Datenschützer fordern Nachbesserungen beim Safe-Harbor-Nachfolger
In ihren Augen ist der bestehende Entwurf nicht konkret genug formuliert. So fehlten etwa Zusagen für Daten, welche von den USA in Nicht-EU-Länder transferiert werden. Überdies zweifeln die Datenschützer an der Unabhängigkeit des eingesetzten US-Ombudsmanns.
Die Artikel 29 Datenschutzgruppe hat den Ende Februar publizierten Entwurf des mit den USA geplanten Datenaustauschabkommens Privacy Shield auf den Prüfstand gestellt. Die Datenschützer sprechen in einer Pressemitteilung (PDF) zwar gleichermaßen von “signifikanten Verbesserungen” gegenüber dem Vorgänger Safe Harbor, dennoch haben sie eigenen Angaben zufolge noch “ernste Bedenken” im Hinblick auf Einzelheiten wie die Unabhängigkeit des Ombudsmanns in den USA sowie Zugriffen von US-Behörden auf in die USA übermittelten Daten.
Die Gruppe, die die EU-Kommission in Datenschutzfragen berät, bemängelt prinzipiell, dass das Abkommen auf mehrere Dokumente aufgeteilt ist. Dadurch seien einige Formulierungen zu den Datenschutzgarantien schwer zu finden und sogar inkonsistent. Dies führe zu einer insgesamt fehlenden Präzision des Abkommens.
Nicht klar genug definiert sind demzufolge die Einschränkungen, die aus dem Grundsatz resultieren, dass Daten ausschließlich zweckbezogen verarbeitet werden dürfen. Auch das Prinzip der Vorratsdatenspeicherung sei nicht explizit erwähnt und lasse sich nicht eindeutig aus dem aktuellen Entwurf ableiten. Weiterhin bestehe kein Schutz vor “automatisierten individuellen Entscheidungen, die nur auf einer automatisierten Verarbeitung basieren”.
Den Datenschützern fehlen aber auch Zusagen, dass Privacy Shield auch für Daten von EU-Bürgern gilt, die US-Firmen an Empfänger in Drittländern übertragen. Dieser Weg dürfe nicht benutzt werden, um die Datenschutzregeln der EU zu umgehen. Sie fordern außerdem eine Vereinfachung des Beschwerdeverfahrens. Das sei für EU-Bürger zu komplex, vor allem aufgrund unterschiedlicher Sprachen. Nach Vorstellung der Arbeitsgruppe sollten die Datenschutzbehörden der einzelnen Mitgliedstaaten als Anlaufstelle dienen und im Namen von EU-Bürgern agieren können.
In Bezug auf Datenzugriffe von US-Behörden “bedauert die Arbeitsgruppe, dass der Vertreter des Director of National Intelligence keine ausreichenden Details genannt hat, um eine massive und willkürliche Sammlung von persönlichen Daten aus der EU auszuschließen”, heißt es weiter in der Stellungnahme. Die Artikel 29 Datenschutzgruppe habe stets klargestellt, dass eine massive und willkürliche Überwachung von Bürgern in einer demokratischen Gesellschaft niemals als angemessen oder unbedingt notwendig angesehen werden könne. In diesem Zusammenhang verweisen die Datenschützer zudem auf anstehende Entscheidungen des Gerichtshofs der Europäischen Union zu diesem Thema.
Weitere Bedenken der Arbeitsgruppe richten sich gegen den Ombudsmann, der Beschwerden von EU-Bürgern bearbeiten und damit auch für die Einhaltung des Abkommens sorgen soll. “Wir sind besorgt, dass diese neue Institution nicht ausreichend unabhängig ist und nicht die Befugnisse besitzt, um ihre Aufgaben effektiv zu erfüllen.” Damit sei im Fall von Meinungsverschiedenheiten auch kein ausreichender Rechtsschutz garantiert.
Die Datenschützer fordern die EU-Kommission nun auf, die genannten Bedenken zu berücksichtigen. Nur so könne sichergestellt werden, dass Privacy Shield denselben Datenschutz biete wie in der EU.
Die neue Vereinbarung soll das im Oktober 2015 vom EU-Gerichtshof verworfene Vorgängerabkommen Safe Harbor ersetzen. Unklar ist, ob Privacy Shield nun den Vorgaben des Gerichts entspricht. Die Artikel 29 Datenschutzgruppe selbst weist in ihrer Pressemitteilung darauf hin, dass bisher nur ein Entwurf von Privacy Shield vorliegt. Eine abschließende Aussage lasse sich sogar erst nach Verabschiedung der neuen EU-Datenschutzgesetze im Jahr 2018 treffen, da Privacy Shield auch den neuen höheren Anforderungen genügen müsse.
Die Ungewissheit rund um Privacy Shield hat auch dazu geführt, dass immer mehr Cloud-Anbieter auf regionale Rechenzentren setzen. Dazu zählen unter anderem Microsoft, Salesforce.com und SugarCRM, die hierzulande die Dienste von T-Systems nutzen. Der Speicherdienst Box kündigte zudem Anfang der Woche an, Unternehmen eine Auswahlmöglichkeit zur regionalen Datenspeicherung in Europa und Asien zu bieten. Ohne eine rechtliche Grundlage wie Safe Harbor oder Privacy Shield könnten Firmen, die Daten ihrer Kunden oder auch Mitarbeiter außerhalb der EU speichern, gegen Datenschutzgesetze verstoßen.
[mit Material von Stefan Beiersmann, ZDNet.de]