Source: https://www.eaid-berlin.de/?tag=snowden
Timestamp: 2019-04-20 19:22:02+00:00

Document:
Die amerikanischen Technologie-Giganten Google, Facebook, Microsoft, Twitter und Amazon werden womöglich die ersten Opfer der von Präsident Trump verfolgten „America First“- Politik sein. Trump unterzeichnete am 25. Januar 2017 die Anordnung (Executive Order) zur Verbesserung der öffentlichen Sicherheit. Schon jetzt ist deutlich, dass die Politik der Trump-Administration einem gemeinsamen Datenschutz-Verständnis zwischen den USA und der EU diametral entgegen laufen.
Auch wenn sich diese Bestimmung vermutlich zunächst gegen diejenigen Personen richten soll, die sich illegal in den Vereinigten Staaten aufhalten, hat sie doch auch erhebliche Auswirkungen auf den transatlantischen Datentransfer. Vor allem das Abkommen zwischen der Europäischen Union und der US-Regierung „Privacy Shield“ ist betroffen. Das erst im letzten Sommer ausgehandelte Abkommen gestattet es Unternehmen, welche die Einhaltung der Privacy Shield Prinzipien gewährleisten, personenbezogene Daten aus der Europäischen Union in die USA zu übermitteln.
Voraussetzung für die Übermittlung ist ein „angemessenes Datenschutzniveau“, also ein dem EU-Recht gleichwertiger Schutz für die in die USA transferierten personenbezogenen Daten. Die Europäische Kommission hat am 12. Juli 2016 auf Basis des US-Rechts und der Zusicherungen der Obama-Administration die Existenz eines gleichwertigen Datenschutzes festgestellt (Angemessenheitsbeschluss). Privacy Shield trat damit an die Stelle des Safe Harbour Arrangements, welches der Europäische Gerichtshof am 6. Oktober 2015 annulliert hatte, da es den in Art. 8 der EU-Grundrechtecharta garantierten Schutz personenbezogener Daten nicht gewährleistete.
Zu den Zusicherungen der US-Seite gehörte die Auslegung des US-Rechts in der Weise, dass die US Datenschutzbestimmungen – soweit rechtlich zulässig – auch für Daten von EU-Bürgern angewandt werden. Damit dürfte jetzt Schluss sein.
Eine wichtige Basis bildete auch der vom US-Kongress im Februar 2016 gebilligte Judicial Redress Act (JRA), der die Grundlage dafür bereitstellt, dass sich EU-Bürgerinnen und Bürger an US-Behörden wenden können, wenn sie der Auffassung sind, dass US-Behörden ihre Daten zu Unrecht verarbeiten. Allerdings räumt der JRA den EU-Bürgern solche Klagerechte nicht selbst ein, sondern macht dies von einer Anordnung des US-Justizministers (Attorney General) abhängig. Die scheidende Obama-Administration hat eine entsprechende Erklärung wenige Tage vor der Inauguration Donald Trumps herausgegeben, die neben der Europäischen Union als Ganzes, 26 ihrer Mitgliedstaaten und Zypern umfasst Die oben zitierte Executive Order könnte so verstanden werden, dass das Justizministerium die „Privilegierung“ der Bürger anderer Staaten zurücknimmt, welche am 1. Februar 2017 in Kraft treten soll.
Unabhängig davon ist zu befürchten, dass die – nach den Snowden-Enthüllungen von US-Präsident Obama angeordneten – partiellen Sicherungen des Datenschutzes für Nicht-Amerikaner bei der geheimdienstlichen Überwachung außer Kraft gesetzt werden. Damit würden auch die Erklärungen des US-Geheimdienstkoordinators im Rahmen der Privacy Shield—Verhandlungen obsolet.
Vor diesem Hintergrund muss die EU-Kommission unverzüglich handeln. Sie darf mit der Prüfung, ob die Voraussetzungen für eine Fortgeltung des Angemessenheitsbeschlusses zum Privacy Shield noch gegeben sind, nicht erst bis zur ersten, im Sommer d.J. vorgesehenen regulären Privacy Shield Review warten. Aber auch die europäischen Datenschutzbehörden sind gefragt. Der Europäische Gerichtshof hat Ihnen in seiner Safe Harbour-Entscheidung auferlegt, Zweifeln an einem angemessenen Datenschutzniveau selbstständig nachzugehen und damit nicht auf eine entsprechende Feststellung der Kommission zu warten.
