Die Entwicklung des Rechts auf Privatsphäre zwischen Europa und den Vereinigten Staaten

Einleitung

1. Unser heutiges Rechtskonzept der Privatsphäre entstand Ende des 19. Jahrhunderts in den Vereinigten Staaten als eine Erweiterung des Rechts auf Privateigentum mit dem Ziel, den Schutz von Gefühlen und Emotionen vor der zunehmenden Zudringlichkeit der Printmedien zu gewährleisten.[1] In der Folge entwickelte sich dieses Recht in anderen Ländern weiter und dehnte seinen Anwendungsbereich auf den Schutz personenbezogener Daten vor unbefugter Nutzung durch Dritte aus.

Privatsphäre ist somit auch zum Recht des Einzelnen geworden, Informationen zu kontrollieren, die seine persönliche Sphäre betreffen, jederzeit zu wissen, ob jemand Informationen über ihn sammelt, und gegebenenfalls zu entscheiden, ob er eine solche Datenerhebung zulässt.

Das Internet – und insbesondere die jüngste Entwicklung der sozialen Netzwerke – hat das Konzept der Privatsphäre revolutioniert und es in den Kontext einer virtuellen Welt gestellt, in der persönliche Informationen öffentlich geworden sind.[2] Personenbezogene Daten sind tatsächlich zur Hauptwährung der sogenannten digitalen Wirtschaft geworden, in der Nutzer ihre persönlichen Informationen im Austausch für Dienste zur Verfügung stellen, die zum Zeitpunkt der Nutzung kostenlos sind.

Derzeit basiert das dominante Geschäftsmodell im Internet genau auf der Erhebung und Verwertung (beispielsweise durch immer gezieltere Werbung) von Blöcken persönlicher Informationen, die in Bezug auf Menge, Detaillierungsgrad und Relevanz für uneinheitliche Personengruppen präzedenzlos sind.[3]

Gleichzeitig ist das Potenzial, das die enorme Menge an personenbezogenen Daten im Internet bietet, auch für einige nationale Regierungen von Interesse geworden, die begonnen haben, diese zu Kontrollzwecken zu nutzen. Dieses Phänomen ist, wie die Enthüllungen von Edward Snowden im Jahr 2013 unumstösslich bewiesen haben,[4] nicht auf autoritäre Regime beschränkt, sondern betrifft auch westliche Demokratien, insbesondere die Vereinigten Staaten.

Während sich die Aufmerksamkeit nationaler und übernationaler Gesetzgeber früher hauptsächlich auf die Notwendigkeit konzentrierte, Einzelpersonen vor der unbefugten Verwertung personenbezogener Daten durch private Organisationen zu schützen, ist es notwendig geworden, auch die von Nationalstaaten eingeführten Überwachungsprogramme zu berücksichtigen. So geht die Notwendigkeit, das Interesse der Gemeinschaft an einer korrekten Information und das Interesse des Einzelnen am Schutz seiner Privatsphäre feinfühlig abzuwägen, mit der Notwendigkeit einher, zu verhindern, dass nationale Regierungen die heutigen technologischen Werkzeuge nutzen, um eine Massenkontrolle über die gesamte Bevölkerung auszuüben.

Die Enthüllungen über das von den USA nach dem 11. September 2001 eingeführte globale Überwachungsprogramm machten die EU-Institutionen auf das heikle Thema aufmerksam, dass personenbezogene Daten von EU-Bürgern einer wahllosen Nutzung durch die US-Regierung ausgesetzt sein könnten. Dies veranlasste die Europäische Kommission, Verhandlungen zur Änderung des Safe-Harbor-Abkommens aufzunehmen. Seit dem Jahr 2000 regelte dieses den Transfer personenbezogener Daten von EU-Bürgern aus Europa in die USA durch US-Unternehmen.

Dieses Abkommen wurde schliesslich am 6. Oktober 2015 vom Europäischen Gerichtshof für ungültig erklärt (Rechtssache C-362/14,Maximillian Schrems v. Data Protection Commissioner). In der Folge erzielten die Europäische Kommission und die US-Regierung am 2. Februar 2016 eine Einigung über eine neue Regelung für den transatlantischen Austausch personenbezogener Daten zu kommerziellen Zwecken: den EU-US-Privacy Shield.Um die charakteristischen Merkmale desPrivacy Shieldbesser zu verstehen, werden wir den Prozess nachvollziehen, der zu seiner Unterzeichnung führte.

2. Zwei unterschiedliche Ansätze

Europäische Regulierung

Historisch gesehen verfolgten die EU und die USA tiefgreifend unterschiedliche Ansätze bei der Regulierung des Schutzes personenbezogener Daten.[5] Gemäss der europäischen Gesetzgebung ist das Recht auf Schutz personenbezogener Daten ein Grundrecht des Einzelnen, im Einklang mit den Bestimmungen von Art. 8 der Europäischen Menschenrechtskonvention. Nach diesem Artikel hat jede Person das Recht auf Schutz vor Eingriffen in ihr Privat- und Familienleben, ihre Wohnung und ihren Briefverkehr. Darüber hinaus zählt die im Jahr 2000 verabschiedete Charta der Grundrechte der Europäischen Union[6] das Recht auf Schutz personenbezogener Daten zu den Grundprinzipien des EU-Rechts. Sie schützt nicht nur das allgemeine Recht auf Freiheit von Eingriffen in das Privatleben, sondern auch das spezifischere Recht auf Schutz personenbezogener Daten.

Spezieller in Bezug auf digitalisierte Daten war bereits in den 1990er-Jahren die Gemeinschaftsrichtlinie 95/46/EG darauf ausgerichtet, diesen Grundsatz umzusetzen, indem sie Regeln und Kriterien festlegte, denen die Erhebung und Nutzung personenbezogener Daten entsprechen sollte.[7] Diese Richtlinie schützt die personenbezogenen Daten europäischer Bürger innerhalb der EU-Grenzen und berücksichtigt die Leichtigkeit, mit der solche Daten ausserhalb dieser Grenzen übermittelt werden können. So sah sie vor (Artikel 25 Absatz 6), dass die Übermittlung personenbezogener Daten, die verarbeitet werden oder verarbeitet werden sollen, in ein Drittland nur dann erfolgen kann, wenn das Drittland ein angemessenes Schutzniveau gewährleistet.

Im Wesentlichen stellt die Richtlinie fest, dass die Übermittlung von Daten ausserhalb des EU-Gebiets zwar nicht generell verboten ist, verknüpft die Rechtmässigkeit dieser Übermittlung jedoch mit einer Bedingung: Das Drittland, in das die Daten übermittelt werden, muss ein Schutzniveau garantieren, das im Wesentlichen mit demjenigen desacquis communautaire.

Der amerikanische Weg

Andererseits weist die US-Gesetzgebung zum Schutz personenbezogener Daten zweifellos einen fragmentierteren Regulierungsrahmen auf. Auf verfassungsrechtlicher Ebene findet die Privatsphäre – und indirekt auch personenbezogene Daten – Schutz unter dem vierten Zusatzartikel zur Verfassung (Fourth Amendment),[8] der unangemessene Durchsuchungen und Beschlagnahmen verbietet.[9] Der durch den vierten Zusatzartikel gebotene Schutz leidet jedoch unter zahlreichen Einschränkungen, die seine Reichweite stark beeinträchtigen. Erstens gelten die darin enthaltenen Garantien ausschliesslich zugunsten amerikanischer Staatsbürger. Darüber hinaus wird der Schutzbereich der Verfassungsbestimmung durch die Anwendung des Prinzips der sogenannten «Third Party Doctrine» weiter eingeschränkt, wonach Einzelpersonen keine berechtigte Erwartung von Privatsphäre hinsichtlich der Informationen haben können, die sie freiwillig an Dritte übermittelt haben.[10] Folglich ist der Anbieter, sobald die betroffene Person der Nutzung ihrer personenbezogenen Daten durch beispielsweise den Telefonanbieter zugestimmt hat, frei, diese an Dritte zu übermitteln, selbst ohne Wissen der ursprünglichen Person.

Darüber hinaus wird das Recht auf Privatsphäre durch eine bundesrechtliche, sektorale und fragmentarische Gesetzgebung geschützt, die aus einer Reihe von Gesetzen besteht – demUS Privacy Actvon 1974, der nur für US-Bürger und diejenigen ausländischen Staatsbürger gilt, die rechtmässig für einen dauerhaften Aufenthalt zugelassen sind; demFreedom of Information Act (FOIA); und demE-Government Actvon 2002 –, die kein einheitliches Schutzniveau für die Privatsphäre des Einzelnen garantieren.

Vergleiche

Diese prägnante Darstellung der Merkmale, die das System zum Schutz der Privatsphäre in diesen beiden Rechtsordnungen kennzeichnen, verdeutlicht einen Unterschied im Ansatz, der nur schwer miteinander zu vereinbaren wäre. Es sei denn, es werden politische Gelegenheiten berücksichtigt, die mit der Notwendigkeit verbunden sind, den Handelsverkehr zwischen Europa und den USA nicht zu behindern.

Bis zu den Enthüllungen von Snowden im Jahr 2013 wurde die potenzielle Diskrepanz zwischen den beiden Regulierungsstrukturen durch die Verabschiedung einer Reihe allgemeiner Regeln begrenzt, die es einer Person, die personenbezogene Daten aus Europa in die USA übermittelte, ermöglichten, die durch die Richtlinie 95/46/EG auferlegten Schutzanforderungen zu erfüllen.[11]

Diese im Safe-Harbor-Abkommen enthaltenen Grundsätze wurden mit der Entscheidung der Europäischen Kommission 2000/520/EG festgelegt.[12] Sie standen im Wesentlichen im Einklang mit den durch die Richtlinie 95/46 festgelegten Kriterien, nach denen die Rechtmässigkeit der Verarbeitung auf der Grundlage der Grundsätze der Benachrichtigung, der Wahlmöglichkeit, der Sicherheit, der Datenintegrität, des Zugangs und der Gewährleistung der Anwendung beurteilt wird. Dieses Abkommen schuf eine Vermutung der Angemessenheit des Schutzes zugunsten derjenigen US-Organisationen, die sich zur Einhaltung dieser Grundsätze verpflichteten.

