umwelt-online: Durchführungsbeschluss (EU) 2016/1250 vom 12. Juli 2016 gemäß der Richtlinie 95/46/EG über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes (2)

.

In dieser Anlage I sind die Bedingungen aufgeführt, unter denen dem Datenschutz angehörende Organisationen zur Behandlung von Ansprüchen im Schiedsverfahren nach dem Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung verpflichtet sind. Die im Folgenden beschriebene Möglichkeit des verbindlichen Schiedsverfahrens bezieht sich auf bestimmte "Restansprüche" in Bezug auf Daten, die unter den EU-US-Datenschutzschild fallen. Damit soll Privatpersonen ein zeitnaher, unabhängiger und fairer Mechanismus bereitgestellt werden, der sich mit geltend gemachten Verstößen gegen die Grundsätze befasst, die nicht von einem der gegebenenfalls in Anspruch genommenen anderen Mechanismen des Datenschutzschilds geklärt werden konnten.

A. Anwendungsbereich

Mit dem Schiedsverfahren können Privatpersonen bei Restansprüchen feststellen lassen, ob eine dem Datenschutzschild angehörende Organisation ihre Pflichten im Rahmen der Grundsätze gegenüber der betreffenden Person verletzt hat und ob diese Verletzung vollständig oder teilweise ungeahndet bleibt. Diese Option steht nur für diese Zwecke zur Verfügung, nicht jedoch beispielsweise bei den geregelten Abweichungen von den Grundsätzen ¹ oder im Hinblick auf eine Behauptung zur Angemessenheit des Datenschutzschilds.

B. Verfügbare Abhilfemaßnahmen

Im Rahmen dieses Schiedsverfahrens ist das Datenschutzschild-Panel (bestehend aus einem oder drei von den Parteien ausgewählten Schiedsrichtern) befugt, einzelfallabhängige nichtmonetäre billigkeitsrechtliche Ansprüche (wie z.B. Zugang, Korrektur, Löschung oder Rückgabe der betreffenden Daten der Person) anzuerkennen, um die Verstöße gegen die Grundsätze abzustellen. Dieses sind die einzigen Befugnisse des Schiedsforums in Bezug auf Abhilfemaßnahmen. Bei der Prüfung von Abhilfemaßnahmen muss das Schiedsforum andere bereits von anderen Mechanismen im Rahmen des Datenschutzschilds verhängte Abhilfemaßnahmen berücksichtigen. Schadenersatz, Kosten, Gebühren oder andere derartige Maßnahmen sind nicht verfügbar. Jede Partei muss selbst für die anfallenden Anwaltsgebühren aufkommen.

C. Voraussetzungen für das Schiedsverfahren

Wer das Schiedsverfahren in Anspruch nehmen möchte, muss vor der Einleitung einer Schiedsklage 1) den behaupteten Verstoß direkt bei der Organisation geltend machen und der Organisation Gelegenheit geben, die Angelegenheit innerhalb der in Abschnitt III.11 d)i) der Grundsätze aufgeführten Frist zu klären, 2) das kostenlose unabhängige Beschwerdeverfahren im Rahmen der Grundsätze in Anspruch nehmen und 3) die Angelegenheit kostenlos über seine zuständige Datenschutzbehörde dem Handelsministerium zuleiten und dem Handelsministerium die Gelegenheit geben, die Angelegenheit nach Möglichkeit innerhalb der im Schreiben der International Trade Administration des Handelsministeriums gesetzten Frist zu klären.

Das Schiedsverfahren kann nicht in Anspruch genommen werden, wenn der von der Person geltend gemachte Verstoß 1) bereits Gegenstand eines verbindlichen Schiedsverfahrens war, 2) Gegenstand eines rechtskräftigen Urteils in einem Gerichtsverfahren mit der Person als Prozesspartei war oder 3) von den Parteien bereits geregelt wurde. Darüber hinaus kann das Schiedsverfahren nicht in Anspruch genommen werden, wenn eine EU-Datenschutzbehörde 1) gemäß Abschnitt III.5 oder III.9 der Grundsätze zuständig ist oder 2) befugt ist, den geltend gemachten Verstoß direkt mit der Organisation zu klären. Die Befugnis einer Datenschutzbehörde, den gleichen Anspruch gegen einen für die Verarbeitung Verantwortlichen in der EU geltend zu machen, schließt die Inanspruchnahme des Schiedsverfahrens gegen eine nicht an die Befugnis der Datenschutzbehörde gebundene andere rechtliche Einheit allein nicht aus.

D. Verbindlichkeit von Schiedssprüchen

Die Entscheidung einer Einzelperson, dieses verbindliche Schiedsverfahren in Anspruch zu nehmen, ist vollkommen freiwillig. Die Schiedssprüche sind für alle beteiligten Parteien verbindlich. Mit der Inanspruchnahme verzichtet die betreffende Person auf die Möglichkeit, ein anderes Forum mit der Klärung des geltend gemachten Verstoßes zu befassen; wenn jedoch diesem Verstoß mit der Anerkennung nichtmonetärer Ansprüche nicht vollständig abgeholfen wird, kann die betreffende Person dennoch Schadensersatzansprüche vor Gericht geltend machen.

E. Überprüfung und Durchsetzung

Privatpersonen und dem Datenschutzschild angehörende Organisationen können eine gerichtliche Überprüfung und Durchsetzung der Schiedsentscheidungen nach US-Recht gemäß Federal Arbitration Act beantragen ². Derartige Fälle müssen bei dem Bundesbezirksgericht eingereicht werden, dessen territoriale Zuständigkeit sich auf den Hauptgeschäftsort der dem Datenschutzschild angehörenden Organisation erstreckt.

Mit diesem Schiedsverfahren sollen individuelle Streitigkeiten geklärt werden, und die Schiedsentscheidungen sollen nicht als zur Nachahmung empfohlener oder verbindlicher Präzedenzfall bei Angelegenheiten anderer Parteien dienen, einschließlich bei künftigen Schiedsverfahren oder an Gerichten der EU oder der USA oder in Verfahren der FTC.

F. Das Schiedsforum

Die Parteien wählen die Schiedsrichter aus dem im Folgenden erörterten Verzeichnis der Schiedsrichter aus.

Nach geltendem Recht erstellen das US-Handelsministerium und die Europäische Kommission ein Verzeichnis mit mindestens 20 Schiedsrichtern, die aufgrund ihrer Unabhängigkeit, Integrität und Sachkenntnis ausgewählt werden. Dafür gilt Folgendes:

Die Schiedsrichter

1) verbleiben für einen Zeitraum von 3 Jahren in dem Verzeichnis, sofern keine außergewöhnlichen Umstände oder wichtigen Gründe vorliegen; dieser Zeitraum kann um weitere drei Jahre verlängert werden;

2) sind gegenüber einer der Parteien oder einer dem Datenschutzschild angehörigen Organisation bzw. gegenüber den USA, der EU oder einem EU-Mitgliedstaat oder einer anderen Regierungsbehörde, öffentlichen Behörde oder Strafverfolgungsbehörde weder weisungsgebunden noch anderweitig verpflichtet;

3) müssen als Rechtsanwalt in den USA zugelassen und im US-Privatrecht bewandert sein und Sachkenntnis im EU-Datenschutzrecht aufweisen.

G. Schiedsverfahren

Im Einklang mit dem geltenden Recht vereinbaren das Handelsministerium und die Europäische Kommission innerhalb von 6 Monaten nach Annahme des Angemessenheitsbeschlusses die Übernahme einer Reihe von bestehenden, etablierten US-Schiedsverfahren (wie z.B. AAA oder JAMS) zur Regelung des Verfahrens vor dem Datenschutzschild-Panel, wobei die folgenden Aspekte zugrunde gelegt werden:

1. Eine Person kann vorbehaltlich der vorstehend aufgeführten Voraussetzungen ein verbindliches Schiedsverfahren einleiten, indem sie der Organisation eine Mitteilung zukommen lässt. Die Mitteilung enthält eine Zusammenfassung der gemäß Abschnitt C unternommenen Schritte zur Klärung einer Beschwerde, eine Beschreibung des geltend gemachten Verstoßes und, nach eigener Wahl, Belegunterlagen und -materialien und/oder eine Rechtserörterung mit Bezug zum geltend gemachten Verstoß.
2. Es werden Verfahren entwickelt, die sicherstellen, dass für einen geltend gemachten Verstoß nicht mehrere Verfahren geführt oder mehrere Abhilfemaßnahmen getroffen werden.
3. Die FTC kann parallel zum Schiedsverfahren tätig werden.
4. An den Schiedsverfahren dürfen keine Vertreter der USA, der EU oder eines EU-Mitgliedstaats oder einer anderen Regierungsbehörde, staatlichen Behörde oder Strafverfolgungsbehörde teilnehmen, wobei auf Antrag einer Person aus der EU die EU-Datenschutzbehörden Hilfe bei der Erstellung ausschließlich der Mitteilung leisten können, jedoch keinen Zugang zu Offenlegungen und anderen Materialien in Bezug auf diese Schiedsverfahren haben dürfen.
5. Ort des Schiedsverfahrens sind die Vereinigten Staaten, und die betroffene Person kann sich für eine Teilnahme per Video oder Telefonkonferenz entscheiden, die für sie mit keinen Kosten verbunden ist. Eine persönliche Anwesenheit ist nicht erforderlich.
6. Verfahrenssprache ist Englisch, wenn von den Parteien nicht anders vereinbart. Auf einen begründeten Antrag hin und unter Berücksichtigung dessen, ob sich die Person von einem Anwalt vertreten lässt, werden Dolmetscher für die mündliche Verhandlung sowie Übersetzungen der Verfahrensunterlagen bereitgestellt, ohne dass sich daraus Kosten für die Person ergeben, es sei denn, das Panel gelangt in einem konkreten Fall zu dem Schluss, dass eine Kostenübernahme nicht gerechtfertigt oder unverhältnismäßig wäre.
7. Den Schiedsrichtern vorgelegte Unterlagen werden vertraulich behandelt und nur in Verbindung mit dem Schiedsverfahren genutzt.
8. Wenn erforderlich, kann eine die Person betreffende Offenlegung zugelassen werden, wobei diese Offenlegung von den Parteien vertraulich behandelt und nur in Verbindung mit dem Schiedsverfahren genutzt wird.
9. Schiedsverfahren sollen innerhalb von 90 Tagen nach Zustellung der Mitteilung an die betreffende Organisation abgeschlossen werden, sofern von den Parteien nicht anderweitig vereinbart.

