US-Internetunternehmen müssen im Ausland gespeicherte Daten herausgeben

In einem an diesem Wochenende bekannt gewordenen Urteil hat ein New Yorker Bundesrichter entschieden, dass amerikanische Internet-Unternehmen den US-Sicherheitsbehörden auch dann Zugang E-Mails und anderen elektronisch gespeicherten Informationen geben müssen, wenn diese nicht auf Servern in den Vereinigten Staaten, sondern im Ausland gespeichert sind. Die Kunden von US-Unternehmen, die ihre Daten etwa in einer Cloud speichern, müssen also davon ausgehen, dass ihre Daten dem Zugriff durch US-Behörden nach amerikanischem Recht ausgesetzt sind. Damit gelangen die US-Behörden an im Ausland gespeicherte Daten, für die sie ansonsten den Weg der internationalen Rechtshilfe begehen müssten. Dies widerspricht internationalem Recht.

Ein solcher exterritorialer Datenzugriff ist insbesondere deshalb problematisch, weil die Daten von Personen, die sich nicht dauerhaft in den USA aufhalten, nach US-Recht kaum gesetzlich geschützt sind. Betroffene EU-Bürger haben nicht einmal das Recht, sich vor US-Gerichten gegen die Praktiken amerikanischer Behörden beim Umgang mit ihren Daten zu wehren.

Zudem sind die Zugriffsbefugnisse der National Security Agency und des FBI nach dem 11. September 2001 massiv ausgeweitet worden. Wie wir durch die Snowden-Papiere wissen, machen die Behörden von diesen Überwachungsmöglichkeiten auch rege Gebrauch.

Mit seiner Entscheidung durchkreuzt das Gericht die von einigen US-Unternehmen  unternommenen Anstrengungen, ausländischen Kunden sichere und vertrauenswürdige Internet-Dienste anzubieten man die durch das jeweilige nationale  bzw. europäische Recht geschützt sind. So hatte die Firma IBM  vor kurzem angekündigt, in Deutschland ein neues Rechenzentrum zu errichten, in dem die Daten „unter Einhaltung sämtlicher Datenschutzvorgaben aus Deutschland und der EU ins Netzwerk aufgenommen werden.“

Derartige Zusagen sind nicht einzuhalten, wenn sich – wie zu erwarten – die von dem New Yorker Gericht bezogene Position in den USA durchsetzt. Zudem kommt die neue Entscheidung nicht wirklich überraschend. So hatten US-Firmen bereits vor Jahren mitgeteilt, entsprechenden Anordnungen zur Datenherausgabe nach dem Foreign Intelligence Surveillance Act nachzukommen. Auch im Hinblick auf den Zugriff auf Daten aus dem internationalen Zahlungsverkehrs, die durch die belgische Firma SWIFT verarbeitet werden, hatte die US-Regierung  auf der Herausgabe der Daten unabhängig vom Ort der Verarbeitung bestanden und sich damit letztlich durchgesetzt.

Vor diesem Hintergrund ist zu hoffen, dass die Europäische Union ihre Arbeiten an einem harmonisierten Datenschutzrecht bald zu einem Abschluss bringt und damit die Voraussetzungen schafft, die eine derartige Umgehung der internationalen Rechtshilfe auch praktisch verhindert, indem sie die Datenschutzbehörden mit entsprechenden Durchsetzungsbefugnissen ausstattet. Von der Bundesregierung und den Regierungen der anderen europäischen Staaten wünsche ich mir, dass sie sich sowohl bei den Verhandlungen über das neue EU-Datenschutzrecht als auch auf sonstigen Feldern – etwa bei den Verhandlungen über eine transatlantische Freihandelszone (TTIP) oder vergleichbare Abkommen für den Schutz der Grund- und Bürgerrechte stark machen.

Mit freundlichen Grüßen

Peter Schaar

Nachtrag (12. August 2016)

Das US-Berufungsgericht des Second Circuit (Second Circuit Court of Appeals) im Verfahren Microsoft v. United States – No. 14-2985 (2d Cir. 2016) – zur Frage, ob in Europa gespeicherte E-Mails von Durchsuchungsbeschlüssen der US-Regierung erfasst sind, zugunsten Microsofts entschieden. Das Gericht hat festgestellt, dass der Durchsuchungsbeschluss, der auf Grundlage des Gesetzes über gespeicherte Kommunikation (“Stored Communications Act”) erlassen wurde, in diesem Fall “Microsoft nicht in rechtmäßiger Weise dazu verpflichten kann, der Regierung den ausschließlich in Irland gespeicherten Inhalt des E-Mail-Kontos eines Nutzers zuganglich zu machen”. Damit hat das Gericht den Standpunkt von Microsoft bestätigt, der von zahlreichen anderen Unternehmen und Bürgerrechtsgruppen unterstützt wurde.
Gleichwohl ist mit dieser Entscheidung noch nicht endgültig geklärt, inwieweit US-Behörden auf Daten zugreifen dürfen, die außerhalb des eigenen Hoheitsgebiets gespeichert sind. Insbesondere ist nicht ausgeschlossen, dass der Supreme Court zu einem anderen Ergebnis kommt, wenn ihm dieser oder ein entsprechender Fall vorgelegt wird. Zudem werden auch in Europa und anderen Weltregionen immer wieder Forderungen laut,  Unternehmen durch nationales Recht zur Herausgabe von im Ausland gespeicherten Daten zu verpflichten, auch außerhalb der internationalen Rechtshilfe.

 

Verwandte Beiträge:

  • Was bedeutet der Wahlsieg von Donald Trump für den Datenschutz?