Safe Harbor, das vor den tragischen Ereignissen des 11. September 2001 abgeschlossen wurde,[13] wurde zu einer Zeit strukturiert, als sich die Hauptsorgen der EU-Institutionen hinsichtlich des Missbrauchs personenbezogener Daten europäischer Bürger auf die Datenverarbeitung durch private Organisationen bezogen.

Dies kam im Text der genannten Entscheidung deutlich zum Ausdruck, in der sich die Kommission auf das US-Zivilrecht zur Verarbeitung personenbezogener Daten und auf die zugunsten des Einzelnen geschaffenen Rechtsbehelfe konzentrierte. Sie nahm keinen Bezug auf Ausnahmen von den Grundsätzen des Schutzes personenbezogener Daten, die der öffentlichen Verwaltung und ihren Nachrichtendiensten gewährt werden.

Bekanntlich verabschiedeten die USA nach dem Anschlag auf die Twin Towers eine Reihe von Massnahmen, die die Freiheiten der Bürger tiefgreifend beeinträchtigten, um eine stärkere staatliche Kontrolle zu gewährleisten.

Insbesondere durch denPatriot Actvom 26. Oktober 2001, der Titel V des Foreign Intelligence Surveillance Act von 1978 (FISA) änderte, wurden bestimmte Massnahmen ergriffen, um die Ermittlungsbefugnisse der Nachrichtendienste im Kampf gegen den Terrorismus erheblich auszuweiten, indem diese Behörden ermächtigt wurden, freien Zugang zu verschiedenen öffentlichen und privaten Datenbanken zu erhalten, was zu einer offensichtlichen Einschränkung der Privatsphäre amerikanischer Bürger führte.

Die von Snowden veröffentlichten Dokumente enthüllten die wesentlichen Merkmale der Massenüberwachungsprogramme der US-Geheimdienste und zeigten deutlich auf, wie die Regulierungsanpassungen nach den Terroranschlägen von 2001 über ihre legitimen Grenzen und Ermittlungsbefugnisse hinaus ausgedehnt worden waren.

Daraus wurde geschlossen, dass das durch Safe Harbor eingerichtete System US-Behörden tatsächlich erlaubte, rechtmässig auf US-Territorium übermittelte Daten gemäss den Safe-Harbor-Verfahren zu sammeln.

Genauer gesagt, wie die Europäische Kommission in ihrer MitteilungCOM (2013) 847 def., da alle am PRISM-Programm (einem umfassenden Datenerfassungsprogramm) teilnehmenden Unternehmen, die den US-Behörden Zugang zu in den USA gespeicherten und verarbeiteten Daten gewähren, unter dem Safe-Harbor-Rahmen zertifiziert sind, ist dieses System „somit zu einer der Zugangsdatenplattformen der amerikanischen Geheimdienstbehörden für die Erfassung personenbezogener Daten geworden, die ursprünglich in der [Union] verarbeitet wurden“.

Die Lücke zwischen dem vom EU-Rechtssystem gewährten Schutz und den tiefgreifenden Eingriffen der US-Regierungsbehörden in die Privatsphäre von Einzelpersonen hatte den Gleichgewichtspunkt überschritten, der bis zu diesem Zeitpunkt durch das Safe-Harbor-Abkommen garantiert worden war.

Der Kontext, der sich seit dem Abschluss des Abkommens tiefgreifend verändert hat, stellt das rechtliche und tatsächliche Substrat dar, das zunächst zur Ausarbeitung der Mitteilungen COM (2013) 846 und COM (2013) 847 führte, mit denen die Kommission eine Überprüfung des Abkommens forderte, und in der Folge zum Urteil des Europäischen Gerichtshofs (Rechtssache C-362/14,Schremszur Ungültigerklärung der vorgenannten Entscheidung 2000/520 / EG, welche die Konformität der Safe-Harbor-Grundsätze mit den EU-Standards erklärt hatte.

3. Die Rechtssache Schrems

Die von der Rechtsprechung des Gerichtshofs eingeleitete Linie mit demDigital RightsUrteil vom 8. April 2014,[14] mit dem die Richtlinie 2006/24 / EG über die Vorratsdatenspeicherung durch Telekommunikationsbetreiber für ungültig erklärt wurde, nahm ihren Ausgangspunkt in der Entscheidung in derSchremsRechtssache.

Tatsächlich wurzeln die Gründe des Digital-Rights-Urteils in der übermässigen Einschränkung des Rechts auf Schutz des Privatlebens und auf Schutz personenbezogener Daten unter Berücksichtigung von Elementen wie dem Fehlen von Grenzen in der Datenerfassungsphase sowie dem Fehlen geeigneter Garantien Dritter hinsichtlich ihrer Nutzung und Aufbewahrungsfristen.

Der Gerichtshof stellte im Safe-Harbor-System ähnliche Aspekte der Rechtswidrigkeit fest, wenn man die weitreichenden Ermittlungsbefugnisse bedenkt, die den US-Geheimdiensten in Bezug auf Daten aus der EU letztlich eingeräumt wurden, insbesondere durch die Klausel, die Abweichungen von den Datenschutzgrundsätzen aus Gründen der nationalen Sicherheit zuliess.

Die Rechtssache Schrems ging auf eine Beschwerde des österreichischen Staatsbürgers Maximillian Schrems bei der irischen Datenschutzbehörde (DPA) zurück. Im Anschluss an die Snowden-Enthüllungen beantragte der Beschwerdeführer aufgrund der Unzulänglichkeit des US-Rechts zur Verhinderung einer wahllosen Kontrolle personenbezogener Daten durch US-Geheimdienste, die Übermittlung seiner personenbezogenen Daten von der irischen Facebook-Tochtergesellschaft an deren US-Pendant zu unterbinden.

Die DPA wies die Beschwerde ab, sowohl mangels Beweisen für die Behauptung des Beschwerdeführers, US-Behörden hätten auf seine personenbezogenen Daten zugegriffen, als auch weil die Angemessenheit der Datenübermittlung in die Vereinigten Staaten auf der Grundlage der Entscheidung 2000/520 / EG der Kommission positiv beurteilt worden war.

Schrems legte daraufhin Berufung beim irischen Court of Appeal ein, der feststellte, dass ein wirksamer massenhafter und undifferenzierter Zugriff auf personenbezogene Daten „offenkundig dem Verhältnismässigkeitsgrundsatz und den von der irischen Verfassung geschützten Grundwerten widersprechen“ würde. Er erklärte, dass die Entscheidung 2000 / 520 / EG nicht mehr ausreichend sei, um den Anforderungen der Artikel 7 und 8 der Charta der Grundrechte der Europäischen Union zu genügen.

Der Court of Appeal legte die Frage daher dem Gerichtshof der Europäischen Union (EuGH) zur Vorabentscheidung vor und ersuchte ihn um Prüfung, ob eine gemäss Art. 25 der Richtlinie 95/46 / EG erlassene Entscheidung – wie die Entscheidung der Kommission zu Safe Harbor – eine nationale Aufsichtsbehörde daran hindern kann, über eine Beschwerde bezüglich des unzureichenden Schutzniveaus eines Drittlands zu entscheiden und die Datenübermittlung in dieses Land zu blockieren.

3.1. Die Begründung des Gerichtshofs der Europäischen Union

Der EuGH hat, wie nachstehend näher ausgeführt wird, die Grenzen der vom irischen Court of Appeal vorgelegten Frage überschritten und die Entscheidung 2000/520 / EG schliesslich für ungültig erklärt. Seine Begründung stützt sich auf die Vorüberlegung, wonach das Bestehen einer Entscheidung der Europäischen Kommission – mit der die Angemessenheit des von einem Drittland gebotenen Schutzniveaus für personenbezogene Daten festgestellt wird – die Möglichkeit der nationalen Behörden nicht ausschliesst, die in der Grundrechtecharta und der Richtlinie 95/46 / EG vorgesehenen Aufsichtsbefugnisse auszuüben.

Selbst wenn die Europäische Kommission einen Angemessenheitsbeschluss gemäss Artikel 25 dieser Richtlinie erlassen hätte, hätten die nationalen Behörden im Rahmen eines Verfahrens daher die Befugnis, eigenständig zu prüfen, ob die Übermittlung personenbezogener Daten in ein Drittland den in der Richtlinie festgelegten Anforderungen entspricht. Diese Befugnis erstreckt sich jedoch nicht auf die Möglichkeit, eine Entscheidung der Kommission für ungültig zu erklären. Diese Befugnis ist ausschliesslich dem EuGH vorbehalten, dem die nationalen Gerichte die Frage zur Vorabentscheidung vorlegen müssen, wenn sie Zweifel an der Gültigkeit einer Kommissionsentscheidung haben.

Bei der Prüfung der Gültigkeit der Entscheidung der Europäischen Kommission zu Safe Harbor erinnert der EuGH daran, dass sie die Angemessenheit des vom Drittland – in diesem Fall den USA – gebotenen Schutzniveaus hätte überprüfen müssen. Dieser Parameter, so stellt der EuGH klar, müsse in einem Schutzniveau bestehen, das dem innerhalb der EU gemäss Richtlinie 95/46 / EG garantierten Schutz im Wesentlichen gleichwertig ist.

Insbesondere hätte die Kommission den Inhalt der in diesem Land geltenden Vorschriften bewerten müssen, indem sie die nationale Gesetzgebung, die internationalen Verpflichtungen und die Praxis zur Gewährleistung der Einhaltung dieser Vorschriften prüfte. Sie hätte zudem regelmässig überprüfen müssen, ob die Angemessenheit des vom Drittland gewährleisteten Schutzniveaus im Laufe der Zeit fortbestand.

Im Gegenteil beschränkte sich die von der Kommission durchgeführte Beurteilung auf die Bewertung der Angemessenheit des in den USA gebotenen Schutzes auf der Grundlage der Safe-Harbor-Grundsätze. Das Gesamtschutzniveau der nationalen US-Gesetzgebung wurde jedoch nicht berücksichtigt.