H. Kosten

Die Schiedsrichter sollen angemessene Maßnahmen zur Minimierung der Kosten oder Gebühren der Schiedsverfahren ergreifen.

Nach Maßgabe des geltenden Rechts wird das Handelsministerium in Abstimmung mit der Europäischen Kommission die Einrichtung eines Fonds ermöglichen, in den die dem Datenschutzschild angehörenden Organisationen einen Jahresbeitrag einzahlen, der sich zum Teil nach der Größe der Organisation richtet und die Schiedskosten, einschließlich Schiedsrichtergebühren, bis zu einer Obergrenze deckt. Der Fonds wird von einem Dritten verwaltet, der regelmäßig über die Tätigkeit des Fonds Bericht erstattet. Bei der jährlichen Überprüfung werden das Handelsministerium und die Europäische Kommission die Tätigkeit des Fonds, einschließlich der Notwendigkeit einer Anpassung des Beitrags oder der Obergrenze, kontrollieren und unter anderem die Anzahl der Schiedsverfahren sowie deren Kosten und Dauer prüfen, und zwar im gegenseitigen Einvernehmen, dass den am Datenschutzschild teilnehmenden Organisationen keine übermäßige finanzielle Belastung auferlegt wird. Rechtsanwaltsgebühren sind von dieser Bestimmung oder einem anderen Fonds im Rahmen dieser Bestimmung nicht erfasst.

.

7. Juli 2016

Sehr geehrte Frau Jourová,

es freut mich sehr, dass wir eine Einigung zum Datenschutzschild zwischen der Europäischen Union und den USA erzielen konnten, die auch eine Ombudsstelle beinhaltet, bei der EU-Behörden Auskunftsbegehren von EU-Bürgern im Zusammenhang mit signalerfassender Aufklärung in den USA einreichen können.

Präsident Barack Obama hat am 17. Januar 2014 in der Presidential Policy Directive 28 (PPD-28) eine grundlegende Reform der Nachrichtendienste angekündigt. Im Rahmen der PPD-28 habe ich Under-Secretary Catherine A. Novelli, die ebenfalls das Amt eines Senior Coordinator für internationale Diplomatie im Bereich der Informationstechnologie bekleidet, zur Ansprechpartnerin für ausländische Regierungen benannt, die Bedenken im Zusammenhang mit der US-Signalaufklärung vorbringen. Ausgehend von dieser Funktion habe ich in Übereinstimmung mit den in Anlage A festgelegten Bestimmungen, die seit meinem Schreiben vom 22. Februar 2016 aktualisiert wurden, eine Ombudsstelle des Datenschutzschilds ins Leben gerufen. Dieses Amt wird von Under-Secretary Novelli bekleidet, die unabhängig von den Nachrichtendiensten in den USA arbeitet und mir direkt unterstellt ist.

Meine Mitarbeiter sind angewiesen, die erforderlichen Ressourcen für die Einrichtung dieser neuen Ombudsstelle einzusetzen, und ich bin überzeugt, dass wir den Bedenken der EU-Bürger auf diese Weise wirksam begegnen können.

Hochachtungsvoll

John F. Kerry

.

In Anerkennung der Bedeutung des EU-U.S.-Datenschutzschilds gibt die vorstehende Absichtserklärung einen Überblick über das Verfahren zur Umsetzung eines neuen Mechanismus für die signalerfassende Aufklärung, der mit der Presidential Policy Directive 28 ("PPD-28") im Einklang steht ¹.

Am 17. Januar 2014 hielt Präsident Obama eine Ansprache, in der er wichtige Reformen im Bereich Nachrichtendienste in Aussicht stellte. Dabei betonte er: "Unsere Bemühungen tragen nicht nur zum Schutz unserer eigenen Nation bei, sondern auch zu dem unserer Freunde und Verbündeten. Wirksam werden unsere Bemühungen aber nur dann sein, wenn die normalen Bürger in anderen Ländern ebenfalls darauf vertrauen, dass die Vereinigten Staaten ihre Privatsphäre respektieren." Präsident Obama kündigte die Veröffentlichung einer neuen Presidential Directive, der "PPD-28", an mit "klaren Vorschriften dazu, was wir unternehmen und was nicht, wenn es um unsere Auslandsaufklärung geht".

In § 4 Buchstabe d der PPD-28 wird der Außenminister beauftragt, einen "Senior Coordinator for International Information Technology Diplomacy" (Senior Coordinator) zu benennen, "der ... als Ansprechpartner für ausländische Regierungen fungiert, die Bedenken im Zusammenhang mit der Signalaufklärung der Vereinigten Staaten vorbringen." Seit Januar 2015 nimmt Under Secretary C. Novelli die Aufgaben des Senior Coordinators wahr.

In der vorliegenden Absichtserklärung wird der vom Senior Coordinator befolgte neue Mechanismus beschrieben, der bei Daten, die gemäß dem Datenschutzschild, den Standardklauseln (standard contractual clauses, SCC), den verbindlichen unternehmensinternen Datenschutzregelungen (binding corporate rules, BCR) sowie den "Ausnahmeregelungen" ² oder "etwaigen künftigen Ausnahmeregelungen" ³ von der EU unter Einhaltung des dafür bestehenden Weges laut geltendem Recht und bestehender Auslegungspraxis in die Vereinigten Staaten übermittelt werden, die Bearbeitung von Anfragen zum Zugriff auf Daten, die die nationale Sicherheit betreffen, und die Beantwortung solcher Anfragen erleichtern soll.

1. Die Ombudsperson des Datenschutzschilds: Der Senior Coordinator fungiert als Ombudsperson des Datenschutzschilds und benennt gegebenenfalls zusätzliche Beamte des Außenministeriums, die ihn bei der Wahrnehmung seiner in dieser Absichtserklärung im Einzelnen dargelegten Pflichten unterstützen (der Koordinator und etwaige weitere Beamte, die diese Aufgaben wahrnehmen, werden nachstehend als "Ombudsstelle des Datenschutzschilds" bezeichnet). Die Einrichtung arbeitet eng mit den jeweiligen Beamten aus anderen Regierungsstellen zusammen, die dem geltendem Recht und der bestehenden Auslegungspraxis der Vereinigten Staaten entsprechend für die Bearbeitung von Anträgen zuständig sind. Die Ombudsstelle untersteht unmittelbar dem Außenminister, der dafür Sorge trägt, dass die Ombudsstelle ihre Aufgabe objektiv und frei von unzulässiger Einflussnahme erfüllt, die sich auf die zu erteilende Antwort auswirken kann.

2. Wirksame Koordinierung: Die Ombudsstelle setzt die nachstehend beschriebenen Kontrollstellen wirksam ein, koordiniert sie und stellt auf diese Weise sicher, dass sich die Antwort der Ombudsstelle auf Anträge der EU-Stelle für Individualbeschwerden auf die erforderlichen Informationen stützt. Bezieht sich der Antrag auf die Vereinbarkeit der Überwachung mit dem US-Recht, kann die Ombudsstelle des Datenschutzschilds mit einer der unabhängigen Kontrollstellen mit Ermittlungsbefugnissen zusammenarbeiten.

1. Die Ombudsstelle des Datenschutzschilds arbeitet eng mit anderen Regierungsbeamten der Vereinigten Staaten, unter anderem auch mit entsprechenden unabhängigen Aufsichtsgremien, zusammen und stellt sicher, dass die eingegangenen Anträge vollständig sind und dem geltenden Recht und der bestehenden Auslegungspraxis entsprechend bearbeitet und geklärt werden. Insbesondere sorgt die Ombudsstelle für eine enge Koordinierung mit dem Amt des Director of National Intelligence, dem Justizministerium und den anderen Regierungsstellen, die entsprechend mit der nationalen Sicherheit der Vereinigten Staaten befasst sind, sowie den Generalinspekteuren, den Beauftragten für den Freedom of Information Act und den Bürgerrechts- und Datenschutzbeauftragten.
2. Damit gewährleistet ist, dass die Ombudsstelle des Datenschutzschilds im Sinne von § 4 Buchstabe e auf die eingegangenen Anträge nach § 3 Buchstabe b zu reagieren vermag, vertraut die Regierung der Vereinigten Staaten auf Mechanismen zur ressortübergreifenden Koordinierung und Überwachung von Angelegenheiten der nationalen Sicherheit.
3. Die Ombudsstelle des Datenschutzschilds kann Anträge betreffende Angelegenheiten dem Privacy and Civil Liberties Oversight Board zur Prüfung vorlegen.

