DE Amtsblatt der Europäischen Union C 116/4

Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zur Mitteilung der Kommission an das Europäische Parlament und den Rat „Wiederherstellung des Vertrauens beim Datenaustausch zwischen der EU und den USA“ und zur Mitteilung der Kommission an das Europäische Parlament und den Rat „Über die Funktionsweise der SAFE-Harbour-Regelung aus Sicht der EU-Bürger und der in der EU niedergelassenen Unternehmen“

(Der vollständige Text dieser Stellungnahme ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.eu erhältlich.)

2014/C 116/04

I. Einleitung

I.1. Konsultation des EDSB

1. Am 27. November 2013 nahm die Kommission die Mitteilung der Kommission an das Europäische Parlament und den Rat „Wiederherstellung des Vertrauens beim Datenaustausch zwischen der EU und den USA“ an (1) („Mitteilung über die Wiederherstellung des Vertrauens“). Dieser Mitteilung beigefügt ist ein Bericht über die Ergebnisse der EU-Ko-Vorsitzenden der Ad-hoc-Arbeitsgruppe EU-USA („Bericht“ und „Arbeitsgruppe“).

2. Am gleichen Tag nahm die Kommission eine Mitteilung der Kommission an das Europäische Parlament und den Rat „Über die Funktionsweise der SAFE-Harbour-Regelung aus der Sicht der EU-Bürger und der in der EU niedergelassenen Unternehmen“ an (2) („SAFE-Harbour-Mitteilung“).

3. Der EDSB begrüßt, dass er die Möglichkeit erhielt, vor der Annahme der genannten Dokumente der Kommission informelle Kommentare zukommen zu lassen. Diese Dokumente wurden von der Kommission nach den Enthüllungen über die Überwachungsprogramme US-amerikanischer Nachrichtendienste angenommen. In Anbetracht der Auswirkungen dieser Überwachungsprogramme auf das Recht natürlicher Personen auf Privatsphäre und den Schutz personenbezogener Daten hat der EDSB beschlossen, die vorliegende Initiativstellungnahme anzunehmen.

I.2. Ziel und Anwendungsbereich der Kommissionsdokumente

a) Mitteilung über die Wiederherstellung des Vertrauens und Bericht

4. Die Mitteilung macht Vorschläge für das weitere Vorgehen nach den Enthüllungen über umfassende Datenerhebungsprogramme der Geheimdienste der USA („die Programme“ oder „die enthüllten Programme“) und geht auf deren Auswirkungen auf das Vertrauen zwischen der EU und den USA ein. Sie geht nicht auf Enthüllungen über ähnliche Tätigkeiten und/oder die Zusammenarbeit von EU-Mitgliedstaaten oder anderen Drittstaaten und den USA ein.

5. Der Bericht enthält die Ergebnisse der EU-Ko-Vorsitzenden der Ad-hoc-Datenschutzarbeitsgruppe EU-USA, die nach der AStV-Sitzung vom 18. Juli 2013 eingesetzt wurde und den Auftrag hat, Fakten über die Programme und deren Auswirkungen auf die Grundrechte in der EU und auf personenbezogene Daten von EU-Bürgern zusammenzutragen. Er legt den einschlägigen Rechtsrahmen der USA dar (3), erläutert die Erhebung und Weiterverarbeitung der Daten (4) und schildert die bestehenden Mechanismen für Aufsicht und Rechtebehelfe.

6. In dem Bericht wird ein „zweiter Weg“ erwähnt, der ebenfalls auf der AStV-Sitzung am 18. Juli 2013 festgelegt wurde. Hierzu heißt es dort, dass im Rahmen dieses „zweiten Weges“ EU-Organe gegenüber den US-Behörden Fragen im Zusammenhang mit der mutmaßlichen Überwachung von Organen und diplomatischen Vertretungen der EU ansprechen können, während die Mitgliedstaaten mit den US-Behörden in bilateralen Gesprächen Fragen betreffend ihre nationale Sicherheit erörtern können.

