US-Präsident Biden bringt Datenschutzabkommen "Privacy Shield 2.0" auf den Weg

[English]Am 7. Oktober 2022 hat US-Präsident Joe Biden das neue, hier "Privacy Shield 2.0" genannte, Datenschutzabkommen mit der Europäischen Union durch einen Erlass (Executive Order) auf den Weg gebracht. Damit soll dem Datenaustausch zwischen der EU und US-Anbietern der juristische Weg freigemacht werden. Die Datenschutzorganisation noyb um Max Schrems erwartet, dass auch dieses neue Abkommen vor dem Europäischen Gerichtshof (EuGH) scheitern wird.

"Privacy Shield 2.0" unterzeichnet

Es war die Meldung vom Freitag: US-Präsident Joe Biden hat eine Executive Order unterzeichnet, die ein neues Datenschutzabkommen mit der Europäischen Union auf den Weg bringen soll. Nachfolgender Tweet verweist auf dieses Fact-Sheet des Weißen Hauses mit Details.

Diese Exekutivanordnung präzisiert die Verpflichtungen der USA, die diese im Rahmen des Datenschutzrahmens zwischen der Europäischen Union und den USA (EU-U.S. Data Privacy Framework – DPF) zum Schutz europäischer Nutzer umsetzen möchte.

• Es soll weitere Schutzmaßnahmen der USA geben, die sicherstellen, dass US-Geheimdienste und -Behörden nur dann auf Daten europäischer Nutzer zugreifen dürfen, wenn es sich um die Verfolgung definierter nationaler Sicherheitsziele handelt.  Die Privatsphäre und die bürgerlichen Freiheiten aller Personen sind, unabhängig von ihrer Staatsangehörigkeit oder ihrem Wohnsitzland, zu berücksichtigen. Zugriffe auf Daten  und nur durchgeführt werden, wenn dies notwendig ist, um eine validierte Aufklärungspriorität voranzutreiben, und nur in dem Umfang und auf eine Weise, die dieser Priorität angemessen ist.
• Das EU-U.S. Data Privacy Framework schreibt den Umgang mit personenbezogenen Daten vor, die im Rahmen von nachrichtendienstlichen Aktivitäten erhoben wurden, und erweitert die Zuständigkeiten von Rechts-, Aufsichts- und Compliance-Behörden. Dies soll sicherstellen, dass bei Verstößen gegen die Vorschriften geeignete Maßnahmen ergriffen werden. Die US-Geheimdienste müssen ihre Richtlinien und Verfahren aktualisieren, um die neuen, in der Executive Order enthaltenen Garantien für den Schutz der Privatsphäre und der bürgerlichen Freiheiten zu berücksichtigen.
• Drittens wird ein mehrstufiger Mechanismus für Einzelpersonen aus qualifizierten Staaten und Organisationen der regionalen Wirtschaftsintegration (sprich für Bürger und Unternehmen der EU) geschaffen. Dieser Mechanismus soll eine unabhängige und verbindliche Überprüfung und Wiedergutmachung von stattgefundenen Fällen ermöglichen, in denen US-Geheimdienste private Daten unter Verletzung des geltenden US-Rechts gesammelt oder verarbeitet haben.

Diese Schritte sollen der Europäischen Kommission eine Grundlage für die Annahme eines neuen Angemessenheitsbeschlusses bieten. Dieser ist aus DSGVO-Gründen erforderlich, damit Unternehmen in der EU persönliche Daten von EU-Bürgern an US-Unternehmen zur Speicherung und Auswertung übertragen können. Der Angemessenheitsbeschluss der EU bescheinigt dem betreffenden Land ausreichende Datenschutzmaßnahmen zu treffen, um die Übermittlung persönlicher Daten gemäß DSGVO zuzulassen.

Die Hoffnung der USA ist es, über die obige Executive Order (EU-U.S. Data Privacy Framework – DPF) wieder einen Rechtsrahmen zu etablieren, der einen Datentransfermechanismus nach EU-Recht an US-Unternehmen – wobei es, vor allem um die Geschäftsinteressen der großen US-Technologie- und Cloud-Anbieter geht – wiederherstellt. Außerdem soll dadurch mehr Rechtssicherheit für Unternehmen geschaffen werden, die Standardvertragsklauseln und verbindliche Unternehmensregeln für die Übermittlung personenbezogener Daten aus der EU in die Vereinigten Staaten verwenden.