    Um es vorwegzunehmen: Es ist mir auch nach längerer Recherche nicht gelungen, auf diese Frage eine überzeugende Antwort zu finden. So findet sich im Wahlprogramm von Donald Trump keine Aussage zu diesem Themenkomplex. Offensichtlich hat auch kein Journalist ernsthaft beim Kandidaten nachgefragt, was er für den Fall eines Wahlsiegs in...

  • Tagungsbericht vom Steinmüller Workshop 2016: Informatisierung der Welt

    Von Hansjürgen Garstka, – Gründer und Ehrenvorsitzender der EAID, Berliner Beauftragter für Datenschutz und Informationsfreiheit a.D. – Informatisierung der Welt. Steinmüller Workshop 2016 Europäische Akademie für Informationsfreiheit und Datenschutz Berlin, 19. Mai 2016 Link zur pdf-Version Tagungsbericht Im Gedenken an Wilhelm Steinmüller, den am 1. Februar 2013 verstorbenen Wegbereiter der...

  • Löchriger Datenschutz-Schirm

    Vor gut einer Woche, am 8. September 2015, gab die Europäische Kommission den erfolgreichen Abschluss der Verhandlungen mit den USA über ein Datenschutz-Rahmenabkommen (“Umbrella Agreement“), das für die Kooperation zwischen Strafverfolgungsbehörden gelten soll. Das Abkommen werde nach seinem Inkrafttreten „ein hohes Datenschutzniveau für alle personenbezogenen Daten garantieren, die von den...

Kommentare

Paul | 07.05.2014

Was oder wer hält die USA nach diesem Urteil noch davon ab, auch europäische Unternehmen zur Herausgabe von Kundendaten zu zwingen?

Wie würde beispielsweise die Telekom reagieren, wenn ein US-Gericht sie zur Offenlegung der auf deutschen Servern gespeicherten Daten auffordert? Empfindlich...

mehr anzeigen
antworten

Peter Schaar | 04.05.2014

Vielen Dank für den Hinweis.

Ich nutze das Angebot ebenfalls per iPad – die Anzeige ist einwandfrei, incl. Datenschutzhinweis und Impressum. Bei manchen mobilen Geräten mit kleinem Display ( etwa iPhone) wird nur ein Teil der Seite angezeigt. In diesem Fall bitte Menü-Funktion aufr...

mehr anzeigen
antworten

Michael Gruder | 04.05.2014

Nur mal so als Hinweis: auf dieser Website gibt es in der mobilen Ansicht (zB iPad) keinen direkt sichtbaren Link zum Impressum und zu den Datenschutzhinweisen.

antworten

Peter Schaar | 30.04.2014

Die Washington Post berichtete am 25. April unter der Überschrift “Low-level federal judges balking at law enforcement requests for electronic evidence”
unter

Arno Schäfer | 30.04.2014

Hallo Herr Schaar,

danke für die Information; aus dem Originaltext des US-amerikanischen Urteils geht nicht hervor, ob gegen das Urteil Berufung möglich ist und auch sonst habe ich nichts dazu gefunden, ob Microsoft dagegen Revision eingelegt hat.
-Wissen Sie dazu neueres?

Be...

mehr anzeigen
antworten

Götz Piwinger | 30.04.2014

In Ermangelung staatlicher Rahmenbedingungen für Cloud-Sicherheit im Mittelstand wurde unsere Initiative bereits 2012 ins Leben gerufen. Denn KMU´s sind nur mit Mühen in der Lage, sich eigene Richtlinien zu erarbeiten.

antworten

Wolf | 28.04.2014

Das Urteil und amerikanische Recht (Definition eines Unternehmens) lässt hier aber auch ein paar Lücken offen,
denn Tochterunternehmen fallen nun nicht direkt unter die Gewalt der US-Gerichte, wenn diese komplett in einem
anderen Land beheimatet sind. Somit wäre es möglich, z. B.: Wi...

mehr anzeigen
antworten

Paul | 07.05.2014

Wenn sich ein New Yorker Richter einfach mal so über internationales Recht hinweg setzt, weil ihm Rechtshilfeersuche bei anderen Ländern zu aufwendig sind, wie lange wird es dauern, bis auch diese Hürde von amerikanischen Gerichten einkassiert wird?

antworten

Markus | 28.04.2014

Etwas off topic bzw. allgemein:
Danke Herr Schaar, bleiben Sie mit Ihren Infos bitte am Ball !

“Ihre Nachfolgerin” scheint ja nichts dazu zu sagen zu haben.
Ob ihre Statements dann auch kompetent wären kann ich so
erst recht nicht beurteilen.

Auf Ihren...

mehr anzeigen
antworten

Richard | 28.04.2014

Irgendwo habe ich neulich die treffenden Worte gelesen: “Das Internet ist eine amerikanische Insel.” Was Technik angeht schläft Deutschland schon seit Jahren. Wir sind keine Pioniere, wir sind Mitläufer und Nachmacher.
Persönlich fände ich eine Dezentralisierung des Internets g...

mehr anzeigen
antworten

Günter Schnell | 28.04.2014

Als Konsequenz aus dieser Situation wäre es wünschenswert, wenn es einen guten kontinental-europäischen Email-Provider gäbe. Gmail hat einen in jeder Hinsicht hervorragenden Service mit kaum wahrnehmbarer Werbung. Leider wird von keinem hiesigen Provider eine ähnlicher Service angeboten. Ein kol...

mehr anzeigen
antworten

bernd | 28.04.2014

Posteo.de ist ein deutscher Email-Provider, welcher sich nach eigenen Angaben stark an Datenschutz hält.

antworten

Schreibe einen Kommentar