Seit dem Aus des „Privacy Shield“-Abkommens vor fast genau zwei Jahren besteht für Datentransfers aus der Union in die Vereinigten Staaten eine erhebliche Rechtsunsicherheit. Ein neues Abkommen soll die Rechtssicherheit nun wiederherstellen. Ob das gelingt, ist allerdings sehr zu bezweifeln.

 

Der Autor: Prof. Dr. Dirk Heckmann, Lehrstuhl für Recht und Sicherheit der Digitalisierung, TU München

 Der Austausch von personenbezogenen Daten zwischen den USA und der EU soll wieder auf rechtssicheren Füßen stehen. So plant es zumindest die Politik. Nachdem der Europäische Gerichtshof (EuGH) vor zwei Jahren die Datenschutzvereinbarung der EU mit den USA (Privacy Shield) für ungültig erklärt hat, kündigte EU-Kommissionspräsidentin Ursula von der Leyen im März 2022 einen neuen Ansatz an: das Trans-Atlantic Data Privacy Framework.

Ein solches neues Datenschutzabkommen wird von der europäischen Wirtschaft dringend erwartet. Denn seit dem sogenannten Schrems II-Urteil vor zwei Jahren gehen Unternehmen ein enormes Risiko ein, wenn sie selbst Daten in die USA übertragen oder IT-Dienste nutzen, bei denen personenbezogene Daten in die USA übermittelt werden. Vor allem die Nutzung von Cloud-Diensten ist riskant. Denn nach Auffassung des Europäischen Datenschutzausschusses (EDSA) besteht im Cloud-Computing derzeit kein zulässiger Weg für die Datenübermittlung in die USA.

Eklatanter Widerspruch

Aber schafft das geplante „Privacy Shield 2.0“ wirklich Rechtssicherheit? Zwar wird das konkrete Abkommen erst frühestens im Herbst 2022 erwartet. Bereits jetzt lässt sich aber sagen: Es ist fraglich, ob eine neue Datenschutzvereinbarung den strengen Anforderungen der EU-DSGVO genügen wird. Der Grund ist einfach: Das US-amerikanische Rechtssystem müsste erheblich verändert werden, damit es den Anforderungen der EU-DSGVO entspricht.

Es ist sehr zweifelhaft, dass die Vereinigten Staaten ihre Einstellung zu massenhafter Überwachung und ihre Gewichtung des Grundrechts auf informationelle Selbstbestimmung kurzfristig ändern werden. Dafür gibt es derzeit keinerlei Signale. Im Gegenteil: Der sogenannte Abschnitt 702 des US-Geheimdienstgesetzes „Foreign Intelligence Surveillance“ (FISA) wurde erst kürzlich verlängert. Mit eben diesem Gesetz räumt das US-amerikanische Recht den nationalen Sicherheitsbehörden weitreichende Zugriffsbefugnisse auf personenbezogene Daten ein, die von Organisationen gespeichert oder übermittelt werden. Geheimdienste, wie die NSA, dürfen Kommunikationsdaten von sogenannten „non-US persons“ auswerten, die von US-amerikanischen Unternehmen erhoben wurden – und zwar ohne konkreten Verdacht und ohne entsprechenden Gerichtsbeschluss. Dies steht im eklatanten Widerspruch zur EU-DSGVO.

Auch in einer weiteren zentralen Frage gibt es keinen Fortschritt: Eine Klage gegen die Überwachungsmaßnahmen der US-Regierung ist aussichtslos. Dieses Manko hatte der EuGH auch in seiner Begründung des Schrems II-Urteils genannt. Selbst wenn ein Kläger plausibel behaupten kann, dass seine personenbezogenen Daten im Rahmen einer der Überwachungsmaßnahmen der US-Regierung unrechtmäßig erhoben wurden, ist seine Möglichkeit, einen solchen Verstoß zu beweisen, eingeschränkt. Denn er kann die Regierung nicht dazu zwingen, geheime Details über ihre Überwachungsaktivitäten herauszugeben. Das dem zugrunde liegende „Staatsgeheimnisprivileg“ wurde jüngst in Bezug auf FISA vom Supreme Court bestätigt.

EuGH hat letztes Wort

Vor diesem Hintergrund erscheinen die aktuellen politischen Bemühungen um eine Einigung als reines Lippenbekenntnis. Sollte die EU-Kommission dennoch einen sogenannten Angemessenheitsbeschluss erlassen, der bescheinigt, dass das Abkommen dem Datenschutzniveau der Europäischen Union entspricht, wird eine solche Vereinbarung nicht lange Bestand haben. Ich hege erhebliche Zweifel daran, dass das neue Trans-Atlantic Data Privacy Framework und die damit verbundenen Rechtsänderungen in den Vereinigten Staaten ein der Sache nach gleichwertiges Grundrechtsschutzniveau begründen werden. Ein Angemessenheitsbeschluss wird daher zügig vor dem EuGH angegriffen werden. Das letzte Wort hat der EuGH. Schrems III lässt grüßen.

Die Leidtragenden sind die europäischen Unternehmen. Diese benötigen für ihre Digitalisierungsstrategien und die Homeoffice-Realität seit Beginn der Corona-Pandemie jetzt Rechtssicherheit bei der Nutzung von Cloud- und Collaboration-Systemen, wie Microsoft® Teams und Microsoft® SharePoint Online. Denn auch die Standardvertragsklauseln können eine solche Rechtssicherheit nicht gewähren, auch wenn dies immer wieder von den Anbietern behauptet wird.

Möglich ist Rechtssicherheit letztlich nur mit einer technischen Lösung, bei der sensitive Daten von den Arbeitsprozessen und Serviceangeboten außereuropäischer Cloud-Provider abgekoppelt werden. Auf diese Weise lassen sie sich selbstbestimmt an jedem beliebigen Ort speichern – auf dem eigenen Server beispielsweise oder bei einem europäischen Cloud-Anbieter.

Der Vorteil: Die Kollaborations- und Cloud-Dienste von Microsoft & Co bleiben wie gewohnt im Einsatz – die Kontrolle über die Daten aber liegt beim Unternehmen selber. Das deutsche IT-Sicherheitsunternehmen Rohde & Schwarz Cybersecurity hat eine solche Lösung für Microsoft® Teams und Microsoft® SharePoint Online entwickelt. Durch die gewonnene Datensouveränität können europäische Unternehmen die EU-DSGVO weltweit ohne Rechtsunsicherheiten erfüllen. Hier können Sie das Gutachten downloaden: https://www.rohde-schwarz.com/de/loesungen/cybersicherheit/landing-pages/privacy-shield-2.0-r-s-trusted-gate_255707.html