Dieses Fehlen einer Gesamtbeurteilung erlangte im Urteil des EuGH besondere Bedeutung, da Anhang I der Entscheidung 2000/520 / EG die Möglichkeit vorsah, die Anwendbarkeit der Safe-Harbor-Grundsätze einzuschränken, wenn dies aus Gründen der nationalen Sicherheit, des öffentlichen Interesses oder der Rechtspflege durch Gesetz, Verordnung oder gerichtliche Entscheidungen erforderlich war, sofern diese Quellen entgegenstehende Verpflichtungen enthalten.

Aus dieser Perspektive legt die Entscheidung 2000/520 im Wesentlichen den Vorrang der „Erfordernisse der nationalen Sicherheit, des öffentlichen Interesses oder der Rechtspflege der Vereinigten Staaten“ gegenüber den Grundsätzen von Safe Harbor fest, wonach US-Unternehmen, die personenbezogene Daten aus der EU erhalten, verpflichtet sind, diese Grundsätze ausser Anwendung zu lassen, wenn sie mit diesen Erfordernissen kollidieren oder unvereinbar sind.

Darüber hinaus stellt der EuGH das Fehlen eines Schutzmechanismus des Safe-Harbor-Systems gegen Eingriffe von US-Behörden fest, da sich die vorgesehenen Rechtsbehelfe (private Schiedsgerichtsbarkeit und Verfahren vor der Federal Trade Commission) auf Rechtsstreitigkeiten in Handelssachen beschränken, die sich aus der Nichteinhaltung der Safe-Harbor-Grundsätze durch US-Unternehmen ergeben. Sie sind im Rahmen von Streitigkeiten über die Rechtmässigkeit von Massnahmen der Geheimdienste nicht anwendbar.

Diese Überlegungen bildeten die Grundlage für die Begründung, die den EuGH dazu veranlasste, die Ungültigkeit der Entscheidung 2000/520 / EG und folglich des Safe-Harbor-Regimes zu erklären.

4. Der Übergang zum Privacy Shield

Die Notwendigkeit einer Überarbeitung der Bestimmungen von Safe Harbor war von der Europäischen Kommission bereits in der erwähnten Mitteilung vom 27. November 2013 geäussert worden. Dies bezog sich auf eine Reihe von Elementen, darunter die exponentielle Zunahme der Datenströme und der Zahl der am Safe-Harbor-System teilnehmenden US-Unternehmen sowie verfügbare Informationen über das Ausmass der US-Geheimdienstprogramme. Solche Fragen hatten Bedenken bezüglich des Schutzniveaus geweckt, das das System bieten konnte.

Auf der Grundlage der Erkenntnisse aus der Arbeit der Kontaktgruppe EU-USA zum Datenschutz[15] und zu den US-Geheimdienstprogrammen[16] sprach die Europäische Kommission dreizehn Empfehlungen für eine Überarbeitung des Safe-Harbor-Systems aus.

Diese forderten die Stärkung materieller Datenschutzgrundsätze durch eine grössere Transparenz der Datenschutzrichtlinien der am System teilnehmenden US-Unternehmen, ein durchgreifenderes Handeln der US-Behörden bei der Überprüfung, Überwachung und Kontrolle der Einhaltung dieser Grundsätze, das Vorhandensein erschwinglicher Streitbeilegungsmechanismen sowie die Notwendigkeit, die Inanspruchnahme der Ausnahme aus Gründen der nationalen Sicherheit auf das absolut notwendige Mass zu beschränken.

Im Jahr 2014 leitete die Kommission einen Dialog mit den US-Behörden ein, um eine Stärkung des Safe-Harbor-Systems im Einklang mit den dreizehn Empfehlungen aus ihrer Mitteilung zu erörtern. Wie zu erwarten, wurden diese Gespräche im Anschluss an dieSchremsRechtssache erheblich beschleunigt, um eine neue Angemessenheitsentscheidung zu erlassen, die den Anforderungen von Art. 25 der Richtlinie 95/46 / EG entspricht.

Die Kommission legte den Entwurf des Entscheidungstextes am 29. Februar 2016 vor. Nach der Stellungnahme der Artikel-29-Datenschutzgruppe[17] und der Entschliessung des Europäischen Parlaments vom 26. Mai schloss die Kommission am 12. Juli 2016 das Verfahren zum Abschluss eines neuen Abkommens ab,dem EU-US Privacy Shield.

Die wesentlichen Merkmale des neuen Abkommens werden nachstehend im Lichte des Durchführungsbeschlusses 2016/1250 untersucht, mit dem die Kommission die Angemessenheit des Schutzniveaus für personenbezogene Daten feststellte, die auf der Grundlage des Privacy Shield aus der Europäischen Union in die Vereinigten Staaten von Amerika übermittelt werden.

4.1. Grundsätze des Abkommens

In Übereinstimmung mit dem bisherigen Safe-Harbor-Abkommen hat der Privacy Shield das Akkreditierungssystem für beitrittswillige Unternehmen nicht geändert. Dies bestätigte den bisherigen Selbstzertifizierungsmechanismus, der vomSchremsUrteil ohnehin nicht beanstandet wurde. Demnach war für den Beitritt einer US-Organisation zum Shield eine Verpflichtung des Unternehmens erforderlich, die Grundsätze der neuen Regelung einzuhalten.

Neben dem Akkreditierungssystem wies der Privacy Shield auch weitere Kontinuitätselemente gegenüber der vorherigen Regelung auf. So unterscheiden sich beispielsweise die Grundsätze des Privacy Shield nicht wesentlich von den Kriterien, die Safe Harbor zugrunde lagen.

Schliesslich betrafen die Aspekte, die für die Entscheidung zur Ungültigerklärung von Safe Harbor ausschlaggebend waren, nicht den Inhalt der Grundsätze, sondern die Leichtigkeit, mit der sie sowohl von teilnehmenden Organisationen als auch von US-Nachrichtendiensten umgangen werden konnten.

Im Einzelnen verlangte der Privacy Shield von einer Organisation, die dem Shield beitreten wollte, die Einhaltung der folgenden Grundsätze:

1. Ein Informationsgrundsatz, dem zufolge der betroffenen Person eine Reihe von Informationen über die Art und Weise der Verarbeitung ihrer personenbezogenen Daten zur Kenntnis gebracht werden müssen (z. B. die Art der erhobenen Daten, der Zweck der Verarbeitung, das Auskunfts- und Wahlrecht, die für die Weiterübermittlung geltenden Bedingungen, die Haftung);
2. Ein Grundsatz der Datenintegrität und Zweckbindung, dem zufolge die Daten ausschliesslich zu den in der der betroffenen Person übermittelten Datenschutzmitteilung genannten Zwecken erhoben und verwendet werden dürfen und die Integrität der Daten in jedem Fall gewahrt bleiben muss;
3. Ein Sicherheitsgrundsatz, dem zufolge unter Berücksichtigung der mit der Datenverarbeitung verbundenen Risiken und ihrer Natur «angemessene und hinreichende» Sicherheitsmassnahmen ergriffen werden müssen;
4. Ein Auskunftsgrundsatz, der das Recht der betroffenen Person festlegt, von der Organisation darüber informiert zu werden, ob sie ihre personenbezogenen Daten verarbeitet;
5. Ein Grundsatz des Rechtsschutzes, der Kontrolle und der Verantwortung, nach dem die dem Shield beitretende Organisation solide Mechanismen bereitstellen muss, die darauf abzielen, die Einhaltung der Grundsätze zu gewährleisten und der betroffenen Person aus der EU, deren personenbezogene Daten nicht in Übereinstimmung mit diesen Grundsätzen behandelt wurden, eine Regressmöglichkeit zu garantieren.
6. Ein Grundsatz der Haftung im Falle der Weiterübermittlung an Dritte. Eine solche Übermittlung kann rechtmässig nur für bestimmte und begrenzte Zwecke erfolgen, und zwar auf der Grundlage eines Vertrags, der dasselbe durch die Grundsätze garantierte Schutzniveau vorsieht, einschliesslich der Bedingung, die eine Einschränkung der Anwendung der Grundsätze nur zur Erfüllung von Erfordernissen der nationalen Sicherheit, der Rechtspflege oder anderer öffentlicher Interessen zulässt.

4.2. Verwaltung und Beaufsichtigung des Shield

Der Shield sah Aufsichts- und Kontrollmechanismen für seine Umsetzung vor, die darauf abzielten zu überprüfen, ob diejenigen Unternehmen, die ihren Beitritt zur Regelung erklärt hatten, die Grundsätze umsetzten, und im Falle der Nichteinhaltung Massnahmen zu ergreifen.

Die für die Überwachung der ordnungsgemässen Erfüllung des Privacy-Shield-Abkommens durch die beitretenden Organisationen zuständige Behörde war das US-Handelsministerium (DoC) mit Unterstützung der Federal Trade Commission und des Department of Transportation.[18] Zu diesem Zweck musste das DoC eine Liste der Organisationen erstellen, die ihre Teilnahme am Shield erklärt hatten. Es musste ausserdem regelmässig die tatsächliche Erfüllung der von den dem Shield beitretenden Unternehmen eingegangenen Verpflichtungen überprüfen und Organisationen, die wiederholt gegen seine Bestimmungen verstiessen, von der Liste streichen. Darüber hinaus sollte es die Organisationen überprüfen, die nach freiwilligem Rückzug oder Nichtverlängerung der Zertifizierung keine Mitglieder des Shield mehr sind, um zu prüfen, ob sie die im Rahmen des Shield erhaltenen personenbezogenen Daten zurückgeben, löschen oder aufbewahren wollen. Schliesslich sollte das DoC Fälle von vorgetäuschter Zugehörigkeit zum Shield und den Missbrauch des entsprechenden Zertifizierungszeichens prüfen.

Der Shield bot Privatpersonen, die glauben, infolge der Verletzung des Abkommens durch eine dem System beitretende Organisation einen Schaden erlitten zu haben, verschiedene Beschwerdemechanismen.

Zunächst einmal war jedes dem Shield beitretende Unternehmen verpflichtet, einen internen Beschwerdebehandlungsmechanismus einzurichten, der einen wirksamen Schutz für die Anliegen des Beschwerdeführers gewährleistete.

