- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Union will geplantes US-EU-Datenabkommen abnicken

Aus der Antwort eines Mitarbeiters der CDU/CSU-Fraktion auf mein Schreiben „Geplantes US-EU-Datenabkommen begünstigt Menschenrechtsverletzungen [1]“ (ich füge die Passagen meiner Eingabe ein, auf die sich die Antwort jeweils bezieht):

herzlichen Dank für Ihre Nachricht vom 3. September 2010.

Als zuständiger Referent der Arbeitsgruppe Innen bin ich gebeten worden, Ihnen zu antworten.

Kurz gefasst: Es besteht kein Grund, kein Verhandlungsmandat für ein EU-US-Datenschutzabkommen zu erteilen. Allein durch ein völkerrechtliches Abkommen besteht die Möglichkeit, zu gewährleisten, dass personenbezogene Daten europäischer Strafverfolgungsbehörden auch nach einer Übermittlung an US-Strafverfolgungsbehörden einen vergleichbaren Schutz genießen.

Sie gehen davon aus, dass das Unterlassen/Einstellen der Zusammenarbeit die beste Alternative sei. Ich teile diese Auffassung nicht. Will man mit den USA kooperieren, ist es im Interesse Deutschlands, die Unterschiede im Datenschutzniveau zwischen den Staaten zu überbrücken.

Zu Ihren Anmerkungen im Einzelnen:

[Meine Kritik:] 1. Am wichtigsten ist, was in dem geplanten EU-US-Datenabkommen nicht stehen soll: Das Abkommen soll keinerlei Schutz davor bieten, dass die USA europäische Informationen unmittelbar oder mittelbar zum Vollzug der Todesstrafe an Menschen, zur Ermordung von Zivilisten ohne Gerichtsverfahren („Drohnen“), zur zeitlich unbegrenzten Gefangennahme von Zivilisten ohne Anklage wie beispielsweise in Guantánamo und Bagram, zur Aburteilung von Personen vor nicht rechtsstaatlichen Sondergerichten („Military Commissions“), zur Verschleppung von Personen in Folterstaaten, zur Verhängung von Flugverboten und Finanzsperren, zur Aufnahme in Verdachtslisten ohne gerichtliche Genehmigung und Überprüfungsmöglichkeit u.v.m. verwenden.

Zu 1. ist anzumerken, dass sich die EU natürlich für eine Zweckbindung der Daten einsetzen wird, die für den Empfänger, also auch die USA, völkerrechtlich verbindlich sein wird. Allein deshalb stellt ein Datenschutzabkommen bereits eine Verbesserung gegenüber der bestehenden Rechtslage dar.

[Meine Kritik:] 2. Einmal von der EU ausgeliefert, sollen die USA laut Kommissionsvorschlag beliebig mit persönlichen Daten verfahren dürfen, solange das nicht mit dem Zweck der Strafverfolgung „unvereinbar“ ist – wann ist das schon der Fall? Die Kommission plant keine „enge und konkrete“ Zweckbindung, wie sie das Bundesverfassungsgericht fordert. Richtigerweise dürfen die ausgelieferten Informationen nur zu dem konkreten Zweck (Ermittlungsverfahren) verwendet werden, zu dem sie erhoben worden sind (enge und konkrete Zweckbindung).

Zu 2.: Der Begriff der Kompatibilität bzw. Vereinbarkeit einer zweckändernden Nutzung mit dem ursprünglichen Verarbeitungszweck entspricht einem rechtlichen Konzept, das auf EU-Ebene seit langem erprobt und durch die Rechtsprechung hinreichend konkretisiert ist.

[Meine Kritik:] 3. Laut Europäischem Menschenrechtsgerichtshof darf eine Identifizierung des Betroffenen nur solange möglich sein, wie es der Zweck der Speicherung verlangt (Marper, Abs. 103). Personenbezogene Daten sind also sofort zu vernichten, wenn sie zu dem Erhebungszweck nicht oder nicht mehr erforderlich sind. Die Kommission will dies von den USA indes nicht verlangen. Die USA müssen laut Kommission nur „angemessene Löschungsfristen“ vorsehen, was den Vorgaben von Grundrechtecharta und Menschenrechtskonvention nicht genügt.

Zu 3.: Es soll dem Vertragspartner nicht nur auferlegt werden, angemessene Höchstfristen für die Speicherung festzulegen, sondern selbstverständlich sind Daten auch nach dem beabsichtigten Abkommen umgehend zu löschen, sobald sie zu dem Erhebungszweck nicht mehr benötigt werden. Ist dies im Mandat nicht ausdrücklich erwähnt, dann deshalb, weil im Mandat vor allem diejenigen DS-Grundsätze genannt werden, die zusätzlich zu den sogenannten Gemeinsamen Prinzipien der HLCG (High Level Contact Group) gelten sollen.

