Safe-Harbor-Nachfolger: EU-Datenschützer verlangen Nachbesserungen

Die Artikel 29 Datenschutzgruppe hat den Ende Februar publizierten Entwurf des mit den USA geplanten Datenaustauschabkommens Privacy Shield überprüft. Wie aus einer Pressemitteilung (PDF) hervorgeht, sehen die Datenschützer zwar “signifikante Verbesserungen” gegenüber dem Vorgänger Safe Harbor, dennnoch gibt es in ihren Augen noch “ernste Bedenken”, etwa im Hinblick auf die Unabhängigkeit des Ombudsmanns in den USA und Zugriffen von US-Behörden auf in die USA übermittelte Daten.

Grundsätzlich kritisiert die Gruppe, die die EU-Kommission in Datenschutzfragen berät, dass das Abkommen auf mehrere Dokumente aufgeteilt ist. Dadurch seien einige Formulierungen zu den Datenschutzgarantien schwer zu finden und sogar inkonsistent. Das trage insgesamt zu fehlender Klarheit bei dem Abkommens bei.

Nicht klar genug definiert seien auch die Einschränkungen, die sich aus dem Grundsatz ergeben, dass Daten nur zweckbezogen verarbeitet werden dürfen. Das Prinzip der Vorratsdatenspeicherung sei ebenfalls nicht ausdrücklich erwähnt und könne nicht eindeutig aus dem aktuellen Entwurf abgeleitet werden. Zudem gebe es keinen Schutz vor “automatisierten individuellen Entscheidungen, die nur auf einer automatisierten Verarbeitung basieren”.

Den Datenschützern fehlen auch Zusagen, dass Privacy Shield für Daten von EU-Bürgern gilt, die US-Firmen an Empfänger in Drittländern übertragen. Dieser Weg dürfe nicht benutzt werden, um die Datenschutzregeln der EU zu umgehen. Außerdem verlangen sie eine Vereinfachung des Beschwerdeverfahrens. Das sei in der derzeit vorgesehenen Form für EU-Bürger zu komplex. Dazu trage vor allem die Sprachbarriere bei. Nach Vorstellung der Arbeitsgruppe sollten die Datenschutzbehörden der einzelnen Mitgliedstaaten als Anlaufstelle dienen und im Namen von EU-Bürgern agieren können.

In Bezug auf Datenzugriffe von US-Behörden “bedauert die Arbeitsgruppe, dass der Vertreter des Director of National Intelligence keine ausreichenden Details genannt hat, um eine massive und willkürliche Sammlung von persönlichen Daten aus der EU auszuschließen”, heißt es weiter in der Stellungnahme. Die Artikel 29 Datenschutzgruppe habe stets klargestellt, dass dies in einer demokratischen Gesellschaft niemals als angemessen oder unbedingt notwendig angesehen werden könne. In diesem Zusammenhang verweisen die Datenschützer auf anstehende Entscheidungen des Gerichtshofs der Europäischen Union zu diesem Thema.

Weitere Bedenken der Arbeitsgruppe richten sich gegen den Ombudsmann, der Beschwerden von EU-Bürgern bearbeiten und damit auch für die Einhaltung des Abkommens sorgen soll. “Wir sind besorgt, dass diese neue Institution nicht ausreichend unabhängig ist und nicht die Befugnisse besitzt, um ihre Aufgaben effektiv zu erfüllen.” Im Fall von Meinungsverschiedenheiten sei auch kein ausreichender Rechtsschutz garantiert. Die Datenschützer fordern die EU-Kommission nun auf, die genannten Bedenken zu berücksichtigen. Nur so könne sichergestellt werden, dass Privacy Shield denselben Datenschutz biete wie in der EU.

Die neue Vereinbarung soll das im Oktober 2015 vom EU-Gerichtshof einkassierte Vorgängerabkommen Safe Harbor ersetzen. Unklar ist, ob Privacy Shield nun den Vorgaben des Gerichts entspricht. Die Artikel 29 Datenschutzgruppe selbst weist in ihrer Pressemitteilung darauf hin, dass bisher nur ein Entwurf von Privacy Shield vorliegt. Eine abschließende Aussage lasse sich sogar erst nach Verabschiedung der neuen EU-Datenschutzgesetze im Jahr 2018 treffen, da Privacy Shield auch den neuen höheren Anforderungen genügen müsse.

Die Ungewissheit rund um Privacy Shield hat auch dazu geführt, dass immer mehr Cloud-Anbieter auf regionale Rechenzentren setzen. Dazu zählen unter anderem Microsoft, Salesforce.com und SugarCRM, die hierzulande die Dienste von T-Systems nutzen. Der Speicherdienst Box kündigte zudem Anfang der Woche an, Unternehmen eine Auswahlmöglichkeit zur regionalen Datenspeicherung in Europa und Asien zu bieten. Ohne eine rechtliche Grundlage wie Safe Harbor oder Privacy Shield könnten Firmen, die Daten ihrer Kunden oder auch Mitarbeiter außerhalb der EU speichern, gegen Datenschutzgesetze verstoßen.

[mit Material von Stefan Beiersmann, ZDNet.de]