erlangen und weitere Player werden entstehen. So ist ein Aufeinanderzugehen auch in datenschutzrechtlichen Fragen unvermeidlich. Die Frage wird nur sein, wer auf wen wieweit zugehen wird?

Was tun?

Denn wirklichen Einfluss werden wir hierauf nur dann haben, wenn wir entweder datenschutzrechtlich eine der USA ebenbürtige Stellung einnehmen, etwa mit einer europäischen Datenschutzgrundverordnung. Denn dann gelte auf einem Schlag in sämtlichen Ländern der Europäischen Union einheitliches Datenschutzrecht, welches auch von entsprechenden EU-Behörden überwacht werden würde, insb. in Hinblick auf den wirtschaftlichen Verkehr zwischen beiden Kontinenten. US-amerikanische Unternehmen könnten sich dann nciht mehr die für sie „geeigneten“ Länder in der EU herauspicken und über diese ihre Geschäfte in der EU machen (etwa wie Facebook über Irland).

Oder wir „erkaufen“ sie uns durch entsprechende Zugeständnissen bei der Verhandlung über das Freihandelsabkommen der EU mit den USA.

Fazit

Gleich wie eine Annäherung stattfinden wird. Wir täten gutes daran, unsere Freiheitsrechte selbstbewusst auch gegenüber unseren Freunden zu vertreten und dies uns bei jeder geschäftlichen Beziehung, die wir mit einem US-amerikanischen Unternehmen eingehen, also jedes Mal, wenn wir z.B. einen Account bei einem US-amerikanischen Internetdiensteanbeiter anlegen, bewusst zu machen. Vielleicht gibt es deutsche oder europäische Alternativen. Oder es gelingt uns, unsere Freiheit ein bisschen mehr zu wahren, in dem wir unsere Geschäftsprozesse in der Pflege unserer wirtschaftlichen Beziehung mit US-Unternehmen entsprechend umstellen. Gänzlich falsch wäre es, hier allein auf den Staat zu vertrauen!