3. Einreichung von Anträgen:

1. Ein Antrag wird zunächst bei den für die Überwachung der nationalen Sicherheitsbehörden und/oder die Verarbeitung von personenbezogenen Daten durch Behörden zuständigen Aufsichtsstellen der Mitgliedstaaten eingereicht. Die Einreichung des Antrags bei der Ombudsstelle erfolgt durch eine zentrale EU-Stelle (im Folgenden zusammen "EU-Stelle für Individualbeschwerden").
2. Die EU-Stelle für Individualbeschwerden stellt mit den nachstehenden Maßnahmen sicher, dass ein Antrag ordnungsgemäß abgefasst ist:
   1. Sie überprüft die Identität der betreffenden Privatperson und die Tatsache, dass diese im eigenen Namen und nicht als Vertreter/in einer staatlichen oder zwischenstaatlichen Organisation handelt.
   2. Sie stellt sicher, dass der Antrag schriftlich abgefasst ist und die folgenden grundlegenden Informationen enthält:
      • alle Informationen, die dem Antrag zugrunde liegen,
      • die Art der Information oder der angestrebten Abhilfe,
      • die Regierungsstellen der Vereinigten Staaten, die gegebenenfalls beteiligt sein sollen, und
      • sonstige Maßnahmen, die ergriffen wurden, um die erbetenen Informationen bzw. die angestrebte Abhilfe zu erlangen, und das Ergebnis dieser sonstigen Maßnahmen.
   3. Sie prüft, ob der Antrag sich auf Daten bezieht, bei denen begründet davon ausgegangen werden kann, dass sie gemäß Datenschutzschild, SCC, BCR, Ausnahmeregelungen oder etwaigen künftigen Ausnahmeregelungen von der EU in die Vereinigten Staaten übermittelt wurden.
   4. Sie trifft eine erste Feststellung, dass der Antrag nicht schikanös oder missbräuchlich ist bzw. nicht bösgläubig erfolgte.
3. Um für die Zwecke der weiteren Bearbeitung durch die Ombudsstelle des Datenschutzschilds im Sinne dieser Absichtserklärung abgefasst zu sein, muss ein Antrag nicht den Nachweis enthalten, dass tatsächlich im Wege der Signalaufklärung ein Zugriff der US-Regierung auf die Daten des Antragstellers erfolgt ist.

4. Zusagen zur Kommunikation mit der vorlegenden EU-Stelle für Individualbeschwerden

1. Die Ombudsstelle des Datenschutzschilds bestätigt den Eingang des Antrags gegenüber der EU-Stelle für Individualbeschwerden, durch die die Übermittlung erfolgte.
2. Die Ombudsstelle des Datenschutzschilds nimmt eine erste Prüfung vor, um festzustellen, ob der Antrag in Übereinstimmung mit Abschnitt 3 Buchstabe b abgefasst wurde. Stellt die Ombudsstelle irgendwelche Unzulänglichkeiten fest oder hat sie Fragen zur Abfassung eines Antrags, so setzt sie sich mit der EU-Stelle für Individualbeschwerden in Verbindung und versucht, die betreffenden Fragen zu klären.
3. Benötigt die Ombudsstelle des Datenschutzschilds zur Erleichterung der angemessenen Bearbeitung eines Antrags weitere Informationen oder müssen von der Privatperson, die den Antrag ursprünglich einreichte, besondere Maßnahmen ergriffen werden, so setzt die Ombudsstelle des Datenschutzschilds die vorlegende EU-Stelle für Individualbeschwerden hiervon in Kenntnis.
4. Die Ombudsstelle des Datenschutzschilds überprüft den Status des Antrags und stellt für die vorlegende EU-Stelle für Individualbeschwerden entsprechende Aktualisierungen bereit.
5. Sobald ein Antrag wie in Abschnitt 3 dieser Absichtserklärung beschrieben abgefasst wurde, sendet die Ombudsstelle des Datenschutzschilds vorbehaltlich der andauernden Informationsschutzverpflichtung nach geltendem Recht und bestehender Auslegungspraxis zeitnah eine angemessene Antwort an die vorlegende EU-Stelle für Individualbeschwerden. Die Ombudsstelle lässt der vorlegenden EU-Stelle eine Antwort zukommen, in der sie bestätigt, dass (i) die Beschwerde ordnungsgemäß geprüft wurde und dass (ii) die US-Gesetze und -Rechtsvorschriften, Executive Orders, Presidential Directives und die Auslegungspraxis der Behörden mit den im ODNI-Schreiben dargelegten Einschränkungen und Garantien eingehalten wurden bzw. dass - im Falle der Nichteinhaltung - diese Nichteinhaltung abgestellt wurde. Durch die Ombudsstelle wird weder bestätigt noch bestritten, dass die betreffende Privatperson Ziel einer Überwachungsmaßnahme war, noch bestätigt die Ombudsstelle die spezielle Abhilfe, die geleistet wurde. Wie in Abschnitt 5 weiter erläutert wird, werden Anträge im Rahmen des Freedom of Information ACTS so bearbeitet, wie in diesem Gesetz und den geltenden Bestimmungen vorgesehen.
6. Die Ombudsstelle des Datenschutzschilds nimmt unmittelbaren Kontakt zur EU-Stelle für Individualbeschwerden auf, die ihrerseits für den Kontakt zu der Privatperson, die den Antrag einreichte, verantwortlich ist. Ist der unmittelbare Kontakt Bestandteil eines der nachstehend beschriebenen Verfahren, so erfolgt dieser Kontakt den vorhandenen Verfahren entsprechend.
7. Die Zusagen in dieser Absichtserklärung gelten nicht für pauschale Aussagen, wonach der EU-U.S.-Datenschutzschild den Datenschutzanforderungen der Europäischen Union nicht entspreche. Sie wurden ausgehend von dem gemeinsamen Verständnis der Europäischen Kommission und der US-Regierung getroffen, dass es in Anbetracht der Bandbreite der im Rahmen dieses Mechanismus erteilten Zusagen möglicherweise zu ressourcenbedingten Einschränkungen kommen könnte, unter anderem bei Anträgen im Zusammenhang mit dem Freedom of Information Act (FOIA). Sollte die Wahrnehmung der Aufgaben der Ombudsstelle des Datenschutzschilds über die vertretbaren ressourcenbedingten Einschränkungen hinausgehen und die Erfüllung dieser Zusagen erschweren, so wird die US-Regierung der Europäischen Kommission gegenüber etwaige Anpassungen zur Sprache bringen, die unter diesen Umständen angebracht sind.

5. Auskunftsbegehren: Anträge auf Zugang zu amtlichen Unterlagen der Vereinigten Staaten können im Rahmen des Freedom of Information Act (FOIA) gestellt und bearbeitet werden.

1. Der FOIA bietet jedermann die Möglichkeit, den Zugang zu vorhandenen Unterlagen von Regierungsstellen zu beantragen, und zwar unabhängig von der Nationalität des Antragstellers. Dieses Gesetz ist kodifiziert im United States Code unter 5 U.S.C. § 552. Das Gesetz selbst kann zusammen mit zusätzlichen Informationen zum FOIA unter www.FOIA.gov und http://www.justice.gov/oip/foiaresources abgerufen werden. Jede Regierungsstelle hat einen verantwortlichen FOIA-Beauftragten, und auf ihrer öffentlichen Website finden sich Angaben dazu, wie ein FOIA-Antrag bei der betreffenden Stelle einzureichen ist. Die Behörden verfügen über gegenseitige Konsultationsverfahren zu FOIA-Anträgen, für die Unterlagen erforderlich sind, die von einer anderen Stelle vorgehalten werden.
2. Beispiele:
   1. Das Amt des Director of National Intelligence (ODNI) hat für das ODNI das ODNI-FOIA-Portal eingerichtet: http://www.dni.gov/index.php/about-this-site/foia. Dieses Portal enthält Angaben zur Übermittlung von Anträgen, zur Überprüfung des Status laufender Anträge und zum Zugang zu Informationen, die vom ODNI im Rahmen des FOIA freigegeben und veröffentlicht wurden. Auf dem FOIA-Portal des ODNI finden sich Links zu anderen FOIA-Websites für Nachrichtendienste: http://www.dni.gov/index.php/about-this-site/foia/other-ic-foiasites.
   2. Das Office of Information Policy des Justizministeriums stellt umfassende FOIA-Informationen bereit: http://www.justice.gov/oip. Dazu gehören nicht nur Angaben zur Weiterleitung von FOIA-Anträgen an das Justizministerium, sondern auch Hinweise für die US-Regierung zur Auslegung und Anwendung der FOIA-Anforderungen.
3. Gemäß FOIA gelten für den Zugang zu Regierungsunterlagen bestimmte detailliert aufgeführte Ausnahmeregelungen. Dazu zählen Einschränkungen des Zugriffs auf Informationen, die aus Gründen der nationalen Sicherheit der Geheimhaltung unterliegen, personenbezogene Informationen Dritter und Informationen, die strafrechtliche Ermittlungen betreffen, vergleichbar mit den Einschränkungen, die von den einzelnen EU-Mitgliedstaaten durch deren eigene Gesetze über den Zugang zu Informationen auferlegt werden. Diese Einschränkungen gelten für Amerikaner und für Nicht-Amerikaner gleichermaßen.
4. Bei Streitigkeiten im Zusammenhang mit der Freigabe von Unterlagen, die im Rahmen des FOIA angefordert werden, kann der Verwaltungsgerichtsweg eingeschlagen und anschließend ein Bundesgericht angerufen werden. Das Gericht hat de novo zu bestimmen, ob Unterlagen aus triftigen Gründen zurückgehalten werden (5 U.S.C. § 552 Buchstabe a Ziffer 4 Teil B), und kann die Behörden anweisen, Zugang zu Unterlagen zu gewähren. In einigen Fällen wurden von Gerichten die Behauptungen von Behörden zurückgewiesen, Informationen müssten zurückgehalten werden, weil sie aus Gründen der nationalen Sicherheit der Geheimhaltung unterliegen. Obwohl kein Schadensersatz geltend gemacht werden kann, können die Gerichte die Erstattung der Anwaltsgebühren zuerkennen.

6. Anträge auf Einleitung weiterer Maßnahmen: Ein Antrag unter Berufung auf eine Rechtsverletzung oder anderes Fehlverhalten wird den zuständigen Regierungsstellen der Vereinigten Staaten zugeleitet, darunter unabhängigen Überwachungsstellen, die befugt sind, den betreffenden Antrag zu prüfen und bei Verstößen gegen Vorschriften die nachstehend beschriebenen Maßnahmen zu ergreifen.

