Nach Safe Harbor nun also ein Privacy Shield. Im Safe Harbor-Abkommen von 2000 wurde von der EU-Kommission festgelegt, dass personenbezogene Daten auch in den USA in einem „sicheren Hafen“ liegen. Damit wurde die Übermittlung solcher Daten in die USA legal. Das Abkommen wurde 2015 von Max Schrems, österreichischer Jurist und Datenschützer, vor den europäischen Gerichtshof gebracht. Der EUGh erklärte das Abkommen für nicht ausreichend. Als Nachfolgeregelung soll der in zwei Teile gegliederte EU-US Privacy Shield in Kraft treten. Im ersten Abschnitt werden die Konditionen, zu denen Unternehmen Daten transferieren dürfen festgelegt. Im zweiten Teil äußert sich die USA zum Thema Überwachung von Daten durch US- Behörden. Keines der beiden Elemente kann wirklich überzeugen.

Was steht überhaupt im Privacy Shield?

Im ersten Abschnitt des Privacy Shields geht es um den Schutz von Daten, die aus der EU in die USA transferiert werden. Unternehmen können sich, wie schon beim „Safe Harbor“-Abkommen, freiwillig zertifizieren. Das heißt, sie versprechen, sich an die Regeln des Privacy Shields zu halten. Dazu gehört unter anderem eine weitgehende Informationspflicht gegenüber den Kunden. Unternehmen verpflichten sich, im Zuge dieser Selbst-Zertifizierung eine konkrete Anlaufstelle für Kunden auszuschreiben, an die sich der Einzelne für Anfragen wenden kann. Diese Anfragen müssen innerhalb von 45 Tagen von den Unternehmen beantwortet werden. Für den Anfragenden dürfen dabei keine unangemessenen Kosten anfallen. In Zukunft soll auch abgefragt werden können, welche Daten wann zu welchem Zweck gesammelt wurden. Der Betroffene soll die Chance haben, die Daten bei Bedarf zu ändern, zu ergänzen oder die Löschung zu beantragen.

Versäumt es ein Unternehmen, innerhalb der 45-Tage-Frist die Anfrage zu beantworten, kann der Betroffene sich an seine nationale Datenschutzaufsichtsbehörde wenden. Diese kontaktiert dann das  Department of Commerce in den USA, das die Privacy Shield-zertifizierten Unternehmen kontrolliert.  Die höchste Strafe, die einem Unternehmen in diesem Fall droht, ist der Ausschluss von der Zertifizierung. Nur in besonders schweren Fällen kann die EU-Kommission dem Unternehmen einen weiteren Datentransfer aus der EU in die USA untersagen. Da allerdings das gesamte Prinzip des Privacy Shields auf Freiwilligkeit beruht, hat die EU-Kommission gegenüber nicht zertifizierten Unternehmen keine Handhabe. Erst ab 2018, mit der Datenschutzgrundverordnung, könnte sich das ändern. Dann greift EU-weit das Marktortprinzip und auch amerikanische Unternehmen müssen sich an die europäischen Grundsätze halten.

Massenüberwachung „nur noch“ in sechs Fällen erlaubt

Der zweite Teil des Entwurfs widmet sich der Überwachung und Auswertung von Daten durch US- Sicherheitsbehörden. Laut US- Geheimdienstkoordinator James Clapper werden Daten zukünftig nur noch auf Basis der präsidialen Direktive PPD 28 ausgewertet. In dieser Direktive, die von Obama 2014 verabschiedet wurde, werden sechs mehr oder viel mehr weniger spezifische Zwecke genannt, für die Daten ausgewertet werden dürfen. Die Auswertung erfolgt ohne Information und Zustimmung des Betroffenen. Zu den Zwecken gehört neben der Bekämpfung des Terrorismus und der Verbreitung von Massenvernichtungswaffen auch die Bekämpfung transnationaler krimineller Bedrohungen. Des Weiteren sollen durch die Maßnahmen Aktivitäten fremder Mächte, v.a. Spionage, entdeckt und Bedrohungen für US-Streitkräfte oder verbündete Streitkräfte aufgedeckt werden.

