Datentransfer-Deal zwischen EU und USA sorgt für Kritik

Am Montag hat die Europäische Kommission den neuen Datentransfer-Deal zwischen den USA und der EU verabschiedet. Infolgedessen wurden zwei frühere Vereinbarungen, die bisher als Grundlage für die Übertragung personenbezogener Daten von Europäer:innen über den Atlantik gedient haben, für ungültig erklärt. Dieser neue Deal betrifft Tausende von Unternehmen und regelt auch den Austausch von personenbezogenen Daten. Datenschützer:innen sind fassungslos und drohen mit rechtlichen Anfechtungen.

Ende der „toxischen Beziehung“ zwischen den USA und Europa?

Laut der Webseite der Kommission können US-Unternehmen dem EU-US-Datenschutzrahmen nun beitreten, indem sie sich lediglich zur Einhaltung einer Reihe detaillierter Datenschutzverpflichtungen verpflichten, beispielsweise der Anforderung, personenbezogene Daten zu löschen, wenn sie für den Zweck, für den sie erfasst wurden, nicht mehr erforderlich wären, „um die Kontinuität des Schutzes zu gewährleisten, wenn personenbezogene Daten an Dritte weitergegeben werden“.

EU-Bürger:innen hätten hingegen Zugang zu einem „unabhängigen und unparteiischen Rechtsbehelfsmechanismus“ bezüglich der Erhebung und Nutzung ihrer Daten durch US-Geheimdienste, zu dem auch ein neu geschaffenes Data Protection Review Court (DPRC) gehören würde. Das Gericht würde Beschwerden demnach unabhängig untersuchen und lösen.

Ursula von der Leyen, Präsidentin der Europäischen Kommission, geht in einem Statement bewusst auf die heiß diskutierte Sicherheitsgarantie ein und sagt: „Der neue EU-US-Datenschutzrahmen wird sichere Datenströme für Europäer:innen gewährleisten und Rechtssicherheit für Unternehmen auf beiden Seiten des Atlantiks schaffen. Im Anschluss an die grundsätzliche Vereinbarung, die ich letztes Jahr mit Präsident Biden getroffen habe, haben die USA beispiellose Verpflichtungen zur Schaffung des neuen Rahmens umgesetzt. Heute unternehmen wir einen wichtigen Schritt, um den Bürger:innen das Vertrauen zu geben, dass ihre Daten sicher sind, um unsere Wirtschaftsbeziehungen zwischen der EU und den USA zu vertiefen und gleichzeitig unsere gemeinsamen Werte zu bekräftigen. Es zeigt, dass wir durch Zusammenarbeit die komplexesten Probleme lösen können.“

Nichts aus der Geschichte gelernt?

Allerdings drohen dem Deal bereits rechtliche Anfechtungen durch Datenschutzaktivist:innen, die mit dem Schutzniveau für europäischen Bürger:innen alles andere als zufrieden sind. Sie stellen die Behauptung auf, es würde sich nicht wesentlich von früheren Frameworks unterscheiden. Das neue Data Privacy Framework soll konkret nur Privacy Shield ersetzen, das es Unternehmen ermöglicht hat, Daten über Europäer:innen in die USA zu übermitteln, um sie lokal in ihren inländischen Rechenzentren zu speichern und zu verarbeiten.

Es wurde jedoch im Juli 2020 zunichte gemacht, als sich der Europäische Gerichtshof auf die Seite des österreichischen Datenschutzaktivisten Max Schrems stellte, der sich sicher war, dass das US-Recht keinen ausreichenden Schutz vor Überwachung durch Behörden bieten könne.

„Definition von Wahnsinn“

Die Geschichte scheint sich zu wiederholen: Auch 2023 sieht sich Max Schrems von der NGO Noyb dazu verpflichtet zu handeln und meint: „Man sagt, die Definition von Wahnsinn ist, dass man immer wieder das Gleiche tut und dennoch ein anderes Ergebnis erwartet. Genau wie Privacy Shield basiert auch die jüngste Vereinbarung nicht auf materiellen Änderungen, sondern auf kurzfristigem politischem Denken.“

Insgesamt sei das neue Trans-Atlantic Data Privacy Framework Schrems zufolge lediglich ein Abklatsch von Privacy Shield aus dem Jahr 2016, das wiederum eine Kopie von Safe Harbor aus dem Jahr 2000 sein soll. Unmittelbar nach der Veröffentlichung der Details gab er daher bekannt, dass er die Entscheidung anfechten werde. Schrems ist der Meinung, dass die Enthüllungen des NSA-Whistleblowers Edward Snowden über US-Überwachung ein klares Zeichen dafür sein sollen, dass man den amerikanischen Datenschutzstandards nicht trauen könne.

Er schreibt in einer Presseaussendung das Folgende: „Nach der Annullierung von Privacy Shield 2020 kamen die Verhandlungen zwischen der EU und den USA kaum voran. Die USA bestanden darauf, dass EU-Daten weiterhin der Massenüberwachung durch die USA unterliegen und ‚Nicht-US‘-Bürger:innen nicht die gleichen Rechte wie US-Personen haben werden. Nachdem sich mehr als 1,5 Jahre wenig bewegt hatte, nutzten die USA Berichten zufolge den Krieg in der Ukraine, um Druck auf die EU in Bezug auf die Weitergabe personenbezogener Daten auszuüben. Kurz darauf, am 25. März 2022, trafen sich Joe Biden und Ursula von der Leyen. Am selben Tag haben die beiden plötzlich gelöst, was sämtliche Jurist:innen bislang nicht lösen konnten, und eine Agreement in Principle vorgelegt. In diesem einseitigen Dokument werden im Wesentlichen Tricks beschrieben, die die Öffentlichkeit beruhigen sollen.“

Neue Google-Datenschutzrichtlinien: Die KI darf künftig mit unserem Content lernen