1. Generalinspekteure sind rechtlich unabhängig und verfügen über weitreichende Befugnisse zur Durchführung von Untersuchungen, Audits und Überprüfungen von Programmen, darunter auch bei Missbrauchsfällen oder Rechtsverstößen, und können Abhilfemaßnahmen empfehlen.
   1. In der geänderten Fassung des Inspector General Act von 1978 fungieren die Generalinspekteure (IG) auf Bundesebene als unabhängige und objektive Instanzen innerhalb der meisten Behörden, deren Aufgabe es ist, Verschwendung, Betrug und Missbrauch in den Programmen und Aktivitäten der jeweiligen Behörde zu bekämpfen. Zu diesem Zweck ist jeder IG für die Durchführung von Audits und Untersuchungen im Zusammenhang mit den Programmen und Aktivitäten seiner Behörde verantwortlich. Darüber hinaus sind die Generalinspekteure anleitend und koordinierend tätig, erteilen Empfehlungen für Maßnahmen zur Förderung von Wirtschaftlichkeit, Effizienz und Wirksamkeit, decken Betrug und Amtsmissbrauch in den Programmen und Aktivitäten ihrer Behörde auf und verhindern sie.
   2. Jeder Nachrichtendienst hat ein eigenes Büro des Generalinspekteurs, das unter anderem für die Kontrolle der Auslandsaufklärung zuständig ist. Mehrere Berichte von Generalinspekteuren zu nachrichtendienstlichen Programmen wurden veröffentlicht.
   3. Beispiele:
      • Das Büro des Generalinspekteurs der Intelligence Community (IC IG) wurde gemäß § 405des Intelligence Authorization Act of Fiscal Year 2010 eingerichtet. Das IC IG ist zuständig für IC-weite Audits, Untersuchungen, Inspektionen und Überprüfungen, bei denen alle nachrichtendienstliche Missionen betreffenden systemimmanenten Risiken, Schwachstellen und Unzulänglichkeiten ermittelt und aufgegriffen werden, um mit Blick auf IC-weite Einsparungen und Wirkungen Verbesserungen herbeizuführen. Das IC IG ist befugt, Beschwerden oder Informationen nachzugehen, die mutmaßliche Verstöße gegen Gesetze oder Rechtsvorschriften, Fälle von Verschwendung, Betrug und Amtsmissbrauch oder eine erhebliche oder besondere Gefahr für die öffentliche Gesundheit und Sicherheit im Zusammenhang mit nachrichtendienstlichen Programmen und Aktivitäten des ODNI und/oder der Intelligence Community betreffen. Das IC IG stellt Informationen darüber bereit, wie das IC IG unmittelbar kontaktiert werden kann, wenn ein Bericht übermittelt werden soll: http://www.dni.gov/index.php/about-this-site/contact-the-ig.
      • Das Büro des Generalinspekteurs (OIG) im U.S. Department of Justice (DOJ, Justizministerium) ist eine auf gesetzlicher Grundlage eingesetzte unabhängige Instanz, deren Aufgabe es ist, Verschwendung, Betrug, Amtsmissbrauch und Fehlverhalten in DOJ-Programmen und durch Bedienstete des Ministeriums aufzudecken und zu unterbinden und zur Wirtschaftlichkeit und Effizienz dieser Programme beizutragen. Das OIG untersucht mutmaßliche Straf- und Zivilrechtsverletzungen durch DOJ-Bedienstete und nimmt darüber hinaus Audits und Inspektionen zu DOJ-Programmen vor. Es ist zuständig für alle Beschwerden über Fehlverhalten von Bediensteten des Justizministeriums, unter anderem auch von Bediensteten des Federal Bureau of Investigation, der Drug Enforcement Administration, des Federal Bureau of Prisons, des U.S. Marshals Service, des Bureau of Alcohol, Tobacco, Firearms, and Explosives, der United States Attorneys Offices und der Bediensteten, die in anderen Bereichen oder Büros des Justizministeriums beschäftigt sind. (Die einzige Ausnahme besteht darin, dass Missbrauchsvorwürfe gegenüber einem Department Attorney oder Mitarbeiter der Strafverfolgungsbehörden, die sich auf die Wahrnehmung der Befugnisse des Department Attorney zur Durchführung von Ermittlungen, zur Austragung von Rechtsstreitigkeiten oder zur Rechtsberatung beziehen, in die Zuständigkeit des Office of Professional Responsibility des Ministeriums fallen.) Darüber hinaus wird der Generalinspekteur in § 1001 des USA Patriot Act, der am 26. Oktober 2001 Rechtskraft erlangte, angewiesen, Beschwerden gegen mutmaßliche Verletzungen von Bürgerrechten und bürgerlichen Freiheiten durch Bedienstete des Justizministeriums entgegenzunehmen und entsprechenden Informationen nachzugehen. Das OIG unterhält eine öffentliche Website - https://www.oig.justice.gov -, auf der auch eine "Hotline" zur Einreichung von Beschwerden zu finden ist: https://www.oig.justice.gov/hotline/index.htm.
2. Die Datenschutz- und Bürgerrechtsbeauftragten und -gremien innerhalb der US-Regierung sind ebenfalls mit entsprechenden Befugnissen ausgestattet. Beispiele:
   1. In § 803 der Durchführungsempfehlungen zum 9/11 Commission Act von 2007, kodifiziert im United States Code unter 42 U.S.C. § 2000-ee1, werden für bestimmte Ministerien und Behörden (darunter das Außenministerium, das Justizministerium und das ODNI) Datenschutz- und Bürgerrechtsbeauftragte eingeführt. § 803 besagt, dass diese Datenschutz- und Bürgerrechtsbeauftragten als Hauptratgeber fungieren, die unter anderem sicherstellen sollen, dass das betreffende Ministerium, die Behörde oder der Dienst über angemessene Verfahren verfügt, um sich mit Beschwerden von Privatpersonen auseinanderzusetzen, die dem Ministerium, der Behörde oder dem Dienst vorwerfen, gegen ihre Datenschutz- oder Bürgerrechte verstoßen zu haben.
   2. Das Büro des ODNI für Bürgerrechte und Datenschutz (ODNI's Civil Liberties and Privacy Office, ODNI CLPO) wird geleitet vom Bürgerrechtsbeauftragten des ODNI, eines Amtes, das durch den National Security Act von 1948 in der geänderten Fassung eingeführt wurde. Zu den Pflichten des ODNI CLPO gehört die Schaffung der notwendigen Vorausetzungen dafür, dass die Strategien und Verfahren der Nachrichtendienste einen angemessenen Schutz der Privatsphäre und der bürgerlichen Freiheiten vorsehen, sowie die Prüfung und Untersuchung von Beschwerden wegen mutmaßlichen Amtsmissbrauchs oder Verstößen gegen die Bürgerrechte und den Datenschutz in Programmen und Aktivitäten des ODNI. Das ODNI CLPO stellt auf seiner Website Informationen für die Öffentlichkeit bereit, darunter auch Hinweise dazu, wie Beschwerden einzureichen sind: www.dni.gov/clpo. Geht beim ODNI CLPO eine Beschwerde wegen eines Verstoßes gegen den Datenschutz oder die Bürgerrechte ein, bei der IC-Programme und -Aktivitäten eine Rolle spielen, so spricht es mit den anderen Nachrichtendiensten ab, wie mit dieser Beschwerde innerhalb der Intelligence Community weiter verfahren werden soll. Hierzu sei angemerkt, dass die National Security Agency (NSA) ebenfalls über ein Büro für Bürgerrechte und Datenschutz verfügt, das auf seiner Website - https://www.nsa.gov/civil_liberties/ - Angaben zu seinen Zuständigkeiten bereitstellt. Liegen Informationen vor, dass eine Behörde gegen die Datenschutzbestimmungen verstößt (als Beispiel sei § 4 der PPD-28 genannt), dann verfügen die Behörden über Compliance-Mechanismen, mit denen ein solcher Vorfall geprüft und ausgeräumt wird. Nach PPD-28 sind die Behörden gehalten, Fälle von Nichteinhaltung der Vorschriften an das ODNI zu melden.
   3. Das Büro für Datenschutz und Bürgerrechte (Office of Privacy and Civil Liberties, OPCL) des Justizministeriums unterstützt den Leitenden Datenschutz- und Bürgerrechtsbeauftragten (Chief Privacy and Civil Liberties Officer, CPCLO) des Ministeriums bei der Wahrnehmung seiner Pflichten und Zuständigkeiten. Hauptaufgabe des OPCL ist der Schutz der Privatsphäre und der Bürgerrechte der amerikanischen Bürger durch Überprüfung, Kontrolle und Koordinierung der Datenschutzaktivitäten des Ministeriums. Das OPCL sorgt für die juristische Beratung und Anleitung der Struktureinheiten des Ministeriums und stellt sicher, dass das Ministerium sich an die geltenden Datenschutzbestimmungen hält, unter anderem an den Privacy Act von 1974, die Datenschutzbestimmungen des E-Government Act von 2002 und auch den Federal Information Security Management Act sowie an die verwaltungspolitischen Richtlinien, die im Nachgang zu diesen Gesetzen erlassen wurden; darüber hinaus konzipiert das Büro Datenschutzschulungen des Ministeriums und führt diese durch, unterstützt den CPCLO bei der Weiterentwicklung der Datenschutzstrategie des Ministeriums, verfasst Datenschutzberichte für den Präsidenten und den Kongress und überprüft den praktischen Umgang des Ministeriums mit Informationen, damit sichergestellt ist, dass dabei der Datenschutz und die Bürgerrechte respektiert werden. Das OPCL informiert die Öffentlichkeit unter http://www.justice.gov/opcl über seine Aufgaben.
   4. Damit der Datenschutz und die Bürgerrechte gewährleistet sind, überprüft das Privacy and Civil Liberties Oversight Board gemäß 42 U.S.C. § 2000ee ff. kontinuierlich (i) die Strategien und Verfahren der Ministerien, der Behörden und der Exekutive im Zusammenhang mit den Bemühungen zum Schutz der Nation vor Terrorismus und deren Umsetzung sowie (ii) andere Aktivitäten der Exekutive in Verbindung mit diesen Maßnahmen, um festzustellen, ob bei diesen Aktivitäten Datenschutz und Bürgerrechte angemessen geschützt werden und mit den für diesen Bereich geltenden Gesetzen, Rechtsvorschriften und Strategien konform gehen. Es nimmt Berichte und andere Informationen von Datenschutz- und Bürgerrechtsbeauftragten entgegen, prüft diese und erteilt den Betreffenden gegebenenfalls Empfehlungen zu ihrer Tätigkeit. In § 803 der Durchführungsempfehlungen zum 9/11 Commission Act von 2007, kodifiziert unter 42 U.S.C. § 2000ee-1, werden die Datenschutz- und Bürgerrechtsbeauftragten von acht Bundesbehörden (darunter der Verteidigungsminister, der Minister für innere Sicherheit, der Director of National Intelligence und der CIA-Direktor) und etwaige zusätzliche Behörden, die vom Board benannt werden, angewiesen, dem PCLOB in regelmäßigen Abständen Berichte vorzulegen, unter anderem auch zu Anzahl, Art und Grundstimmung der Beschwerden, die bei der jeweiligen Behörde wegen mutmaßlicher Verstöße eingegangen sind. Nach dem Gesetz, das die Befugnisse des PCLOB regelt, ist das Board gehalten, diese Berichte entgegenzunehmen und gegebenenfalls den Datenschutz- und Bürgerrechtsbeauftragten Empfehlungen zu ihrer Tätigkeit zu erteilen.

