Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03373.jsonl.gz/2150

1.
Vorgeschichte und Verfahren ^
QUESTION PRESENTED
Whether a United States provider of email services must comply with a probable-cause-based warrant issued under 18 U.S.C. 2703 by making disclosure in the United States of electronic communications within that provider’s control, even if the provider has decided to store that material abroad.
2.
Technischer Hintergrund ^
3.
Argumente der Parteien ^
Die US-Regierung argumentierte hingegen, dass § 2703 Stored Communications Act (SCA) die Offenlegung («disclosure») von elektronischen Kommunikationsdaten durch einen Diensteanbieter regle und diese Offenlegung immer in den USA stattfinde, weshalb das Territorialitätsprinzip nicht verletzt und § 2703 SCA anwendbar sei10. Außerdem würde die Rechtsansicht des Berufungsgerichts, dass § 2703 SCA nicht anwendbar sei, wenn ein US-Provider entscheidet, personenbezogene Daten im Ausland zu speichern, das legitime Interesse der Ermittlungsbehörden an einer Beweissicherstellung unverhältnismäßig erschweren oder behindern. In ihrer Stellungnahme vor dem US-Supreme Court bringt die US-Regierung weiters vor, dass die Entscheidung des Berufungsgerichts bereits die Aufklärung dutzender Fälle von Menschenhandel und anderer schwerer Verbrechen verhindert hätte11. Zudem bestünden mit vielen Staaten gar keine Rechtshilfeabkommen und Auskunftsbegehren aufgrund von Rechtshilfeersuchen wären in vielen Fällen aufwendig und langwierig, insbesondere in zeitsensitiven Ermittlungen oder in Notfällen.
4.
Ausgewählte Stellungnahmen der Amici Curiae ^
5.
DSGVO und Rechtshilfeabkommen ^
Zweifellos unterliegen die hier verfahrensgegenständlichen personenbezogenen Daten ab Mai 2018 der DSGVO, da sie auf Servern im Unionsgebiet (Irland) gespeichert sind (Art. 3 Abs. 1 und Art. 4 Z 2 DSGVO). Das fünfte Kapitel (Art. 44 bis 50) der DSGVO enthält spezielle Regelungen zur Datenübermittlung aus der EU in Drittstaaten. Diese Bestimmungen sollen sicherstellen, dass die Rechte aus der EU-Grundrechte Charta auch dann gewahrt werden, wenn Daten in einen Drittstaat übermittelt werden, wobei eine Übermittlung nach diesen Bestimmungen nur dann rechtmäßig sein kann, wenn schon die Verarbeitung (vor der Übermittlung) nach den übrigen Bestimmungen der DSGVO rechtmäßig war (Art. 44 DSGVO). Gemäß Art. 45 DSGVO dürfen Datenübermittlungen in Drittländer aufgrund einer Adäquanzentscheidung der EU-Kommission, wie etwa dem aufgehobenen Safe Harbor Abkommen (C-362/14 Schrems) oder dessen Nachfolgeregelung EU-US Privacy Shield erfolgen. Gemäß Art. 46 DSGVO dürfen Datenübermittlungen in Drittländer erfolgen, wenn der Verantwortliche oder Auftragsverarbeiter geeignete Garantien (etwa Standardvertragsklauslen, binding corporate rules) vorgesehen hat und den Betroffenen effektive Rechtsschutzmöglichkeiten im Drittland zur Verfügung stehen. Treffen die vorgenannten Bedingungen, wie im gegenständlichen Fall, nicht zu, bleibt immer noch die Möglichkeit einer Datenübermittlung gemäß Art. 49 DSGVO, der bestimmte Ausnahmefälle regelt. Im vorliegenden Fall kommen zwei Regelungen in Betracht:
- die Übermittlung aus wichtigen Gründen des öffentlichen Interesses, worunter die Strafverfolgung im internationalen Drogenhandel sicher fällt (siehe auch verbundene Rs C-293/12 und C-594/12 Digital Rights Ireland) oder
- die Datenübermittlung ist für die Wahrung der zwingenden berechtigten Interessen des Verantwortlichen erforderlich, sofern die Interessen oder die Rechte und Freiheiten der betroffenen Person nicht überwiegen und der Verantwortliche alle Umstände der Datenübermittlung beurteilt und auf der Grundlage dieser Beurteilung angemessene Garantien in Bezug auf den Schutz personenbezogener Daten vorgesehen hat. Das berechtigte Interesse wäre im vorliegenden Fall, dass Microsoft (oder allgemein jeder andere US-Diensteanbieter) in den USA im Falle einer Nichtbefolgung eines gerichtlichen Durchsuchungsbeschlusses einer Strafe ausgesetzt wäre.
