Gutachten zu US-Überwachungsgesetz Europäischer Datenschutz ist kein Bollwerk gegen US-Behörden

Zahlreiche Konstellationen, in denen US-Dienstleister in die Datenverarbeitung eingebunden sind, können datenschutzrechtlich problematisch sein. So lautet zusammengefasst das Ergebnis eines externen Gutachtens im Auftrag der deutschen Datenschutz-Aufsichtsbehörden.

Anbieter zum Thema

synetics GmbH

Insider Research

Schwarz IT KG

Im „Schrems II“-Urteil hatte der Europäische Gerichtshof (EuGH) im Rahmen der Prüfung des letztlich für nichtig erklärten EU-US Privacy Shields die Rechtslage in den USA eingehend geprüft, vor allem unter dem Aspekt, ob in den USA ein angemessenes Schutzniveau für aus der EU dorthin übermittelte personenbezogene Daten vorliegt. In seinem Urteil hatte der EuGH festgestellt, dass Section 702 FISA (Foreign Intelligence Surveillance Act), welcher die Überwachung von Nicht-US-Bürgern außerhalb des US-Territoriums etwa durch die NSA (National Security Agency) regelt, nicht mit den europäischen Grundrechten vereinbar ist.

Nach „Schrems II“ und den darauf beruhenden Empfehlungen des Europäischen Datenschutzausschusses müssen die Datenexporteure prüfen, ob Rechtslage und Praxis des Empfängerstaates die Datenschutz-Garantien ihrer spezifischen Übermittlung beeinträchtigen können.

Unter der Federführung des Berliner Beauftragten für Datenschutz und Informationsfreiheit hatte deshalb eine Task Force der Datenschutz-Aufsichtsbehörden Prof. Stephen I. Vladeck, University of Texas, Austin, und Experte im US-amerikanischen Geheimdienstrecht, mit der Begutachtung ergänzender, in der aufsichtlichen Praxis häufig wiederkehrender Fragen beauftragt.

Das im Volltext auf der Website der Datenschutzkonferenz (DSK) veröffentlichte „Gutachten zum aktuellen Stand des US-Überwachungsrechts und der Überwachungsbefugnisse“ kommt u.a. zu folgenden, für wichtige Fallkonstellation bedeutsamen Befunden:

Der für die Anwendbarkeit von Section 702 des US-amerikanischen Foreign Intelligence Surveillance Act (FISA)1 zentrale Begriff „electronic communication service provider“ ist laut Rechtsgutachten, Kapitel I.5.e., sehr weit gefasst.

• So fallen unter diesen Begriff nicht nur klassische IT- und Telekommunikationsunternehmen. Vielmehr könnten nach der Analyse des Gutachters auch Unternehmen wie beispielsweise Banken, Fluggesellschaften, Hotels oder Versanddienstleister „electronic communication service provider“ sein (Rechtsgutachten, Kapitel I.5.a.).

• Dabei sei es auch nicht in jedem Fall erforderlich, dass die Dienste der Öffentlichkeit zur Verfügung gestellt werden, sondern es könne beispielsweise genügen, dass ein Unternehmen seinen Mitarbeitenden einen E-Mail-Dienst bereitstellt (Rechtsgutachten, Kapitel I.5.c.).

• Zudem umfasse der Begriff „electronic communication service provider“ unter anderem auch Anbieter von „remote computing services“. Hierunter fallen auch Anbieter von „computer storage or processing services“, siehe 18 U.S.C. § 2711(2), also klassische Cloud-, Rechen- oder Hosting-Dienstleistungen und nicht nur herkömmliche Telekommunikationsanbieter (Rechtsgutachten, Kapitel I.5.).

Auch wenn ein Unternehmen nur hinsichtlich weniger oder gar nur eines einzelnen Dienstes (etwa E-Mail-Dienst für die Mitarbeitenden) als „electronic communication service provider“ anzusehen ist, sind die Befugnisse der US-Behörden, die Herausgabe von in der jeweiligen Anordnung bestimmter Datenbestände zu verlangen, nicht auf Daten im Zusammenhang mit diesem Dienst beschränkt.

Vielmehr, so der Gutachter, eröffne auch eine Einordnung als „electronic communication service provider“ aufgrund einer geringfügigen Tätigkeit den Anwendungsbereich von FISA 702 auf sämtliche Daten im Unternehmen, auch wenn dieser Kommunikationsdienst nichts mit der unternehmerischen Haupttätigkeit zu tun hat (Rechtsgutachten, Kapitel I.5.b.).

Im Übrigen behandelt das Gutachten unter anderem den Fall, dass ein selbst nicht als „electronic communication service provider“ anzusehendes Unternehmen Dienste eines „electronic communication service providers“ in Anspruch nimmt, sowie die Fragen, ob europäische Unternehmen, die in den USA aktiv sind, dem problematischen US-Recht unterfallen, und ob FISA 702 extraterritorial anwendbar ist. Außerdem stellt es die Schwierigkeiten für europäische Bürgerinnen und Bürger dar, Rechtsschutz in den USA zu erlangen.

Schrems II

Europäischer Gerichtshof: Privacy Shield ist ungültig

Viele Fragen bleiben offen

Die Datenschutz-Aufsichtsbehörden bewerten derzeit die Konsequenzen, die sich aus den Feststellungen des Gutachtens ergeben. Als unabhängige wissenschaftliche Untersuchung entfaltet das Gutachten keine für die Beurteilung von Einzelfällen unmittelbar verbindliche Wirkung. Die Aufsichtsbehörden werden es allerdings im Rahmen ihrer Tätigkeit berücksichtigen.

Insofern sind für die Stellen, die die Daten exportieren, in der Praxis noch Fragen offengeblieben. Prof. Ulrich Kelber, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit und amtierender Vorsitzender der Konferenz der Datenschutzbeauftragten des Bundes und der Länder (DSK) sagte zur Einordnung des Gutachtens: „Die Ergebnisse des in Auftrag gegebenen, unabhängigen Gutachtens steuern wichtige Aspekte zur Analyse der Rechtsverhältnisse in den USA bei. Die unabhängigen Datenschutzaufsichtsbehörden werden nun darüber beraten, wie die Ergebnisse in die Aufsichts- und Beratungspraxis einfließen.“

(ID:47963600)