In einem an diesem Wochenende bekannt gewordenen Urteil hat ein New Yorker Bundesgericht entschieden, dass amerikanische Internet-Unternehmen den US-Sicherheitsbehörden auch dann Zugang zu E-Mails und anderen elektronisch gespeicherten Informationen geben müssen, wenn diese nicht auf Servern in den Vereinigten Staaten, sondern im Ausland gespeichert sind.

Die Kunden von US-Unternehmen, die ihre Daten etwa in einer Cloud speichern, müssen also davon ausgehen, dass ihre Daten dem Zugriff durch US-Behörden nach amerikanischem Recht ausgesetzt sind. Damit gelangen die US-Behörden an im Ausland gespeicherte Daten, für die sie ansonsten den Weg der internationalen Rechtshilfe begehen müssten. Dies widerspricht internationalem Recht.

Ein solcher exterritorialer Datenzugriff ist insbesondere deshalb problematisch, weil die Daten von Personen, die sich nicht dauerhaft in den USA aufhalten, nach US-Recht kaum gesetzlich geschützt sind. Betroffene EU-Bürger haben nicht einmal das Recht, sich vor US-Gerichten gegen die Praktiken amerikanischer Behörden beim Umgang mit ihren Daten zu wehren.

Zudem sind die Zugriffsbefugnisse der National Security Agency und des FBI nach dem 11. September 2001 massiv ausgeweitet worden. Wie wir durch die Snowden-Papiere wissen, machen die Behörden von diesen Überwachungsmöglichkeiten auch rege Gebrauch.

Mit seiner Entscheidung durchkreuzt das Gericht die von einigen US-Unternehmen  unternommenen Anstrengungen, ausländischen Kunden sichere und vertrauenswürdige Internet-Dienste anzubieten, die durch das jeweilige nationale  bzw. europäische Recht geschützt sind.

So hatte die Firma IBM  vor kurzem angekündigt, in Deutschland ein neues Rechenzentrum zu errichten, in dem die Daten „unter Einhaltung sämtlicher Datenschutzvorgaben aus Deutschland und der EU ins Netzwerk aufgenommen werden“.

Derartige Zusagen sind nicht einzuhalten, wenn sich – wie zu erwarten – die von dem New Yorker Gericht bezogene Position in den USA durchsetzt.

Zudem kommt die neue Entscheidung nicht wirklich überraschend. So hatten US-Firmen bereits vor Jahren mitgeteilt, entsprechenden Anordnungen zur Datenherausgabe nach dem Foreign Intelligence Surveillance Act nachzukommen. Auch im Hinblick auf den Zugriff auf Daten aus dem internationalen Zahlungsverkehr, die durch die belgische Firma SWIFT verarbeitet werden, hatte die US-Regierung  auf der Herausgabe der Daten – unabhängig vom Ort der Verarbeitung – bestanden und sich damit letztlich durchgesetzt.

Vor diesem Hintergrund ist zu hoffen, dass die Europäische Union ihre Arbeiten an einem harmonisierten Datenschutzrecht bald zu einem Abschluss bringt und damit die Voraussetzungen schafft, die eine derartige Umgehung der internationalen Rechtshilfe auch praktisch verhindert, indem sie die Datenschutzbehörden mit entsprechenden Durchsetzungsbefugnissen ausstattet.

Von der Bundesregierung und den Regierungen der anderen europäischen Staaten wünsche ich mir, dass sie sich sowohl bei den Verhandlungen über das neue EU-Datenschutzrecht als auch auf sonstigen Feldern – etwa bei den Verhandlungen über eine transatlantische Freihandelszone (TTIP) – für den Schutz der Grund- und Bürgerrechte stark machen.
 
Crosspost von Peter Schaars Blog