CIA-Skandal überschattet neues Datentransferabkommen EU-USA

Die neue „Transatlantische Datenschutzrahmenvereinbarung“ sieht allen Ernstes eine unabhängige Überprüfungsinstanz für die Nachrichtenaufklärung durch CIA und NSA in diesen Daten auf „Notwendigkeit und Ausgewogenheit“ vor.

Von Erich Moechel

Am Freitag trafen EU-Justizkommissar Didier Reynders und Finanzministerin Gina Raimondo zu Gesprächen über ein neues transatlantisches Abkommen zum sicheren Datentransfer in die USA zusammen. 2020 hatte der EU-Gerichtshof bekanntlich das Abkommen „Privacy Shield“ für sicheren Datenaustausch mit den USA gekippt, da es keinen Schutz vor Zugriffen durch die US-Geheimdienste biete.

Das Treffen wurde vom jüngsten CIA-Datenskandal rund um das SWIFT-Finanzdatensysten überschattet. An allen Aufsichtsorganen im US-Kongress vorbei hatte die CIA seit 2016 bis mindestens 2021 massive Finanzdatensätze aus dem europäischen SWIFT-System zum Data-Mining abgezogen. Der US-Senatsausschuss zur Geheimdienstkontrolle wurde drüber erst Anfang 2022 informiert.

Transatlantische Datenflüsse

Gemeinsame Erklärung gab es nach dem Gedankenaustausch bis jetzt keine, Reynders äußerte sich zum Treffen nur kurz auf Twitter. Das Gespräch habe „die sehr guten Fortschritte in den Diskussionen über transatlantische Datenflüsse“ zum Inhalt gehabt. Bald sei man in der Lage, die nächsten Schritte anzugehen. Raimondo vermerkte „Fortschritte in der Diskussion über transatlantische Datenflüsse“ und sprach nicht über die bevorstehenden nächsten Schritte, sondern nur allgemein darüber, dass man zusammen eine inklusive Digitalökonomie für Firmen und Konsumenten aus den USA und Europa errichten wolle. Nach einem baldigen Abschluss der Verhandlungen klingt das eher nicht.

Parallel zu diesen transatlantischen Verhandlungen über einen Nachfolgevertrag von „Safe Harbor“ und „Privacy Shield“ läuft nämlich gerade eine Überprüfung der im Rahmen des TFTP-Vertrags anfallenden transatlantischen Datenflüsse. Im Rahmen dieses Abkommens werden von Europol bekanntlich laufend massive Datensätze aus dem SWIFT-Finanztransaktionssystem zur Durchsuchung an das US-Finanzministerium übermittelt. Die folgende Durchsuchung dieser massiven Datensätze aus dem europäischen SWIFT-System findet unter Aufsicht eines EU-Notars statt, es darf nur nach Namen und Firmen gesucht werden, Data-Mining ist ebenso strikt verboten wie jede Weitergabe. Dazu gibt es detaillierte Löschvorschriften, dass behauptet werden kann, dass alles rechtskonform passiert.

„Transatlantischer Datenschutzrahmenvertrag“

Erst Ende Jänner kam dann der tatsächliche Sachverhalt durch eine Intervention zweier US-Senatoren (siehe oben) an die Öffentlichkeit. Nachdem alle diese oben beschriebenen transatlantischen Sicherheitsrituale absolviert waren, gingen diese massiven Datensätze in Kopie regelmäßig an den Auslandsgeheimdienst CIA. Dabei wurden alle Regeln und Meldepflichten des US-Senats zum Schutz von US-Staatsbürgern ignoriert, zumal für alle US-Auslandsgeheimdienste ein striktes Verbot durch die Verfassung gilt, die eigenen Staatsbürger zu bespitzeln. Tatsächlich stammten diese riesigen Datensätze aus dem europäischen Teil des internationalen Finanztransaktionssystems SWIFT.

Unter diesen nicht eben günstigen Auspizien verhandelt die Europäische Union nun mit den USA über ein neues Abkommen zu transatlantischen Datentransfers. Diese neue „Transatlantische Datenschutzrahmenvereinbarung“ (Trans-Atlantic Data Privacy Framework) soll garantieren, dass die Daten von EU-Bürger:innen, die in den USA gespeichert werden, den Auflagen der Datenschutzgrundverordnung entsprechend abgesichertt sind. In einer gemeinsamen Erklärung nach dem letzten hochrangigen Treffen Ende März war bereits eine grundsätzliche Einigung verlautbart worden.

Die nächste transatlantische Datenfarce

Und nun, da sich auch bis zur EU-Kommission herumgesprochen haben muss, dass die CIA auch die gesetzlichen Vorgaben in den USA im Zweifelsfall ignoriert, wenn sie einer ihrer „Missions“ im Wege stehen, strebt die Kommission ein Abkommen an, wie folgt. Für das „Trans-Atlantic Data Privacy Framework“ würden die USA neue Absicherungsmaßnahmen einziehen, um zu garantieren, dass „Maßnahmen der Nachrichtenaufklärung notwendig und ausgewogen im Sinne der nationalen Sicherheitsinteressen“ seien. Außerdem sei „eine rigorose, mehrstufige Überwachung der Aktivitäten zur Nachrichtenaufklärung“ durchzuführen, um „die Einhaltung der Einschränkungen für Nachrichtenaufklärung“ zu gewährleisten.

Nicht zu vergessen, ein „Rechtsschutzmechanismus durch eine unabhängige Instanz mit der Befugnis, Maßnahmen zur Entschädigung und Wiedergutmachung einzuleiten“ sei ebenfalls einzuleiten. Offenbar soll das dazu dienen, dass sich Proportionalität und Notwendigkeit die Waage halten, und das gleich auf zwei Ebenen, wohl um das Abkommen durch eine solchermaßen garantierte doppelte Rechtskonformität gegen ein mögliches „Schrems III“-Verfahren abzusichern.