[Meine Kritik:] 4. Die EU-Kommission will den USA bei der „Verhinderung, Untersuchung, Feststellung oder Verfolgung von Straftaten“ mithilfe europäischer Daten keinerlei konkreten Grenzen setzen. Das ist mit dem Verhältnismäßigkeitsgebot, welches in den USA nicht gilt, unvereinbar. Die USA könnten nach dem Vorschlag der Kommission auf bloße Mutmaßungen hin europäische Daten ins Blaue hinein massenhaft abrufen, nutzen und weitergeben, wann immer sie dies für nützlich halten. Um den Grundrechten der Betroffenen gerecht zu werden, müsste festgelegt werden, dass die Vertragsparteien nur Informationen über Personen verarbeiten dürfen, die aufgrund konkreter Tatsachen im Verdacht stehen, eine schwere Straftat (Definition: im Einzelfall zu erwartende Freiheitsstrafe von über vier Jahren) begangen zu haben.

Zu 4.: Das Datenschutzabkommen enthält keine Übermittlungsbefugnisse. Die Übermittlung ist auf das jeweils anwendbare Recht zu stützen und unter den dort niedergelegten Voraussetzungen zulässig. Beispielsweise kann sich eine Befugnis aus Rechtshilfeübereinkommen ergeben.

[Meine Kritik:] 5. Nach dem Vorschlag der Kommission könnten Informationen über das Sexualleben einer Person unter denselben Voraussetzungen übermittelt werden wie ein Name oder Geburtsdatum aus dem Telefonbuch. Dabei müsste die Übermittlung und Verwendung besonders schutzwürdiger personenbezogener Daten ausgeschlossen werden, allerwenigstens aber besonders hohen Anforderungen unterworfen werden. Dies gilt für sensible Daten über Herkunft, politische Meinung, religiöse oder philosophische Überzeugung oder Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben, für Daten aus Eingriffen in die Unverletzlichkeit der Wohnung, in das Fernmeldegeheimnis, in berufliche Vertrauensverhältnisse (z.B. Anwaltsgeheimnis) und in persönliche Vertrauensverhältnisse (z.B. Familie).

Zu 5.: Auch hier gilt, dass Kategorien „besonders sensibler Daten“ bereits in den HLCG-Prinzipien vorgesehen sind und deshalb im Entwurf nicht erneut wiederholt werden. Dessen ungeachtet dürften sich EU-MS, die dieses Prinzip besonders sensibler Daten in die DS-Richtlinie eingeführt haben, dafür stark machen, dass es auch im Mandat ausführliche Erwähnung findet. Gleichwohl lässt sich über den Verhältnismäßigkeitsgrundsatz dasselbe Ergebnis erzielen. Die Sensibilität personenbezogener Daten ist – wie schon das BVerfG im Volkszählungsurteil festgestellt hat – kontextbezogen und nicht an bestimmte Kategorien gebunden.

[Meine Kritik:] 6. Das Abkommen soll zwar ein Recht auf eine unabhängige Aufsichtsbehörde vorsehen, wie es die EU-Grundrechtecharta verlangt (in Europa sind dies Datenschutzbeauftragte). Es fehlt aber an einer Definition des Begriffs „unabhängig“. In Europa wird eine „völlige Unabhängigkeit“ der Datenschutzbeauftragten gefordert, was in dem Kommissionsvorschlag für die USA nicht vorgesehen ist. Damit ist keineswegs gewährleistet, dass die US-Aufsichtsbehörde institutionell, funktional und materiell von der Staatsverwaltung unabhängig sein wird, die sie beaufsichtigen soll. Es ist nicht einmal gewährleistet, dass die Aufsichtsbehörde „außerhalb des Polizeisektors“ angesiedelt sein muss (Empfehlung R (87) 15 des Europarats).

Zu 6.: Das Mandat enthält zu Recht nicht alle Einzelheiten des beabsichtigten Abkommens.