Safe Harbor – No Future?
One week ago, the Advocate General at the Court of Justice of the European Union (CJEU) issued his vote on the Safe Harbor case of Max Schrems vs. the Irish Data Protection Commissioner.
Since 1995 when the General European Directive on Data Protection came into force, data transfers from the European Union and its member states to non-EU countries have been subject to specific privacy and security restrictions. Such restrictions do not exist only in Europe.
For example in the US several legal acts and decisions of regulatory authorities constitute the obligation to store specific data in the own country, in particular data, which have been generated by public bodies and providers of critical infrastructures. The US Federal Trade Commission has stated that a company subject to privacy obligations under US law is not allowed to avoid such obligations by outsourcing their data processing activities to offshore service providers.
The key message of Art. 25 of the 1995 GD is that transfer of personal data to a third country may take place only if the recipient in question ensures an adequate level of data protection. The adequacy shall be assessed in the light of all the circumstances surrounding the data transfer operation.
The main road to adequacy are the so-called adequacy decisions of the European Commission, that the said country ensures an adequate level of data protection. These decisions are binding for the member states. They shall take the measures necessary to comply with the Commission’s decision.
One of the most discussed adequacy decisions concerns the United States – the decision on Safe Harbor, although the Commission was of the opinion, that the US in general failed to provide an adequate level of data protection for the private sector, because of the lack of any comprehensive data protection legislation.
The Safe Harbor principles, negotiated between the Commission and the US government in the late 1990s should bridge this obstacle. The SH arrangement has been aimed at guaranteeing the adequate level of protection required by EU law for those companies, committing themselves to comply with the SH principles.
From the beginning, since the Safe Harbor was agreed in the year 2000 there has been some criticism against it. The main critical argument was that the principles do not meet the high EU data protection standards defined by the General Directive.
It also has been criticized, that companies which declare compliance with the principles at once may profit from the Safe Harbor privileges, even if their privacy practices were not yet subject to an independent audit.
These issues remain important until our days. But after the vote the Advocate General at the CJEU (GA) issued recently, the focus lays on another question: How far practices and powers of US authorities have been ignored in the adequacy assessments.
At the first glance, law enforcement authorities, police and intelligence do not fall within the scope of the Safe Harbor agreement and therefore they do not have to be subject to the assessment. But this first impression is wrong.
As Art. 25 of the GD is pointing out, the assessment is to be done in the light of „all circumstances“ surrounding a data transfer to the third country. Even activities of authorities in the third country have to be examined. It is unclear how far this happened during the Safe Harbor assessment in the late 1990s.
But even if such assessment once took place, the result may be invalid today, because things changed dramatically after 9/11 2001. As we have learnt from Edward Snowden and other whistleblowers, US government has obtained broad access to private companies’ databases, telecommunications and Internet services.
Many companies which have co-operated with the NSA – voluntarily or based on legal obligations – have been safe harborists and there is no doubt that NSA and other services have got access to big amounts of data stemming from Europe or related to EU citizens.
The USA PATRIOT ACT and secret Presidential Orders, issued after 9/11 provided intelligence and law enforcement agencies with a lot of new powers and simultaneously demolished many safeguards which have been introduced in the 1970s to protect civil rights and privacy.
But 2013, after the the beginning of the Snowdon revelations, nobody can ignore any more, that the practices of NSA, CIA and FBI introduced after 9/11 have impact on the level of data protection in the United States: The legal provisions on Government access to personal information, especially the Foreign Intelligence Surveillance Act (FISA), do not meet the basic standards of the rule of law at least so far data of non-US-persons are concerned. The practices disclosed in the last two years and the commitments of US officials on mass surveillance provided the public with loads of evidence that the NSA and others are involved in bulk collection of personal data coming from Europe. Therefore it seems evident, that these practices have to be taken into account by the CJEU.
