Sowohl der „EU US Privacy Shield“ als auch die EU-Standvertragsklauseln als Grundlage des transatlantischen Datenverkehrs stehen derzeit auf der Kippe. Die Datenströme zwischen Europa und den USA sind gewaltig. Während die Amerikaner an die europäischen Datenströme keine besonderen Anforderungen stellen, ist das bei den Europäern anders.
Alle Daten, die sich auf europäische Bürger beziehen lassen, unterliegen europäischem Recht. Und dieses untersagt europäischen Unternehmen grundsätzlich jede Auswertung, es sei denn, der Bürger hat der Datenverarbeitung zugestimmt. Wobei der Bürger nur dann zustimmen kann, wenn die Datenverarbeitung nicht zu stark in seine Grundrechte eingreift.
Datentransfers in außereuropäische Ausland sind nur legal, wenn es von den Drittstaaten die Zusicherung gibt, dass diese über ein Datenschutzniveau verfügen, das dem der Europäischen Union grundsätzlich entspricht. Weil die Papiere von Edward Snowden belegten, dass dieses Schutzniveau angesichts von Massenüberwachung in den USA nicht gegeben ist, hat der Europäische Gerichtshof die Safe-Harbor-Vereinbarung der EU-Kommission mit den USA Herbst 2015 für nichtig erklärt. Seit August 2016 gilt nun eine Nachfolgevereinbarung, der so genannte „EU US Privacy Shield“, der EU-Bürgern weitreichendere Rechtszusagen macht.
Doch nach Antritt des neuen US-Präsidenten Donald Trump wackelt auch dieses wieder: Denn die von ihm am 25. Januar unterzeichnete Executive Order zur „Verbesserung der öffentlichen Sicherheit“ nimmt Nicht-US-Bürger vom Schutz des „Privacy Act“ aus. Allerdings berührt die Order noch nicht den 2015 ausgehandelten Judicial Redress Act, der EU-Bürgern die notwendigen Rechtsmöglichkeiten gegenüber den US-Behörden an die Hand gibt. Weitere „einsame Federstriche“ würden aber genügen, um den Privacy Shield zu kippen, fürchtet der Hamburgische Datenschutzbeauftragte Johannes Caspar. Denn im Kern bestehe der Privacy Shield nur aus Erlassen und letztlich unverbindlichen Zusicherungen der US-Regierung, die jederzeit zurückgenommen werden könnten.
Bricht die Vereinbarung des Privacy Shield weg, bleiben nur noch die EU-Standardvertragsklauseln. Auf diese stützen sich im Moment alle großen US-Unternehmen wie Microsoft, Google, Facebook und Amazon. Aber auch diese werden derzeit gerichtlich überprüft. In dem Anfang Februar am High Court in Dublin eingeleiteten Verfahren zwischen Max Schrems und Facebook geht es genau um diese Klauseln, nachdem Facebook nach dem Wegfall der Safe-Harbor-Vereinbarung 2015 seine Datentransfers auf die Grundlage der Standvertragsklauseln umgestellt hat.
Auch in diesem Fall argumentiert Schrems damit, dass die Klauseln keinen Datentransfer legitimieren können, wenn der Bürger damit Überwachungsgesetzen unterworfen wird, die den europäischen Grundrechten widersprechen. So könne die irische Datenschutzbeauftragte Helen Dixon durchaus den Datentransfer wie von ihm verlangt untersagen. Die Datenschutzbeauftragte ihrerseits reichte die Entscheidung an das Gericht weiter, damit der Europäische Gerichtshof die Möglichkeit erhält, über die Zulässigkeit der Klauseln zu entscheiden. Vor Gericht führte Dixon bereits aus, dass sie nach einer Überprüfung des US-Rechts zur Ansicht gekommen ist, dass die Klauseln die EU-Bürger nicht angemessen schützen. Bereits Ende Februar sollen die Anhörungen abgeschlossen sein.
Die Chancen, dass die Standvertragsklauseln bestehen bleiben, werden im Moment als schlecht eingeschätzt. Dem Vernehmen nach arbeitet die EU-Kommission bereits an neuen Klauseln. Fraglich ist jedoch, ob einseitige juristische Formulierungen dem Umstand abhelfen können, dass das US-Geheimgericht FISA es Unternehmen untersagen kann, Betroffene über Abhörmaßnahmen zu unterrichten. In diesem Fall hätten die Betroffenen nämlich auch keinen Anlass, dagegen juristisch vorzugehen.
Insbesondere Cloud-Anbieter verunsichert eine jüngste Gerichtsentscheidung, die der US-Polizeibehörde FBI erlaubt auf Daten von Google-Kunden im Ausland zuzugreifen. Ein ähnlich gelagertes Gerichtsverfahren hatte ein Berufungsgericht in New York erst Ende Januar nach vier Jahren Rechtsstreit zugunsten Microsoft entschieden. Google will in Berufung gehen, doch bis zur endgültigen Klärung können wieder Jahre vergehen. Jährlich fordern US-Behörden rund 25.000 Mal auf, Nutzerdaten für Ermittlungsverfahren zur Verfügung zu stellen.
Für US-Unternehmen, die rechtlich auf Nummer sicher gehen wollen, bleibt angesichts dieser Gefechtslage im Moment nur die radikale Treuhänderlösung. Microsoft hat sich dazu nach langem Hin und Her entschieden, die Daten seiner deutschen Kunden in einem Rechenzentrum der Deutschen Telekom, welche als Treuhänderin fungiert, verwalten zu lassen. Nur diese Rechtskonstruktion garantiert im Moment, dass US-Behörden, die an die Daten von europäischen Bürgern wollen, einen Rechtsweg einschlagen, auf dem die Europäer die Möglichkeit haben, eigene Rechtsmittel einzulegen. Im Moment ist Microsoft allerdings das einzige Unternehmen, das so agiert. Amazon beispielsweise verweist lediglich darauf, dass es Rechenzentren in Deutschland unterhält. Das allein aber bewahrt noch nicht vor einem Durchgriff der US-Behörden.
Die Auseinandersetzung mit den USA verdecken allerdings den Blick darauf, dass nicht nur der transatlantische Datenverkehr von den europäischen Schutzregeln betroffen ist: Auch die Daten, die beispielsweise die Smart-TV-Geräte aus Korea „nach Hause“ schicken, unterliegen europäischem Datenschutzrecht. Diese Datentransfers sind nur dann legal, wenn die Drittstaaten über ein angemessenes Schutzniveau verfügen. Über Verhandlungen der EU-Kommission mit asiatischen Herstellerländern hat man aber bisher nichts vernommen.