Der ECO-Verband begrüßt den Schritt

Der Verband der Internetwirtschaft (ECO) begrüßt in einer ersten Stellungnahme, dass der US-Präsident die Excecutional Order unterzeichnet hat. ECO sieht in diesem Schritt, dass eine Lösung für die rechtssichere Übertragung personenbezogener Daten aus der EU in die USA präsentiert wurde. Diese versuche den Anforderungen der Vorgaben des Europäischen Gerichtshofs Rechnung zu tragen. Für die digitale Wirtschaft, insbesondere für viele kleine und mittelständische Unternehmen, könnte damit endlich ein stabiles Fundament für den rechtssicheren Datenaustausch auf internationaler Ebene gelegt werden, hofft der Verband. Damit würde die bisherige Zitterpartie endlich beendet, Rechtssicherheit und Verlässlichkeit bei den Unternehmen geschaffen.

Eco weiß auch, wie es weiter gehen soll und schreibt: Jetzt muss die Europäische Kommission zügig die erforderlichen Schritte einleiten, damit das Abkommen in Kraft treten kann. Bis dahin sollten sich die Datenschutzbehörden klar positionieren, die vorliegende Lösung anerkennen und bis zur Inkraftsetzung unbedingt auf Bußgeldverfahren oder etwaige Übertragungsverbote bei den Unternehmen verzichten.

Die Hintergründe

Nach Verabschiedung der Datenschutzgrundverordnung (DSGVO, oder GDPR in English) hatten die EU und die USA ein Datenschutzabkommen unter dem Namen Safe Harbor geschlossen. Dieses sollte die Verarbeitung privater Daten europäischer Nutzer rechtlich regeln und den Datenaustausch von EU-Firmen mit US-Unternehmen ermöglichen. Das "Safe Harbor"-Abkommen zwischen EU und den USA wurde aber vom Europäischen Gerichtshof kassiert (siehe Safe Harbor: EuGH erklärt Abkommen für ungültig).

Dann gab es einen weiteren Versuch der EU-Kommission zu einem Datenschutzabkommen mit den USA, der als "Privacy Shield" bezeichnet wurde. Allerdings wurde auch dieses Datenschutzabkommen vom Europäischen Gerichtshof kassiert (siehe EuGH kippt EU-US-Datenschutzvereinbarung "Privacy Shield"). Auch in diesem Fall sah der EuGH das Datenschutzniveau, dass die USA für EU-Bürger und deren Daten vorsah, als nicht vereinbar mit europäischem Recht an. Es gibt vor allem um die Befugnisse von US-Geheimdiensten und -Behörden, auf in die USA übertragene Daten zuzugreifen.

Im März 2022 kündigten dann EU-Kommissionspräsidentin Ursula von der Leyen und US-Präsident Joe Biden bei dessen Besuch in Europa ein neues Abkommen an. Unter dem Begriff "Trans-Atlantic Data Privacy Framework" hatten sich EU und die USA auf ein Abkommen zum Datenaustausch von Benutzerdaten zwischen den Regionen verständigt. Ich hatte im Beitrag Vorläufige Einigung zwischen EU und USA im Trans-Atlantic Data Privacy Framework über diesen Plan berichtet. Die obige Executive Order ist jetzt der Schritt der USA, um der EU die Verabschiedung eines Angemessenheitsbeschlusses zu ermöglichen.

Gibt es ein Schrems III-Urteil?

Die beiden oben erwähnten EuGH-Urteile, die bisherige Datenschutzabkommen mit den USA gekippt haben, wurden von der Datenschutzvereinigung noyb, rund um Max Schrems, erstritten. Es wird von den Schrems I- und II-Urteilen gesprochen. Interessant ist daher, wie Verbraucher- und Datenschutzvereinigungen das sehen und auch reagieren. Das US-Medium CNBC hat in diesem Artikel einige Stimmen eingefangen.