[Meine Kritik:] 7. Das Grundrecht auf wirksamen Rechtsschutz (Art. 47 EU-Grundrechtecharta [2]) soll in den USA weiterhin nicht gelten. Die Kommission will Europäern, deren Daten an die USA ausgeliefert werden, nur „durchsetzbare Rechte“ auf „gerichtlichen Rechtsschutz“ aushandeln, was vollkommen unklar formuliert ist. Nach europäischem Recht muss jedem Menschen gegen jede Verletzung seiner Rechte effektiver Rechtsschutz vor unabhängigen Gerichten zustehen (etwa gegen die Zweckentfremdung von Daten, gegen Verletzungen des Benachrichtigungs-, Auskunfts-, Berichtigungs- und Löschungsanspruchs sowie des Anspruchs auf eine unabhängige Kontrollstelle). Diesem Anspruch können die USA schon deshalb nicht genügen, weil die US-Regierung Gerichtsverfahren systematisch mit dem Argument der „nationalen Sicherheit“ verhindern kann und das auch tut („State Secrets Privilege“), und weil US-Gerichte außerhalb des Territoriums der USA begangene Rechtsverletzungen nicht voll überprüfen. Die Kommissionsempfehlung bietet keinerlei Lösung für diese Probleme.

Zu 7.: Ihre Ausführungen betreffen zwar nicht den Kern der tatsächlich existierenden Probleme; in jedem Fall wird das Abkommen eine Verbesserung gegenüber dem geltenden Recht anstreben.

[Meine Kritik:] 8. Dem Kommissionsvorschlag zufolge müssten innerhalb von drei Jahren sämtliche mit den USA bislang vereinbarte Datenschutzregelungen dem neuen Abkommen „angepasst“ werden – selbst, wenn sie – z.B. wegen der Eigenart der jeweiligen Daten – unsere Daten besser schützen.

Zu 8.: Selbstverständlich gehen Spezialregelungen auch künftig vor, soweit sie weitergehenden Schutz bieten. Darüber besteht Einvernehmen.

[Meine Kritik:] 9. Das Abkommen soll „Schlüsselbegriffe“ definieren – die Kommission sagt aber nicht, wie. Wenn beispielsweise der Begriff des personenbezogenen Datums unzureichend definiert wird, gewährleistet das Abkommen kein angemessenes Datenschutzniveau mehr. Die Definitionen müssen deshalb im Einklang mit europäischem Recht stehen.

10. Das Abkommen soll nach einiger Zeit überprüft werden. Dem Prüfkommittee sollen aber nur Vertreter von Polizei, Justiz und Datenschutzbehörden angehören, keine demokratisch gewählte Abgeordnete, unabhängigen Wissenschaftler oder Nichtregierungsorganisationen. Das muss geändert werden.

11. Das Abkommen soll regeln, auf welchem Staatsgebiet es gelten soll. Die Kommission sagt aber nicht, wie dies geregelt werden soll. Grundrechtecharta und Menschenrechtskonvention erlauben eine Beschränkung auf bestimmte Staatsgebiete nicht. Deshalb muss festgelegt werden, dass das Abkommen die Vertragsstaaten weltweit bindet, wenn sie persönliche Daten verarbeiten.

12. Die Kommission bringt die Möglichkeit eines zeitlich unbegrenzten Abkommens ins Gespräch. Es muss aber sicher gestellt sein, dass das Abkommen von jeder Seite gekündigt werden kann, schon für den – wahrscheinlichen – Fall, dass europäische Gerichte es für menschenrechtswidrig erklären.

Mit freundlichen Grüßen

Aus meiner Antwort vom 30.09.2010:

ich danke für Ihre heutige Stellungnahme zu meiner Eingabe betreffs des geplanten US-EU-Datenabkommens und des entsprechenden Verhandlungsmandats.

Auf einige Punkte Ihrer Stellungnahme möchte ich kurz eingehen:

Sie begründen Ihre Zustimmung zu dem geplanten Abkommen damit, dass es eine Verbesserung gegenüber der gegenwärtigen Rechtslage erreiche. Aus meiner Sicht rechtfertigt dies jedoch keine Verletzung der europäischen Grundrechte. Wenn die Grundrechte verletzt werden, kann man nicht einem Abkommen zustimmen, das Grundrechtsverletzungen in geringerem Maß als bisher vorsieht. Das wäre so, wie wenn Sie mit den USA ein Abkommen gegen Folter schlössen, dass „nur“ noch das simulierte Ertrinken als zulässige Foltermethode vorsähe. Gewisse Grenzen dürfen in einem Rechtsstaat nicht überschritten werden, selbst wenn man damit Verbesserungen erreichen könnte.

Zu 1. hatte ich darauf hingewiesen, dass das geplante US-EU-Datenabkommen keinen Schutz davor bieten soll, dass die USA europäische Informationen zu Menschenrechtsverletzungen einsetzen. Die von Ihnen angesprochene Zweckbindung ist ungeeignet, einen solchen Schutz zu gewährleisten, denn aus Sicht der USA entspricht es dem Zweck der Datenübermittlung, wenn sie europäische Informationen zur Vollstreckung der Todesstrafe oder für außergerichtliche Tötungen („Drohnen“) einsetzen.