7. In dem Bericht heißt es ferner, dass diese Aufteilung eine gewisse Beschränkung der Diskussionen in der Arbeitsgruppe und der dort bereitgestellten Informationen bedeutete. Dem EDSB liegen keine Informationen über den „zweiten Weg“ oder die Einsetzung einer diesbezüglichen Parallelarbeitsgruppe vor. Die Kommission wird daher aufgefordert, den EDSB über die Ergebnisse des „zweiten Wegs“ zu unterrichten, insbesondere in Hinblick auf die mutmaßliche Überwachung von Organen und diplomatischen Vertretungen der EU.

b) SAFE-Harbour-Mitteilung

8. In der SAFE-Harbour-Mitteilung wird die Funktionsweise der SAFE-Harbour-Regelung analysiert, werden Schwachstellen aufgezeigt und Verbesserungsmöglichkeiten vorgeschlagen. Sie bestätigt, dass zunehmend Daten zwischen der EU und den USA übermittelt werden und dass sich immer mehr Unternehmen zu den SAFE-Harbour-Grundsätzen bekennen. Die Kommission beschreibt zunächst Struktur und Funktionsweise der SAFE-Harbour-Regelung und unterstreicht dann die Notwendigkeit einer besseren Durchsetzung der Grundsätze der teilnehmenden Unternehmen und ihrer Subunternehmer. Gemäß der Mitteilung würde dies erfordern, dass die SAFE-Harbour-Grundsätze wirksamer in die Datenschutzstrategien der beteiligten Unternehmen übernommen und der Öffentlichkeit zugänglich gemacht werden. Die FTC sollte sich zunehmend proaktiv für ihre Einhaltung einsetzen. Außerdem sollten sich die Datenschutzbehörden in der EU an Aufklärungskampagnen zum Thema SAFE Harbour und hier vor allem zur Existenz der Europäischen Datenschutzkommission beteiligen. Die Kommission unterbreitet ferner Vorschläge für bessere alternative Streitbeilegungsmechanismen.

9. Im Hinblick auf den Zugang zu Daten, die im Rahmen der SAFE-Harbour-Regelung übermittelt und von US-Behörden weiter verarbeitet werden, unterstreicht die Kommission, dass der Zugang auf das unbedingt erforderliche Maß beschränkt und verhältnismäßig sein sollte. Weiter verlangt sie, Einschränkungen des Schutzes des Privatsphäre aus Gründen der nationalen Sicherheit, des öffentlichen Interesses oder der Strafverfolgung sorgfältig überwacht werden sollten, damit dadurch der bestehende Schutz nicht gefährdet wird. Sie fordert teilnehmende Unternehmen auf, sich bezüglich dieser Einschränkungen und ihrer Auswirkungen auf die Vertraulichkeit der Kommunikation transparent zu zeigen und damit die Bürger zu sensibilisieren.

I.3. Gegenstand und Ziel dieser Stellungnahme

10. Gegenstand dieser Stellungnahme ist im Wesentlichen die Mitteilung über die Wiederherstellung des Vertrauens und, damit zusammenhängend, die SAFE-Harbour-Mitteilung. Sie äußert sich folglich nicht direkt zu Enthüllungen betreffend EU-Mitgliedstaaten, in Zusammenarbeit mit den USA oder von sich aus, oder zu Beobachtungstätigkeiten anderer Drittländer als den USA.

11. Am Anfang der Stellungnahme stehen Anmerkungen zum allgemeinen Ansatz der Kommission in der Mitteilung über die Wiederherstellung des Vertrauens. Teil II analysiert kurz die Anwendbarkeit des geltenden rechtlichen Rahmens und deren Konsequenzen und enthält einige Anmerkungen zur SAFE-Harbour-Mitteilung. Da sich die Artikel-29-Datenschutzgruppe (5) derzeit mit dem geltenden EU-Regelwerk und dem internationalen Rechtsrahmen befasst, geht die Stellungnahme in diesem Teil nicht näher auf dieses Thema ein. Teil III befasst sich mit den Empfehlungen der Kommission für das künftige Vorgehen.

