Am 2. Juni 2015 einigte sich der US-Senat auf den Freedom Act, eine gesetzliche Regelung, die Teile des abgelaufenen Patriot Acts ablöst. Die Neufassung unter anderem der Teile, die die Telekommunikationsdaten und ihre Überwachung betreffen, war notwendig geworden, um der amerikanischen Öffentlichkeit nach den Enthüllungen Edward Snowdens das Vertrauen in ihre Behörden wiederzugeben. Gemäß dem Freedom Act dürfen amerikanische Behörden (z. B. die NSA) nicht mehr massenhaft Daten von Betroffenen sammeln. Vor dem Hintergrund der vernichtenden Entscheidung des EuGH über das Safe-Harbor-Abkommen stellt sich nun für Unternehmen die Frage, ob durch den Freedom Act der internationale Datentransfer zwischen EU-Staaten und den USA ermöglicht, bzw. erleichtert wird?
Was regelte der Patriot Act?
Der Patriot Act betraf unter anderem das Sammeln, Speichern und Auswerten von Telekommunikationsdaten. So durften beispielsweise die Länge eines Gesprächs, der Standort, der Name, die Adresse und die Rechnungen des Teilnehmers gespeichert und ausgewertet werden. Einmal gespeicherte Daten dieser Teilnehmer standen amerikanischen Behörden zur freien Verfügung.
Nach deutschem und europäischem Recht handelt es sich bei diesen Daten aber um personenbezogenen Daten, die dem Datenschutz unterfallen. Eine Verarbeitung solcher Daten darf zumindest in Deutschland nur erfolgen, falls der Betroffene der Verarbeitung zugestimmt hat oder eine gesetzliche Grundlage für die Verarbeitung vorliegt. Außerdem muss das Land, das die Daten verarbeitet, ein Datenschutzniveau erfüllen, das dem der EU entspricht. Letzteres wurde für Unternehmen in den USA, die dem Safe-Harbor-Abkommen beigetreten waren, als erfüllt angesehen. Genau diese Abkommen kippte jedoch kürzlich der Europäische Gerichtshof (EuGH) aufgrund mangelnden Schutzes vor behördlichen Eingriffen auf personenbezogene Daten und machte damit einen Datentransfer in die USA unmöglich.
Datenschutzrelevante Änderungen des USA Freedom Act
Es stellt sich also die Frage, ob der USA Freedom Act (die Abkürzung steht für: Uniting and Strengthening America by Fulfilling Rights and Ensuring Effective Discipline Over Monitoring Act) die Daten von Telekommunikationsteilnehmern nun besser schützt. Falls ja, ließe sich so das notwendige Datenschutzniveau unter Umständen bejahen und ein neues Safe-Harbor-Abkommen wäre obsolet oder zumindest leichter zu verhandeln. Aber weit gefehlt: Der Freedom Act beinhaltet zwar Änderungen, jedoch sind diese nicht in der Lage das Datenschutzniveau auf ein akzeptables Level anzuheben.
Dabei liest sich der Freedom Act aus europäischer Datenschutzperspektive zunächst gut. Amerikanische Behörden dürfen Telekommunikationsdaten nicht mehr selber speichern und haben keinen direkten Zugriff mehr darauf. Bei genauerer Prüfung trübt sich das Bild jedoch sofort wieder: Telekommunikationsdaten werden unter dem Freedom Act zukünftig bei Telekommunikationsanbietern gespeichert und können auf Verlangen auch an amerikanische Behörden weitergegeben werden. Zwar müssen amerikanische Behörden zumindest einen Verdachtsfall vortragen, etwa, dass der Betroffene eine potentielle Gefahr darstellen könnte. Aber abgesehen davon steht einer massenhaften Überwachung und Auswertung von Telekommunikationsdaten nichts im Wege. Daran vermag auch der Umweg über den Anbieter nichts zu ändern.
Ein Schritt in Richtung Datenschutz – aber nur einer
Die Änderungen durch den Freedom Act sind auf jeden Fall als ein Schritt in die richtige Richtung zu werten. Aber datenschutzrechtlich und in Bezug auf die gefallene Safe-Harbor-Regelung machen die Änderungen kaum einen Unterschied. Die Kritik an Safe Harbor bezog sich eben gerade auf das massenhafte Speichern und Verarbeiten von Daten, ohne dass eine Zweckbindung für die Verarbeitung vorlag oder dass Betroffene irgendwelche Rechte gegen eine willkürliche Verarbeitung geltend machen konnten. Der Freedom Act hilft dem leider nicht ab. Das Safe-Harbor-Dilemma ist demnach nicht gelöst.
USA Freedom Act vs. Vorratsdatenspeicherung in Deutschland
Insgesamt fällt eine gewisse Ähnlichkeit des Freedom Acts zur gerade verabschiedeten Vorratsdatenspeicherung in Deutschland auf. Man könnte sogar sagen, die Unterschiede zu den Regelungen im Freedom Act sind marginal. Die neue Vorratsdatenspeicherung erlaubt den deutschen Telekommunikationsanbietern Verbindungsdaten zu speichern. Behörden können durch richterliche Anweisung diese Daten dann ebenfalls einsehen und auswerten. Lediglich der richterliche Prüfungsvorbehalt, die Aufbewahrungsdauer der Daten und bestehende Rechtsmittel sind hier das Zünglein an der Waage. Es bleibt daher abzuwarten, ob die Vorratsdatenspeicherung in diesem Lichte einer rechtlichen Überprüfung standhält. Im Jahr 2010 war ihr das vor dem Bundesverfassungsgericht nicht gelungen.
In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.