Am Montag verabschiedete die Europäische Kommission einen neuen Datentransfer-Deal zwischen den USA und Europa. Damit wurden zwei ältere Vereinbarungen für nichtig erklärt, die bisher die Grundlage dafür bildeten, wie Tausende von Unternehmen personenbezogene Daten von Europäern über den Atlantik übertragen durften.
Max Schrems von der NGO Noyb meldete sich gleich nach der Verlautbarung zu Wort und kündigte an, die Entscheidung anfechten zu wollen. Während die EU-Verantwortlichen mit dem neuen Deal versichern, dass die USA angemessene Schutzmaßnahmen für personenbezogene Daten angeboten haben, zweifelt Schrems diese Maßnahmen an. Er sieht auch in diesem, dem dritten Abkommen dieser Art, EU-Bürger nicht sicher vor anlassloser Massenüberwachung.
Sicherer Hafen
"Man sagt, die Definition von Wahnsinn ist, dass man immer wieder das Gleiche tut und dennoch ein anderes Ergebnis erwartet. Genau wie 'Privacy Shield' basiert auch die jüngste Vereinbarung nicht auf materiellen Änderungen, sondern auf kurzfristigem politischem Denken", sagt der Datenschützer in einer ersten Stellungnahme zum "Trans-Atlantic Data Privacy Framework".
Laut Schrems sei dieses "Framework" eine Kopie von Privacy Shield (von 2016), das wiederum eine Kopie von "Safe Harbor" (von 2000) war. Idee hinter diesen Abkommen sollte immer sein, dass personenbezogene Daten in der Regel nur dann in Länder außerhalb der EU übermittelt werden, wenn im Zielland ein "im Wesentlichen gleichwertiger" Schutz besteht.
Nicht ganz so sicher
Im Jahr 2013 enthüllte Edward Snowden überraschend, dass die US-Regierung "Big Tech"-Unternehmen und Programme nutzte, um den Rest der Welt auszuspionieren – auch ohne konkreten Verdacht oder richterliche Genehmigung. Auch "Partner" in Europa waren Ziele dieser Überwachung. Der EuGH hatte daraufhin die Entscheidung der Kommission in Bezug auf "Safe Harbor" für nichtig erklärt. Im Jahr 2016 zog die Europäische Kommission deshalb ein Abkommen namens "Privacy Shield" hoch, das mehr Sicherheit in Sachen Datenübermittlungen zwischen der EU und den USA versichern sollte. Vier Jahre später wurde auch dieses weitgehend aus denselben Gründen vom EuGH für ungültig erklärt.
So musste ein drittes Mal verhandelt werden, doch bestanden die USA weiterhin darauf, dass EU-Daten der Massenüberwachung durch die USA unterliegen würden. Nachdem sich Juristen über ein Jahr lang nicht hatten einigen können, trafen sich am 25. März 2022 US-Präsident Joe Biden und die Präsidentin der Europäischen Kommission, Ursula von der Leyen. Am selben Tag noch legten sie ein "Agreement in Principle" vor, was mit nur zwei ergänzenden Punkten die jahrelangen Bedenken offenbar auflöste.
In dem neuen Abkommen hieß es erstens, dass neue verbindliche Schutzmaßnahmen beschlossen werden, wie die Beschränkung des Zugriffs der US-Geheimdienste auf das "Notwendige und Verhältnismäßige". Zweitens wurde als Kontrollorgan ein Civil Liberties Protection Officer (CLPO) und ein sogenannter "Gerichtshof" etabliert. Über ein Jahr später lässt die EU-Kommission via Aussendung wissen, dass das "Trans-Atlantic Data Privacy Framework" ausverhandelt sei.
Anfechtung in der Schublade
Max Schrems zeigt sich von ebendiesem dritten Anlauf wenig beeindruckt und spricht von sich ständig wiederholenden Behauptungen: "Wir hatten jetzt 'Harbors', 'Umbrellas', 'Shields' und 'Frameworks' – aber keine substanzielle Änderung des US-Überwachungsrechts. Die Presseerklärungen von heute sind fast eine wortwörtliche Kopie derer von vor 23 Jahren. Die bloße Behauptung, etwas sei "neu", "robust" oder "wirksam", reicht vor dem Gerichtshof nicht aus. Wir brauchten eine Änderung des US-Überwachungsrechts, und die gibt es nicht."
Die Anfechtung beim EuGH sei deshalb bereits in der "Schublade". Wie immer ruft Schrems dazu auf, sich an der Anfechtung zu beteiligen. All jene, deren personenbezogene Daten im Rahmen des neuen Abkommens übermittelt werden, können bei den Datenschutzbehörden oder Gerichten Rechtsmittel einbringen, so der Datenschützer. Noyb habe bereits verschiedene Verfahrensoptionen vorbereitet, um das neue Abkommen erneut vor den EuGH zu bringen.
Sobald dieses neue Abkommen von Unternehmen verwendet wird, ist der Weg für eine Anfechtung offen. Man habe das "juristische Pingpong" zwar satt, aber nachdem auch die beiden letzten Abkommen zwischen der EU und den USA rückwirkend für ungültig erklärt wurden, sei man auch jetzt zuversichtlich. Enttäuscht ist man laut Schrems über die Rolle der Kommission. "Die Kommission soll die 'Hüterin der Verträge' und die Verteidigerin der 'Rechtsstaatlichkeit' in der EU sein. Sie zelebriert diese Rolle, wenn es um die Verletzung von EU-Recht durch die Mitgliedsstaaten geht. Jetzt ignoriert die Kommission selbst zum dritten Mal den Europäischen Gerichtshof." (aam, 10.7. 2023)