In einem Brief des Vorsitzenden der Art. 29 Datenschutzgruppe, Jacob Kohnstamm, an die Vizepräsidenten der EU-Kommission, Viviane Reding, vom 13. August 2013, fordern die europäischen Datenschutzbehörden weitere Aufklärung in Sachen Prism und XKeyscore und kündigen zudem an, dass sich die Datenschutzgruppe umfassender mit dem Thema befassen wird.

Auch wenn die Datenschützer einerseits ihr Verständnis dafür zum Ausdruck bringen, dass in Bezug auf die nationale Sicherheit verschiedene Staaten unterschiedliche weite Vorstellungen und Herangehensweisen besitzen, wie sie Informationen sammeln und nutzen, so drücken die Datenschützer dennoch ihre tiefe Besorgnis über die bekannt gewordenen Informationen zu den Überwachungstätigkeiten der USA durch Programme wie Prism und XKeyscore aus.

Die Forderungen der Datenschützer
Die Art. 29 Datenschutzgruppe macht daher klar, dass trotz einer zur Aufklärung auf EU-US Ebene eingerichteten Arbeitsgruppe, sie es als ihre Pflicht ansieht unabhängig zu prüfen, inwieweit der in der EU gewährleistete Schutz personenebezogener Daten gefährdet und möglicherweise verletzt ist. Hierzu identifiziert die Art. 29 Datenschutgruppe folgende, aus ihrer Sicht noch besonders klärungsbedürftige Themen:

• Es muss klargestellt werden, welche Arten von Informationen genau durch den amerikanischen Geheimdienst gesammelt werden. Handelt es sich „nur“ um Metadaten oder auch um den Inhalt der Kommunikation? Zudem sei bisher nicht klar, in welchem Umfang Daten genau gesammelt werden.
• Bisher sei nicht klar, wann die amerikanische Regierung und ihre Behörden Daten als aus den USA stammend ansehen. Dies sei deshalb von besonderer Bedeutung, da nur auf solche Informationen zugegriffen werde. In der heutigen Zeit des Cloud-Computings ist es jedoch vielfach schwierig zu bestimmen, wo genau Daten tatsächlich gespeichert seien. Nach europäischem Datenschutzrecht fände die Datenschutzrichtlinie (RL 94/46/EG) etwa keine Anwendung, wenn Daten nur in Form des Transits durch die EU durchgeleitet werden (Art. 4 Abs. 1 c)). Eine ähnliche Beurteilung würde auch in den USA dazu führen, dass amerikanisches Recht für Transit-Daten nicht gilt.
• Die Rolle des amerikanischen FISA Gerichts muss näher beleuchtet werden. Sowohl seine verfahrensrechtliche Beteiligung bei der Erteilung von Genehmigung zum Überwachen und Erheben von Daten, als auch die inhaltlichen Kriterien, nach denen solche Genehmigungen zur Überwachung von Nicht-Amerikanern erteilt werden. Die Datenschutzgruppe möchte prüfen können, ob diese Genehmigungen konkret genug gefasst sind, um im Namen der nationalen Sicherheit die Grundrechte der Betroffenen einzuschränken. Daher sollten sowohl Anfragen der NSA an das Gericht, als auch Gerichtsentscheidungen offen gelegt werden.
• Desweiteren müsse das Verhältnis zwischen den Überwachungsprogrammen einerseits und den rechtlichen Pflichten von Unternehmen in Bezug auf den transnationalen Datentransfer andererseits überprüft werden. Es geht hierbei um die Safe Harbor Entscheidung (2000/520/EG) der Kommission, sowie um Standardvertragsklauseln und verbindliche Konzernregelungen. Zwar sehen die Safe Harbor Grundsätze eine Ausnahme für Gründe der nationalen Sicherheit vor. Dies jedoch nur im jeweils „erfoderlichen“ Rahmen und die Art. 29 Datenschutzgruppe hegt Zweifel daran, ob die nun bekannt gewordenen Informationen zu einer umfassenden und systematischen Überwachung des Internets und von EU-Bürgern noch von dieser Ausnahme gedeckt sein können.
• Zudem weisen die Datenschützer darauf hin, dass nach Art. 3 Abs. 1 b) der Safe Harbor Entscheidung den nationalen Datenschutzbehörden die Befugnis zusteht, bestimmte Datentransfers in Drittländer zu untersagen, wenn eine hohe Wahrscheinlichkeit für eine Verletzung der Safe Harbor Grundsätze bestehe und wenn die fortgesetzte Datenübermittlung für die betroffenen Personen das unmittelbar bevorstehende Risiko eines schweren Schadens schaffen würden.
• Auch müsse überprüft werden, ob die amerikanischen Überwachungsprogramme mit europäischem und internationalem Recht vereinbar sind. Hierzu gehört sowohl der internationale Pakt über bürgerliche und politische Rechte sowie das Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten des Europarates. Die Datenschützer gehen davon aus, dass die derzeitige Tätigkeit der Überwachung und des Zugriffs auf Daten von Nicht-Amerikanern wahrscheinlich gegen das Übereinkommen über Computerkriminalität des Europarates verstößt.
• Zudem müsse der Rechtsschutz für Nicht-Amerikaner näher untersucht werden. Denn derzeit besteht etwa für Europäer keine Möglichkeit eine Verletzung ihrer Grundrechte vor einem Gericht in den USA geltend zu machen.
• Zuletzt weist die Art. 29 Datenschutzgruppe darauf hin, dass sie nicht nur die Nutzung von geheimen Überwachungsprogrammen durch die USA selbst, sondern auch den Umgang und die Weiterverarbeitung von hierdurch nach Europa gelangte Informationen in den europäischen Mitgliedstaaten untersuchen wird. Auch näher prüfen möchten die Datenschützer ähnliche europäische Programme, wie etwa Tempora in Großbritannien.

Fazit
Die europäischen Datenschutzbehörden melden sich nach langem Schwiegen zu Wort und fordern weitere Aufklärung. Zudem verweisen sie explizit auf ihre Absicht, eigene Untersuchungen, auch in den europäischen Mitgliedstaaten, vorzunehmen. Inwieweit jedoch alle Forderungen und Fragen der Art. 29 Datenschutzgruppe tatsächlich beantwortet werden, wird abzuwarten sein. Denn Einfluss auf die amerikanische Politik und eine mögliche bessere Transparenz in Bezug auf die Geheimdienstaktivitäten zu nehmen, wird letzlich alleindie Entscheidung der amerikanischen Regierung bleiben.