Die betroffene Person sollte eine Beschwerde direkt bei der Organisation einreichen können – deren interner Beschwerdebehandlungsmechanismus einen wirksamen Schutz der Rechte des Antragstellers gewährleisten sollte – oder bei einer unabhängigen Streitbeilegungsstelle oder auch bei der nationalen Datenschutzbehörde oder derFederal Trade Commission.

Schliesslich hatte die geschädigte Partei nach Ausschöpfung aller vorgenannten Rechtsbehelfe das Recht, ein verbindliches Schiedsverfahren vor einem Schiedsgericht zu beantragen, das sich aus Schiedsrichtern zusammensetzte, die aus einer vom DoC und der Europäischen Kommission auf der Grundlage von Unabhängigkeit, Integrität und Kompetenz im US-Datenschutzrecht und in der EU-Datenschutzgesetzgebung erstellten Liste von mindestens zwanzig Schiedsrichtern ausgewählt wurden.

Mit Ausnahme des Schiedsgerichts, das erst nach Inanspruchnahme der vorgenannten Streitbeilegungsmittel angerufen werden konnte, stand es der betroffenen Person frei, den von ihr bevorzugten Rechtsbehelfsmechanismus zu wählen, ohne dass eine Verpflichtung bestand, sich an einen bestimmten Mechanismus zu wenden oder eine bestimmte Reihenfolge einzuhalten.

4.3. Ausnahmen für Erfordernisse der nationalen Sicherheit

Die Bedenken der EU-Organe hinsichtlich der übermässigen Ermittlungsbefugnisse der US-Nachrichtendienste spiegeln sich im Text des Privacy-Shield-Abkommens wider. Er enthält eine detaillierte Beschreibung der wichtigsten Gesetze, die es den Regierungsbehörden ermöglichen, auf personenbezogene Daten von US-Bürgern und ausländischen Staatsangehörigen zuzugreifen.

Diese grössere Transparenz hinsichtlich der Funktionsweise des von den US-Nachrichtendiensten angewendeten Überwachungsmechanismus ermöglicht den EU-Organen eine bessere Kontrolle über einen potenziellen Missbrauch personenbezogener Daten aus Europa.

Die bereits im Safe-Harbor-System verankerte Schutzklausel zugunsten der Nachrichtendienste blieb jedoch bestehen; diese Klausel sah nämlich vor, dass die Einhaltung der im Privacy Shield niedergelegten Grundsätze ihre Grenzen findet, wenn und soweit dies zur Erfüllung der Erfordernisse der nationalen Sicherheit, des öffentlichen Interesses oder der Rechtspflege erforderlich ist.

Die Beibehaltung dieses Grundsatzes setzte die personenbezogenen Daten von EU-Bürgern den weitgehenden Ermittlungsbefugnissen aus, die das US-Recht den Regierungsbehörden einräumt, und ermöglichte es, dass etwaige Änderungen der einschlägigen Vorschriften über die genannte Klausel die Freiheit der EU-Bürger beeinträchtigen.

Dennoch vertrat die Europäische Kommission angesichts der Entwicklungen in den letzten Jahren die Auffassung, dass der US-Rechtsrahmen ausreichende Garantien hinsichtlich der Beschränkungen des Zugriffs auf und der Nutzung von personenbezogenen Daten durch US-Behörden bietet.

Genauer gesagt prüfte die Kommission die beiden zentralen Rechtsinstrumente, mit denen der US-Präsident in seiner Eigenschaft als Regierungschef diesen Grundsatz umsetzt: das Dekret des Präsidenten 12333 (Executive Order 1233319)[19] und die Richtlinie des Präsidenten 28 (PPD-28).

Mit besonderem Augenmerk auf Letztere hob die Kommission einen deutlichen Schritt in die richtige Richtung bei den Rechtsvorschriften hervor, die geeignet sind, den wahlfreien Zugriff durch öffentliche Behörden einzuschränken. Die am 17. Januar 2014 von Präsident Obama erlassene Präsidentschaftsrichtlinie 28 legte eine Reihe allgemeiner Grundsätze fest, welche die Datenerhebung im Bereich der Fernmeldeaufklärung regeln und deren wahlfreie Nutzung beschränken.[20]

Die Richtlinie gewährleistet eine Gleichbehandlung von US-Bürgern und Ausländern. Für Personen, die keine US-Bürger sind, sieht sie vor, dass die Nachrichtendienstaktivitäten die ausdrücklich für US-Bürger festgelegten Grenzen bezüglich der Aufbewahrung und Weitergabe personenbezogener Daten im Rahmen der Fernmeldeaufklärung respektieren müssen.

Darüber hinaus stellt sie den Grundsatz auf, dass die Datenerhebung durch Gesetz oder präsidiale Verfügung in Übereinstimmung mit der Verfassung und den Gesetzen genehmigt werden muss.

Die Datenerhebung darf ausserdem ausschliesslich zu Zwecken der Auslandsaufklärung oder der Spionageabwehr erfolgen und muss stets zielgerichtet durchgeführt werden, wobei eine Massenerhebung nach Möglichkeit zu vermeiden ist.

Auch im letztgenannten Fall beschränkt die PPD-28 die Nutzung der so erfassten Informationen auf sechs Zwecke der nationalen Sicherheit,[21] um die Privatsphäre und die bürgerlichen Freiheiten aller Personen unabhängig von Staatsangehörigkeit oder Wohnsitz zu schützen.

Daten, die unter Verletzung der genannten Bestimmungen erhoben wurden, dürfen nicht länger als fünf Jahre aufbewahrt werden, es sei denn, der Director of National Intelligence erklärt ausdrücklich, dass die Verlängerung der Aufbewahrung im Interesse der nationalen Sicherheit der USA liegt.

Im Anschluss an diese Analyse gelangte die Europäische Kommission in Erwägungsgrund 76 des Beschlusses zu dem Schluss, dass diese Grundsätze, obwohl sie nicht in denselben rechtlichen Begriffen formuliert sind, im Wesentlichen die Grundsätze der Erforderlichkeit und Verhältnismässigkeit widerspiegeln.

Bei der Analyse der einzelnen Rechtsinstitute, die öffentliche Behörden ermächtigen, auf personenbezogene Daten europäischer Bürger zuzugreifen und diese zu erheben, sobald sie in die USA übermittelt wurden, hob die Kommission hervor, dass US-Nachrichtendienste diese nur erhalten können, wenn das Ersuchen mit dem FISA vereinbar ist oder vom Federal Bureau of Investigation (FBI) im Rahmen eines National Security Letter (NSL) gestellt wird.[22]

FISA insbesondere ist das Rechtsinstrument, über das US-Behörden auf solche Daten zugreifen können: Neben Artikel 104, der die traditionelle personalisierte elektronische Überwachung vorsieht, und Artikel 402 über die Installation von Überwachungsgeräten für ein- und ausgehende Kommunikationsinformationen sind die beiden zentralen Instrumente Artikel 501 (gemäss Artikel 215 des U.S. Patriot Act) und Artikel 702.

In diesem Punkt stellte die Kommission fest, dass die Einführung des am 2. Juni 2015 verabschiedeten USA Freedom Act die Massenerhebung von Daten gemäss Artikel 402 des FISA (Befugnis zur Überwachung von Informationsdaten ein- und ausgehender Kommunikation) und Artikel 501 des FISA sowie über National Security Letters verbietet und stattdessen die Verwendung spezifischer Selektoren vorschreibt.

Auch die Überwachungsprogramme PRISM und Upstream hielten der Überprüfung durch die Kommission im Lichte der seit den Enthüllungen von Snowden eingetretenen Gesetzesänderungen stand, die – zumindest nach Auffassung der Kommission – ihre Eingriffsintensität stark eingeschränkt hatten.

Die auf der Grundlage dieses Instruments durchgeführte Datenerhebung findet eine erhebliche Einschränkung in den durch die Präsidentschaftsverfügung PPD-28 festgelegten Grundsätzen: Die Suche wird durch die Verwendung einzelner Selektoren zielgerichtet gestaltet, die bestimmte Kommunikationsgeräte identifizieren, wie z. B. die E-Mail-Adresse oder die Telefonnummer der Zielperson, nicht jedoch Schlüsselwörter oder Namen von Zielpersonen.

Darüber hinaus unterliegen die erhobenen Daten einer Archivierungsfrist, die grundsätzlich auf fünf Jahre festgesetzt ist, es sei denn, eine Aufbewahrung für einen längeren Zeitraum wird aufgrund einer Rechtsvorschrift oder einer Entscheidung des Director of National Intelligence im Interesse der nationalen Sicherheit für erforderlich gehalten.

Angesichts der Erwägungen zum Gesamtsystem der Schutzgarantien hinsichtlich der Methoden zur Erhebung und Speicherung personenbezogener Daten durch die US-Nachrichtendienste gelangte die Kommission zu dem Schluss, dass in den USA Regeln bestehen, die jeden Eingriff in die Grundrechte der Person auf das strikt erforderliche Mass zur Erreichung nationaler Sicherheitsziele beschränken sollen.

Auf der Grundlage dieser Erwägungen präzisierte die Kommission daher, dass die USA im Einklang mit den vom EuGH imSchremsUrteil aufgestellten Kriterien handelten. Dies verlangte, dass Rechtsvorschriften, die einen Eingriff in die durch die Artikel 7 und 8 der EU-Grundrechtecharta garantierten Grundrechte beinhalten, Folgendes vorsehen:

klare und präzise Regeln, die den Umfang und die Anwendung der betreffenden Massnahme regeln und Mindestanforderungen festlegen, damit die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, um ihre Daten wirksam gegen das Risiko von Missbrauch sowie gegen jeden unrechtmässigen Zugriff auf diese Daten und deren unrechtmässige Nutzung zu schützen.

4.4. Aufsicht und individuelle Beschwerde

Die Europäische Kommission setzte die Analyse des Abkommens fort und bewertete die durch die US-Gesetzgebung eingerichteten Aufsichtsmechanismen, um zu überprüfen, ob die Geheimdienstaktivitäten unter Einhaltung der gesetzlich festgelegten Grenzen stattfanden. Sie untersuchte auch die Mechanismen, die EU-Bürgern zur Verfügung stehen, die geltend machen, dass ihre Privatsphäre durch US-Behörden verletzt wurde.