.

7. Juli 2016

PER E-MAIL

Jourová

Kommissionsmitglied für Justiz, Verbraucherschutz und Gleichstellungsfragen

Europäische Kommission

Rue de la Loi/Wetstraat 200

1049 Brüssel

Belgien

Sehr geehrte Frau Jourová:

Die Federal Trade Commission der Vereinigten Staaten ("FTC") nimmt gern diese Gelegenheit wahr, um darzulegen, wie sie die neue EU-US-Datenschutzschild-Regelung (die "Datenschutzschild-Regelung" oder "Regelung") durchzusetzen gedenkt. Nach unserer Auffassung wird die Regelung maßgeblich dazu beitragen, den datenschutzfreundlichen Geschäftsverkehr in einer zunehmend vernetzten Welt zu erleichtern. Sie wird Unternehmen in die Lage versetzen, in der globalen Wirtschaft wichtige Transaktionen durchzuführen, und zugleich sicherstellen, dass die Verbraucher in der EU ein hohes Maß an Datenschutz genießen. Die FTC bekennt sich schon seit Langem zum grenzüberschreitenden Datenschutz und wird der Durchsetzung der neuen Regelung eine hohe Priorität einräumen. Im Folgenden geben wir einen allgemeinen Überblick über die bisherigen Bemühungen der FTC um die konsequente Handhabung des Datenschutzes, namentlich der ursprünglich geltenden SAFE-Harbor-Regelung, und über die Vorstellungen der FTC zur Durchsetzung der neuen Regelung.

Zum ersten Mal verpflichtete sich die FTC im Jahr 2000 öffentlich dazu, die SAFE-Harbor-Regelung durchzusetzen. Der damalige FTC-Vorsitzende Robert Pitofsky sandte der Europäischen Kommission ein Schreiben, in dem er die Entschlossenheit der FTC unterstrich, den SAFE-Harbor-Datenschutzgrundsätzen mit Nachdruck Geltung zu verschaffen. Wie fast 40 Durchsetzungsmaßnahmen, zahlreiche zusätzliche Ermittlungen und die Zusammenarbeit mit einzelnen europäischen Datenschutzbehörden zu Fragen von gegenseitigem Interesse deutlich machen, hat die FTC ihre Zusage eingehalten.

Nachdem die Europäische Kommission im November 2013 Bedenken zur Verwaltung und Durchsetzung des SAFE-Harbor-Programms anmeldete, leiteten wir und das US-Handelsministerium Konsultationen mit Vertretern der Europäischen Kommission ein, um Möglichkeiten zur Stärkung des Programms zu erkunden. Während die Konsultationen noch im Gange waren, verkündete der Europäische Gerichtshof am 6. Oktober 2015 ein Urteil in der Rechtssache Schrems, das unter anderem die Entscheidung der Europäischen Kommission über die Angemessenheit des SAFE-Harbor-Programms für ungültig erklärte. Danach arbeiteten wir weiter eng mit dem Handelsministerium und der Europäischen Kommission zusammen, um den Datenschutz für Einzelpersonen in der EU effektiver zu gestalten. Die Datenschutzschild-Regelung ist ein Ergebnis dieser weiter andauernden Konsultationen. Wie beim SAFE-Harbor-Programm verpflichtet sich die FTC hiermit zur konsequenten Durchsetzung der neuen Regelung. Dieses Schreiben soll diese Verpflichtung dokumentieren.

Im Mittelpunkt unseres Engagements stehen vier Kernbereiche: (1)die vorrangige Behandlung von überwiesenen Fällen und Ermittlungen; (2) die Unterbindung falscher oder irreführender Angaben zur Mitgliedschaft im Datenschutzschild; (3) die Kontrolle der Befolgung von Verfügungen; und (4) verstärkte Kontakte zu Datenschutzbehörden der EU und engere Zusammenarbeit mit ihnen bei der Durchsetzung. Nachstehend machen wir zu jedem dieser Punkte detaillierte Angaben und geben Hintergrundinformationen zu dem Beitrag, den die FTC bisher zum Schutz von Verbraucherdaten und zur Durchsetzung des SAFE-Harbor-Programms leistete, sowie zur Gesamtsituation des Datenschutzes in den Vereinigten Staaten ¹.

I. Hintergrund

A. Durchsetzung des Datenschutzrechts durch die FTC und konzeptionelle Fragen

Die FTC genießt umfassende zivilrechtliche Befugnisse zur Förderung des Verbraucherschutzes und des Wettbewerbs im Wirtschaftsleben. Im Rahmen ihres Auftrags zum Verbraucherschutz verschafft sie einem breiten Spektrum von Rechtsvorschriften Geltung und sorgt damit für den Schutz und die Sicherheit von Verbraucherdaten. Das wichtigste von ihr durchzusetzende Gesetz, der FTC Act, untersagt "unlautere" und "irreführende" Handlungen oder Praktiken, die den Geschäftsverkehr betreffen oder sich darauf auswirken ². Eine Darstellung, Unterlassung oder Praxis ist irreführend, wenn sie rechtserheblich und geeignet ist, Verbraucher zu täuschen, die sich unter den gegebenen Umständen angemessen verhalten ³. Eine Handlung oder Praxis ist unlauter, wenn sie tatsächlich oder vermutlich einen erheblichen Schaden bewirkt, der von Verbrauchern unter normalen Umständen nicht zu vermeiden ist oder nicht durch ausgleichende Vorteile für die Verbraucher oder den Wettbewerb aufgewogen wird ⁴. Die FTC setzt auch Gesetze durch, die gezielt dem Schutz von Informationen über die Gesundheit, Kredite und andere finanzielle Daten dienen, sowie dem Schutz von Online-Informationen zu Kindern. Zu jedem dieser Gesetze hat sie Durchführungsverordnungen erlassen.

Nach dem FTC Act ist die FTC für Sachen zuständig, die "den Geschäftsverkehr betreffen oder sich darauf auswirken". Sie ist nicht befugt, strafrechtliche Maßnahmen zu ergreifen oder in Fragen der nationalen Sicherheit zu entscheiden. Auch liegen die meisten anderen hoheitlichen Maßnahmen außerhalb ihres Zuständigkeitsbereichs. Hinzu kommen Einschränkungen ihrer Kompetenzen im wirtschaftlichen Bereich, die den Bankensektor, den Luftverkehr, das Versicherungsgewerbe und die Betreiber öffentlicher Telekommunikationsnetze betreffen. Auch ist die FTC nicht zuständig für die meisten gemeinnützigen Organisationen, wohl aber für nur scheinbar karitative oder gemeinnützige Einrichtungen, die in Wirklichkeit gewinnorientiert sind. In ihren Aufgabenbereich fallen auch gemeinnützige Organisationen, die zugunsten gewinnorientierter Mitglieder kommerzielle Zwecke verfolgen, indem sie ihnen beispielsweise erhebliche wirtschaftliche Vorteile verschaffen ⁵. In manchen Fällen überschneiden sich die Kompetenzen der FTC mit denen anderer Strafverfolgungsbehörden.

Wir haben stabile Arbeitsbeziehungen zu Behörden des Bundes und der Einzelstaaten aufgebaut und arbeiten mit ihnen eng zusammen, um die Ermittlungen zu koordinieren oder gegebenenfalls Fälle an eine andere Stelle zu verweisen.

Die Durchsetzung ist der Dreh- und Angelpunkt des Datenschutzkonzepts der FTC. Die FTC ist bisher in über 500 Fällen Verstößen gegen den Schutz und die Sicherheit von Verbraucherdaten nachgegangen. Dabei geht es sowohl um Offline- als auch um Online-Daten und um Durchsetzungsmaßnahmen gegen große wie kleine Unternehmen, denen vorgeworfen wurde, dass sie nicht richtig mit sensiblen Verbraucherdaten umgingen, personenbezogene Daten von Verbrauchern nicht schützten, das Verhalten von Verbrauchern unter Vorspiegelung falscher Tatsachen online verfolgten, unerbetene Werbung an Verbraucher versendeten, Spyware oder andere Schadsoftware auf den PCs von Verbrauchern installierten, gegen das Anrufverbot und andere Regeln des Telemarketing verstießen und missbräuchlich Verbraucherdaten zu Mobilgeräten erfassten und weitergaben. Die Durchsetzungsmaßnahmen der FTC betrafen sowohl realwirtschaftliche als auch digitale Vorgänge und waren eine klare Ansage an die Unternehmen, dass sie die Privatsphäre von Verbrauchern zu respektieren haben.