I.4. Anmerkungen zum Ansatz der Mitteilung über die Wiederherstellung des Vertrauens

12. Im Mittelpunkt der Mitteilung steht die Tatsache, dass das Vertrauen zwischen der EU und den USA als strategischen Partnern durch die Enthüllungen über die Programme beeinträchtigt wurde und wiederhergestellt werden muss. Dem stimmt der EDSB zu.

13. Allerdings berühren die Programme, deren Existenz in einigen Fällen durch den Bericht eindeutig bestätigt wird (6), nicht nur das Vertrauen, sondern auch gesetzliche Rechte, die im Primär- und Sekundärrecht der EU und des Europarates verankert sind, insbesondere das Recht auf Privatsphäre und auf Datenschutz. Sie zeigen auch, in welchem Umfang derzeit unter dem US-Rechtsrahmen (7), wie er vom Obersten Gerichtshof der USA ausgelegt wird (8), durch das Ausland tatsächlich Datenerhebung betrieben wird. Der Bericht bestätigt ferner, dass der US-Rahmen für EU-Bürger keine Garantien, keinen Schutz, keine Rechte, keine Kontrolle und keine Rechtsbehelfsmöglichkeiten vorsieht (9).

14. Wie die Kommission wiederholt unterstrichen hat, hängt das Vertrauen von Bürgern und Unternehmen in Kommunikation über das Internet von wirksamen Instrumenten für den technischen Schutz der Privatsphäre und hier vor allem von der Wahrung der Vertraulichkeit der Kommunikation ab. Dieses Bedürfnis hat auch die US Review Group on Intelligence and Communications Technologies (10) erkannt, die mehrere Empfehlungen für die Wiederherstellung des Vertrauens in Verschlüsselungswerkzeuge und kommerzielle Software und in die Funktionsweise von Schnellmechanismen für die Beseitigung von Softwareschwachstellen ausgearbeitet hat. Einige der anerkanntesten Sicherheitsexperten haben das geschwächte Vertrauen in diese Systeme als eine der schädlichsten Folgen der jüngsten Diskussionen über Fernmelde- und elektronische Aufklärungsaktionen bezeichnet (11). In Anbetracht der Bedeutung einer wirksamen Sicherheit im Internet für Europa sollte auf Initiative der Kommission auf EU-Ebene eine Antwort auf diese technische und politische Herausforderung formuliert werden.

15. In Abschnitt 3 der Mitteilung befasst sich die Kommission mit den künftigen Maßnahmen, mit denen das Vertrauen in Datenübermittlungen zwischen der EU und den USA wiederhergestellt werden soll. Der EDSB begrüßt diesen Abschnitt, in dessen Mittelpunkt die Verbesserung des bestehenden rechtlichen Rahmens steht, in dem aber auch neue Instrumente vorgeschlagen werden. Die Kommission geht allerdings nicht darauf ein, inwieweit die anzuwendenden Instrumente der Mitgliedstaaten, der EU und des Europarates von den Programmen berührt wurden. Nach Auffassung des EDSB hätte den Auswirkungen auf bestehende Rechtsinstrumente in der Mitteilung mehr Raum gewidmet werden müssen.

IV. Schlussbemerkungen

79. Der EDSB begrüßt die von der Kommission erwogenen Maßnahmen, weist jedoch darauf hin, dass die enthüllten Überwachungstätigkeiten von US-Nachrichtendiensten nicht nur das Vertrauen im Datenverkehr zwischen der EU und den USA beeinträchtigen. Sie wirken sich auch auf bestehende und durchsetzbare Rechte von EU-Bürgern auf Achtung ihrer Privatsphäre und den Schutz ihrer personenbezogenen Daten aus. Diese Rechte sind im Primär- und Sekundärrecht sowohl der EU als auch des Europarates verankert. Der EDSB bedauert daher, dass in der Mitteilung über die Wiederherstellung des Vertrauens den Auswirkungen bestehender Rechtsinstrumente nicht mehr Raum gegeben wurde.