Another change happened in Europe: The Lisbon Treaty came into force in 2009, and at least since then privacy and data protection, including the independent oversight, have been fundamental rights of the European Union, as parts of the European primary law. European secondary law and European Commission’s decisions have to fulfill these requirements. Even older legislation, agreements with third countries as to PNR or TFTP and Commission’s decisions have to be reviewed in the light of Art. 7 and 8 of the EU Charter of Fundamental Rights.
Even if the Commission decides that the level of data protection in a country is adequate, this does not prevent national data protection authorities from suspending the transfer of the data, it they are of the opinion, that in the concrete case adequacy criteria are not met by the recipient. As we have learnt from the Snowden revelations, Facebook and other Internet companies cooperated closely with the NSA and provided them with broad access to personal data stored on their servers.
The AG is of the opinion that the Safe Harbor arrangement itself is invalid, because the US, especially the intelligence services, do not provide adequate protection for the personal data coming from Europe. Therefore he proposes to suspend the Safe Harbor.
Nobody knows how the European Court of Justice will decide the case. The ruling is expected on 6 October. Perhaps you know the sentence „How the judge decides depends what he ate for breakfast“. It is correct: The vote of the advocate general is only an opinion and it does not bind anybody.
But for me it seems likely that the judges will acknowledge the vote, at least in the result. In two earlier cases, the court decided last year, on data retention and on the right to be forgotten, the judges underlined the high importance of European fundamental rights on privacy and data protection. In these cases the court went beyond the Advocate general’s vote. In the Schrems’ case the AG adapted this recent orientation of the judges.
If the CJEU will decide as proposed by the AG, this does not mean automatically the end of Safe Harbor. But the Safe Harbor arrangement must be renegotiated and at the end there might be a better safe Harbor System, meeting the principles of fundamental rights and complying with the new EU Data Protection Regulation.
Art. 41 of the Commissions proposal contains criteria, conditions and procedures for adequacy assessments, more specific than the current Art. 25 of the GD from 1995: The criteria which shall be taken into account for the Commission’s assessment of an adequate or not adequate level of protection include expressly the rule of law, judicial redress and independent supervision. The new article confirms explicitly the possibility for the Commission to assess the level of protection afforded by a territory or a processing sector within a third country.
My conclusion for today: Safe Harbor will be possible even in the future. But such a „happy end“ requires changes in the SH arrangement. And it requires effective legal guarantees for EU citizens in the US.
Also necessary is a new thinking in Europe, in particular on the fields of law enforcement and intelligence. If we urge the US to respect our privacy, European secret services have to respect fundamental rights of all EU citizens and citizens of third countries as well.
1844 bewegte eine Abhöraffäre die Londoner Öffentlichkeit – ein Skandal, der interessante Parallelen zu der aktuellen Snowden-Affäre aufweist. Der italienische Polit-Aktivist Giuseppe Mazzini setzte sich von seinem Londoner Wohnort aus für die staatliche Einigung Italiens ein und korrespondierte intensiv mit Gleichgesinnten im In- und Ausland. Diese Aktivitäten erregten das Misstrauen des österreichisch-ungarischen Kaiserreichs, das Teile Italiens besetzt hielt. Um dem für die Donaumonarchie abträglichen Treiben entgegenzuwirken, wandte sich der österreichische Botschafter in London an die britische Regierung und verlangte, die Post Mazzinis zu überwachen – mit Erfolg. Die von Mazzini geschriebenen und die an gerichteten Briefe wurden im Royal Post Office geöffnet, kopiert und der Inhalt den Österreichern mitgeteilt.
Die Überwachung flog auf, nachdem Mazzini und seine Freunde misstrauisch geworden waren und durch einige Tricks herausfanden, dass ihre Briefe geöffnet wurden. Mazzini ging an die britische Öffentlichkeit. Die Empörung war groß – Politiker verlangten von der Regierung eine Erklärung, die diese zunächst unter Berufung auf das Staatswohl und die notwendige Geheimhaltung ablehnte. Das britische Parlament gab sich mit dieser Erklärung nicht zufrieden und richtete einen Untersuchungsausschuss ein, der das ganze Ausmaß der Überwachung sichtbar machte: Nicht nur Mazzini, sondern auch viele andere Personen standen unter Überwachung. Ihre Briefe wurden ausgesondert und geöffnet.
