Categories: RechtRegulierung

Privacy Shield: EU-Datenschützer fordern Korrekturen

Die Artikel 29 Datenschutzgruppe hat den Ende Februar veröffentlichten Entwurf des mit den USA geplanten Datenaustauschabkommens Privacy Shield geprüft. In einer Pressemitteilung (PDF) sprechen die Datenschützer zwar auch von „signifikanten Verbesserungen“ im Vergleich zum Vorgänger Safe Harbor, trotzdem gibt es ihrer Ansicht nach noch „ernste Bedenken“ in Bezug auf Details wie die Unabhängigkeit des Ombudsmanns in den USA und Zugriffen von US-Behörden auf in die USA übertragene Daten.

Grundsätzlich kritisiert die Gruppe, die die EU-Kommission in Datenschutzfragen berät, dass das Abkommen auf mehrere Dokumente aufgeteilt ist. Dadurch seien einige Formulierungen zu den Datenschutzgarantien schwer zu finden und sogar inkonsistent. Das trage zur insgesamt fehlenden Klarheit des Abkommens bei.

Nicht klar genug definiert sind demnach die Einschränkungen, die sich aus dem Grundsatz ergeben, dass Daten nur zweckbezogen verarbeitet werden dürfen. Auch das Prinzip der Vorratsdatenspeicherung sei nicht ausdrücklich erwähnt und könne nicht eindeutig aus dem aktuellen Entwurf abgeleitet werden. Zudem gebe es keinen Schutz vor „automatisierten individuellen Entscheidungen, die nur auf einer automatisierten Verarbeitung basieren“.

Den Datenschützern fehlen aber auch Zusagen, dass Privacy Shield auch für Daten von EU-Bürgern gilt, die US-Firmen an Empfänger in Drittländern übertragen. Dieser Weg dürfe nicht benutzt werden, um die Datenschutzregeln der EU zu umgehen. Sie fordern außerdem eine Vereinfachung des Beschwerdeverfahrens. Das sei für EU-Bürger zu komplex, vor allem aufgrund unterschiedlicher Sprachen. Nach Vorstellung der Arbeitsgruppe sollten die Datenschutzbehörden der einzelnen Mitgliedstaaten als Anlaufstelle dienen und im Namen von EU-Bürgern agieren können.

In Bezug auf Datenzugriffe von US-Behörden „bedauert die Arbeitsgruppe, dass der Vertreter des Director of National Intelligence keine ausreichenden Details genannt hat, um eine massive und willkürliche Sammlung von persönlichen Daten aus der EU auszuschließen“, heißt es weiter in der Stellungnahme. Die Artikel 29 Datenschutzgruppe habe stets klargestellt, dass eine massive und willkürliche Überwachung von Bürgern in einer demokratischen Gesellschaft niemals als angemessen oder unbedingt notwendig angesehen werden könne. In diesem Zusammenhang verweisen die Datenschützer zudem auf anstehende Entscheidungen des Gerichtshofs der Europäischen Union zu diesem Thema.

Weitere Bedenken der Arbeitsgruppe richten sich gegen den Ombudsmann, der Beschwerden von EU-Bürgern bearbeiten und damit auch für die Einhaltung des Abkommens sorgen soll. „Wir sind besorgt, dass diese neue Institution nicht ausreichend unabhängig ist und nicht die Befugnisse besitzt, um ihre Aufgaben effektiv zu erfüllen.“ Damit sei im Fall von Meinungsverschiedenheiten auch kein ausreichender Rechtsschutz garantiert.

WEBINAR

HPE Server der Generation 10 - Die sichersten Industrie-Standard-Server der Welt

Die neuen HPE-Server der Generation 10 bieten einen erweiterten Schutz vor Cyberangriffen. Erfahren Sie in unserem Webinar, warum HPE-Server die sichersten Industrie-Standard-Server der Welt sind und wie Sie ihr Unternehmen zu mehr Agilität verhelfen. Jetzt registrieren und Aufzeichnung ansehen.

Die Datenschützer fordern die EU-Kommission nun auf, die genannten Bedenken zu berücksichtigen. Nur so könne sichergestellt werden, dass Privacy Shield denselben Datenschutz biete wie in der EU.

Die neue Vereinbarung soll das im Oktober 2015 vom EU-Gerichtshof einkassierte Vorgängerabkommen Safe Harbor ersetzen. Unklar ist, ob Privacy Shield nun den Vorgaben des Gerichts entspricht. Die Artikel 29 Datenschutzgruppe selbst weist in ihrer Pressemitteilung darauf hin, dass bisher nur ein Entwurf von Privacy Shield vorliegt. Eine abschließende Aussage lasse sich sogar erst nach Verabschiedung der neuen EU-Datenschutzgesetze im Jahr 2018 treffen, da Privacy Shield auch den neuen höheren Anforderungen genügen müsse.

Die Ungewissheit rund um Privacy Shield hat auch dazu geführt, dass immer mehr Cloud-Anbieter auf regionale Rechenzentren setzen. Dazu zählen unter anderem Microsoft, Salesforce.com und SugarCRM, die hierzulande die Dienste von T-Systems nutzen. Der Speicherdienst Box kündigte zudem Anfang der Woche an, Unternehmen eine Auswahlmöglichkeit zur regionalen Datenspeicherung in Europa und Asien zu bieten. Ohne eine rechtliche Grundlage wie Safe Harbor oder Privacy Shield könnten Firmen, die Daten ihrer Kunden oder auch Mitarbeiter außerhalb der EU speichern, gegen Datenschutzgesetze verstoßen.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Microsoft steigert Umsatz und Gewinn im ersten Fiskalquartal

Das stärkste Wachstum verbucht die Cloud-Sparte. Microsoft verpasst bei der Umsatzprognose für das laufende Quartal…

11 Stunden ago

Bezahlkarten: Infineon verspricht weniger Plastikmüll

Ein Coil-on-Module-Package integriert Chip und Antenne, was den Kartenkörper fast vollständig recycelbar machen soll.

1 Tag ago

Firefox 132 schließt elf Sicherheitslücken

Mindestens eine Anfälligkeit erlaubt das Einschleusen von Schadcode. Außerdem erweitern die Entwickler den Support für…

1 Tag ago

Telekom nennt Termin für 2G-Ende

Zum 30. Juni 2028 soll das 2G-Netz komplett abgeschaltet werden und den Weg für schnellere…

1 Tag ago

Alphabet übertrifft die Erwartungen im dritten Quartal

Gewinn und Umsatz legen deutlich zu. Zum Wachstum tragen auch die Sparten Cloud und Abonnements…

1 Tag ago

1 Million Dollar: Apple zahlt Prämie für Hack seiner Apple Intelligence Server

Ein neues Bug-Bounty-Programm beschäftigt sich mit Apples Private Cloud Compute. Prämien gibt es unter für…

2 Tagen ago