80. Der EDSB spricht sich dafür aus, dass sich die Kommission bei der Festlegung der nächsten Schritte in mehreren Punkten ehrgeiziger zeigt und merkt hierzu an: — Eine korrekte Anwendung und Durchsetzung des derzeitigen europäischen Datenschutzregelwerks ist nicht nur gesetzlich vorgeschrieben, sondern wäre auch ein wesentlicher Beitrag zur Wiederherstellung des Vertrauens. Dies gilt auch für die Instrumente, in denen internationale Übermittlungen zwischen der EU und den USA geregelt sind, einschließlich der bestehenden SAFE-Harbour-Grundsätze. — Die Kommission sollte bedenken, dass Ausnahmen oder Einschränkungen von Grundrechten aus Gründen der nationalen Sicherheit nur gerechtfertigt und zulässig sind, wenn sie unbedingt erforderlich und verhältnismäßig sind und im Einklang mit der Rechtsprechung des EGMR und des Gerichtshofs stehen. — Der EDSB stimmt voll und ganz der Aussage zu, dass für eine Konsolidierung und Verbesserung des EU-Datenschutzregelwerks eine zügige Annahme der Datenschutzreformvorschläge mit angemessenem Inhalt erforderlich ist, damit im Bereich des gesamten EU-Rechts ein stärkerer, wirksamerer und kohärenterer Schutz personenbezogener Daten und der Privatsphäre gegeben ist. Damit sollte auch ein angemessener Datenschutz bei einer Weiterverwendung der Daten für Strafverfolgungszwecke und bei internationalen Kompetenzkonflikten gewährleistet sein. — Die SAFE-Harbour-Grundsätze sollten in der von der Kommission angeregten Weise überarbeitet und gestärkt werden. Der EDSB empfiehlt die Vorgabe kürzerer Fristen, innerhalb derer diese Maßnahmen einschließlich angemessener Folgemaßnahmen bei verbleibenden Mängeln durchzuführen sind. — Die Datenschutzgarantien für die Zusammenarbeit zwischen EU und USA im Bereich Strafverfolgung sind zu stärken. Die laufenden Verhandlungen über ein „Rahmenabkommen“ sollten keine massenhaften Datenübermittlungen legitimieren, sondern dem bestehenden Datenschutzrahmen und dem Ergebnis seiner derzeitigen Überprüfung Rechnung tragen. Es sollten insbesondere allen betroffenen Personen wirksame Rechtsbehelfsmechanismen zur Verfügung stehen, unabhängig von ihrer Staatsangehörigkeit. Dies sollte zu gegebener Zeit auch für internationale Abkommen gelten, bei Bedarf auf der Grundlage angemessener Übergangsklauseln. — Die Kommission sollte die US-Administration und den US-Kongress in deren Bemühungen um ein allgemeines Datenschutzgesetz unterstützen, das starke Garantien und eine angemessene Aufsicht vorsieht, insbesondere in Bereichen, in denen es derzeit noch an einem substanziellen Schutz der Privatsphäre mangelt. — Die derzeit stattfindenden Verhandlungen über eine TTIP sollten sich nicht nachteilig auf den Schutz personenbezogener Daten von Bürgern auswirken. Gleichzeitig sollte die Kommission erwägen, ein gemeinsames Ziel der schrittweisen Entwicklung in Richtung einer größeren Interoperabilität der Regelwerke für Privatsphäre und Datenschutz festzulegen, ein Ziel, zu dessen Erreichen die USA in der oben dargestellten Weise beitragen könnten. — Die Förderung von Datenschutznormen auf internationaler Ebene sollte Folgendes umfassen: i) Förderung der vollständigen Übereinstimmung neuer internationaler Instrumente mit dem europäischen Datenschutzregelwerk; ii) Förderung des Beitritts von Drittländern und hier vor allem der USA zum Übereinkommen Nr. 108 des Europarates; iii) Unterstützung der Annahme eines internationalen Instruments über die Beachtung von Datenschutznormen im Rahmen nachrichtendienstlicher Tätigkeiten. Dieses Instrument könnte auf UN-Ebene auf der Grundlage von Artikel 17 IPBPR angenommen werden. — Bei Überwachungstätigkeiten sollte jederzeit die Verpflichtung bestehen, die Rechtsstaatlichkeit zu wahren und die Grundsätze der Erforderlichkeit und Verhältnismäßigkeit in einer demokratischen Gesellschaft einzuhalten. Die Regelwerke auf allen relevanten Ebenen sollten daher diesbezüglich klargestellt und bei Bedarf ergänzt werden. Diese Regelwerke sollten angemessene und hinreichend strenge Aufsichtsmechanismen umfassen. — EU-Organe und alle einschlägigen Einrichtungen in den Mitgliedstaaten sind in ihrer Rolle als für die Verarbeitung Verantwortliche auch unmittelbar für die Gewährleistung einer wirksamen IT-Sicherheit verantwortlich. Dazu gehört, dass sie auf angemessener Ebene Datensicherheitsrisikobewertungen durchführen. Ferner sollten sie daher die Forschung zu Verschlüsselungsmechanismen fördern und bei für die Verarbeitung Verantwortlichen und Bürgern das Bewusstsein für die Risiken der verkauften oder verwendeten Produkte schärfen und von Entwicklern den Einsatz konkreter Designmethoden verlangen, mit denen sich diese Risiken vermeiden oder zumindest verringern lassen. Die EU sollte Aufklärungsinitiativen zur Sicherheit von im Internet verarbeiteten Daten durchführen.