Dass die Daten nicht missbraucht werden, soll dann einerseits von James Clapper und andererseits von einer Ombudsperson überwacht werden. Die Ombudsperson, Catherine A. Novelli, ist theoretisch zwar unabhängig von der Intelligence Community. Novelli ist aber gleichzeitig Untersekretärin des Staates und damit dem Außenministerium angegliedert. Zudem ist sie Senior Coordinator for Internal Information Technology Diplomacy und arbeitet eng mit den Verantwortlichen für die Bekämpfung der Internetkriminalität zusammen. Inwieweit also eine Person, die bereits eng mit Verantwortlichen zusammenarbeitet und deren Stelle dem US-Außenministerium angegliedert ist, als „unabhängig“ bezeichnet werden kann, darf man hinterfragen.

Wenig Hoffnung auf Entgegenkommen

Schon während der NSA-Affäre und bei der Frage nach einem No-Spy-Abkommen wurde klar, dass die USA die Datenauswertung als notwendig für die nationale Sicherheit erachten. Dass sie dabei wenig kompromissbereit sind, zeigt sich auch im jetzigen Entwurf: „Während die USA und die europäische Union das Ziel, den Privatsphären-Schutz für ihre Bürger zu verbessern, teilen, haben die USA eine andere Herangehensweise daran als die Europäische Union.“

Damit wollen sich europäische Datenschützer nicht abfinden. Der österreichische Jurist Max Schrems, der schon gegen Safe Harbor vorging, postete auf Twitter, dass es sich um rein kosmetische Verbesserungen handle. Auch Jan Philipp Albrecht, Europaabgeordneter der Grünen äußerte sich bereits kritisch: „Dasselbe (wie Safe Harbor) in Grün“. Schrems kündigte bereits an auch gegen das Privacy Shield vor den EUGh zu ziehen.

Der ehemaliger Datenschutzbeauftragter des Bundes Peter Schaar, mahnt dagegen Realismus an.  Er betont, dass wir internationale Abkommen zum Datenschutz brauchen. Und zwar nicht nur mit den USA, sondern auch mit anderen Staaten. Dabei müsste man versuchen, ein möglichst hohes Niveau zu halten. Es müsse einem aber klar sein, dass dabei nicht einfach die EU-Standards übernommen würden, sondern das in Verhandlungen Kompromisse gefunden werden müssten.

Bild: geralt unter Lizenz: CC0 Public Domain

Am 16. September nahmen die drei Parteien, EU-Kommission, EU-Parlament und EU-Rat ihre Trilog-Verhandlungen zur neuen Datenschutzverordnung wieder auf. Seit die Kommission Anfang 2012 ihre Entwürfe vorlegte, sind die drei Institutionen in regem Austausch und änderten die Entwürfe regelmäßig ab. Nun liegt es an Rat und Parlament, sich zu einigen. Doch die Themen, bei denen Uneinigkeit herrscht, sind nicht nebensächlich oder von minderer Wichtigkeit. Ganz im Gegenteil: Es wird sehr deutlich, mit welch unterschiedlichem Ansatz Rat und Parlament die Sache angehen. So will der Rat der Europäischen Union gewisse Punkte möglichst locker und vage formulieren, um zukünftigen Geschäftsmodellen der Datenverarbeitung keine Steine in den Weg zu legen. Das EU-Parlament hingegen spricht sich für den höchsten Schutz der EU-Bürger.innen, auch über Ländergrenzen hinweg, aus. Die endgültige Fassung soll noch Ende dieses Jahres vorliegen und die aktuell gültige Verordnung [Korrektur:] Richtlinie von 1995 ablösen.

Bei einem Sachgebiet, das sich schneller verändert und rasender wächst als Bambus, stellt sich aber die Frage: können die Gesetze von heute auch in drei oder fünf Jahren noch sinnvoll sein? Und in 10? Zudem herrscht eine gewisse Skepsis bei Beobachter.innen der Verhandlungen bezüglich der Wirtschaftslobby. Die soll starken Einfluss auf Entscheidungsträger.innen verübt haben, denn wie es oft heißt, schließen sich freie Wirtschaft und höchstmöglicher Schutz der EU-Bürger.innen gegenseitig aus. Dennoch gibt es interessante Ansätze, die vom Gegenteil überzeugen.

