In einem an diesem Wochenende bekannt gewordenen Urteil hat ein New Yorker Bundesrichter entschieden, dass amerikanische Internet-Unternehmen den US-Sicherheitsbehörden auch dann Zugang E-Mails und anderen elektronisch gespeicherten Informationen geben müssen, wenn diese nicht auf Servern in den Vereinigten Staaten, sondern im Ausland gespeichert sind. Die Kunden von US-Unternehmen, die ihre Daten etwa in einer Cloud speichern, müssen also davon ausgehen, dass ihre Daten dem Zugriff durch US-Behörden nach amerikanischem Recht ausgesetzt sind. Damit gelangen die US-Behörden an im Ausland gespeicherte Daten, für die sie ansonsten den Weg der internationalen Rechtshilfe begehen müssten. Dies widerspricht internationalem Recht.
Ein solcher exterritorialer Datenzugriff ist insbesondere deshalb problematisch, weil die Daten von Personen, die sich nicht dauerhaft in den USA aufhalten, nach US-Recht kaum gesetzlich geschützt sind. Betroffene EU-Bürger haben nicht einmal das Recht, sich vor US-Gerichten gegen die Praktiken amerikanischer Behörden beim Umgang mit ihren Daten zu wehren.
Zudem sind die Zugriffsbefugnisse der National Security Agency und des FBI nach dem 11. September 2001 massiv ausgeweitet worden. Wie wir durch die Snowden-Papiere wissen, machen die Behörden von diesen Überwachungsmöglichkeiten auch rege Gebrauch.
Mit seiner Entscheidung durchkreuzt das Gericht die von einigen US-Unternehmen unternommenen Anstrengungen, ausländischen Kunden sichere und vertrauenswürdige Internet-Dienste anzubieten man die durch das jeweilige nationale bzw. europäische Recht geschützt sind. So hatte die Firma IBM vor kurzem angekündigt, in Deutschland ein neues Rechenzentrum zu errichten, in dem die Daten „unter Einhaltung sämtlicher Datenschutzvorgaben aus Deutschland und der EU ins Netzwerk aufgenommen werden.“
Derartige Zusagen sind nicht einzuhalten, wenn sich – wie zu erwarten – die von dem New Yorker Gericht bezogene Position in den USA durchsetzt. Zudem kommt die neue Entscheidung nicht wirklich überraschend. So hatten US-Firmen bereits vor Jahren mitgeteilt, entsprechenden Anordnungen zur Datenherausgabe nach dem Foreign Intelligence Surveillance Act nachzukommen. Auch im Hinblick auf den Zugriff auf Daten aus dem internationalen Zahlungsverkehrs, die durch die belgische Firma SWIFT verarbeitet werden, hatte die US-Regierung auf der Herausgabe der Daten unabhängig vom Ort der Verarbeitung bestanden und sich damit letztlich durchgesetzt.
Vor diesem Hintergrund ist zu hoffen, dass die Europäische Union ihre Arbeiten an einem harmonisierten Datenschutzrecht bald zu einem Abschluss bringt und damit die Voraussetzungen schafft, die eine derartige Umgehung der internationalen Rechtshilfe auch praktisch verhindert, indem sie die Datenschutzbehörden mit entsprechenden Durchsetzungsbefugnissen ausstattet. Von der Bundesregierung und den Regierungen der anderen europäischen Staaten wünsche ich mir, dass sie sich sowohl bei den Verhandlungen über das neue EU-Datenschutzrecht als auch auf sonstigen Feldern – etwa bei den Verhandlungen über eine transatlantische Freihandelszone (TTIP) oder vergleichbare Abkommen für den Schutz der Grund- und Bürgerrechte stark machen.
Mit freundlichen Grüßen
Peter Schaar
Nachtrag (12. August 2016)
Das US-Berufungsgericht des Second Circuit (Second Circuit Court of Appeals) im Verfahren Microsoft v. United States – No. 14-2985 (2d Cir. 2016) – zur Frage, ob in Europa gespeicherte E-Mails von Durchsuchungsbeschlüssen der US-Regierung erfasst sind, zugunsten Microsofts entschieden. Das Gericht hat festgestellt, dass der Durchsuchungsbeschluss, der auf Grundlage des Gesetzes über gespeicherte Kommunikation („Stored Communications Act“) erlassen wurde, in diesem Fall „Microsoft nicht in rechtmäßiger Weise dazu verpflichten kann, der Regierung den ausschließlich in Irland gespeicherten Inhalt des E-Mail-Kontos eines Nutzers zuganglich zu machen“. Damit hat das Gericht den Standpunkt von Microsoft bestätigt, der von zahlreichen anderen Unternehmen und Bürgerrechtsgruppen unterstützt wurde.
Gleichwohl ist mit dieser Entscheidung noch nicht endgültig geklärt, inwieweit US-Behörden auf Daten zugreifen dürfen, die außerhalb des eigenen Hoheitsgebiets gespeichert sind. Insbesondere ist nicht ausgeschlossen, dass der Supreme Court zu einem anderen Ergebnis kommt, wenn ihm dieser oder ein entsprechender Fall vorgelegt wird. Zudem werden auch in Europa und anderen Weltregionen immer wieder Forderungen laut, Unternehmen durch nationales Recht zur Herausgabe von im Ausland gespeicherten Daten zu verpflichten, auch außerhalb der internationalen Rechtshilfe.