Die FTC hat auch zahlreiche politische Initiativen zur wirksameren Gestaltung des Verbraucherschutzes verfolgt, die das Ziel all seiner Durchsetzungsmaßnahmen ist. Sie hat Workshops veranstaltet und Berichte mit Empfehlungen zu bewährten Verfahren herausgegeben, die auf folgende Ziele gerichtet sind: besserer Schutz der Privatsphäre im Mobile-Ökosystem; größere Transparenz in der Datenmaklerbranche; Ausschöpfung des Potenzials von Big Data bei gleichzeitiger Minderung der Risiken, insbesondere für Geringverdiener und unterversorgte Verbraucher; und Verdeutlichung der datenschutzrechtlichen und sicherheitstechnischen Probleme, die sich aus der Gesichtserkennung, dem "Internet der Dinge" und anderen Entwicklungen ergeben.

Die FTC bemüht sich auch um die Aufklärung von Verbrauchern und Unternehmen, damit ihre Initiativen zur Durchsetzung der Regeln und zur Politikgestaltung stärker zum Tragen kommen. Sie nutzte ein breites Instrumentarium - Veröffentlichungen, Online-Ressourcen, Workshops und soziale Medien -, um Informationsmaterial zu einem breiten Spektrum von Themen, darunter mobile Apps, Schutz der Privatsphäre von Kindern und Datensicherheit, zur Verfügung zu stellen. Unlängst brachte die Kommission ihre Initiative "Start With Security" mit neuen Leitlinien für Unternehmen auf den Weg, die auf den Erfahrungen mit Datenschutzfällen der Behörde sowie einer Reihe von Workshops in verschiedenen Teilen des Landes aufbauen. Überdies spielt die FTC seit Langem eine führende Rolle bei der Aufklärung der Verbraucher über Grundfragen der Computersicherheit. Im letzten Jahr verzeichneten unsere Website OnGuard Online und ihr spanischsprachiges Pendant Alerta en Línea über fünf Millionen Aufrufe.

B. US-Rechtsschutz kommt EU-Verbrauchern zugute

Die Regelung ist im Gesamtzusammenhang des US-Datenschutzes zu sehen, der EU-Verbraucher auf verschiedene Weise schützt.

Das im FTC Act verankerte Verbot unlauterer oder irreführender Handlungen oder Praktiken ist nicht darauf beschränkt, US-Verbraucher vor US-Unternehmen zu schützen, da es Praktiken einschließt, die(1) tatsächlich oder wahrscheinlich einen nach vernünftigem Ermessen vorhersehbaren Schaden in den Vereinigten Staaten bewirken oder (2) entscheidungserhebliches Verhalten in den Vereinigten Staaten dabei eine Rolle spielt. Zudem kann die FTC beim Schutz ausländischer Verbraucher alle Rechtsbehelfe in Anspruch nehmen, darunter eine Wiederherstellungsklage, die zum Schutz inländischer Verbraucher zur Verfügung stehen.

Die Durchsetzungsmaßnahmen der FTC zahlen sich sowohl für amerikanische als auch für ausländische Verbraucher deutlich aus. Beispielsweise galten die Klagen zur Durchsetzung von § 5 des FTC Act dem Schutz der Privatsphäre sowohl amerikanischer als auch ausländischer Verbraucher. In einem Fall, der den Informationsbroker Accusearch betraf, vertrat die FTC den Standpunkt, dass der Verkauf vertraulicher Telefondaten an Dritte ohne Wissen oder Zustimmung des Verbrauchers unlauteres Handeln darstellte und gegen § 5 des FTC verstieß. Accusearch verkaufte Daten, die sowohl US-Bürger als auch ausländische Verbraucher betrafen ⁶. Das Gericht erließ eine einstweilige Verfügung, die Accusearch unter anderem die Vermarktung oder den Verkauf personenbezogener Daten von Verbrauchern ohne schriftliche Einwilligung untersagte, sofern sie nicht rechtmäßig aus öffentlich zugänglichen Informationen beschafft wurden, und verhängte eine Geldbuße von fast 200.000 USD ⁷.

Ein weiteres Beispiel ist der Vergleich, den die FTC mit TRUSTe geschlossen hat. Er stellt sicher, dass sich Verbraucher - auch in der Europäischen Union - auf Erklärungen verlassen können, die eine zur Selbstkontrolle verpflichtete globale Organisation zur Überprüfung und Zertifizierung von inländischen und ausländischen Online-Diensten abgibt ⁸. Hervorzuheben ist dabei, dass unser Vorgehen gegen TRUSTe auch das Selbstkontrollsystem im Bereich des Datenschutzes insgesamt stärkt, denn es gewährleistet die Rechenschaftspflicht von Einrichtungen, die in Systemen der freiwilligen Selbstkontrolle eine wichtige Rolle spielen, wozu auch grenzüberschreitende Datenschutzregelungen gehören.

Die FTC setzt darüber hinaus weitere zielgerichtete Rechtsvorschriften durch, deren Schutzwirkung sich auch auf Nicht-US-Verbraucher erstreckt, beispielsweise den Children's Online Privacy Protection Act ("COPPA"). Dieses Gesetz schreibt vor, dass Betreiber von Websites und Online-Diensten, die für Kinder bestimmt sind, sowie von allgemeinen Websites, die wissentlich personenbezogene Daten von Kinder unter 13 Jahren erfassen, die Eltern davon in Kenntnis setzen und deren nachprüfbare Zustimmung einholen müssen. In den USA beheimatete Websites und Dienste, die dem COPPA unterliegen und personenbezogene Daten ausländischer Kinder erfassen, müssen das Gesetz einhalten. Es gilt auch für ausländische Websites und Online-Dienste, wenn sie für Kinder in den Vereinigten Staaten bestimmt sind oder wenn wissentlich personenbezogene Daten von Kindern in den USA erfasst werden. Neben den von der FTC durchgesetzten Bundesgesetzen können sich noch weitere Verbraucherschutz- und Datenschutzregelungen des Bundes und der Einzelstaaten als vorteilhaft für EU-Verbraucher erweisen.

C. Durchsetzung der SAFE-Harbor-Regelung

Im Rahmen ihres Programms zur Durchsetzung des Datenschutzes und der Datensicherheit bemühte sich die FTC zudem um den Schutz der EU-Verbraucher, indem sie bei Verstößen gegen die SAFE-Harbor-Regelung Durchsetzungsmaßnahmen einleitete. Die FTC hat im Rahmen von SAFE Harbor 39 Durchsetzungsmaßnahmen eingeleitet: In 36 Fällen ging es um falsche Angaben zur Zertifizierung und in drei Fällen - Google, Facebook und Myspace - um mutmaßliche Verstöße gegen Datenschutzgrundsätze von SAFE Harbor ⁹. Diese Verfahren belegen, dass korrekte Angaben zur Zertifizierung durchgesetzt werden können und welche Folgen Verstöße nach sich ziehen. Mit Zustimmung der Gegenseite erlassene "Consent orders" mit einer Geltungsdauer von zwanzig Jahren verpflichten Google, Facebook und Myspace dazu, umfassende Datenschutzprogramme zu erstellen, die nach menschlichem Ermessen so konzipiert sind, dass sie Datenschutzrisiken abdecken, die sich aus der Entwicklung bzw. Verwaltung neuer und bestehender Produkte und Dienstleistungen ergeben, und die Privatsphäre und die Vertraulichkeit personenbezogener Daten schützen. Die aufgrund dieser Verfügungen erstellten umfassenden Datenschutzprogramme müssen wesentliche vorhersehbare Risiken benennen und Kontrollen zur Ausräumung dieser Risiken vorsehen. Zudem müssen sich die Unternehmen kontinuierlichen unabhängigen Einschätzungen ihrer Datenschutzprogramme unterziehen, die der FTC vorzulegen sind. In den Verfügungen wird diesen Unternehmen auch untersagt, falsche Angaben zu ihrer Datenschutzpraxis und zur Beteiligung an einem Datenschutz- oder Sicherheitsprogramm zu machen. Dieses Verbot würde auch für die Handlungen und Praktiken von Unternehmen im Rahmen der neuen Datenschutzschild-Regelung gelten. Die FTC kann diese Verfügungen durch zivilrechtliche Klagen durchsetzen. So hat Google 2012 ein Bußgeld in Rekordhöhe, nämlich 22,5 Mio. USD, gezahlt, weil ihm Verstöße gegen die Verfügung vorgeworfen wurden. Die Maßnahmen der FTC tragen also zum Schutz von über einer Milliarde Verbraucher in der Welt bei, von denen Hunderte von Millionen in Europa beheimatet sind.

Einen weiteren Schwerpunkt der FTC bildeten falsche oder irreführende Behauptungen über eine Beteiligung an der SAFE-Harbor-Regelung. Die FTC nimmt derartige falsche Angaben sehr ernst. Beispielsweise erhob die FTC 2011 in der Rechtssache FTC/Karnani Klage gegen einen Internet-Anbieter in den Vereinigten Staaten, dem vorgeworfen wurde, dass er und sein Unternehmen britischen Verbrauchern vortäuschte, der Sitz der Firma befände sich im Vereinigten Königreich, indem er unter anderem Webadressen mit der Endung.uk verwendete und auf die britische Währung und das britische Postsystem Bezug nahm ¹⁰. Als aber die Ware eintraf, stellten die Käufer fest, dass darauf wider Erwarten Einfuhrzölle erhoben wurden, die Garantiezusagen im Vereinigten Königreich nichts galten und Kosten für die Erstattung der Zollgebühren anfielen. Die FTC machte zudem geltend, dass die Beklagten die Verbraucher über ihre Beteiligung am SAFE-Harbor-Programm getäuscht hatten. Im Übrigen waren alle Opfer des Betrugs Briten.

