MEEDIA

MarTech

Safe Harbor: gekippt. Privacy Shield: gescheitert und jetzt: der transatlantische Datenschutzrahmen. Am Freitag, den 25. März traten Kommissions-Präsidentin von der Leyen und US-Präsident Joe Biden in Brüssel vor die Kameras, um [einen Durchbruch im Datenschutz zu verkünden](https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2087 "Pressemitteilung zum transatlantischen Datenschutzabkommen"). In einer „beispiellosen“ Reform werde ein Rechtsrahmen für die Datenübertragung in die USA gesetzt, der es europäischen und US-Unternehmen erlaubt, Daten auszutauschen, ohne dabei die DSGVO oder die grundrechtlich geschützte informale Selbstbestimmung der EU-Bürger zu unterlaufen.

Das ist inzwischen der dritte Versuch, EU- und US-Recht zu harmonisieren. Seit dem Schrems2-Urteil im Sommer 2020 gilt die USA als „unsicheres Drittland“ in Sachen Datenexport. Der Zugriff  auf die Daten, der US-Behörden durch den Cloud Act und den Foreign Intelligence Surveillance Act garantiert wird, sorgt dafür, dass EU-Bürger nicht wissen können, was mit ihren Daten geschieht, wenn sie in die USA exportiert werden.

Genau diese Selbstbestimmung ist aber zentraler Grundpfeiler der DSGVO und anderer Datenschutzbestimmungen. Die Einführung der Consent-Banner unterlag der Prämisse, die Nutzer von Websites darüber aufzuklären, welche Daten erhoben werden und was damit geschieht. Website-Betreiber müssen abschließende Listen mit Unternehmen führen, mit denen sie Verträge zur Datenverarbeitung haben. Und diese Datenverarbeitung sieht den Zugriff von Verfolgungsbehörden nicht vor. In der EU könnte im Zweifel nur ein Gericht darüber entscheiden, dass der Schutz öffentlicher Rechtsgüter zum Beispiel zur Abwehr von Straftaten höher wiegt, und ein eng umrissener Zugriff auf die Daten zulässig wäre.

##### Der Transatlantische Datenschutzrahmen

Die Novelle sieht keineswegs Veränderungen in den beiden zentralen Bestimmungen der US-Legislative vor. Stattdessen unterliegen die datenverarbeitenden Unternehmen „strengen Auflagen“ und entsprechende Dienstleister müssen sich zertifizieren lassen. Neu ist ein zweistufiges „Behelfsystem“, das betroffenen EU-Bürgern einen Rechtsweg eröffnen soll. Beschwerden der EU-Bürger über Datenmissbrauch sollen von einem eigens dafür benannten US-Gericht geprüft werden.

Auch die Art und Form der Überwachung durch Verfolgungsbehörden sei abschließend geregelt worden, teilt die EU-Kommission mit. Details zu dieser Regelung bleibt sie allerdings schuldig. Das Abkommen hat in den USA den Status einer „Durchführungsverordnung“. Schon 2020 hatte NOYB, das Datenschutzunternehmen des Aktivisten Max Schrems kritisiert, dass die entsprechenden Regelungen keinen Gesetzesstatus in den USA haben, [berichtet „Heise“](https://www.heise.de/news/Privacy-Shield-2-0-USA-geloben-beispiellose-Ueberwachungsreform-6641235.html "Heise-News Artikel zum transatlantischen Datenschutzabkommen"). Die in einer solchen Verordnung angelegten Rechte könnten nicht eingeklagt werden.

[Der Original-Wortlaut der EU-Veröffentlichung](https://ec.europa.eu/commission/presscorner/api/files/attachment/872132/Trans-Atlantic%20Data%20Privacy%20Framework.pdf.pdf "Faktenblatt zum neuen Abkommen (PDF)") schafft nur bedingt Vertrauen. Die finale Verordnung werde „neues Regelwerk und verbindliche Garantien" enthalten, um den Zugriff von US-Geheimdiensten auf persönliche Daten von EU-Bürgern "auf das zu beschränken, was zum Schutz der nationalen Sicherheit notwendig und verhältnismäßig ist".

In der Interpretation von „verhältnismäßig“ und „notwendig“ lagen die EU und ihre Gerichte schon häufiger auf anderem Kurs, als die US-Exekutive.

##### Verhaltener Optimismus

So recht wollen europäische Offizielle auch nicht in die Jubelarie der Verantwortlichen einstimmen. Konstantin von Notz von den Grünen fordert, dass es keine weiteren, immer neuen Hilfskonstrukte geben darf, um beide Rechtswelten zu verbinden. Die Umsetzung des Rahmenplans in geplantes EU-Recht wird zeigen, ob es der EU-Kommission gelingt, die informationale Selbstbestimmung zu achten.

Auch der Branchenverband Bitkom, der eine rechtssichere Lösung für die deutsche Wirtschaft dringend fordert, sieht im vorgelegten Entwurf nur einen „dringend notwenigen ersten Schritt“. Gerade mittlere und kleine Unternehmen leiden unter der hohen Rechtsunsicherheit, die sich bei der jüngst erfolgten, belgischen Entscheidung gegen Google Analytics beispielhaft zeigte.

---

**Lesen Sie das Interview mit Christian Bennefeld, auf das sich Klaus Meffert bezieht:**[„Mir ist keine Methode bekannt, wie man Analytics DSGVO-konform einsetzen kann](/article/mir-ist-keine-methode-bekannt-wie-man-google-analytics-legal-nutzen-koennte-de8d9bbb0594beb81809a4ca340c504c)“

[![Christian Bennefeld](https://wp.meedia.de/wp-content/uploads/2022/02/Aufmacher_Bennefeld_2340x1316_cr_christian_bennefeld-1426x802.jpg)](/article/mir-ist-keine-methode-bekannt-wie-man-google-analytics-legal-nutzen-koennte-de8d9bbb0594beb81809a4ca340c504c)

---

Die Kommentatoren des Heise-Beitrags sehen die Verlautbarung naturgemäß wesentlich kritischer. „Augenwischerei“, „Ich vertrau dem nicht“, „Vorher: NSA spioniert; hinterher: NSA spioniert“ lauten die Anwürfe. Erst wenn die USA echte Reformen im Datenschutz durchführt, wäre ein solches Abkommen tragbar. Und ein Leser fragt zurecht: Warum sollen wir uns verbiegen, um die Abhängigkeit zu US-Dienstleistern weiter zu erhöhen, statt eigene, rechtskonforme Lösungen zu entwickeln? Vorbild: China … wenngleich möglicherweise aus anderen Beweggründen.

Datenexport in die USA: Rechtssicherheit oder doch nur Zeit gewonnen?