Im letztgenannten Fall ist eine Datenübermittlung aber nur dann zulässig, wenn die Übermittlung nicht wiederholt erfolgt, nur eine begrenzte Zahl von betroffenen Personen betrifft, die Aufsichtsbehörde in Kenntnis gesetzt wird und der Betroffene davon unterrichtet wird (unbeschadet der Informationsrechte der Art. 13 und 14 DSGVO).
Art. 48 DSGVO betrifft Datenübermittlungen oder Offenlegungen (disclosure) an Drittländer, welche nicht durch Unionsrecht gedeckt sind und adressiert und verbietet Übermittlungen und Offenlegungen, die von Drittländern erzwungen werden und nicht auf einem Rechtshilfeabkommen basieren. Dies geht auch aus Erwägungsgrund 115 hervor:
«[...] Dies kann Urteile von Gerichten und Entscheidungen von Verwaltungsbehörden in Drittländern umfassen, mit denen von einem Verantwortlichen oder einem Auftragsverarbeiter die Übermittlung oder Offenlegung personenbezogener Daten verlangt wird und die nicht auf eine in Kraft befindliche internationale Übereinkunft wie etwa ein Rechtshilfeabkommen zwischen dem ersuchenden Drittland und der Union oder einem Mitgliedstaat gestützt sind.»
Nachdem etwa ein Cloud-Anbieter mit Sitz in den USA auf Grundlage des US-Patriot Acts verpflichtet werden kann, personenbezogene Daten, die bei einem in der EU ansässigen Tochterunternehmen gespeichert sind, an US-Ermittlungsbehörden herauszugeben oder das FBI umfassende Zugriffsmöglichkeiten auf solche Daten aufgrund des US Foreign Intelligence Surveillance Act (FISA) hat, hatte es schon im Vorfeld der Entstehung der DSGVO Bestrebungen gegeben, solche Datenzugriffe möglichst hintanzustellen. Aus diesem Grund wird Art. 48 DSGVO auch als «Anti FISA Klausel» bezeichnet13. Art. 48 DSGVO stellt jedenfalls klar, dass ein Gerichtsbeschluss, der nicht auf einem internationalen Rechtshilfeabkommen basiert, eine Übermittlung personenbezogener Daten nicht rechtfertigt. Die DSGVO sieht demnach in Rechtshilfeabkommen die präferierte Option für Datenübermittlungen, die sonst nach der DSGVO nicht zulässig sind. Nach Ansicht der EU-Kommission14 bieten solche internationalen Verträge die Möglichkeit einer Beweiserlangung durch bilaterale/multilaterale Zustimmung und verkörpern ein sorgfältig ausgehandeltes Gleichgewicht zwischen den Interessen verschiedener Staaten um Zuständigkeitskonflikte zu verhindern, die anderenfalls entstehen könnten. Im Übrigen existieren sowohl zwischen der USA und der EU15 als auch zwischen der USA und Irland16 Rechtshilfeabkommen. Im gegenständlichen Fall kamen diese aber nicht zur Anwendung, da die US-Regierung gar keine Rechtshilfeersuchen gestellt hat.