„Mit der Europäischen Datenschutz-Grundverordnung (EU-DSGVO) schafft die Europäische Union (EU) weltweit erstmals eine umfassend direkt anwendbare supranationale Datenschutzregelung.“ (Thilo Weichert (2015): Europas Datenschutz)[1]

Dreh- und Angelpunkt der Europäischen Datenschutz-Grundverordnung ist die Harmonisierung. Das bedeutet, dass es einheitliche Standards in allen EU-Ländern gibt, was es sowohl Unternehmen als auch Bürgern.innen und Regierungen erleichtert, sich zurecht zu finden. Mit 3000[2] Änderungsanträgen versuchten Lobbygruppen Einfluss auszuüben. Auf dem Portal „LobbyPlag.eu“ wurden einige der Anträge analysiert. Von 517 untersuchten Anträgen zielten über 400 auf eine Absenkung der Datenschutzstandards, nur die übrigen hundert anderen versuchten die Standards zu heben. Die Verbindung zur Wirtschaftslobby liegt nahe, diese kommt dennoch nicht an einer Sache vorbei: dem Artikel 8 der Europäischen Menschenrechtskonvention. In diesem werden das Recht auf Achtung des Privat- und Familienlebens geregelt und die Bürger.innen und ihr Privatleben geschützt.

Der Europäische Gerichtshof für Menschenrechte urteilte, dass das systematische Sammeln und Speichern, auch von öffentlichen Daten, gegen Artikel 8 der EMRK verstoßen kann.

Das Thema erfordert höchste Verhandlungskompetenzen aller Beteiligten, denn es soll eine direkt anwendbare Verordnung dabei entstehen, die so wie sie verhandelt wird dann für alle EU-Staaten gleichermaßen gilt.

Fünf Mindestanforderungen

politik-digital.de sprach mit Friedemann Ebelt von Digitalcourage e. V. über seine Position zu der neuen Verordnung und die roten Linien, die nicht überschritten werden dürfen. Klare Worte findet Digitalcourage zu Datensparsamkeit, Zweckbindung, Profiling, Auskunftsrecht und Datenportabilität. Das wird in dem Aufsatz „Fünf rote Linien für Datenschutz in Europa“ (von Dennis Romberg) dargelegt. Der Verein spricht sich dafür aus, dass Datensammlung auf ein Minimum beschränkt werden muss und ein Datensammeln auf Vorrat verhindert werden soll. Zudem müsse die Verarbeitung der Daten nachvollziehbar sein und an einen vorher bekannten Zweck unumgänglich gebunden werden. Auch soll kein.e Nutzer.in einen Nachteil erfahren, weil er oder sie einer Anwendung das s.g. Profiling nicht erlaubt. Dieses beinhaltet, dass Bewegungs- , Kauf-, und Kommunikationsprofile von Nutzer.innen angelegt werden. Eine Verwehrung des Dienstes, nur weil ein.e Nutzer.in die Anlegung solch eines Profils verweigert, ist inakzeptabel und diskriminierend. Digitalcourage spricht sich zudem für ein kostenfreies Auskunftsrecht aus. Jede.r Bürger.in soll erfahren dürfen, welche Daten über ihn/sie erhoben und gespeichert wurden. Als letzte rote Linie sieht die Organisation die Ermöglichung von Datenportabilität vor: Jede.r Nutzer.in soll seine Daten von einem Anbieter auf einen anderen übertragen können. Das ist wichtig für den Wettbewerb zwischen Anbietern und für die Entscheidungsfreiheit von Nutzer.innen. Solange diese fünf Prinzipien nicht mit der neuen Verordnung geltend gemacht werden, wird sie laut Digitalcourage nutzlos sein. Auf keinen Fall dürfe die neue Verordnung hinter die derzeit gültige von 1995 zurückfallen.

Viel Potenzial für den europäischen Markt

Auf die Sorge, die Datenschutzverordnung könnte bei in Kraft treten schon wieder veraltet sein, da technologischer Fortschritt die Verhandlungen einholen wird, gab Ebelt eine Antwort, die zum Nachdenken anregt: Was, wenn die neue Verordnung die Geschäftsmodelle der Zukunft nicht verbaut, sondern gar eigene Innovationen hervorrufen würde, die den Europäische Raum sogar stärken?