Unter dem ersten Aspekt stellte die Kommission fest, dass die US-Geheimdienste verschiedenen Kontroll- und Aufsichtsmechanismen unterliegen, die von den drei Gewalten des Bundesstaates abhängen, insbesondere von den Zweigen der Exekutive, verschiedenen Kongressausschüssen und, für unter FISA fallende Aktivitäten, von der Aufsicht der Judikative.[23]

Die Kommission prüfte anschliessend eine der Schwachstellen der vorherigen Safe-Harbor-Regelung, die sich als entscheidend für die Entscheidung des EuGH erwies, diese für ungültig zu erklären. Namentlich das Fehlen eines Rechtsbehelfs, der es EU-Bürgern ermöglicht, Zugang zu den sie betreffenden personenbezogenen Daten zu erhalten oder die Berichtigung bzw. Löschung dieser Daten zu erwirken.

Aus dieser Perspektive stellte die Kommission fest, dass die US-Gesetzgebung den EU-Bürgern verschiedene Mittel an die Hand gibt, um zu erfahren, ob US-Geheimdienste sie betreffende personenbezogene Daten verarbeitet haben und, falls ja, ob die durch das US-Recht auferlegten Beschränkungen in den verschiedenen Phasen der Datenverarbeitung eingehalten wurden.

FISA sowie die Regulierungsgesetze spezifischer Sektoren[24] sehen die Möglichkeit vor, ein Zivilverfahren gegen die USA oder gegen US-Regierungsbeamte auf finanzielle Entschädigung einzuleiten, wenn Informationen über die betroffene Person unrechtmässig und vorsätzlich verwendet oder offengelegt wurden.

Obwohl das US-Recht – zumindest im Prinzip – eine Reihe von Rechtsbehelfsmöglichkeiten bietet, gibt es nur eine begrenzte Anzahl von Gründen, aus denen rechtliche Schritte eingeleitet werden können, und der von einer Person eingereichte Antrag wird als unzulässig erklärt, wenn der Antragsteller seine Klagebefugnis nicht nachweist. Aus praktischer Sicht führen die hervorgehobenen Aspekte dazu, dass die Möglichkeit der Inanspruchnahme dieser Art von Rechtsbehelf eingeschränkt wird.

Als Reaktion auf die berechtigten Einwände der EU-Institutionen bezüglich der Wirksamkeit des gerichtlichen Schutzes gegen die unrechtmässige Verarbeitung personenbezogener Daten hat die US-Regierung einen neuen Vermittlungsmechanismus geschaffen, der sicherstellen soll, dass jede Beschwerde angemessen geprüft und behandelt wird und dass eine unabhängige Quelle der Person bestätigt, dass die Gesetze der Vereinigten Staaten eingehalten wurden oder, falls sie verletzt wurden, dass der Verstoss in der Zwischenzeit behoben wurde..

Diese Stelle wurde jedoch nicht speziell eingerichtet, um auf Anfragen im Zusammenhang mit der Anwendung des Privacy Shield zu reagieren, sondern fällt in den Anwendungsbereich der in der Präsidialdirektive PPD-28 vorgesehenen Instrumente, um die Funktion eines Ansprechpartners für ausländische Regierungen in Bezug auf Signalerfassungsaktivitäten der USA zu erfüllen.

Ihre Funktionen wurden daher auf den Anwendungsbereich des Privacy Shield ausgeweitet, um im Verfahren bezüglich der (angeblichen) Verletzung personenbezogener Daten durch US-Regierungsbehörden eine Alternative zum gerichtlichen Justizsystem zu bieten.

Die im Shield-Mediationsabkommen genannte Vermittlungsstelle (Ombudsperson) setzt sich aus einem vom Aussenminister direkt ernannten «ersten Koordinator» und anderen Aufsichtsbehörden zusammen, die für die Kontrolle der verschiedenen Dienste der Geheimdienstgemeinschaft zuständig sind und auf deren Zusammenarbeit die Ombudsperson des Shield bei der Bearbeitung von Beschwerden angewiesen ist.

Insbesondere wenn betroffene Beschwerden die Vereinbarkeit der Überwachung mit US-Recht betreffen, kann sich die Ombudsperson auf unabhängige Aufsichtsbehörden mit Ermittlungsbefugnissen stützen (wie Generalinspektoren oder die Behörde zum Schutz der Privatsphäre und der bürgerlichen Freiheiten). In jedem Fall stellt der US-Aussenminister sicher, dass die Ombudsperson über die Mittel verfügt, um zu gewährleisten, dass die Antwort auf das Ersuchen alle erforderlichen Informationen berücksichtigt. Diese zusammengesetzte Struktur ermöglicht es dem Vermittlungsmechanismus, eine unabhängige Aufsicht und die Möglichkeit eines individuellen Rechtsbehelfs zu gewährleisten.

Die Beschwerde kann bei der Aufsichtsbehörde eingereicht werden, die im EU-Mitgliedstaat für die Aufsicht über die nationalen Sicherheitsdienste oder die Verarbeitung personenbezogener Daten durch Behörden zuständig ist und diese bei einer zentralen EU-Stelle einreicht, oder bei beiden, woraufhin sie an den Shield-Mediator weitergeleitet wird.

Der Vermittlungsmechanismus erweitert den von den Gerichten gewährten Schutzumfang. Er ermöglicht es der geschädigten Partei, eine Beschwerde einzureichen, ohne nachweisen zu müssen, dass die US-Regierung im Rahmen von Signalerfassungsaktivitäten tatsächlich Zugang zu personenbezogenen Daten der betreffenden Person hatte. Die Beschwerde führt in jedem Fall zu einer Antwort der Ombudsperson, die aus einer Erklärung bestehen kann, die bestätigt, dass die Beschwerde ordnungsgemäss untersucht wurde und dass das anwendbare US-Recht eingehalten wurde oder gegebenenfalls dass die Nichteinhaltung in der Zwischenzeit behoben wurde.

Insgesamt gelangte die Kommission zu dem Schluss, dass der Mechanismus sicherstellte, dass jeder Beschwerdefall gründlich untersucht und gelöst wird und dass – zumindest was die Überwachung betrifft – unabhängige Aufsichtsbehörden mit dem erforderlichen technischen Fachwissen und Ermittlungsbefugnissen sowie eine Ombudsperson einbezogen werden, die in der Lage ist, ihre Aufgaben ohne ungebührliche Einmischung, insbesondere politischer Art, wahrzunehmen.

4.5. Die Entscheidung der Europäischen Kommission

Nachdem die Europäische Kommission die Grundsätze des Privacy Shield und insbesondere den Funktionsmechanismus der US-Geheimdienste überprüft hatte, um zu prüfen, ob die für Zwecke der öffentlichen Sicherheit vorgesehenen Ausnahmen das ordnungsgemässe Funktionieren des Systems beeinträchtigen könnten, gelangte sie zu dem Schluss (Erwägungsgrund 136), dass die USA ein angemessenes Schutzniveau für personenbezogene Daten gewährleisteten, die im Rahmen des Shield aus der EU an US-Organisationen übermittelt wurden, die sich selbst als Mitglieder der Regelung zertifiziert haben.

Durch die Präzisierung des Konzepts in den nachfolgenden Erwägungsgründen hob die Kommission hervor, wie das neue Regime die Hauptmängel behoben hatte, die zur Aufhebung des Safe-Harbor-Abkommens durch den EuGH geführt hatten.

Nach Auffassung der Kommission waren Aufsichts- und Rechtsbehelfsmechanismen vorbereitet worden, um die Feststellung von Verstössen gegen die Grundsätze durch die dem Regime beitretenden Organisationen, die Reaktion auf diese Verstösse und die Bereitstellung von Rechtsbehelfen zum Schutz der betroffenen Person zu ermöglichen. Dies ermöglichte es der betroffenen Person, Zugang zu den sie betreffenden personenbezogenen Daten zu erhalten und deren Berichtigung oder Löschung zu erwirken.

Daher gelangte die Kommission zu dem Schluss, dass die Kriterien von Artikel 25 der Richtlinie 95/46/EG erfüllt waren, da Eingriffe in die Grundrechte der Person durch US-Behörden aus Gründen der nationalen Sicherheit, der Rechtspflege oder zu anderen Zwecken auf das beschränkt blieben, was zur Erreichung eines bestimmten legitimen Ziels streng erforderlich ist.

4.6. Periodische Überprüfung des Abkommens

Um zu verhindern, dass Änderungen der US-Gesetzgebung zum Schutz personenbezogener Daten die Gesamtstimmigkeit des Shield-Abkommens beeinträchtigen, würde die Europäische Kommission im Hinblick auf die endgültige Anwendung der Verordnung 2016/679 regelmässig überprüfen, ob die US-Gesetzgebung ein Schutzniveau gewährleistet, das dem von der EU gebotenen im Wesentlichen gleichwertig ist.[25]

Diese Bestimmung füllte die Hinweise in Randnummer 76 desSchremsUrteils mit Inhalt, in dem der EuGH, nachdem er präzisiert hatte, dass sich das von einem Drittland gewährleistete Schutzniveau entwickeln kann, erklärte, dass:

es Sache der Kommission ist, nachdem sie eine Entscheidung gemäss Artikel 25 Absatz 6 der Richtlinie 95/46 erlassen hat, regelmässig zu überprüfen, ob die Feststellung hinsichtlich der Angemessenheit des von dem betreffenden Drittland gewährleisteten Schutzniveaus tatsächlich und rechtlich noch gerechtfertigt ist.

In dieser Perspektive unterliegt das Privacy-Shield-Abkommen jährlichen gemeinsamen Überprüfungen durch die Kommission, das US-Handelsministerium und die Federal Trade Commission. Diese Überprüfungen erstrecken sich auf alle Aspekte der Funktionen des Shield, einschliesslich der Ausnahmen von den Grundsätzen aus Sicherheitsgründen und der Rechtspflege.

Sollte die Kommission auf der Grundlage dieser Überprüfungen feststellen, dass das vom Shield gebotene Schutzniveau nicht mehr als dem der EU im Wesentlichen gleichwertig angesehen werden kann, kann sie den Erlass angemessener Massnahmen verlangen, um potenzielle Fälle von Nichteinhaltung unverzüglich zu beheben.