Entscheidet der US Supreme Court nun im Sinne der US-Regierung und sanktioniert unilaterale Datenübermittlungen bzw. -offenlegungen von in der EU gespeicherten personenbezogenen Daten an US-Ermittlungsbehörden, hätten Betroffene nach der DSGVO zwar ein Beschwerderecht an die jeweilige nationale Aufsichtsbehörde und ein Recht auf (im)materiellen Schadenersatz gegen das jeweilige übermittelnde Unternehmen, sie hätten aber keinerlei Rechtsschutzmöglichkeiten in den USA, wie es zumindest ansatzweise bei einer Datenübermittlung aufgrund des EU-US Privacy Shield der Fall wäre. Andererseits wären US-amerikanische Diensteanbieter bzw. deren in der EU ansässige Tochterunternehmen den hohen Strafen nach Art. 83 ff. DSGVO ausgesetzt. Dieser Umstand kann weder im wirtschaftlichen Interesse der USA noch der EU sein und beeinträchtigt jedenfalls die internationalen Beziehungen.
6.
Polizei Richtlinie (EU) 2016/680 ^
Die Problematik, dass europäische Mindestdatenschutzstandards, die sich aus der RL (EU) 2016/680 ergeben, unterlaufen werden könnten, wenn europäische Ermittlungsbehörden bzgl. bestimmter Daten, die nach nationalem oder Unionsrecht nicht verarbeitet bzw. ermittelt werden dürfen, Rechtshilfeersuchen an die USA stellen, um Daten, die US-amerikanische Unternehmen auf Servern in der Europäischen Union gespeichert und an US-amerikanische Ermittlungsbehörden herausgegeben haben, zu erlangen, ist nach Ansicht der Autoren derzeit zu vernachlässigen. Einerseits dürfen gemäß Art. 4 Abs. 1 lit. b Polizei-RL personenbezogene Daten immer nur verarbeitet werden, wenn sie rechtmäßig erhoben wurden (wobei im Falle einer Übermittlung aufgrund eines Rechtshilfeabkommens auszugehen ist), andererseits gilt auch in der Polizei-RL stets die strenge Zweckbindung und das Prinzip der Verhältnismäßigkeit.
7.
Conclusio ^
- 1 Der Dursuchungsbeschluss und weitere das Verfahren betreffende Dokumente sind abrufbar unter https://blogs.microsoft.com/datalaw/about-the-case/ (alle Websites zuletzt besucht am 23. Januar 2018).
- 2 18 U.S.C. §§ 2701 ff. siehe https://www.law.cornell.edu/uscode/text/18/part-I/chapter-121.
- 3 US Court of Appeals for the Second Circuit Docket No. 14-2985, 6.
- 4 In the Matter of a Warrant to Search a Certain E‐Mail Account Controlled and Maintained by Microsoft Corporation, United States of America v. Microsoft Corporation; Aktenzeichen 17-2.
- 5 https://www.supremecourt.gov/docket/docketfiles/html/public/17-2.html.
- 6 US Court of Appeals for the Second Circuit Docket No. 14-2985, 9.
- 7 Convention on Cybercrime, ETS No. 185.
- 8 Criminal Justice Mutual Assistance Act 2008.
- 9 https://www.heise.de/newsticker/meldung/Microsoft-Fall-US-Justizministerium-bringt-Streit-ueber-Datenzugriff-in-der-EU-vor-den-Supreme-Court-3755865.html.
- 10 US Court of Appeals for the Second Circuit Docket No. 14-2985, 24.
- 11 17-2 Reply Brief for the United States, 3.
- 12 17-2 Brief amici curiae of Former Law Enforcement, National Security, and Intelligence Officials in support of neither party filed, 9 f.
- 13 Daniel A. Paul/Boris P. Paal, Kommentar zur DSGVO, Art. 48 Rz 2.
- 14 Brief amicus curiae of European Commission on Behalf of the European Union in support of neither party filed, 14.
- 15 Agreement on Mutual Legal Assistance Between the United States of America and the European Union, 25 June 2003, OJ L 181/34 of 19 July 2003.
- 16 Treaty Between the United States of America and Ireland on Mutual Legal Assistance in Criminal Matters, 18 January 2001, Siehe Treaty Doc. No. 107-9 (2002).
- 17 https://mappingtheinternet.eu/.
- 18 Brief amicus curiae of U.N. Special Rapporteur on the Right to Privacy Joseph Cannataci in support of neither partyfiled, 26.