Damit ist gemeint, dass die neue Verordnung europäische Unternehmen und Dienstleister dazu zwingt, datenschutzfreundliche Anwendungen bereitzustellen. Also E-Mail-Dienste, die mit Verschlüsselungstechniken arbeiten, neue Software, die vor Hackangriffen sicher ist und z.B. autonomes Fahren ultimativ schützt, sowie soziale Netzwerke mit benutzerfreundlichen Voreinstellungen. Mit der neuen Verordnung erwartet die Europäische Union ein großes Potenzial: einen Markt mit Daten schützenden Diensten zu eröffnen, den es sonst auf der Welt so nicht gibt.

Das derzeitige Problem liegt laut Friedemann Ebelt zu einem großen Teil in dem Trend, kostenfreie Dienste anzubieten. Allerdings ist der Service nur augenscheinlich kostenfrei, denn bezahlt wird nicht mit Geld, sondern mit Daten. Es sei also wichtig, die Unternehmen und Anbieter zum Umdenken zu bringen – statt kostenlose Anwendungen lieber Dienste mit Datenschutzvorkehrungen, dafür zu einem erkennbaren Preis.

Die Nutzer.innen werden ein tieferes Vertrauen in europäische Dienstleistungen entwickeln, was ein deutlicher Wettbewerbsvorteil wäre.

Safe Harbour Abkommen mit USA – noch gültig?

Der aktuell meist genutzte Anbieter eines sozialen Netzwerks geriet aufgrund mangelnden Datenschutzes vor kurzem in die Schlagzeilen. Die Rede ist von Facebook und dem Kläger Max Schrems, welcher auf das Safe Harbour Abkommen zwischen EU und USA aufmerksam machte. Das Problem hierbei: Facebook darf laut Abkommen Daten von EU-Bürger.innen in den USA lagern. Dort sind sie aber vor dem Geheimdienst (NSA) nicht geschützt, wie mit der Snowden Enthüllung bekannt wurde. Dies verstößt gegen das bereits genannte Menschenrecht auf Achtung der Privatsphäre (Artikel 8 des EMRK). Der Generalanwalt Yves Bot erklärte das Abkommen für ungültig. Friedemann Ebelt erkennt darin etwas positives, denn der Fall verdeutlicht, dass das Safe Harbour Abkommen die Daten der Menschen nicht schützt. Für die neue Datenschutzverordnung sei das aber nicht weiter von Bedeutung, denn der Datenverkehr zwischen EU und Drittstaaten müsse mit eigenen Abkommen geregelt werden. In Bezug auf die USA werden TTIP und TiSA dabei eine erhebliche Rolle spielen. Für die Europäische Datenschutzverordnung ist aber eins dennoch wichtig: Möchten Anbieter von sozialen Netzwerken und Dienstleistungs-Portalen aus Drittstaaten ihre Dienste innerhalb der Länder der EU anbieten, müssen auch diese sich an die neue Verordnung halten. Ein verpflichtender Firmensitz im jeweiligen Land sichert die Auskunftsrechte der Nutzer.innen und vereinfacht die Kontrollierung rechtlicher Anforderungen.

Der Fall um Facebook bewirkte, dass die Dringlichkeit eines europäischen Datenschutzes nochmals erkennbar wurde, das Problem der Geheimdienste nochmals verdeutlicht. Eine Reform der Datenschutzverordnung ist also dringend notwendig, dennoch so Ebelt, liegt es jetzt an uns, gewisse Grundelemente des Datenschutzes einzufordern. Demokratische Prinzipien wie Entscheidungsfreiheit, Gleichberechtigung und Schutz der Privatsphäre dürfen nicht untergraben werden, das steht fest.

[1]DANA 2015, Rote Linien, S. 112 https://www.datenschutzverein.de/wp-content/uploads/2015/08/DANA_3-2015_RoteLinien_Web.pdf

[2]DANA 2015, Rote Linien, S. 115

Bild: Victoria Ristenbatt and Scott Redding (CC BY-NC-SA 2.0)

[youtube http://www.youtube.com/watch?v=x8SxbiIs78w&feature=player_embedded;w=630&h=340]

Wann bekommt man schon mal eine SMS von der irischen Datenschutzbehörde, weil sie Schluss machen will? Na klar, wenn man wie der Wiener Jura-Student Max Schrems den Internetgiganten Facebook wegen Datenschutz-Verstößen anzeigt. In der Vergangenheit wurden konkrete Fragen von Schrems und seiner Initiative “Europe versus Facebook” des Öfteren ignoriert. Vor einer Woche gipfelte die fehlende Gesprächsbereitschaft in einer formlosen SMS der zuständigen Datenschutzbehörde, die besagte, dass man für ein Gespräch nicht zur Verfügung stehe.