Warum regte sich die Öffentlichkeit auf? War nicht aus der britischen Vergangenheit durchaus bekannt, dass in Großbritannien wie in vielen anderen Staaten Postsendungen überwacht wurden? Die Kritik war besonders deshalb so scharf, weil wenige Jahre zuvor die „Penny Post“ – ein allgemein gegen geringes Entgelt zugänglicher Dienst der Royal Mail eingeführt worden war. Der Umfang des Brieftransports war daraufhin stark angestiegen und die Fernkorrespondenz gehörte inzwischen zum Alltag vieler Menschen und beschränkte sich nicht mehr auf Aristokraten, Fernhändler, Diplomaten und sonstige herausgehobene Persönlichkeiten. Die Überwachung der Briefpost, die man zuvor hinzunehmen bereit gewesen war, war damit zu einem Massenphänomen geworden, das prinzipiell jeden betraf.
Die Affäre hatte schließlich ein Happy End: Angesichts der anhaltenden Empörung wurde das für die Überwachung verantwortliche „Inner Office“ aufgelöst und die britische Regierung versprach, das Postgeheimnis zukünftig einzuhalten. Jedenfalls wurde die Überwachung drastisch reduziert und britische Briefschreiber konnten über Jahrzehnte in aller Regel sicher sein, dass ihre mit der Royal Post abgewickelte Korrespondenz nicht von Dritten mitgelesen oder kopiert wurde.
Bei der heutigen Überwachung durch den britischen Geheimdienst GCHQ und die amerikanische NSA sind wir von einem solchen Happy End noch weit entfernt. Die Mazzini-Affäre, wie bedeutsam eine kritische Öffentlichkeit ist, wenn es um die Bewahrung von Bürgerrechten geht. Dies gilt auch heute – für Großbritannien wie für den Rest der Welt!
P.S. Auf die Mazzini-Affäre hat mich – am Rande einer Konferenz zum Datenschutz und zur IT-Sicherheit – Reinhard Posch hingewiesen, der im österreichischen Bundeskanzleramt als CIO tätig ist. Herzlichen Dank!
Spätestens seit dem Vertrag von Amsterdam von 1997 ist es ein erklärtes Ziel der Europäischen Union, sich zu einem gemeinsamen „Raum der Freiheit, der Sicherheit und des Rechts“ weiterzuentwickeln. Seither ist in einer Vielzahl von EU-Rechtsakten die polizeiliche Zusammenarbeit zwischen den europäischen Mitgliedstaaten verbessert worden. Zudem wurden europäische Institutionen gebildet, die in Fragen der öffentlichen Sicherheit zusammenarbeiten, etwa das europäische Polizeiamt Europol und die europäische Justizbehörde Eurojust.
Auch wenn der Datenschutz bei diesen Initiativen nicht immer gewährleistet wurde, was zu berechtigter Kritik der Datenschützer und Bürgerrechtsorganisationen Anlass gab, zeigt sich erst jetzt, nach Bekanntwerden der globalen geheimdienstlichen Überwachung, wie wenig Europa beim Grundrechtsschutz in diesem Feld vorangekommen ist. Angesichts der ungeheuerlichen Überwachungsaktivitäten des amerikanischen Computergeheimdienstes NSA wäre eigentlich eine entschiedene Reaktion Europas angebracht. Davon ist allerdings wenig zu sehen. Zwar haben sich führende Repräsentantinnen und Repräsentanten der Europäischen Union, allen voran Justizkommissarin Viviane Reding, mit deutlichen Worten von den exzessiven US-Praktiken abgegrenzt. Zu vergleichbaren entschiedenen Handlungen hat sich die EU allerdings bisher nicht durchringen wollen. Anders als vom europäischen Parlament gefordert, wurde nicht einmal der massenweise Transfer von Finanzinformationen in die USA im Rahmen des SWIFT-Abkommens ausgesetzt.
