Am 5. Juli hat das Parlament der Europäischen Union der EU-Kommission geraten, das sogenannte EU-US Privacy Shield auszusetzen. Damit erneuert und verhärtet das EU-Parlament seine Position zu den im Privacy Shield vorgesehenen Datenschutz-Richtlinien für US-Unternehmen, die Daten von EU-Bürgern verarbeiten und speichern. Schon im Oktober letzten Jahres hatte das EU-Parlament eine Liste mit 10 Empfehlungen veröffentlicht, die auf Lücken und Schwächen im Privacy Shield hinwiesen.

In der Empfehlung an die EU-Kommission wies das Parlament besonders darauf hin, dass die US-Administration es bisher nicht geschafft hat, zwei Kernelemente des Privacy Shields umzusetzen. So gibt es beispielsweise noch immer keinen Ombudsmann, der das U.S. Privacy Civil Liberties Oversight Board (PCLOB) führt, geschweige denn gibt es Mitglieder in diesem Board. Damit fehlt EU-Bürgern ein Ansprechpartner im Falle von Datenschutzverletzungen und somit die Möglichkeit, den eigenen Rechten auch in den USA überhaupt Gehör zu verschaffen.

Privacy Shield löst Safe Harbor ab

Zur Erinnerung: Privacy Shield wurde als Ersatz für das Safe Harbor-Abkommen eingeführt. Safe Harbor kippte, weil der Europäische Gerichtshof 2015 der Klage des österreichischen Juristen Maximilian Schrems stattgegeben hatte. Die Safe Harbor-Regeln sollten einen ’sicheren Datenhafen‘ für sensible Daten auch außerhalb der EU schaffen, damit diese Daten zum Beispiel in den USA weiterverarbeitet werden konnten. Ausgelöst durch die Snowden-Veröffentlichungen (insbesondere PRISM) wurde dieses Abkommen überprüft und schließlich durch Privacy Shield ersetzt.

EU-Parlament bestätigt Einschätzung: Sensible Daten sind bei US-Firmen nicht sicher

Wie bereits in meinem letzten Blog-Beitrag erläutert, sollten sensible aber auch sicherheitsrelevante Daten eines Unternehmens Europa nicht mehr verlassen. Die Einschätzung des Parlaments verstärkt die Dringlichkeit für den Datenschutz. Sicherheitsrelevante Daten wie Intellectual Property oder administrative Zugänge wie Domain-Passwörter sollten nicht zu Cloud-Anbietern in die USA gegeben werden. Der Cloud Act und Privacy Shield sind nicht vereinbar.

Mehr Information zur Resolution des EU-Parlaments ist hier veröffentlicht, eine Analyse finden Sie hier (in Englisch).