“Politiker werden nie überflüssig sein”

Was hat ein “Netz aus Leidenschaften” mit der Band Radiohead zu tun? Sie wissen es nicht? Internet-Analytiker Clay Shirky von der New York University beantwortet diese und andere Fragen. Im Interview mit Andrian Kreye von der Süddeutschen Zeitung spricht Shirky außerdem über Netzaktivismus, neue politische Verfahren, Open Source und darüber, dass Politiker nie überflüssig sein werden.

Ein Fetisch zum Anklicken

Liquid Democracy – das steht für eine Mischung aus direkter und repräsentativer Demokratie und für die Verflüssigung “erstarrter Politikformen”. Für Claus Leggewie, Direktor des Kulturwissenschaftlichen Instituts in Essen und Co-Autor des Buches “Unter Piraten. Erkundungen in einer neuen politischen Arena”, haben die Vertreter einer “liquideren Demokratie” nur eine Chance: “die Organisation der Willensbildung im Bereich der Energiewende und die Zukunft der europäischen Integration”. Im Magazin “Freitag” bewertet Leggewie die Zukunftschancen einer interaktiven Politik.

Vom Internet zum Kreisverband

Vergangene Woche haben die SPD-Mitglieder Yasmina Banaszczuk und Dennis Morhardt ein Mitgliederbegehren gegen die derzeitige SPD-Position zur Vorratsdatenspeicherung gestartet. Auch politik-digital befasste sich damit. Der FAZ-Blogger Don Alphonso hat nun dieses Thema zum Anlass genommen, um zwischen “homo sapiens”, “homo interneticus” und “homo reticuli”, dem vernetzten Menschen, zu unterschieden. Eine Hommage an eine neue Generation und neue Strukturen, die sich nun auch bei den Sozialdemokraten niederschlagen.

Vom gescheiterten Versuch, Pippi Langstrumpf zu spielen

Pippi Langstrumpf ist jedem ein Begriff. Das Mädchen, das sich die Welt macht, „wiesiewiesie ihr gefällt“. Neu dürfte allerdings der Vergleich zwischen Pippis Unbekümmertheit und den Zeitungsverlegern sein. Journalist und Blogger Christian Jakubetz beschreibt, wie sich Verlage teilweise die Realität zurecht biegen, „wiesiewiesie ihr gefällt“. Aberwitzig findet Jakubetz das und hält das Leistungsschutzrecht für einen “veritablen Rohrkrepierer”.

Die AGB-Diktatur

Netzmonopole zerstören die Wettbewerbsvielfalt im Internet, schreibt der Wirtschaftspublizist und Medienberater Gunnar Sohn im „European“. In seinem Plädoyer für die Netzneutralität kritisiert der Autor, dass Google, Microsoft oder Facebook mit Hilfe von “Maschinen” Moralwächter spielen und damit “politisch fragwürdige Netzsperren” durchführen. Als “AGB-Diktatur” bezeichnet Sohn die Verfahren zur Kontrolle von Nutzerdaten, bei denen seiner Meinung nach die “informelle Selbstbestimmung flöten geht”.

Spuren lesen

Der IT-Unternehmer und Philosoph Jörg Friedrich beschäftigt sich in einem Artikel ” im “Freitag” mit den Gemeinsamkeiten von Internet-Trollen und Higgs-Teilchen. Darin kommt er zu dem Schluss, dass man “beide niemals direkt beobachten kann, man sieht nur die Spuren von ihnen in der Wirklichkeit”. Außerdem brauche man eine “passende Theorie, um aus diesen Spuren auf ihre Existenz zu schließen”, so Friedrich weiter. Interessante These, die zum Nachdenken anregt.