Zu 3. hatte ich darauf hingewiesen, dass personenbezogene Daten nach europäischen Menschenrechten sofort zu vernichten sind, wenn sie zu dem Erhebungszweck nicht oder nicht mehr erforderlich sind. Sie teilen mit, dies sei bereits Gegenstand der Gemeinsamen Prinzipien der HLCG (High Level Contact Group). Tatsächlich sehen diese Prinzipien aber gerade kein durchsetzbares Recht auf Löschung mit Zweckerreichung vor und verfehlen damit die grundrechtlichen Anforderungen.

Zu 4. hatte ich darauf hingewiesen, dass die EU-Kommission den USA bei der „Verhinderung, Untersuchung, Feststellung oder Verfolgung von Straftaten“ mithilfe europäischer Daten keinerlei konkreten Grenzen wie etwa eine Verankerung des Verhältnismäßigkeitsgebots setzen will. Sie weisen darauf hin, dass das Abkommen die Voraussetzungen einer Übermittlung von Daten an die USA nicht regeln soll. Dem ist erstens entgegen zu halten, dass die Regelung von Grenzen der Übermittlung in dem Abkommen geboten ist, um die Einhaltung der grundrechtlich gebotenen Mindestanforderungen zu gewährleisten. Zweitens betrifft mein Kritikpunkt aber gerade auch die weitere Verwendung einmal übermittelter Informationen in den USA, die das Abkommen durchaus regeln soll. Das Abkommen soll nach dem derzeitigen Entwurf eines Verhandlungsmandats die weitere Verwendung weder dem Verhältnismäßigkeitsgebot noch durchsetzbaren, internationalen Grundrechten unterwerfen.

Zu 5. hatte ich darauf hingewiesen, dass die Übermittlung und Verwendung besonders schutzwürdiger personenbezogener Daten ausgeschlossen, allerwenigstens aber besonders hohen Anforderungen unterworfen werden müsste. Die von Ihnen erwähnten Gemeinsamen Prinzipien der HLCG (High Level Contact Group) sehen dies nicht vor.

Zu 6. hatte ich moniert, dass das Verhandlungsmandat von den USA keine „vollkommen unabhängige“ Aufsichtsbehörde fordert, wie es in Europa der Fall ist. Darauf zu hoffen, dass das Verhandlungsergebnis einen höheren Schutzstandard vorsehen wird als im Mandat gefordert, halte ich für unwahrscheinlich und unklug. Um die Einhaltung der Grundrechte zu gewährleisten, muss bereits das Verhandlungsmandat ausreichend formuliert werden.

Zu 8. hatte ich darauf hingewiesen, dass nach dem Verhandlungsmandat strengere Datenschutzvorschriften binnen drei Jahren „angepasst“ werden müssten. Sie schreiben, es bestehe Einvernehmen darüber, dass Spezialregelungen auch künftig vorgehen sollten. Dies ist in dem Verhandlungsmandat aber nicht vorgesehen; vielmehr soll danach eine Anpassung aller bestehenden Regelungen an das Abkommen erfolgen, so dass auch strengere Schutzbestimmungen verwässert würden.

Schon jetzt sind Fälle bekannt, in denen die USA Informationen von BKA und BND zu schweren Völker- und Menschenrechtsverletzungen eingesetzt haben. Diese Fälle und die öffentliche Wahrnehmung dieser Fälle werden mit der zunehmenden Zusammenarbeit zunehmen. Vor diesem Hintergrund ist es Ihre Verantwortung, bei der Formulierung des Verhandlungsmandats die Wahrung der unverletzlichen und unveräußerlichen Menschenrechte als Grundlage jeder menschlichen Gemeinschaft, des Friedens und der Gerechtigkeit in der Welt sicherzustellen (Art. 1 GG [3]). Ich hoffe, dass Sie vor den Unzulänglichkeiten des Verhandlungsmandatsentwurfs nicht die Augen verschließen werden, sondern dem Vorhaben solange nicht zustimmen werden, bis sichergestellt ist, dass das Abkommen die Erreichung eines vergleichbaren Grundrechtsstandards wie in Europa bei der Verwendung von Informationen über Deutsche und Europäer gewährleistet.

Mit freundlichen Grüßen,

Unterdessen hat der Europäische Datenschutzbeauftragte eine ausführliche Stellungnahme zu dem geplanten Datenabkommen abgegeben, die jedoch – wie der gesamte Vorgang – geheim gehalten wird. Die EU-Mitgliedsstaaten beraten noch über das Ob und das Wie eines Verhandlungsmandats über ein Datenabkommen mit den USA.