Mit der Executive Order vom 07.10.20221 hat der US-Präsident eine Antwort auf die Schrems-II-Entscheidung des Europäischen Gerichtshofs gegeben. Der Rechtsakt adressiert erkennbar die wesentlichen Kritikpunkte des Gerichts an der Rechtslage der USA. Ziel ist ein Angemessenheitsbeschluss der Europäischen Kommission. Transatlantische Datenübermittlungen würden damit sehr viel einfacher möglich als bislang. In den kommenden Monaten ist mit einem Entwurf der Kommissionsentscheidung zu rechnen. Vor dessen Finalisierung wird der Europäische Datenschutzausschuss eine Stellungnahme abgeben, die in die Bewertung einfließt.
1. Aktuelle Auswirkungen der Executive Order
Zum aktuellen Zeitpunkt hat sich an der Rechtslage in den USA noch nichts Entscheidendes geändert. Die Executive Order sieht eine Übergangsfrist von bis zu einem Jahr vor. So lange haben die achtzehn Geheimdienste der USA Zeit, die im Rechtsakt vorgesehenen Garantien in die praktische Arbeit zu integrieren. Nach Informationen des HmbBfDI werden zahlreiche dieser Dienste für die Umsetzung noch mehrere Monate brauchen. Dies betrifft insbesondere die neue Anforderung, Datenzugriffe auf das verhältnismäßige Maß einzugrenzen. Solange die Verhältnismäßigkeit nicht Einzug in die Geheimdienstpraxis gefunden hat, ist weiterhin von einer Datenauswertung auszugehen, die den Wesensgehalt des Datenschutzgrundrechts verletzt. Dasselbe gilt für die institutionellen Garantien durch Schaffung einer Beschwerdestelle und eines Datenschutzgerichts. Diese Gremien befinden sich noch im Aufbau. Die Arbeitsfähigkeit wird erst in mehreren Monaten gewährleistet sein.
Derzeit verfasste Transfer Impact Assessments müssten deshalb nach wie vor zu dem vom Europäischen Gerichtshof vorgezeichneten Ergebnis kommen. Die staatlichen Zugriffsbefugnisse in den USA gehen weiterhin über das in einer demokratischen Gesellschaft erforderliche Maß hinaus.
2. Inhalt der Executive Order
Die Executive Order schafft Garantien für europäische Bürger:innen gegenüber den amerikanischen Geheimdiensten. Die USA haben sich damit weit auf die europäische Grundrechtstradition zubewegt. Die bisweilen zu lesende eher reflexartige und pauschale Kritik ist daher unangebracht. Ob der Rechtsakt letztlich den Anforderungen des Europäischen Gerichtshofs genügt, wird von zahlreichen Details sowie der Umsetzung in der Praxis abhängen. Deswegen ist es jetzt wichtig, im dafür vorgesehenen Verfahren die rechtlichen Garantien gründlich zu prüfen. Zunächst ist der Entwurf der EU-Kommission für einen Angemessenheitsbeschluss abzuwarten. Zu diesem wird sich der europäische Datenschutzausschuss dann verhalten.
Positiv ist hervorzuheben, dass erstmals geheimdienstliche Aktivitäten unter einen Verhältnismäßigkeitsvorbehalt gestellt werden. Hier zeigen die USA Bereitschaft, den Umfang staatlicher Datenerhebungen zumindest einzugrenzen. Der häufig zu lesende Einwand, dass die „Proportionality“ nicht 1:1 der deutschen „Verhältnismäßigkeit“ entspricht, wird der Bedeutung des Themas nicht gerecht. Die Begriffsdefinition in der Executive Order lehnt sich erkennbar an das europäische Verfassungsrecht an. Das einzelfallbezogene und überprüfbare Dokumentationserfordernis zwingt zudem zu einer jeweils sorgfältigen Abwägung. Ein Angemessenheitsbeschluss erfordert keine vollständig kongruenten Rechtssysteme, sondern lediglich ein dem Wesen nach gleiches Niveau. Schon im Vorfeld zu unterstellen, dass Rechtsbegriffe in der Umsetzungspraxis unzureichend ausgelegt werden könnten, ist spekulativ.
Problematisch ist hingegen, dass am Instrument der Massenüberwachung (bulk collection) ausdrücklich festgehalten wird. Inwieweit die neue Verhältnismäßigkeitsanforderung konkret die Massenüberwachung verändert, ist dem Text der Executive Order daher nicht eindeutig zu entnehmen. Wichtig sind deshalb engmaschige Überprüfungen der künftigen Anwendung im Hinblick auf etwaige Fehlentwicklungen.
Erfreulich ist auch, dass ein weiterer wesentlicher Kritikpunkt des Gerichtshofs aufgegriffen wurde, nämlich ein effektiver Rechtsschutz europäischer Bürger:innen gegen sie betreffende geheimdienstliche Aktivitäten durch ein Gremium mit verbindlichen Entscheidungsbefugnissen. Der neu eingerichtete Data Protection Review Court genießt eine Stellung wie ein Gericht, wird mit unabhängigen Richter:innen von außerhalb der Exekutive besetzt und kann unter anderem Datenlöschungen und Verarbeitungseinschränkungen anordnen. Werden im Rechtsschutzverfahren rechtswidrige Verarbeitungen ermittelt, verpflichtet die Executive Order, diese zu beseitigen.
Zu beachten ist jedoch, dass für die Kläger:innen das Rechtsschutzverfahren in der Sache vielleicht effektiv, aber kaum transparent und nachvollziehbar ist. So ist nicht vorgesehen, in den Urteilen darüber zu informieren, ob und welche Maßnahmen ergriffen wurden. Diese Handhabung des Spannungsfelds zwischen staatlichem Geheimhaltungsinteresse und Rechtsschutzinteressen der Betroffenen werden die Kommission und der Datenschutzausschuss gründlich zu beleuchten haben.
Die Rechtsform als Executive Order ist das probate Regelungsinstrument in den USA für extraterritoriale Anordnungen. Es handelt sich nicht um ein Gesetz zweiter Klasse. Sie ist insofern nicht mit der eher schwachen deutschen Verordnung zu vergleichen. Robuste Eingriffe wie Wirtschaftssanktionen und Terrorismusbekämpfung werden seit Jahrzehnten wirksam per Präsidentenanordnung durchgesetzt. Dass sie z.B. nach einem Regierungswechsel zügig zurückgenommen werden kann, ist richtig. Dies gilt für parlamentarische Gesetze jedoch ebenfalls. Die EU wird darauf mit sofortiger Aberkennung des Angemessenheitsstatus reagieren können.
3. Empfehlungen für den Angemessenheitsbeschluss
Die Executive Order hat eine fundierte, ergebnisoffene Prüfung verdient. Die Kommission wird bei der Prüfung der Angemessenheit vor der Herausforderung stehen, einen abstrakten Rechtstext zu bewerten, der noch nicht in der Praxis gelebt wird. Entscheidende Punkte wie die Interpretation der Verhältnismäßigkeit durch die Geheimdienste oder die Funktionsfähigkeit des Datenschutzgerichts werden von der tatsächlichen Anwendung abhängen. Vor diesem Hintergrund ist zu raten, die künftige Entwicklung vor Ort im Blick zu halten. Dies erfordert Transparenz, die von europäischer Seite einzufordern ist. Entsprechende Bedingungen und Vorbehalte können in den Beschluss mit aufgenommen werden.