Die europäische Verbrauchergruppe BEUC hat eine Mitteilung herausgegeben, die besagt, dass der Rahmen "wahrscheinlich immer noch unzureichend ist, um die Privatsphäre und die persönlichen Daten der Europäer zu schützen, wenn sie in die USA transferiert werden". Laut BEUC gibt es bei der neuen Executive Order "keine wesentlichen Verbesserungen, um Fragen im Zusammenhang mit der kommerziellen Nutzung personenbezogener Daten anzugehen". Das ist aber ein Bereich, in dem das vorherige Abkommen, der EU-US-Datenschutzschild, hinter den GDPR-Anforderungen zurückblieb.

Ashley Gorski, leitende Anwältin beim ACLU National Security Project (USA) erklärt, dass die Anordnung "nicht weit genug geht. Sie schützt die Privatsphäre von Amerikanern und Europäern nicht angemessen und stellt nicht sicher, dass Menschen, deren Privatsphäre verletzt wird, ihre Ansprüche von einem völlig unabhängigen Entscheidungsträger klären lassen können".

Die Position von Max Schrems hat er in obigem Tweet zusammen gefasst: Es reicht wohl nicht. Schrems will mit noyb die Dokumente in den kommenden Tagen analysieren, stellt aber bereits mit der Datenschutzorganisation fest:

Dass alle europäischen Daten, die an US-Provider gesendet werden, werden weiterhin in Programmen wie PRISM und Upstream landen, obwohl der EuGH diese Überwachung schon zweimal als nicht "verhältnismäßig" (gemäß der europäischen Definition des Wortes) und damit für illegal erklärt hat.

Laut Schrems scheint es, als hätten sich die EU und die USA zwar darauf geeinigt, das Wort "verhältnismäßig" in ein US-Dokument zu kopieren, aber nicht darauf, dass es dieselbe rechtliche Bedeutung haben soll. Laut US-Vertretern sollen die Worte nun eine (nicht weiter definierte) "amerikanische Bedeutung" haben. Hätte der Begriff tatsächlich die europäische Bedeutung, müssten die USA ihre Massenüberwachungssysteme grundlegend einschränken – was nicht geplant ist. Schrems, Max Schrems, Vorsitzender von noyb.eu sagt dazu:

Am Ende wird sich die Definition des EuGH durchsetzen – und damit das Abkommen wahrscheinlich wieder zunichte machen. Es ist enttäuschend, dass die Europäische Kommission auf Basis dieses Wortes, Europäer weiterhin ausspionieren lassen will.

Schrems sieht das von der USA vorgesehene Gericht lediglich als "Verwaltungsorgan", dessen Urteile vorab festgeschrieben seien. Zitat:

Das Verfahren ist genauso grotesk wie vor dem Ombudsman: Man muss indirekt über eine Datenschutzbehörde eine Beschwerde an einen US-Beamten schicken. Dieser wird einem Antworten, dass die USA weder bestätigen noch verneinen dass man überwacht wurde. Außerdem wurde die potentielle Überwachung entweder rechtmäßig vorgenommen – und wenn nicht wurde das Problem behoben (siehe Section 3(c)(E) der Executive Order). Die gleiche (festgeschriebene) Antwort erhält man auch vom Data Protection Review Court.

Laut Schrems müssen US-Unternehmen auch die DSGVO nicht einhalten – die EU verlangt keine diesbezügliche Anpassung der Privacy Shield-Prinzipien. US-Bürger, die in den USA leben, haben zwar über die US-Verfassung ein Recht auf Privatsphäre. Das gilt aber nicht für EU-Bürger. Die Grundsätze seien weitgehend identisch mit den früheren "Safe Harbor"-Grundsätzen aus dem 2000, so Schrems. Das bedeutet, dass US-Unternehmen weiterhin europäische Daten verarbeiten können, ohne die DSGVO einzuhalten. Sie benötigen beispielsweise nicht einmal eine Rechtsgrundlage für die Verarbeitung, wie etwa eine Einwilligung. Unter dem Privacy Shield müssen US-Unternehmen den Nutzer lediglich eine Opt-out-Option anbieten. Und das, obwohl der EuGH betont hat, dass es in den USA "der Sache nach gleichwertigen" Schutz geben muss, damit Daten frei in die USA übermittelt werden können.