Bei vielen anderen Verfahren zur Durchsetzung der SAFE-Harbor-Regelung ging es um Organisationen, die dem Programm beitraten, ohne ihre Zertifizierung jährlich zu erneuern, sich aber weiterhin als aktuelle Mitglieder ausgaben. Wie weiter unten dargelegt, verpflichtet sich die FTC auch dazu, gegen falsche Angaben über die Beteiligung an der Datenschutzschild-Regelung vorzugehen. Diese strategischen Durchsetzungsmaßnahmen ergänzen die verstärkten Bemühungen des Handelsministeriums, die Einhaltung der Anforderungen an die Zertifizierung und Rezertifizierung zu überprüfen, die tatsächliche Einhaltung zu überwachen, unter anderem durch Fragebogenaktionen bei den Teilnehmern, und falsche Angaben zur Mitgliedschaft im Datenschutzschild und Fälle des Missbrauchs von Zertifizierungsmarken aufzudecken ¹¹.

II. Die vorrangige Behandlung von überwiesenen Fällen und Ermittlungen

Wie schon beim SAFE-Harbor-Programm verpflichtet sich die FTC, die ihr von EU-Mitgliedstaaten im Rahmen des Datenschutzschilds zugeleiteten Fälle vorrangig zu behandeln. Priorität haben auch Fälle, die Verstöße gegen die für den Datenschutzschild geltenden Leitlinien der freiwilligen Selbstkontrolle betreffen und mit denen wir von Einrichtungen der Selbstkontrolle und anderen unabhängigen Beschwerdestellen befasst werden.

Um im Rahmen der Regelung die Zuleitung von Fällen aus den EU-Mitgliedstaaten zu erleichtern, richtet die FTC ein standardisiertes Verweisungsverfahren ein und gibt den EU-Mitgliedstaaten eine Anleitung dazu, welche Art von Informationen für die FTC bei den Ermittlungen zu einem ihr zugeleiteten Fall besonders hilfreich ist. Zu diesem Zweck benennt die FTC innerhalb der Behörde eine Kontaktstelle für aus den EU-Mitgliedstaaten weitergeleitete Fälle. Es ist zweifellos von Vorteil, wenn die vorlegende Behörde bereits eine Voruntersuchung des mutmaßlichen Verstoßes eingeleitet hat und bei den Ermittlungen mit der FTC zusammenarbeiten kann.

Wenn ein EU-Mitgliedstaat oder eine der Selbstkontrolle unterliegende Organisation die FTC mit einer Sache befasst, kann diese eine Reihe von Maßnahmen ergreifen, um die aufgeworfenen Fragen zu klären. Beispielsweise können wir die Datenschutzpolitik des Unternehmens überprüfen; zusätzliche Informationen direkt beim Unternehmen oder bei Dritten einholen; die vorlegende Stelle dazu befragen; untersuchen, ob die Verstöße systematisch erfolgen oder eine größere Anzahl von Verbrauchern betreffen; in Erfahrung bringen, ob der uns zugeleitete Fall Fragen berührt, die in den Zuständigkeitsbereich des Handelsministeriums fallen; prüfen, ob Aufklärungsmaßnahmen für Verbraucher und Unternehmen hilfreich wären; und gegebenenfalls ein Verfahren einleiten.

Die FTC verpflichtet sich auch dazu, mit den vorlegenden Durchsetzungsinstanzen Informationen über die ihr zugeleiteten Sachen auszutauschen, unter anderem zu deren Status im Hinblick auf Geheimhaltungsvorschriften und Einschränkungen. In dem Maße, wie es Anzahl und Art der überwiesenen Fälle erlauben, enthalten die Informationen eine Beurteilung der Fälle, einschließlich einer Beschreibung der aufgeworfenen Kernfragen und der Maßnahmen, die gegen Verstöße im Zuständigkeitsbereich der FTC ergriffen wurden. Die FTC unterrichtet die vorlegende Behörde auch über die Art der ihr zugeleiteten Fälle, um die Wirksamkeit der Bemühungen um die Ahndung gesetzwidrigen Verhaltens zu erhöhen. Wenn eine vorlegende Durchsetzungsinstanz um Informationen zum Status eines bestimmten Falles ersucht, um eigene Durchsetzungsmaßnahmen zu verfolgen, wird die FTC diesem Wunsch nachkommen, wobei sie die Anzahl der jeweils zu prüfenden Sachen ebenso berücksichtigt wie Geheimhaltungsvorschriften sowie andere rechtliche Vorgaben.

Die FTC wird auch eng mit den Datenschutzbehörden der EU zusammenarbeiten, um die Durchsetzung der Regelung zu unterstützen. In bestimmten Fällen könnten ein Informationsaustausch und Amtshilfe bei Ermittlungen gemäß U.S. SAFE WEB Act dazugehören, denn dieses Gesetz gestattet der FTC, ausländischen Strafverfolgungsbehörden Amtshilfe zu leisten, wenn die betreffende ausländische Behörde Vorschriften zur Unterbindung von Praktiken durchsetzt, die im Wesentlichen denen entsprechen, die auch nach den von der FTC durchgesetzten Vorschriften strafbar sind ¹². Im Rahmen dieser Amtshilfe kann die FTC Informationen weitergeben, die sie im Zusammenhang mit eigenen Ermittlungen erlangt hat, Zwangsmaßnahmen zur Beweissicherung im Auftrag von Datenschutzbehörden der EU anordnen, die eigene Ermittlungen durchführen, und Zeugen oder Beschuldigte im Zusammenhang mit Durchsetzungsmaßnahmen der Datenschutzbehörden anhören, wobei die Bestimmungen des U.S. SAFE WEB Act einzuhalten sind. Die FTC macht regelmäßig von diesem Recht Gebrauch, um anderen Behörden weltweit bei Daten- und Verbraucherschutzsachen zur Seite zu stehen ¹³.

Die FTC räumt nicht nur im Rahmen des Datenschutzschilds den Fällen, die ihr von EU-Mitgliedstaaten und der Selbstkontrolle unterliegenden Organisationen zugeleitet werden, Priorität ein ¹⁴, sondern verpflichtet sich auch dazu, mögliche Verstöße gegen die Regelung gegebenenfalls aus eigener Initiative zu untersuchen und dazu verschiedene Instrumente einzusetzen.

Seit gut einem Jahrzehnt verfolgt die FTC ein tragfähiges Programm zur Untersuchung von Datenschutz- und Sicherheitsproblemen, die in Unternehmen auftreten. Im Rahmen dieser Ermittlungen prüfte die FTC routinemäßig, ob sich die Unternehmen öffentlich zu den SAFE-Harbor-Grundsätzen bekannten. Wenn dies der Fall war, die Ermittlungen aber offensichtliche Verstöße gegen diese Grundsätze erkennen ließen, berücksichtigte die FTC das mutmaßliche Fehlverhalten bei ihren Durchsetzungsmaßnahmen. Wir werden bei der neuen Regelung an diesem offensiven Vorgehen festhalten. Anzumerken ist, dass die Zahl der Untersuchungen, die von der FTC eingeleitet werden, wesentlich höher ist als die Zahl der Untersuchungen, die letztendlich zu öffentlichen Durchsetzungsmaßnahmen führen. Vielfach werden Ermittlungen der FTC eingestellt, weil keine offensichtlichen Rechtsverstöße erkennbar sind. Da die Untersuchungen vertraulich und nicht öffentlich zugänglich sind, wird häufig auch die Einstellung nicht publik gemacht.

Die fast 40 Durchsetzungsmaßnahmen, die von der FTC im Zusammenhang mit dem SAFE-Harbor-Programm ergriffen wurden, belegen den Einsatz der Behörde für eine offensive Durchsetzung grenzüberschreitender Datenschutzregelungen. Die FTC wird bei ihren regelmäßigen Untersuchungen im Bereich des Datenschutzes und der Sicherheit auf mögliche Verstöße gegen die neue Regelung achten.

III. Unterbindung falscher oder irreführender Angaben zur Mitgliedschaft im Datenschutzschild

Wie bereits ausgeführt, wird die FTC gegen Unternehmen vorgehen, die falsche Angaben zu ihrer Beteiligung an der Regelung machen. Priorität erhalten dabei die Fälle, die ihr vom Handelsministerium zugeleitet werden und Organisationen betreffen, die wahrheitswidrig behaupten, aktuelle Mitglieder der Regelung zu sein, oder unbefugt Zertifizierungsmarken der Regelung verwenden.

Wenn im Übrigen eine Organisation in ihren Datenschutzbestimmungen zusichert, dass sie sich an die Grundsätze des Datenschutzschilds hält, reicht die bloße Tatsache, dass sie sich beim Handelsministerium nicht registrieren lässt oder ihre Registrierung nicht verlängert, nicht aus, um sich der Durchsetzung dieser Zusicherungen durch die FTC zu entziehen.

IV. Kontrolle der Befolgung von Verfügungen

Die FTC bekräftigt zudem die von ihr eingegangene Verpflichtung, die Befolgung von Verfügungen zu überwachen, um die Einhaltung der Datenschutzschild-Regelung zu gewährleisten.

Wir werden bei künftigen die Regelung betreffenden FTC-Verfügungen durch eine Vielzahl geeigneter vorläufiger Anordnungen auf die Einhaltung der Grundsätze hinwirken. Dazu gehört die Untersagung von falschen Angaben zur neuen Regelung oder anderen Datenschutzprogrammen, wenn diese die Grundlage für das Vorgehen der FTC bilden.

