Umgang mit personenbezogenen Daten Privacy Shield 2.0: Erhebliche Zweifel

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

mgm technology partners GmbH

Rohde & Schwarz Cybersecurity

TU München

Seit dem Aus des „Privacy Shield“-Abkommens vor fast genau zwei Jahren besteht für Datentransfers aus der Union in die Vereinigten Staaten eine erhebliche Rechtsunsicherheit. Ein neues Abkommen soll die Rechtssicherheit nun wiederherstellen. Ob das gelingt, ist allerdings sehr zu bezweifeln.

Der Austausch von personenbezogenen Daten zwischen den USA und der EU soll wieder auf rechtssicheren Füßen stehen. So plant es zumindest die Politik. Nachdem der Europäische Gerichtshof (EuGH) vor zwei Jahren die Datenschutzvereinbarung der EU mit den USA (Privacy Shield) für ungültig erklärt hat, kündigte EU-Kommissionspräsidentin Ursula von der Leyen im März 2022 einen neuen Ansatz an: das Trans-Atlantic Data Privacy Framework.

Transatlantischer Datenaustausch

„Privacy Shield“-Nachfolger dürfte noch Monate auf sich warten lassen

Ein solches neues Datenschutzabkommen wird von der europäischen Wirtschaft dringend erwartet. Denn seit dem sogenannten Schrems II-Urteil vor zwei Jahren gehen Unternehmen ein enormes Risiko ein, wenn sie selbst Daten in die USA übertragen oder IT-Dienste nutzen, bei denen personenbezogene Daten in die USA übermittelt werden. Vor allem die Nutzung von Cloud-Diensten ist riskant. Denn nach Auffassung des Europäischen Daten­schutz­ausschusses (EDSA) besteht im Cloud-Computing derzeit kein zulässiger Weg für die Datenübermittlung in die USA.

Eklatanter Widerspruch

Aber schafft das geplante „Privacy Shield 2.0“ wirklich Rechtssicherheit? Zwar wird das konkrete Abkommen erst frühestens im Herbst 2022 erwartet. Bereits jetzt lässt sich aber sagen: Es ist fraglich, ob eine neue Daten­schutz­vereinbarung den strengen Anforderungen der EU-DSGVO genügen wird. Der Grund ist einfach: Das US-amerikanische Rechtssystem müsste erheblich verändert werden, damit es den Anforderungen der EU-DSGVO entspricht.

Es ist sehr zweifelhaft, dass die Vereinigten Staaten ihre Einstellung zu massenhafter Überwachung und ihre Gewichtung des Grundrechts auf informationelle Selbstbestimmung kurzfristig ändern werden. Dafür gibt es derzeit keinerlei Signale. Im Gegenteil: Der sogenannte Abschnitt 702 des US-Geheim­dienst­gesetzes „Foreign Intelligence Surveillance“ (FISA) wurde erst kürzlich verlängert.

Mit eben diesem Gesetz räumt das US-amerikanische Recht den nationalen Sicherheitsbehörden weitreichende Zugriffsbefugnisse auf personenbezogene Daten ein, die von Organisationen gespeichert oder übermittelt werden. Geheimdienste, wie die NSA, dürfen Kommunikationsdaten von sogenannten „non-US persons“ auswerten, die von US-amerikanischen Unternehmen erhoben wurden – und zwar ohne konkreten Verdacht und ohne entsprechenden Gerichtsbeschluss. Dies steht im eklatanten Widerspruch zur EU-DSGVO.

Auch in einer weiteren zentralen Frage gibt es keinen Fortschritt: Eine Klage gegen die Überwachungsmaßnahmen der US-Regierung ist aussichtslos. Dieses Manko hatte der EuGH auch in seiner Begründung des Schrems II-Urteils genannt. Selbst wenn ein Kläger plausibel behaupten kann, dass seine personenbezogenen Daten im Rahmen einer der Überwachungsmaßnahmen der US-Regierung unrechtmäßig erhoben wurden, ist seine Möglichkeit, einen solchen Verstoß zu beweisen, eingeschränkt. Denn er kann die Regierung nicht dazu zwingen, geheime Details über ihre Überwachungsaktivitäten herauszugeben. Das dem zugrunde liegende „Staatsgeheimnisprivileg“ wurde jüngst in Bezug auf FISA vom Supreme Court bestätigt.

Auf der nächsten Seite geht es weiter.

(ID:48455844)