Ein wichtiger Grund für die Zurückhaltung ist Tatsache, dass auch der britische Geheimdienst GCHQ massiv an den weltweiten Überwachungsaktionen beteiligt ist. Im Rahmen seiner – wie wir jetzt wissen, weit entwickelten – technischen Fähigkeiten greift der britische Dienst die Internetkommunikation ab, insbesondere indem er die über Großbritannien laufenden Überseekabeln anzapft. Ein Geheimdienst eines EU-Mitgliedstaats ist also maßgeblich für das völlig inakzeptabel ausspähen vertraulicher Kommunikationsverbindungen verantwortlich, die die meisten EU-Bürger betreffen.
Hier zeigen sich die Konsequenzen davon, dass sich viele Mitgliedstaaten weigern, auch nur grundrechtliche europaweite Mindeststandards zu garantieren, wenn es um die Arbeit der geheimdienste geht. Die Gewährleistung der „nationalen Sicherheit“ fällt auch nach dem Inkrafttreten des Vertrags von Lissabon in die ausschließliche Zuständigkeit der Mitgliedstaaten. Darauf beruft sich etwa die britische Regierung, wenn sie den EU-Gremien jegliche Mitsprache hinsichtlich der Geheimdienstaktivitäten abspricht.
Hier ist jetzt vor aller Augen die Beschränktheit des politischen Anspruchs der Europäischen Union sichtbar geworden, in zentralen Fragen des Grundrechtsschutzes und der Wahrnehmung gemeinsamer europäischer Interessen gegenüber den Vereinigten Staaten mit einer Stimme aufzutreten.
Schlimmer noch: Die für die Arbeit der Nachrichtendienste einschlägigen nationalen Gesetze, etwa das deutsche G10-Gesetz, das die nachrichtendienstliche Telekommunikationsüberwachung regelt, enthalten besondere Schutzvorkehrungen für die Telekommunikation der eigenen Staatsbürger. Vergleichbare Schutzvorkehrungen hinsichtlich ebenfalls betroffener Staatsangehöriger anderer Mitgliedstaaten bestehen allerdings nicht. Insofern müssen Unionsbürger aus anderen Mitgliedstaaten aus Geheimdienstsicht nicht anders behandelt werden als Bürger beliebiger Drittstatten, etwa Nordkoreas oder der USA.
Wenn sich die Europäische Union gegen Überwachungsmaßnahmen und Spionageaktivitäten der USA, Russlands, Chinas oderer anderer Drittstaaten ernsthaft schützen will, müssen die Mitgliedstaaten zumindest bereit sein, den Bürgern der übrigen europäischen Staaten denselben Schutz einzuräumen wie den eigenen Staatsbürgern. Ohne ein solches, durch verbindliche Verträge abgesichertes System gegenseitiger Grundrechtsgewährleistung wird Europa weiterhin kaum in der Lage sein, sich wirksam und glaubwürdig gegen Spionage und Überwachung aus Drittstaaten zur Wehr zu setzen.
Nur wenn Europa mit dem Schutz der Grundrechte in allen Politikfeldern endlich ernst macht, kann es wirklich zu einem Raum der gemeinsamen Freiheit, der Sicherheit und des Rechts werden.
No Spy – No Fun?
2012, kurz nach seiner Ernennung gab der Chef des Bundesnachrichtendienstes (BND) Gerhard Schindler einen Einblick in die Philosophie der Spionagewelt: „Wir müssen die guten operativen Fähigkeiten noch verbessern und ausbauen“, sagte er dem Magazin FOCUS. Dabei müssten „gut kalkulierte Risiken“ häufiger eingegangen werden: „Auch hier gilt: No risk, no fun.“ Schindler befreite damit – so die FAZ gut ein Jahr später – den Dienst von einer „angstvoll vorauseilenden Zurückhaltung“ – in welcher der BND nach diversen Affären erstarrt gewesen sei.
Sicherlich hatte Schindler seinerzeit nicht unbedingt an die Aufdeckung der weltweiten Spionageaktivitäten gedacht. Andererseits dürfte es ihn kaum überrascht haben, dass das „No-Spy-Abkommen“, das die Bundesregierung mit den USA anstrebte, nicht auf ungeteilte Gegenliebe in Washington stieß. Denn wer verzichtet schon freiwillig auf die „fun“, die mit dem weltweiten Spionieren angeblich verbunden ist?
