Vor wenigen Tagen hat die Artikel-29-Datenschutzgruppe, die aus den führenden Datenschutzexperten der EU-Mitgliedstaaten besteht, sich dem Thema EU-US Privacy Shield angenommen. Wie erwartet gibt es nicht nur Lob sondern auch ettliche Kritikpunkte, die laut der Gruppe noch überarbeitungsbedürftig sind.
ES IST NICHT ALLES GOLD…
Obwohl durchaus bemerkt und gelobt wurde, dass es erhebliche Verbesserungen im Vergleich zum Vorgänger „Safe Harbor“ gibt, hatte die Artikel-29-Gruppe laut ihrem Statement vom Februar diesen Jahres „noch immer Bedenken hinsichtlich des in den USA
geltenden Rechtsrahmens und der vier wesentlichen Garantien“. Diese Garantien sind:
A.
Die Datenverarbeitung sollte auf eindeutigen, präzisen und öffentlich zugänglichen Regeln basieren: Dies bedeutet, dass jeder, der angemessen informiert wurde, absehen können sollte, was im Zuge der Übermittlung mit seinen Daten passieren wird.
B.
Notwendigkeit und Verhältnismäßigkeit im Hinblick auf die berechtigten Ziele müssen unter Beweis gestellt werden: Es muss ein Gleichgewicht zwischen dem Ziel, dem Datenerhebung und -zugriff dienen (in der Regel nationale Sicherheit), und den Rechten des Einzelnen gefunden werden.
C.
Es sollte einen unabhängigen Kontrollmechanismus geben, der sowohl wirksam als auch unparteiisch ist: Dabei kann es sich entweder um einen Richter oder ein anderes unabhängiges Gremium handeln, sofern dieser bzw. dieses in ausreichendem Maße fähig ist, die erforderlichen Kontrollen auszuführen.
D.
Dem Bürger müssen wirksame Rechtsbehelfe zur Verfügung stehen: Jeder sollte das Recht haben, seine Rechte vor einem unabhängigen Gremium zu verteidigen.
DIE ARTIKEL-29-GRUPPE FORDERTE…
Die Artikel-29-Datenschutzgruppe forderte daher die EU-Kommission auf „ihr bis Ende Februar alle
Unterlagen zu dieser neuen Vereinbarung zur Verfügung zu stellen. Die Datenschutzgruppe wird ihre Beurteilung für alle Übermittlungen personenbezogener Daten an die USA dann auf einer außerordentlichen Vollversammlung, die in den kommenden Wochen einberufen wird, abschließen können. Danach wird die Datenschutzgruppe prüfen, ob Übermittlungsmechanismen wie Standardvertragsklauseln und Binding Corporate Rules weiterhin genutzt werden können, um personenbezogene Daten an die USA zu übermitteln.“
DIE KRITIK AN PRIVACY SHIELD
Die Datenschutzgruppe ist laut ihrer nun erschienenen Bewertung der Ansicht, dass trotz aller Bestrebungen entscheidende Kernpunkte der europäischen Datenschutzprinzipien außer Acht gelassen wurden. Dass Daten zu löschen seien, sobald sie nicht mehr benötigt würden, sei z. B. nicht ausreichend deutlich gemacht. Es fehlten auch Aussagen dazu, welchen Schutz europäische Betroffene vor automatisierten Einzelentscheidungen hätten. Auch der Anwendungsbereich des Zweckbindungsprinzips sei nicht im geforderten Maße klar. Die Datenschutzgruppe schlägt daher einen Definitionskatalog im Privacy Shield vor. Bemängelt wurde auch, dass die Weitergabe von personenbezogenen Daten durch Unternehmen in den „Onward Transfers“ nicht klar geregelt sei. Die Gruppe fordert ebenso eine stärkere Einbeziehung der Europäischen Datenschutzaufsichtsbehörden. Und auch das Thema „Zugriffsrechte von US-Geheimdiensten“ sei noch nicht vom Tisch. Man habe zwar bemerkt, dass die Zusagen der USA mehr seien als es noch bei Safe Harbor der Fall war, jedoch sei die in Einzelfällen immer noch zulässige Massenüberwachung von EU-Bürgern nicht mit europäischem Recht vereinbar. Die geplante Ombudsperson, die bei Beschwerden über Geheimdienstzugriffe als Ansprechpartner dienen soll, sei letztlich weder gänzlich unabhängig noch mit adäquaten Befugnissen ausgestattet.
In all diesen Punkten möchte die Datenschutzgruppe daher Nachbesserung sehen. Gleichzeitig sind die Forderungen aber nicht bindend. Hier bleibt nun abzuwarten ob zumindest stellenweise noch etwas nachgegeben wird um sofortigen Klagen der Datenschutzaufsichtsbehörden entgegenzuwirken.