Datenströme fließen weltweit. Die EU ist gebunden durch die Verträge und die Charta der Grundrechte der Europäischen Union, die alle natürlichen Personen in der EU schützen. Die EU ist verpflichtet, mit allen erforderlichen Maßnahmen zu gewährleisten, dass die Rechte auf Privatsphäre und auf den Schutz personenbezogener Daten bei allen Verarbeitungsvorgängen einschließlich Übermittlungen gewahrt werden.

Seit den 2013 erfolgten Enthüllungen über Überwachungsaktivitäten haben sich die EU und ihr strategischer Partner, die USA, um die Definition neuer, auf einem System von Selbstzertifizierung beruhender Standards für die Übermittlung personenbezogener Daten aus der EU in die USA zu kommerziellen Zwecken bemüht. Wie die nationalen Datenschutzbehörden in der EU erkennt auch der EDSB den Wert eines nachhaltigen Rechtsrahmens für kommerzielle Datenübermittlungen zwischen der EU und den USA, den beiden jeweils größten Handelspartnern weltweit, in einer Zeit globaler, momentaner und unvorhersehbarer Datenströme. Dieser Rahmen muss jedoch umfassender Ausdruck der gemeinsamen demokratischen und auf den Rechten des Einzelnen beruhenden Werte sein, die auf EU-Seite im Vertrag von Lissabon und der Charta der Grundrechte und auf US-amerikanischer Seite in der Verfassung der Vereinigten Staaten verankert sind.

Der Entwurf des Datenschutzschilds mag ein Schritt in die richtige Richtung sein, doch bietet er mit seinem jetzigen Wortlaut unserer Auffassung nach nicht in angemessener Form alle Garantien für den Schutz der EU-Rechte natürlicher Personen in Bezug auf Privatsphäre und Datenschutz, einschließlich gerichtlicher Rechtsbehelfe. Es sind noch erhebliche Verbesserungen erforderlich, sollte die Europäische Kommission eine Angemessenheitsentscheidung annehmen wollen. So sollte die EU insbesondere weitere Zusicherungen bezüglich Notwendigkeit und Verhältnismäßigkeit einholen, anstatt einen routinemäßigen Zugang von US-Behörden auf übermittelte Daten auf der Grundlage von Kriterien zu legitimieren, die eine Rechtsgrundlage im Empfängerland haben und nicht in der EU, wie dies in den Verträgen, EU-Gerichtsurteilen und den Mitgliedstaaten gemeinsamen verfassungsrechtlichen Traditionen bekräftigt ist.

Darüber hinaus können in einem Zeitalter von hoher „Hyperconnectivity“ und verteilten Netzwerken die Selbstregulierung durch private Organisationen sowie Vertretung und Zusagen durch Amtsträger kurzfristig eine Rolle spielen, während sie langfristig nicht ausreichen würden, die Rechte und Interessen natürlicher Personen zu wahren und in vollem Umfang den Bedürfnissen einer globalisierten digitalen Welt gerecht zu werden, in der sich nunmehr viele Länder Datenschutzrechtsvorschriften festgelegt haben.

Daher wäre eine längerfristige Lösung im transatlantischen Dialog zu begrüßen, auch um in verbindlichem Bundesrecht zu verfügen, dass zumindest die Hauptgrundsätze der Rechte klar und prägnant benannt werden, wie es auch bei anderen Drittländern ist, die in der Frage, ob sie ein angemessenes Schutzniveau bieten, „streng beurteilt“ wurden; was der EuGH in seinem Urteil in der Rechtssache Schrems als den nach EU-Recht geltenden Standards „der Sache nach gleichwertig“ bezeichnet hat, und was nach Ansicht der Artikel 29-Datenschutzgruppe bedeutet, „das Wesen der Grundprinzipien“ des Datenschutzes enthaltend.

Wir nehmen wohlwollend die von den US-Behörden an den Tag gelegte stärkere Transparenz bei der Nutzung der Ausnahme von den Datenschutzschildgrundsätzen in den Bereichen Strafverfolgung, nationale Sicherheit und öffentliches Interesse zur Kenntnis.

In der Safe Harbour-Entscheidung aus dem Jahr 2000 wurde ein Zugriff aus Gründen der nationalen Sicherheit als Ausnahme behandelt, wohingegen die Aufmerksamkeit, die im Entscheidungsentwurf zum Datenschutzschild dem Zugriff, dem Filtern und der Auswertung von für kommerzielle Zwecke übermittelten personenbezogenen Daten durch Strafverfolgungsbehörden und Geheimdienste gewidmet wird, darauf hindeutet, dass die Ausnahme zur Regel geworden ist. Der EDSB entnimmt dem Entwurf der Entscheidung und ihrer Anhänge insbesondere, dass ungeachtet neuerer Tendenzen von der undifferenzierten Überwachung auf allgemeiner Grundlage hin zu gezielteren und ausgewählten Ansätzen der Umfang der Fernmeldeaufklärung und das Volumen von aus der EU übermittelten Daten, die nach der Übermittlung und insbesondere im Transit möglicherweise gesammelt und verwendet werden, nach wie vor sehr groß und damit zu hinterfragen sind.

Auch wenn diese Praktiken darüber hinaus mit Aufklärung in anderen Ländern zu tun haben mag, und auch wenn wir die Transparenz der US-Behörden bezüglich dieser neuen Realität begrüßen, könnte der derzeitige Entscheidungsentwurf diese Vorgehensweise legitimieren. Daher fordern wir die Europäische Kommission auf, ein starkes Signal auszusenden: Mit Blick auf die Verpflichtungen, die sich für die EU aus dem Vertrag von Lissabon ergeben, sollten Zugriff und Nutzung von für kommerzielle Zwecke übermittelten Daten durch Behörden, selbst wenn die Daten nur im Transit sind, nur unter außergewöhnlichen Umständen und nur dann erfolgen, wenn es für genau spezifizierte Zwecke im öffentlichen Interesse unerlässlich ist.

Bezüglich der Bestimmungen über Übermittlungen zu kommerziellen Zwecken sollte von für die Verarbeitung Verantwortlichen nicht erwartet werden, dass sie ständig die Compliance-Modelle wechseln. Überdies wurde der Entscheidungsentwurf auf der Grundlage des bestehenden EU-Rechtsrahmens formuliert, der aber im Mai 2018 von der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) abgelöst wird, also weniger als ein Jahr nach der vollständigen Umsetzung des Datenschutzschildes durch die für die Verarbeitung Verantwortlichen. Die Datenschutz-Grundverordnung schafft neue und verschärft bestehende Pflichten für Verantwortliche, die über die neun im Datenschutzschild entwickelten Grundsätze hinausgehen. Unabhängig von letzten Änderungen am Entwurf empfehlen wir der Europäischen Kommission, die künftigen Aussichten seit ihrem ersten Bericht umfassend zu bewerten, rechtzeitig gegebenenfalls relevante Schritte im Hinblick auf längerfristige Lösungen als Ersatz für den Datenschutzschild zu ermitteln, mit solideren und stabileren Rechtsrahmen, damit die transatlantischen Beziehungen einen neuen Schub erhalten.

Daher gibt der EDSB spezifische Empfehlungen zum Datenschutzschild ab.