Als Reaktion auf die Snowden-Veröffentlichungen hatte die Bundesregierung in einem Acht-Punkte-Plan versprochen, sich für ein „No Spy“-Abkommen mit Mindeststandards bei der nachrichtendienstlichen Arbeit einzusetzen.
gebe. Mit der US-Seite – offensichtlich mit Vertretern der Nachrichtendienste – seien entsprechende Zusicherungen bereits mu?ndlich verabredet worden. Noch im Novermber letzten Jahres zeigte sich der damalige Kanzleramtschef Pofalla zuversichtlich, dass ein solches Abkommen zu Stande kommt.
Angesichts der aktuellen Berichte über das Scheitern der Bemühungen um ein No Spy-Abkommen wird zu Recht die Frage aufgeworfen, wie realistisch diese Bemühungen zur Selbstbegrenzung überhaupt waren. Nun zeigt sich, dass es einfach nicht ausreicht, gebetsmühlenartig zu wiederholen „Ausspähen unter Freunden – das geht gar nicht!“ und zugleich business as usual zu demonstrieren – schließlich wolle man die Beziehungen zu den Vereinigten Staaten nicht unnötig belasten.
Jeder, der sich etwas eingehender mit der amerikanischen Außenpolitik beschäftigt, wird bestätigen: Die USA reagieren auf moralische Vorhaltungen allein nicht, soweit eigene Interessen entgegenstehen. Deshalb ist es an der Zeit, dass Deutschland und Europa hier sehr viel deutlicher machen, dass gute Beziehungen keine Einbahnsstraße sind. Insofern bestehen durchaus Zusammenhänge zwischen den Spähaktivitäten der NSA einerseits und der den laufenden Verhandlungen über eine transatlantische Freihandelszone, dem Safe-Harbor-System zum Datenschutz und der Übermittlung von Daten über Finanztransaktionen (SWIFT) an US-Behörden anderseits. Europa darf nicht länger zögern, dies den Freunden auf der anderen Atlantikseite zu verdeutlichen.
Dabei darf nicht vergessen werden: So wünschenswert es ist, dass Politikerhandys nicht mehr gezielt überwacht werden, so unzureichend wären entsprechende Zusicherungen. Es geht um das massenweise Ausspähen unserer Alltagskommunikation – auch hier brauchen wir verbindliche Regeln, deren Einhaltung überprüft werden kann.
Bei alldem kann uns der Gemütszustand der Agenten reichlich egal sein, für wen sie auch tätig sind!
Prism, XKeyscore, Muscular .. Sind die USA zur Selbstkorrektur fähig?
Angesichts der globalen Überwachung, die maßgeblich vom US-Computergeheimdienst NSA ausgeht, stellt sich die Frage, ob die westlichen Demokratien, allen voran die USA zur Selbstkorrektur fähig sind.
Der Rechtsrahmen für die US-Dienste, mit deren Überwachungshybris wir uns heute auseinanderzusetzen haben, war einmal selbst Antwort auf massiven Machtmissbrauch und überbordende Überwachung in den 1970er Jahren. Damals wurde in der US-Öffentlichkeit nach der Aufdeckung der breit angelegten Bespitzelung von Vietnamkriegsgegnern und anderen Oppositionellen durch FBI, CIA und NSA intensiv über die Praktiken von diskutiert. Ausgangspunkt der Debatte war auch damals ein Leak in der NSA. Die Medien berichteten darüber, dass die NSA über Jahre routinemäßig den Nachrichtenverkehr von und nach den Vereinigten Staaten überwachte. Auch damals versuchten die Verantwortlichen die Begrenzung der Überwachung mit allen Mitteln zu verhindern. Ihr Argument schon damals: Wenn die Öffentlichkeit Details der NSA-Aktivitäten erfahre, schade dies der nationalen Sicherheit und gefährde laufende Ermittlungsverfahren. Und wenn die Überwachung begrenzt werde, gefährde dies die vitalen Interessen der Vereinigten Staaten.