Brüssel, den 20. Februar 2014 Peter HUSTINX Europäischer Datenschutzbeauftragter

(1) COM(2013) 846 final.

(2) COM(2013) 847 final.

(3) Insbesondere die Verfassung in der Auslegung durch den Obersten Gerichtshof; Abschnitt 702 des Foreign Intelligence Surveillance Act (Gesetz über die Überwachung von Auslandsgeheimdiensten) von 1978 (FISA) (geändert durch den 2008 FISA Amendments Act, 50 U.S.C. § 1881a); und Abschnitt 215 des USA PATRIOT Act 2001 (der auch FISA änderte, 50 U.S.C. 1861) und Executive Order 12333.

(4) Auf der Grundlage von Informationen der USA in der Arbeitsgruppe und freigegebener Dokumente einschließlich Stellungnahmen des Foreign Intelligence Surveillance Court („FISC“) und öffentlich zugänglicher Dokumente wie der Attorney General’s Guidelines for Domestic FBI Operations.

(5) Die nach der Richtlinie 95/46/EG eingesetzte Artikel-29-Datenschutzgruppe hat beratenden Status und ist unabhängig. Sie besteht aus Vertretern der nationalen Datenschutzbehörden in der EU, des EDSB und der Kommission.

(6) Siehe S. 5, 10 und 26 des Berichts, der, gestützt auf freigegebene Stellungnahmen des Foreign Intelligence Surveillance Court (US-Gericht zur Überwachung der Auslandsgeheimdienste) bestätigt, dass „US-Nachrichtendienste gemäß Abschnitt 702 auf weit reichende Erhebungsmethoden zurückgreifen können, wie die PRISM-Datenerhebung bei Internetprovidern oder die ,vorgelagerte Erhebung’ von Daten, die durch die USA übermittelt werden“.

(7) Die USA haben bestätigt, dass es andere Rechtsgrundlagen für die mögliche Erhebung von Daten über Nicht-US-Bürger gibt, nannten jedoch keine Einzelheiten zu den rechtlichen Befugnissen und zu den Verfahren. Der Arbeitsgruppe wurden nicht alle einschlägigen Rechtsgrundlagen offengelegt (siehe S. 13 des Berichts).

(8) Siehe S. 4-12 des Berichts.

(9) Siehe S. 26-27 des Berichts.

(10) „Liberty and Security in a Changing World“, Report and Recommendations of The President’s Review Group on Intelligence and Communications Technologies, insbesondere Empfehlungen 25, 29 und 30. http://www.whitehouse.gov/sites/default/files/docs/2013-12-12_rg_final_report.pdf

(11) B. Schneier, C. Soghoian im Bericht vom 6. September 2013, http://www.theguardian.com/world/2013/sep/05/nsa-gchq-encryption-codes-security; B. Preneel: ISSE 2013 Schlussvortrag: „The Cryptographic Year in Review“ http://homes.esat.kuleuven.be/~preneel/preneel_isse13.pdf