Sollten die US-Behörden schlussendlich nicht nachweisen können, dass der Shield weiterhin diese wirksame Einhaltung gewährleistet, kann die Kommission ein Verfahren zu seiner vollständigen oder teilweisen Aussetzung oder Beendigung einleiten.

5. Ungültigerklärung des Privacy Shield

Die Übermittlung personenbezogener Daten aus der EU in die USA nahm nach dem Urteil des EuGH vom 16. Juli 2020 in der Rechtssache C-311/18, Data Protection Commissioner / Maximilian Schrems und Facebook Ireland, eine neue Wendung. Er erklärte auch den Privacy Shield für ungültig.

Andererseits wurden die vom EuGH geäusserten Kritiken vorhergesehen. Seine primäre Besorgnis über die Rechtmässigkeit des Privacy Shield[26] war bereits unmittelbar nach dem Beschluss der Europäischen Kommission über die Angemessenheit des durch die Regelung des EU-US-Datenschutzschilds gebotenen Schutzes Nr. 2016/1250 geäussert worden.[27]

Die plötzliche Unterbrechung des durch Safe Harbor geregelten Mechanismus erzwang jedoch, wie gesehen, die Notwendigkeit, in kurzer Zeit ein neues Abkommen zu schliessen, das den Datenfluss wiederherstellen und regeln würde, während versucht wurde, die Mängel des vorherigen Abkommens zu korrigieren.

Obwohl dieser Zweck durch den Privacy Shield teilweise erreicht wurde, erlaubt das neue Abkommen den USA auch, aus Gründen der nationalen Sicherheit von den darin festgelegten Grundsätzen abzuweichen, und unterwirft personenbezogene Daten aus Europa den umfassenden Ermittlungsbefugnissen, die das US-Recht seinen Regierungsbehörden einräumt.

Ähnlich wie Safe Harbor wurde auch das nachfolgende Abkommen im Kontext der Richtlinie 95/46 geschlossen. Die Richtlinie erlaubte die Übermittlung von Daten in einen Drittstaat, solange dieser angemessene Sicherheitsmassnahmen garantierte.

Das Konzept der Angemessenheit wurde bereits in Erwägungsgrund 56 präzisiert, wonach die Angemessenheit des von einem Drittland gebotenen Schutzes unter Berücksichtigung aller Umstände beurteilt werden musste, die bei einer Übermittlung oder einer Kategorie von Übermittlungen eine Rolle spielen, sowie durch den folgenden Erwägungsgrund. Er betonte die Notwendigkeit, die Übermittlung personenbezogener Daten in ein Drittland zu verbieten, das kein angemessenes Schutzniveau bietet.

Dasselbe Konzept wird in Artikel 25 bekräftigt, in dem präziser festgelegt ist, dass:

Die Angemessenheit des von einem Drittland gewährleisteten Schutzniveaus wird im Lichte aller Umstände beurteilt, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen; insbesondere werden die Art der Daten, die Zweckbestimmung und Dauer der geplanten Verarbeitung oder Verarbeitungen, das Herkunftsland und das Endbestimmungsland, die in dem betreffenden Drittland geltenden allgemeinen oder sektoralen Rechtsnormen sowie die dort geltenden Standesregeln und Sicherheitsmassnahmen berücksichtigt.

Wie oben dargelegt, war die Angemessenheit des Abkommens Gegenstand einer positiven Bewertung durch die Europäische Kommission gemäss dem genannten Artikel 25 der betreffenden Richtlinie. Sie vertrat die Auffassung, dass die in den USA gewährte Schutzregelung für die Zwecke des Datenschutzes im Vergleich zu den EU-Standards angemessen war. Diese Entscheidung wurde durch das Urteil des EuGH in der RechtssacheSchrems IIRechtssache.

Das Verfahren vor dem EuGH wurde im Anschluss an ein Vorabentscheidungsersuchen des irischen High Court in der von Herrn Schrems angestrengten Rechtssache eingeleitet, der insbesondere geltend machte, dass das US-Recht Facebook Inc. (heute Meta Platforms, Inc.) verpflichtet, die von ihr verarbeiteten personenbezogenen Daten US-Behörden wie der National Security Agency (NSA) und dem Federal Bureau of Investigation (FBI) zur Verfügung zu stellen.

Derselbe Richter stellte fest, dass die USA eine massive Datenverarbeitung durchführen, ohne einen Schutz zu gewährleisten, der dem durch die Artikel 7[28] und 8[29] der Charta der Grundrechte der EU garantierten im Wesentlichen gleichwertig ist.

Nachdem der EuGH erneut betont hatte, dass die Übermittlung von Daten in einen Drittstaat in der Tat eine «Datenverarbeitung»[30] gemäss Artikel 2 Absatz 1 der EU-Verordnung 679/16 (DSGVO) darstellt, knüpfte er die Möglichkeit der Übermittlung an die Einhaltung der Angemessenheitsanforderung, wie sie in der Verordnung selbst verankert ist, die in der Zwischenzeit die Richtlinie 45/96 durch deren Aufhebung ersetzt hat.

Mit ihrem Inkrafttreten sind Übermittlungen personenbezogener Daten ausserhalb des Europäischen Wirtschaftsraums zulässig, wenn der Empfänger ein angemessenes Datenschutzniveau garantiert, ausgehend von der in der aufgehobenen Richtlinie vorgesehenen Regelung.

Die Angemessenheitsanforderung kann auf verschiedene Weise zertifiziert werden, an erster Stelle durch den Beschluss der Europäischen Kommission gemäss Art. 45 der EU-Verordnung 679/16.

In dieser Hinsicht kann von einem Drittland nicht erwartet werden, dass es ein Schutzniveau garantiert, das mit dem in der Rechtsordnung der EU garantierten identisch ist. Vielmehr ist der Ausdruck «angemessenes Schutzniveau» so zu verstehen, dass der Staat effektiv ein Niveau des Schutzes der Grundfreiheiten und Grundrechte gewährleistet, das dem innerhalb der EU aufgrund der Verordnung im Lichte der Charta garantierten Niveau im Wesentlichen gleichwertig ist. Dabei sollten die nationale Gesetzgebung oder die internationalen Verpflichtungen des Drittstaates berücksichtigt werden.

Fehlt eine solche Anforderung, würde das vorgenannte Ziel verletzt.[31] Zu diesem Zweck sollten im Rahmen einer Übermittlung die zwischen dem in der EU ansässigen Verantwortlichen oder Auftragsverarbeiter vereinbarten Vertragsklauseln berücksichtigt werden. Ebenso sollten der im Drittland ansässige Empfänger der Übermittlung, ein allfälliger Zugriff von Behörden dieses Landes auf die übermittelten Daten sowie die relevanten Elemente seiner Rechtsordnung berücksichtigt werden.

Die aus den Überwachungsprogrammen[32] resultierenden Eingriffe unterlägen jedoch keinen Anforderungen, die unter Einhaltung des Verhältnismässigkeitsprinzips ein Schutzniveau garantieren, das dem in Artikel 52 Absatz 1 Satz 2 der EU-Grundrechtecharta garantierten Schutzniveau im Wesentlichen gleichwertig ist. Dies muss bei der Beurteilung berücksichtigt werden, ob die Rechtsordnung des Drittstaates angemessene Garantien bietet. Gemäss diesem Artikel können Einschränkungen der Ausübung von Rechten und Freiheiten nur vorgenommen werden, wenn sie erforderlich sind und tatsächlich den von der EU anerkannten dem Gemeinwohl dienenden Zielsetzungen oder dem Schutz der Rechte und Freiheiten anderer Personen entsprechen.

Auf der Grundlage der nationalen Sicherheit können die US-Behörden hingegen zu einer «Massenerfassung eines relativ grossen Volumens an Informationen oder Daten im Bereich der Nachrichtendienste» übergehen, wobei es unmöglich ist, «die Erfassung gezielt unter Rückgriff auf eine mit einem spezifischen Ziel verbundene Kennung durchzuführen».[33]

Eine solche Struktur – so der EuGH – ist nicht geeignet, ein Schutzniveau zu gewährleisten, das dem durch die EU-Grundrechtecharta garantierten im Wesentlichen gleichwertig ist. Um dem Verhältnismässigkeitsprinzip zu genügen, muss eine Rechtsgrundlage, die Eingriffe in Grundrechte erlaubt, den Umfang der Einschränkung der Ausübung des betreffenden Rechts definieren und klare und präzise Regeln für den Umfang und die Anwendung der Massnahme vorsehen sowie Mindestanforderungen festlegen.[34]

Darüber hinaus wird auch das Fehlen von Garantien für ausländische Staatsangehörige hervorgehoben, die potenziell von solchen Programmen betroffen sind. «Garantien» bedeutet hier die Methoden wirksamer administrativer und gerichtlicher Rechtsbehelfe für die Betroffenen, deren personenbezogene Daten übermittelt werden.

Erwägungsgrund 104 der DSGVO präzisiert, dass der Drittstaat eine wirksame unabhängige Datenschutzkontrolle gewährleisten und Kooperationsmechanismen mit den Datenschutzbehörden der EU-Mitgliedstaaten vorsehen sollte.

Die Unzulänglichkeit, die unter anderem von der Europäischen Kommission selbst hervorgehoben wurde, ergibt sich aus der Unmöglichkeit, die Ombudsperson als Gerichtsbehörde einzustufen. Obwohl die Ombudsperson als «unabhängig von der US-Nachrichtendienstgemeinschaft» beschrieben wird, ist diese Figur nämlich durch die enge Verbindung zum US-Aussenminister gekennzeichnet, dem sie direkt Bericht erstatten muss.[35]

Die Institution der Ombudsperson[36] reicht nicht aus, um das erforderliche Vorhandensein eines Rechts auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht[37] gemäss Artikel 47 der Charta der Grundrechte der EU zu erfüllen, der zur Unterstützung von Artikel 45 der DSGVO gelesen werden muss und der die Angemessenheit des vom Drittstaat gebotenen Schutzes beeinflusst.