Es liege in der Natur staatlicher Überwachungsprogramme, dass sie in die Privatsphäre, die Versammlungsfreiheit und das Recht auf freie Meinungsäußerung eingreifen. Zudem bestünde eine natürliche Tendenz, dass „nachrichtendienstliche Aktivitäten den ursprünglichen Rahmen überschreiten und immer weiter gehende Forderungen nach neuen Daten erzeugen.“ Schließlich gebe es „starken Druck, einmal gesammelte Informationen auch zu verwenden.“ Zugleich sei der wirkliche Nutzen dieser Aktivitäten höchst fragwürdig. Aus diesen Gründen plädierte die Kommission für klare rechtliche Standards und eine effektive Aufsicht über die Geheimdienste. Nur so ließe sich verhindern, dass diese das demokratische System unterminieren, zu dessen Schutz sie eingerichtet worden seien.
die NSA verfüge über „außerordentliche Fähigkeiten zur Telekommunikationsüberwachung … keine andere US-Behörde unternimmt derartige Aktivitäten in so gewaltiger Größenordnung.“ Die wichtigsten amerikanischen Fernmeldegesellschaften, etwa die Western Union, lieferten auf Basis eines mit der NSA geschlossenen Abkommens illegaler Weise täglich Kopien aller in den USA abgesandten oder empfangenen Telegramme an den Geheimdienst.
Deutlich wurde dabei auch, dass unter dem Banner der Auslandsüberwachung durchaus auch US-Bürger und Firmen ins Visier der NSA geraten können. Eine weitere, nach dem damaligen Vizepräsidenten genannte „Rockefeller“-Kommission bestätigte 1978 die durch Parlamentsausschüsse gesammelten Erkenntnisse. Auf diese Weise entstand ein breiter politischer Konsens, die Aktivitäten der NSA, die sich zu einer Art Staat im Staate entwickelt hatte, gesetzlich zu begrenzen und einer verbesserten Aufsicht zu unterwerfen.
Mit dieser Absicht verabschiedete der Kongress 1978 den Foreign Intelligence Surveillance Act (FISA), der die wesentlichen Forderungen des Church-Ausschusses aufnahm, sowohl hinsichtlich der Grenzen der Überwachung als auch hinsichtlich des Genehmigungsverfahrens. Fortan mussten derartige Maßnahmen gerichtlich, durch den FISA-Court (FISC) genehmigt werden – eine Anweisung des Präsidenten reichte nicht mehr aus. Da der FISC auf vertrauliche Informationen angewiesen ist, wurde vorgesehen, dass das Gericht unter strikter Geheimhaltung tagt und entscheidet.
Die Beschränkung von FISA auf inneramerikanische Aktivitäten der US-Sicherheitsbehörden. Die Überwachung ausländischer Kommunikationsbeziehungen und Bürger durch NSA und CIA unterlag keinen vergleichbaren Restriktionen.
Da die Verfahren vor dem FISC unter striktester Geheimhaltung stattfinden, können Argumente, die gegen die Überwachung sprechen, nicht von einer wie auch immer gearteten „Gegenseite“ vorgebracht und vom Gericht geprüft werden. Damit liegt die Definitionsmacht für die Notwendigkeit von Überwachungsmaßnahmen allein bei den Sicherheitsbehörden. Zudem fehlt jede öffentliche Kontrolle.
Die ursprünglich strikten FISA-Regeln wurden in der Folgezeit – bereits vor 9/11 – aufgeweicht. Der Patriot Act von 2001 und der FISA-Amendmends Act von 2008 markieren Wegmarken bei der Aushöhlung von Schutzmechanismen, die ursprünglich vor überbordender Überwachung schützen sollten.
Diese schlechten Erfahrungen sollten nicht davon abhalten, die Bändigung nachrichtendienstlicher Aktivitäten weiterhin und erneut anzugehen. Dies gilt für die USA – dies gilt aber auch für Europa, und es gilt für Deutschland.

References: Art. 8
 Art. 25
 CJEU 
 Art. 25
 Art. 7
 CJEU 

Art. 41
 Art. 25