Wenn ich die obige Position des eco so lese, die auf Rechtssicherheit hoffen und jubeln, dann aber die Aussagen von Max Schrems – der in der Sache bereits zwei Verfahren vor dem EuGH gewonnen hat – spiegele, liegen da Welten dazwischen. Die spannende Frage wird am Ende des Tages sein:

• Wie lange dauert es, bis die EU-Kommission einen Angemessenheitsbeschluss erlässt und vermeintlich Rechtssicherheit schafft.
• Und wie lange braucht es dann, bis der EuGH auch sein drittes Schrems-Urteil in dieser Angelegenheit fällt.

Für mich ganz spannend ist dabei – auch unter Berücksichtigung der Diskussionen hier im Blog – die praktische Seite. Es geht dabei um zwei Aspekte, nämlich einerseits um die vielfältigen Möglichkeiten, Daten über Produkte von US-Anbietern per Telemetrie- oder Cloud-Funktionen in die USA zu übertragen. Apple, Google, Microsoft & Co. praktizieren das ja in ausgiebiger Form. Und es sind dann nicht nur irgendwelche abstrakten Datenpunkte, die per Telemetrie erfasst und übertragen werden. Microsofts Smart Screen-Filter übertragen das komplette Surfverhalten in die USA – über den Fall der erweiterten Rechtschreibprüfung, die getipptes an Microsoft oder Google übermittelt, hatte ich kürzlich berichtet (Chrome & Edge senden persönliche Daten (u.a. Passwörter) an Google bzw. Microsoft). Und die ganzen automatischen Uploads in die Cloud, die auch schon mal zu gesperrten Konten bei US-Anbieter führen, enthalten mit Sicherheit sehr persönliche Daten. Wird vermutlich durch die Eula oder eine DSGVO-Abfrage bei der Erstbenutzung des Produkts abgenickt – aber Verfahren zur Speicherung, Verarbeitung und Löschung personenbezogener Daten gemäß DSGVO sind da nicht erkennbar.

Und es gibt noch einen zweiten Aspekt, den Viele nicht auf dem Radar haben. Die EU-Firmen und -Behörden gieren ja geradezu danach, US-Cloud-Anbietern Daten ihrer Benutzer zu übereignen. Schaue ich mir aber mal die täglichen Meldungen im Hinblick auf Datenlecks und Hacks aus den USA an, läuft die dortige IT-Landschaft auf einen riesigen Sicherheits- und Datenschutz-GAU hin. Tritt in den USA eine Datenschutzverletzung auf, und hat eine europäische Firma oder Behörde ihre Daten dort verarbeiten oder speichern lassen oder wurden diese dort hin übertragen, ist nicht die US-Instanz verantwortlich. Die DSGVO trifft dann die europäische Firma oder Behörde. Da wird, bildlich gesprochen, die Front mit einer neuen, sehr verletzlichen Flanke verbreitert. Ich bin skeptisch, dass das gut geht – aber vielleicht lernen es einige nur durch entsprechende  Vorfälle. Schrems meint zu der ganzen Situation:

Es ist erstaunlich, dass die EU und die USA tatsächlich darin übereinstimmen, dass Abhörmaßnahmen einen hinreichenden Verdacht und eine richterliche Genehmigung erfordern. Die USA sind jedoch der Ansicht, dass Ausländer kein Recht auf Privatsphäre haben. Ich bezweifle, dass die USA eine Zukunft als weltweiter Cloud-Anbieter haben, wenn internationale Kunden nach US-Gesetzen keine Rechte haben. Es ist empörend, wenn die Europäische Kommission akzeptiert, dass EU-Bürger Menschen zweiter Klasse sein sollen die nicht die gleichen Rechte wie US-Bürger verdienen.

Ich denke, er hat da den Punkt sehr genau getroffen – und ich sehe dem nächsten EuGH-Verfahren in der Sache mit Spannung entgegen.

Ähnliche Artikel:
Safe Harbor: EuGH erklärt Abkommen für ungültig
EuGH kippt EU-US-Datenschutzvereinbarung "Privacy Shield"
Keine Karenzfrist für Unternehmen nach Privacy Shield-EU-Urteil
Datenschützer plant durchgreifen bei Privacy Shield-Verstößen

Vorläufige Einigung zwischen EU und USA im Trans-Atlantic Data Privacy Framework
US-Präsident Biden bringt Datenschutzabkommen "Privacy Shield 2.0" auf den Weg
EU-Kommission fällt vorläufige Angemessenheitsentscheidung zum Trans-Atlantic Data Privacy Framework