Aus diesen Gründen hielt es der EuGH für erforderlich, den Beschluss 2016/1250 über die Angemessenheit des vom EU-US-Privacy-Shield-Regime gebotenen Schutzes für ungültig zu erklären.

Um Rechtslücken zu vermeiden – die nach Ansicht des EuGH aufgrund der Anwendung von Art. 49 DSGVO[38] ohnehin nicht bestehen würden – kann das Erfordernis der Angemessenheit auch durch die Verwendung der sogenannten«Standardvertragsklauseln (SCC)»bescheinigt werden, die von der Europäischen Kommission über ein Ad-hoc-Verfahren gemäss Artikel 46 Abs. 2 Buchst. c erlassen wurden.

Bezüglich der vorgenannten SCCs bestätigt der EuGH in der Tat die Gültigkeit des entsprechenden Beschlusses (Nr. 2010 / 87 / EG vom 5. Februar 2010), da sich diese nicht auf die in einem einzelnen Staat geltende Rechtsordnung beziehen, sondern sich darauf beschränken, eine Reihe von Klauseln zu identifizieren, die ideal geeignet sind, ein angemessenes Schutzniveau zu gewährleisten, unbeschadet der Notwendigkeit, von Fall zu Fall den Kontext zu beurteilen, in dem diese Klauseln angewendet werden.[39]

Fazit

Zusammenfassend lässt sich sagen, dass die Rolle der nationalen Aufsichtsbehörden beim Schutz dieser Arten von Datenrechten klar erscheint.

Da die Staaten keine Massnahmen ergreifen können, die einem Angemessenheitsbeschluss zuwiderlaufen, und folglich die Übermittlung personenbezogener Daten in einen Drittstaat weder aussetzen noch verbieten können, solange die Ungültigkeit dieses Beschlusses nicht festgestellt wurde, kann derselbe Beschluss die Befugnis der nationalen Aufsichtsbehörden nicht verhindern oder einschränken, in voller Unabhängigkeit zu prüfen, ob die Übermittlung von Daten den Anforderungen der DSGVO entspricht. Dies führt dazu, dass sie nicht in der Lage sind, (falls erforderlich) Klage vor den nationalen Gerichten einzureichen, damit diese die vorgenannte Gültigkeit prüfen, wenn eine Person das Beschwerdeverfahren zum Schutz ihrer Rechte und Freiheiten in Bezug auf die Verarbeitung sie betreffender personenbezogener Daten eingeleitet hat.[40]

Endnoten

[1] Das Thema Datenschutz wurde zum ersten Mal 1888 von Richter Thomas Cooley in einer Abhandlung über unerlaubte Handlungen und Delikte behandelt: (Thomas) COOLEY,A Treatise on the Law of Torts or the Wrongs which Arise Independent of Contract, Chicago, 1888, 29. In dieser Abhandlung wird Datenschutz als das Recht definiert, in Ruhe gelassen zu werden. Zwei Jahre später wurde dasselbe Thema von den Rechtsanwälten (Samuel) WARREN und (Louis) BRANDEIS in dem Aufsatz mit dem TitelThe Right of Privacy,inHLR, 1890, vertieft. Für eine Rekonstruktion der Entwicklung des Begriffs der Privatsphäre in den Vereinigten Staaten siehe BALDASSARRE,Privacy e Costituzione. L’esperienza statunitense,Roma, 1974, und RODOTÀ,Tecnologie e diritti, Bologna, 1995, 19.

[2] Im Jahr 2010 sagte Facebook-Gründer Mark Zuckerberg das Ende derPrivatsphärevoraus und argumentierte, dass die Menschen jegliches Interesse am Schutz ihrer persönlichen Sphäre verloren hättenwww.theguardian.com.

[3] Bei der Kommentierung der von Facebook im ersten Quartal 2016 erzielten Ergebnisse schätzte dieNew York Timesdass das soziale Netzwerk in Bezug auf die USA und Kanada pro Nutzer 11,86 Dollar für Werbung eingenommen habe. Eine weitere Tatsache, die den wirtschaftlichen Wert persönlicher Informationen verdeutlicht, ist die Übernahme des Nachrichtendienstes WhatsApp durch Facebook für 19 Milliarden Dollar, was etwa 30 Euro für jeden seiner 450 Millionen Nutzer entspricht. Laut dem im März 2014 vom Europäischen Datenschutzbeauftragten veröffentlichten Bericht «Privacy and competitiveness in the age of big data: The interplay between data protection, competition law and consumer protection in the Digital Economy» belief sich der Gesamtwert der im Internet verbreiteten personenbezogenen Daten auf 300 Milliarden Euro. Dieser Wert sollte sich bis 2020 verdreifachen.

[4] Im Juni 2013 enthüllte Edward Snowden, ein ehemaliger CIA-Mitarbeiter, der internationalen Presse öffentlich die Existenz des bis dahin geheim gehaltenen, von der US-Regierung entwickelten grössten Programms zur Massenüberwachung der Telekommunikation, PRISM. Siehe hierzu den Artikel von GREENWALD,NSA Collecting Phone Records of Millions of Verizon Customers Daily, The Guardian, 6. Juni 2013, abrufbar unterwww.theguardian.com, und den am selben Datum in der Washington Post veröffentlichten Artikel,NSA Slides Explain the PRISM Datacollection Program, abrufbar unter www.washingtonpost.com.

[5] Zu den unterschiedlichen Herangehensweisen der beiden Kontinente an dieses Thema siehe BENNET,Regulating Privacy: Data Protection and Public Policy in Europe and the United States,Ithaca, 1992, sowie WHITMAN,The Two Western Cultures of Privacy: Dignity Versus Liberty, inYale LJ, 2004, S. 1151 ff.

[6] Die Charta wurde in der EU mit dem Inkrafttreten des Vertrags von Lissabon im Dezember 2009 rechtsverbindlich und hat nun denselben rechtlichen Wert wie die EU-Verträge. Für einen Kommentar zur Charta siehe BARBERA,La Carta europea dei diritti e la costituzione italiana,inLe libertà e i diritti nella prospettiva europea: studi in memoria di Paolo Barile, Padova, 2002, S. 108 ff., und AA.VV.,Carta dei diritti fondamentali dell’Unione europea, in POCAR, BARUFFI (Hrsg.),Commentario breve ai Trattati dell’Unione europea, 2. Auflage, Padova, 2014, S. 1651 ff.

[7] Die Richtlinie 95/46/EG wurde durch die Verordnung (EU) 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ersetzt. In der Doktrin siehe bezüglich der Richtlinie 95/46/EG DASSI,La direttiva del 24 ottobre 1995 sulla protezione dei dati e la direttiva 96/9/CE dell’11 marzo 1996 sulle banche dati, in Resp. civ. prev., 1997, S. 600 ff.; siehe auch DELFINO,La direttiva comunitaria 46/95 “Sulla protezione dei dati personali e sulla libera circolazione di tali dati”, in Contr. imp./Europa, 1996, 888.

[8] ATKINSON, The Fourth Amendment’s National Security Exception: Its History and Limits, in Vanderbilt L. Rev., 2013, 1343, 1381.

[9] Die Auslegung dieses Grundsatzes durch den Obersten Gerichtshof der Vereinigten Staaten von Amerika hat sich im Laufe der Jahre als zunehmend umfassend erwiesen: Während nämlich im Fall von 1928,Olmstead v. United States, 277 U.S. 438, die Anwendbarkeit des vierten Verfassungszusatzes nur auf das Eindringen in physische Räume beschränkt war, wurde sie 1976 im FallKatz v. United States, 389 U.S. 347 wurde diese Bestimmung auch auf Telefonüberwachung und elektronische Überwachungsmethoden angewendet, da die vorgenannte Regelung dem Schutz von «Personen, nicht Orten» dient.

[10] Zur Drittparteien-Doktrin (Third Party Doctrine) siehe KERR,The Case for the Third-Party Doctrine, in Michigan LR, 2009, 561.

[11] Zu diesem Thema siehe BIGNAMI, RESTA,Transatlantic Privacy Regulation: Conflict and Cooperation, in LCP, 2015, 101.

[12] Das System der Safe-Harbor-Grundsätze bestand aus 7 allgemeinen Grundsätzen und 15 häufig gestellten Fragen (FAQs), die den amerikanischen Importeur personenbezogener Daten aus der EU an dieselben wesentlichen Pflichten banden, die die Richtlinie 94/46 / EG für europäische Subjekte vorschreibt, die Datenverarbeitung betreiben, wodurch das europäische Modell der Regulierung des Rechts auf Schutz der Privatsphäre im Wesentlichen exportiert wurde. Der Mechanismus der Safe-Harbor-Grundsätze basierte auf einem Selbstzertifizierungssystem, das es dem US-Unternehmen ermöglichte, personenbezogene Daten aus der Europäischen Union zu importieren, indem es gegenüber dem Handelsministerium seine Einhaltung der Safe-Harbor-Grundsätze erklärte.

[13] 50 USC 1861 −Zugang zu bestimmten Geschäftsunterlagen für ausländische Geheimdienst- und internationale Terrorismusermittlungen.

[14] Für einen Kommentar zum Urteil siehe IRION, The Court of Justice and the Data Retention Directive in Digital Rights Ireland: Telling Off the EU Legislator and Teaching a Lesson in Privacy and Data Protection, in ELR, 2014, 835.

[15] Rat der Europäischen Union,Abschlussbericht der Hochrangigen Kontaktgruppe EU-USA für Informationsaustausch und den Schutz der Privatsphäre und personenbezogener Daten, Dokumentennummer 9831/08 vom 28. Mai 2008, verfügbar unter: www.europarl.europa.eu.

[16] Bericht über die Ergebnisse der EU-Kovorsitzenden der Ad-hoc-Arbeitsgruppe EU-USA für Datenschutz, vom 27. November 2013; verfügbar unter: ec.europa.eu.

