Privacy Shield: EU-Datenschützer fordern Korrekturen

Die Artikel 29 Datenschutzgruppe hat den Ende Februar veröffentlichten Entwurf des mit den USA geplanten Datenaustauschabkommens Privacy Shield geprüft. In einer Pressemitteilung (PDF) sprechen die Datenschützer zwar auch von „signifikanten Verbesserungen“ im Vergleich zum Vorgänger Safe Harbor, trotzdem gibt es ihrer Ansicht nach noch „ernste Bedenken“ in Bezug auf Details wie die Unabhängigkeit des Ombudsmanns in den USA und Zugriffen von US-Behörden auf in die USA übertragene Daten.

Grundsätzlich kritisiert die Gruppe, die die EU-Kommission in Datenschutzfragen berät, dass das Abkommen auf mehrere Dokumente aufgeteilt ist. Dadurch seien einige Formulierungen zu den Datenschutzgarantien schwer zu finden und sogar inkonsistent. Das trage zur insgesamt fehlenden Klarheit des Abkommens bei.

Nicht klar genug definiert sind demnach die Einschränkungen, die sich aus dem Grundsatz ergeben, dass Daten nur zweckbezogen verarbeitet werden dürfen. Auch das Prinzip der Vorratsdatenspeicherung sei nicht ausdrücklich erwähnt und könne nicht eindeutig aus dem aktuellen Entwurf abgeleitet werden. Zudem gebe es keinen Schutz vor „automatisierten individuellen Entscheidungen, die nur auf einer automatisierten Verarbeitung basieren“.

Den Datenschützern fehlen aber auch Zusagen, dass Privacy Shield auch für Daten von EU-Bürgern gilt, die US-Firmen an Empfänger in Drittländern übertragen. Dieser Weg dürfe nicht benutzt werden, um die Datenschutzregeln der EU zu umgehen. Sie fordern außerdem eine Vereinfachung des Beschwerdeverfahrens. Das sei für EU-Bürger zu komplex, vor allem aufgrund unterschiedlicher Sprachen. Nach Vorstellung der Arbeitsgruppe sollten die Datenschutzbehörden der einzelnen Mitgliedstaaten als Anlaufstelle dienen und im Namen von EU-Bürgern agieren können.

In Bezug auf Datenzugriffe von US-Behörden „bedauert die Arbeitsgruppe, dass der Vertreter des Director of National Intelligence keine ausreichenden Details genannt hat, um eine massive und willkürliche Sammlung von persönlichen Daten aus der EU auszuschließen“, heißt es weiter in der Stellungnahme. Die Artikel 29 Datenschutzgruppe habe stets klargestellt, dass eine massive und willkürliche Überwachung von Bürgern in einer demokratischen Gesellschaft niemals als angemessen oder unbedingt notwendig angesehen werden könne. In diesem Zusammenhang verweisen die Datenschützer zudem auf anstehende Entscheidungen des Gerichtshofs der Europäischen Union zu diesem Thema.

Weitere Bedenken der Arbeitsgruppe richten sich gegen den Ombudsmann, der Beschwerden von EU-Bürgern bearbeiten und damit auch für die Einhaltung des Abkommens sorgen soll. „Wir sind besorgt, dass diese neue Institution nicht ausreichend unabhängig ist und nicht die Befugnisse besitzt, um ihre Aufgaben effektiv zu erfüllen.“ Damit sei im Fall von Meinungsverschiedenheiten auch kein ausreichender Rechtsschutz garantiert.

Die Datenschützer fordern die EU-Kommission nun auf, die genannten Bedenken zu berücksichtigen. Nur so könne sichergestellt werden, dass Privacy Shield denselben Datenschutz biete wie in der EU.

Die neue Vereinbarung soll das im Oktober 2015 vom EU-Gerichtshof einkassierte Vorgängerabkommen Safe Harbor ersetzen. Unklar ist, ob Privacy Shield nun den Vorgaben des Gerichts entspricht. Die Artikel 29 Datenschutzgruppe selbst weist in ihrer Pressemitteilung darauf hin, dass bisher nur ein Entwurf von Privacy Shield vorliegt. Eine abschließende Aussage lasse sich sogar erst nach Verabschiedung der neuen EU-Datenschutzgesetze im Jahr 2018 treffen, da Privacy Shield auch den neuen höheren Anforderungen genügen müsse.

Die Ungewissheit rund um Privacy Shield hat auch dazu geführt, dass immer mehr Cloud-Anbieter auf regionale Rechenzentren setzen. Dazu zählen unter anderem Microsoft, Salesforce.com und SugarCRM, die hierzulande die Dienste von T-Systems nutzen. Der Speicherdienst Box kündigte zudem Anfang der Woche an, Unternehmen eine Auswahlmöglichkeit zur regionalen Datenspeicherung in Europa und Asien zu bieten. Ohne eine rechtliche Grundlage wie Safe Harbor oder Privacy Shield könnten Firmen, die Daten ihrer Kunden oder auch Mitarbeiter außerhalb der EU speichern, gegen Datenschutzgesetze verstoßen.