Im vergangenen Jahr forderte der Wiener Jurastudent und Facebook-Kritiker Max Schrems den US-Internetkonzern auf, ihm eine Kopie aller über ihn gespeicherten Daten auszuhändigen. Basierend auf den erhaltenen Informationen verfasste Schrems 22 Anzeigen wegen diverser Datenschutzverletzungen gegen Facebook und legte diese bei dessen Europa-Zentrale in Irland vor. Irlands zuständige Datenschutzbehörde forderte Facebook daraufhin im Dezember auf, zukünftig mehr Wert auf Transparenz und Datenschutz zu legen. Bei Verstößen drohen dem Internetkonzert nun Geldstrafen von rund 100.000 Euro. Die neuen Regelungen sind insbesondere im Bezug auf die Nutzung von Fotos zu Werbezwecken entgegen der ausdrücklichen Zustimmung des Urhebers anzuwenden. Darüber hinaus verpflichten sie Facebook dazu, auf Anforderung des Users eine Kopie aller personenbezogenen Daten auszugeben. Damit ist Irland das einzige europäische Land, das sich auf den EU-Datenschutz beruft und den Internetkonzern im Umgang mit User-Daten in die Schranken weist. Ein beachtlicher Erfolg für die von Schrems gegründete Kampagne Europe vs. Facebook, jedoch sind damit noch längst nicht alle Bedenken ausgeräumt.

Um zu demonstrieren, dass die von der Wiener Initiative aufgestellten Forderungen nach mehr Transparenz, Selbstentscheidungsrecht und Datensparsamkeit sowie die 22 Anzeigen ernst genommen werden, trafen sich am Montag Facebooks Europa-Chef Richard Allen und eine US-Vertreterin des Konzerns mit Max Schrems in Wien. Ziel sollte es sein, zu einer „einvernehmlichen Lösung“ zu kommen, denn auch das soziale Netzwerk selbst wolle endlich Rechtssicherheit haben. Der bei dem Treffen hauptsächlich diskutierte Kritikpunkt war der Umgang mit angeblich gelöschten Dateien. Dass längst gelöschte Daten noch Jahre später auffindbar sind, begründete Facebook teilweise mit „technischen Problemen“. Dem Vorwurf Schrems‘, bei der Nutzerzustimmung eine „Neuinterpretation“ europäischer Gesetze anzuwenden, begegnen die Facebook-Betreiber mit der Einstellung „Solange keiner nein sagt, ist es eine Zustimmung“.

Noch immer unter europäischem Datenschutzlevel

Seit 2011 sind die irischen Behörden nun verpflichtet, die Datenschutzvorkehrungen des sozialen Netzwerks regelmäßig zu überprüfen und einen dementsprechenden Bericht zu verfassen. So wurde im Dezember 2011 bereits ein erster 149-seitiger Bericht veröffentlicht, der zwar diverse Nachbesserungen fordert, jedoch keine gröberen Verstöße von Seiten Facebook aufführt. Nach Ansicht der Initiatoren von Europe vs. Facebook ist dieses Protokoll jedoch nicht ausreichend, da nur „maximal zehn Prozent“ ihrer Forderungen umgesetzt seien. Darüber hinaus beinhalte die Untersuchung „keine stringente rechtliche Analyse“ des Netzwerks, mehr noch, der Bericht befinde sich „unter dem europäischen Datenschutz-Level”, so Schrems.

Zwar war der allgemeine Eindruck nach dem Treffen auf beiden Seiten durchaus positiv, jedoch ist die Arbeit damit noch lange nicht getan. Denn zu einer einvernehmlichen Lösung ist man nicht gekommen. Laut Max Schrems sei dennoch deutlich geworden, dass Facebook ein starkes Interesse habe, „ernsthaft den europäischen Gesetzen zu entsprechen“. Jedoch sei man sich auch bewusst, dass dies noch einen langen Prozess zur Folge haben werde, wie die Vertreter des sozialen Netzwerks betonten. Eine Ausräumung der vermerkten Mängel und die damit verbundenen Verbesserungsvorschläge sollen größtenteils bis Ende März realisiert werden, bevor die irische Datenschutzbehörde im Juli eine erneute Überprüfung vornehmen wird. Als nächsten Schritt plant Europe-vs-Facebook unterdessen, einen Antrag auf eine formelle Entscheidung in Irland zu stellen. Falls dieser nicht umgesetzt werde, werde sich die Kampagne an die EU-Kommission wenden, mit der Aufforderung, sich mit dem Fall zu befassen und ein Vertragsverletzungsverfahren anzuregen.