[17] Die Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die durch Art. 29 der Richtlinie 95/46 / EG eingesetzt wurde, ist ein beratendes und unabhängiges Gremium, dem ein Vertreter der von jedem Mitgliedstaat benannten Datenschutzbehörden, der DSB (Europäischer Datenschutzbeauftragter) sowie ein Vertreter der Kommission angehören. Zu ihren wichtigsten Aufgaben gehört, dass Art. 30 Lit. c der genannten Richtlinie der Arbeitsgruppe die Aufgabe überträgt, die Kommission nicht nur zu jedem Vorhaben zur Änderung der Richtlinie selbst zu beraten, sondern auch zu jedem Vorhaben zusätzlicher oder spezifischer Massnahmen zum Schutz der Rechte und Freiheiten von Personen bei der Verarbeitung personenbezogener Daten sowie zu jedem anderen Entwurf von Gemeinschaftsmassnahmen, die diese Rechte und Freiheiten berühren.

[18] Die Verpflichtungen der Federal Trade Commission und des Verkehrsministeriums sind in Anhang IV bzw. V des Privacy Shield enthalten.

[19] EO 12333: United States Intelligence Activities, Federal Register, Vol. 40, Nr. 235 (8. Dezember 1981). Der Erlass definiert die Zwecke, Leitlinien, Aufgaben und Zuständigkeiten der US-Nachrichtendienste bei ihren Aktivitäten (einschliesslich der Rolle der verschiedenen Dienste der Nachrichtendienstgemeinschaft) und legt die allgemeinen Parameter für die Durchführung dieser Aktivitäten fest (insbesondere die Notwendigkeit, spezifische Verfahrensregeln zu erlassen).

[20] Unter Fernmelde- und Elektronischer Aufklärung (SIGINT) versteht man die Tätigkeit des Sammelns von Informationen durch das Abfangen und Analysieren von Signalen, die sowohl zwischen Personen als auch zwischen Maschinen oder einer Kombination aus beidem ausgesendet werden. Nach Angaben der US National Security Agency ist SIGINT eine Aufklärung, die aus elektronischen Signalen und Systemen abgeleitet wird, die von ausländischen Zielen verwendet werden, wie z. B. Kommunikationssystemen, Radargeräten und Waffensystemen; siehe zu diesem Thema www.nsa.gov.

[21] Zu den Sicherheitszwecken gehören Massnahmen zur Identifizierung und Abwehr von Gefahren, die sich aus Spionage, Terrorismus, Massenvernichtungswaffen, Bedrohungen der Cybersicherheit, Bedrohungen der Streitkräfte oder des Militärpersonals und transnationalen kriminellen Bedrohungen ergeben, die fünf weiteren Zwecken innewohnen.

[22] Über die National Security Letters kann das Federal Bureau of Investigation von einem Telekommunikationsdienstanbieter verlangen, Daten im Zusammenhang mit der Kommunikation einer Person ohne vorherige Genehmigung einer richterlichen Behörde zu übermitteln. Zum Missbrauch dieses Ermittlungsinstruments durch das FBI siehe den am 14. März 2008 von der Washington Post veröffentlichten Artikel,FBI Found to Misuse Security Letters, verfügbar unter: www.washingtonpost.com.

[23] Erstens übt die Exekutive eine erhebliche Aufsicht über die von den US-Behörden durchgeführten Nachrichtendienstaktivitäten aus. Gemäss PPD-28 müssen die Richtlinien und Verfahren der Dienste der Nachrichtendienstgemeinschaft angemessene Massnahmen vorsehen, um die Aufsicht über die Umsetzung von Garantien zum Schutz personenbezogener Informationen zu erleichtern, einschliesslich Massnahmen, die regelmässige Überprüfungen vorsehen.

Zu diesem Zweck gibt es verschiedene Ebenen der Aufsicht: Generalinspekteure, das Office for the Protection of Privacy and Civil Liberties des Office of the National Director of Intelligence, die Privacy and Civil Liberties Oversight Board und die Presidential Intelligence Advisory Board.

Um die Ausübung der Aufsicht zu erleichtern, entwickeln die Dienste der Nachrichtendienstgemeinschaft IT-Systeme, die die Überwachung, Aufzeichnung und Überprüfung von Abfragen oder sonstigen Suchanfragen nach personenbezogenen Informationen ermöglichen.

Die Aufsichts- und Compliance-Kontrollorgane überprüfen regelmässig die von den Nachrichtendiensten angewandten Praktiken zum Schutz der in der Fernmeldeaufklärung enthaltenen personenbezogenen Informationen sowie die Einhaltung der entsprechenden Verfahren.

Zweitens verfügt der Kongress der Vereinigten Staaten von Amerika, genauer gesagt die Justiz- und Geheimdienstausschüsse des Repräsentantenhauses und des Senats, neben den vorgenannten Aufsichtsmechanismen der Exekutive über Aufsichtsrechte bezüglich der von den USA geleiteten ausländischen Nachrichtendienstaktivitäten, einschliesslich der Fernmeldeaufklärung.

Darüber hinaus stellt der Präsident sicher, dass die für Nachrichtendienste zuständigen Ausschüsse des Kongresses vollständig über die von den USA durchgeführten Nachrichtendienstaktivitäten informiert und auf dem Laufenden gehalten werden.

[24] Genauer gesagt das Gesetz über Computermissbrauch und -betrug (Computer Fraud and Abuse Act), das Gesetz über den Schutz der Vertraulichkeit elektronischer Kommunikation (Electronic Communications Privacy Act) und das Gesetz über das Recht auf finanzielle Privatsphäre (Right to Financial Privacy Act).

[25] Siehe Anmerkung 7.

[26] Mastracci,Evoluzione del Diritto alla Privacy tra Europa e Stati Uniti: dal Safe Harbor Al Privacy Shield, La comunità Internazionale, 2016, Vol. LXXI, S. 578.

[27] In den Schlussfolgerungen der Entschliessung des Europäischen Parlaments zum angemessenen Schutz durch den EU-US-Datenschutzschild (Privacy Shield) (2018/2645 (RSP) erklärt das Europäische Parlament: «fordert die Kommission auf, alle erforderlichen Massnahmen zu ergreifen, um sicherzustellen, dass der Datenschutzschild der ab dem 25. Mai 2018 anzuwendenden Verordnung (EU) 2016/679 und der EU-Charta vollständig entspricht, damit die Angemessenheit nicht zu Lücken oder Wettbewerbsvorteilen für US-Unternehmen führt; und «bedauert, dass die Kommission und die zuständigen US-Behörden die Gespräche über die Datenschutzschild-Vereinbarung nicht wieder aufgenommen und keinen Aktionsplan aufgestellt haben, um die festgestellten Mängel so schnell wie möglich zu beheben».

[28] Charta der Grundrechte der Europäischen Union, Artikel 7 – Achtung des Privat- und Familienlebens. Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.

[29] Charta der Grundrechte der Europäischen Union, Artikel 8 – Schutz personenbezogener Daten. 1. Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten. 2. Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung dieser Daten zu verlangen. 3. Die Einhaltung dieser Regeln wird durch eine unabhängige Behörde überwacht.

[30] Da die besagte Übermittlung nicht unter die dort vorgesehenen Ausnahmen fallen kann; siehe analog, bezüglich Artikel 3 Absatz 2 der Richtlinie 95/46, Urteil vom 10. Juli 2018,Jehovan todistajat,C-25/17, EU: C: 2018 : 551, Rn. 37.

[31] Wie durch Erwägungsgrund 104 der Verordnung 679/16 bestätigt.

[32] Basierend auf Artikel 702 des Foreign Intelligence Surveillance Act (FISA) und auf der E.O. 12333.

[33] Schreiben vom 21. Juni 2016 des Office of the Director of National Intelligence an das Handelsministerium der Vereinigten Staaten und die Internationale Handelsverwaltung, enthalten in Anhang VI des Privacy-Shield-Beschlusses.

[34] EuGH, Urteil vom 16. Juli 2016, Rechtssache C-311/18, Rn. 178.

[35] Bereits die Artikel-29-Datenschutzgruppe äusserte in ihrer Stellungnahme vom 13. April 2016 Bedenken hinsichtlich der mangelnden Unabhängigkeit der Person des Bürgerbeauftragten (Ombudsperson) sowie hinsichtlich seiner Kontrollbefugnisse, die durch die Schwierigkeiten beim Zugang zu allen für eine Beurteilung relevanten Informationen und durch das Fehlen einer wirksamen Anordnungsbefugnis gegenüber den Nachrichtendiensten eingeschränkt sind: «Erstens bestehen Bedenken, ob die Ombudsperson als (formell und vollständig) unabhängig angesehen werden kann, insbesondere aufgrund der relativen Leichtigkeit, mit der politisch Ernannte entlassen werden können. Zweitens bleiben Bedenken hinsichtlich der Befugnisse der Ombudsperson zur Ausübung einer wirksamen und kontinuierlichen Kontrolle bestehen. Auf der Grundlage der verfügbaren Informationen in Anhang III kann die WP29 nicht zu dem Schluss gelangen, dass die Ombudsperson jederzeit direkten Zugang zu allen Informationen, Akten und IT-Systemen hat, die für eine eigene Bewertung erforderlich sind, noch dass sie die zuständigen Nachrichtendienste wirklich veranlassen kann, eine nicht konforme Datenverarbeitung zu beenden, insbesondere im Falle von Unstimmigkeiten über die Frage, ob die Datenverarbeitung im Einklang mit dem Gesetz steht oder nicht».

[36] Bereitgestellt gemäss Anhang A von Anhang III des Privacy-Shield-Beschlusses.

[37] Siehe Schlussanträge des Generalanwalts Henrik Saugmandsgaard Øe vom 19. Dezember 2019 in der Rechtssache C-311/18, Rn. 291, 292 und 297.

[38] Dieser Artikel sieht vor, dass in Ermangelung eines Angemessenheitsbeschlusses gemäss Artikel 45 Absatz 3 oder geeigneter Garantien gemäss Artikel 46, einschliesslich verbindlicher interner Datenschutzvorschriften, eine Übermittlung oder eine Reihe von Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation nur unter einer Reihe von in demselben Artikel vorgesehenen Bedingungen erfolgt.

[39] EuGH, Urteil vom 16. Juli 2016, Rechtssache C-311/18, Rn. 133.

[40] EuGH, Urteil vom 16. Juli 2016, Rechtssache C-311/18, Rn. 120.

Bildnachweis:Getty Images Prounter Canva-Lizenz.