Doutes sérieux

Der Austausch von personenbezogenen Daten zwischen den USA und der EU soll wieder auf rechtssicheren Füßen stehen. So plant es zumindest die Politik. Nachdem der Europäische Gerichtshof (EuGH) vor zwei Jahren die Datenschutzvereinbarung der EU mit den USA (Privacy Shield) für ungültig erklärt hatte, kündigte EU-Kommissionspräsidentin Ursula von der Leyen im März 2022 einen neuen Ansatz an: das Trans-Atlantic Data Privacy Framework. Ein solches neues Datenschutzabkommen wird von der europäischen Wirtschaft dringend erwartet. Aber schafft das geplante „Privacy Shield 2.0“ wirklich Rechtssicherheit? Zwar wird das konkrete Abkommen erst frühestens im Herbst 2022 erwartet.

Bereits jetzt lässt sich aber sagen: Es ist fraglich, ob eine neue Datenschutzvereinbarung den strengen Anforderungen der EU-DSGVO genügen wird. Der Grund ist einfach: Das US-amerikanische Rechtssystem müsste erheblich verändert werden, damit es den Anforderungen der EU-DSGVO entspricht. Es ist sehr zweifelhaft, dass die Vereinigten Staaten ihre Einstellung zu massenhafter Überwachung und ihre Gewichtung des Grundrechts auf informationelle Selbstbestimmung kurzfristig ändern werden. Dafür gibt es derzeit keinerlei Signale.

Im Gegenteil: Der sogenannte Abschnitt 702 des US-Geheimdienstgesetzes, „Foreign Intelligence Surveillance“ (FISA), wurde erst kürzlich verlängert. Mit ebendiesem Gesetz räumt das US-amerikanische Recht den nationalen Sicherheitsbehörden weitreichende Zugriffsbefugnisse auf personenbezogene Daten ein, die von Organisationen gespeichert oder übermittelt werden. Geheimdienste, wie die NSA, dürfen Kommunikationsdaten von sogenannten Non-US Persons auswerten, die von US-amerikanischen Unternehmen erhoben wurden – und zwar ohne konkreten Verdacht und ohne entsprechenden Gerichtsbeschluss. Dies steht im eklatanten Widerspruch zur EU-DSGVO.

Die Leidtragenden sind die europäischen Unternehmen. Diese benötigen für ihre Digitalisierungsstrategien und die Homeoffice-Realität seit Beginn der Coronapandemie jetzt Rechtssicherheit bei der Nutzung von Cloud- und Collaboration-Systemen, wie Microsoft Teams und SharePoint Online. Möglich ist Rechtssicherheit nur mit einer technischen Lösung, bei der sensitive Daten von den Arbeitsprozessen und Serviceangeboten außereuropäischer Cloud-Provider abgekoppelt werden.