Die bisherigen Verfahren der FTC zur Durchsetzung des SAFE-Harbor-Programms sind sehr aufschlussreich. In den 36 Fällen, die falsche oder irreführende Angaben zur SAFE-Habor-Zertifizierung betrafen, untersagt die jeweilige Verfügung den Beklagten, falsche Angaben zur Beteiligung an SAFE Harbor oder anderen Datenschutz- bzw. Sicherheitsprogrammen zu machen, und verpflichtet das Unternehmen dazu, der FTC Compliance-Berichte vorzulegen. Wenn es in den Verfahren um Verstöße gegen die Datenschutzgrundsätze von SAFE Harbor ging, wurde es den Unternehmen zur Auflage gemacht, umfassende Datenschutzprogramme einzurichten und zwanzig Jahre lang alle zwei Jahre für unabhängige externe Einschätzungen dieser Programme zu sorgen, die der FTC vorzulegen sind.

Die Nichtbefolgung von Verfügungen der FTC kann zur Folge haben, dass je Verstoß ein Bußgeld von bis zu 16.000 USD und bei anhaltenden Verstößen von 16.000 USD je Tag verhängt wird ¹⁵. Wenn sich die Praktiken auf zahlreiche Verbraucher auswirken, kann sich die Summe schnell auf Millionen von Dollar belaufen. Jeder "Consent order" ist auch mit Berichts- und Einhaltungspflichten verbunden. Die betroffenen Unternehmen müssen über einen festgelegten Zeitraum die Belege für regelkonformes Verhalten aufbewahren. Auch sind sie gehalten, die Verfügungen an die Mitarbeiter weiterzuleiten, die für die Befolgung zuständig sind.

Wie bei all ihren Verfügungen kontrolliert die FTC auch bei SAFE Harbor systematisch die Einhaltung der Auflagen. Sie nimmt die Durchsetzung ihrer Verfügungen in den Bereichen Datenschutz und -sicherheit sehr ernst und leitet erforderlichenfalls dazu juristische Schritte ein. Wie schon erwähnt, zahlte Google aufgrund der Anschuldigung, es habe gegen eine FTC-Verfügung verstoßen, ein Bußgeld von 22,5 Mio. USD. Die Verfügungen der FTC werden auch künftig alle Verbraucher weltweit schützen, die Kunden eines Unternehmens sind, und nicht nur jene unter ihnen, die Beschwerden eingereicht haben.

Abschließend dazu sei betont, dass die FTC weiterhin eine Online-Liste von Unternehmen führen wird, die Auflagen im Zusammenhang mit der Durchsetzung des SAFE-Harbor-Programms und der neuen Datenschutzschild-Regelung unterliegen ¹⁶. Überdies sind nach den Grundsätzen des Datenschutzschilds alle Unternehmen, die aufgrund von Verstößen gegen die Grundsätze Auflagen der FTC oder eines Gerichts erfüllen müssen, jetzt dazu verpflichtet, sämtliche die Regelung betreffenden Abschnitte eines der FTC vorgelegten Compliance- oder Prüfberichts publik zu machen, soweit die Geheimhaltungsvorschriften und -regeln dies gestatten.

V. Verstärkte Kontakte zu Datenschutzbehörden der EU und engere Zusammenarbeit mit ihnen bei der Durchsetzung

Die FTC erkennt die wichtige Rolle an, die Datenschutzbehörden der EU bei der Einhaltung der Regelung spielen, und befürwortet verstärkte Konsultationen und eine engere Zusammenarbeit bei der Durchsetzung. Über Rücksprachen mit vorlegenden Datenschutzbehörden zu fallspezifischen Fragen hinaus verpflichtet sich die FTC, an regelmäßigen Zusammenkünften mit dazu benannten Vertretern der Artikel-29-Datenschutzgruppe teilzunehmen, um in allgemeiner Form darüber zu diskutieren, wie sich die Zusammenarbeit bei der Durchsetzung der Regelung verbessern lässt. Die FTC wird sich zudem gemeinsam mit dem Handelsministerium, der Europäischen Kommission und Vertretern der Artikel-20-Datenschutzgruppe an der jährlichen Überprüfung der Regelung beteiligen, um die praktische Umsetzung zu erörtern.

Die FTC wirkt auch auf die Entwicklung von Instrumenten hin, die eine verstärkte Zusammenarbeit mit Datenschutzbehörden der EU sowie ähnlichen Einrichtungen in der ganzen Welt bei Durchsetzungsmaßnahmen ermöglichen. Vor allem hat die FTC zusammen mit Partnern in der Europäischen Union und der übrigen Welt im letzten Jahr ein Warnsystem innerhalb des Global Privacy Enforcement Network ("GPEN") ins Leben gerufen, um Informationen über Ermittlungen auszutauschen und die Koordinierung der Durchsetzungsmaßnahmen zu fördern. Dieses als "GPEN Alert" bezeichnete Instrument könnte sich bei der Datenschutzschild-Regelung als besonders nützlich erweisen. Die FTC und die Datenschutzbehörden der EU könnten es für diesbezügliche und andere datenschutzrechtliche Ermittlungen nutzen, auch als Ausgangspunkt für den Informationsaustausch, um für einen besser koordinierten und effektiveren Verbraucherschutz zu sorgen. Wir sehen erwartungsvoll der weiteren Zusammenarbeit mit den beteiligten EU-Behörden entgegen, damit wir das GPEN-Alert-System auf noch breiterer Grundlage einsetzen und weitere Instrumente entwickeln können, die zur Verbesserung der Zusammenarbeit bei der Durchsetzung des Datenschutzes, auch im Rahmen der neuen Regelung, beitragen.

Die FTC bekennt sich hiermit zu ihrer Verpflichtung, der neuen Datenschutzschild-Regelung zum Erfolg zu verhelfen. Wir freuen uns darauf, weiterhin im Zusammenwirken mit unseren Kollegen in der EU den Verbraucherschutz beiderseits des Atlantiks zu befördern.

Hochachtungsvoll

Edith Ramirez

Vorsitzende

.

Das durch die Regelung zum EU-US-Datenschutzschild ("die Regelung") gebotene Sicherheitsniveau ist in die umfassenderen Datenschutzvorschriften des US-Rechtssystems eingebettet. Erstens wacht die Federal Trade Commission ("FTC") der USA mithilfe eines wirksamen Datenschutz- und -sicherheitsprogramms für US-Geschäftspraktiken über den weltweiten Verbraucherschutz. Zweitens hat sich das Umfeld für Verbraucherdatenschutz und -sicherheit in den USA seit dem Jahre 2000, als die ursprüngliche SAFE-Harbor-Regelung zwischen den USA und der EU angenommen wurde, merklich gewandelt. In der Zwischenzeit wurden auf Bundesebene und in den Einzelstaaten zahlreiche Gesetze zum Datenschutz und zur Datensicherheit erlassen, und es war ein deutlicher Anstieg bei der Zahl der Verwaltungs- und Zivilprozesse zur Durchsetzung der Datenschutzrechte zu vermelden. Ergänzt wird der für Einzelpersonen in der EU mit der neuen Regelung verbundene Rechtsschutz durch ein breites Spektrum an US-Rechtsvorschriften für den Schutz und die Sicherheit von Verbraucherdaten, die für den Umgang mit Geschäftsdaten gelten.

I. Das allgemeine Programm des FTC zur Durchsetzung des Datenschutzes und der Datensicherheit

Die FTC ist die führende Verbraucherschutzbehörde in den USA und vorrangig im Bereich des Datenschutzes im Geschäftsverkehr aktiv. Sie ist befugt, unlautere und irreführende Handlungen oder Praktiken, die gegen den Verbraucherdatenschutz verstoßen, zu verfolgen und zielgenauere Datenschutzregelungen durchzusetzen, um bestimmte Finanz- und Gesundheitsdaten, Daten von Kindern sowie Daten, auf deren Grundlage bestimmte Entscheidungen über Anspruchsberechtigungen von Verbrauchern getroffen werden, zu schützen.

Die FTC verfügt über einzigartige Erfahrungen im Bereich der Durchsetzung des Verbraucherdatenschutzes. Die bisherigen Durchsetzungsmaßnahmen der FTC betrafen gesetzwidrige Praktiken im Offline- und Online-Umfeld. So hat die FTC beispielsweise Durchsetzungsmaßnahmen gegen bekannte Unternehmen wie Google, Facebook, Twitter, Microsoft, Wyndham, Oracle, HTC und Snapchat sowie gegen weniger bekannte Unternehmen eingeleitet. Sie hat Unternehmen verklagt, denen vorgeworfen wurde, unerbetene Werbung an Verbraucher zu senden, Spyware auf PCs zu installieren, personenbezogene Daten von Verbrauchern nicht zu schützen, das Verhalten von Verbrauchern unter Vorspiegelung falscher Tatsachen online zu verfolgen, die Privatsphäre von Kindern zu verletzen, missbräuchlich Verbraucherdaten über Mobilgeräte zu erfassen und Endgeräte mit Internet-Zugang, die zur Speicherung personenbezogener Daten genutzt werden, nicht zu sichern. In der Regel wurde in diesen Fällen für einen Zeitraum von zwanzig Jahren eine kontinuierliche Überwachung durch die FTC angeordnet, weitere Gesetzesverstöße wurden untersagt und hohe Geldstraßen für den Fall angekündigt, dass die Unternehmen gegen diese Verfügungen verstoßen ¹. Die Verfügungen der FTC schützen nicht nur jene Verbraucher, die Beschwerde eingereicht haben, sondern alle Verbraucher, die Kunde eines Unternehmens sind. Auf grenzüberschreitender Ebene ist die FTC für den weltweiten Verbraucherschutz im Zusammenhang mit allen in den USA stattfindenden Praktiken zuständig ².

Bisher ist die FTC Verstößen in mehr als 130 Spam- und Spyware-Fällen nachgegangen, hat über 120 Anrufsverbote im Telemarketing verhängt, mehr als 100 Maßnahmen im Bereich des Fair Credit Reporting Act (Gesetz zur Regelung des Datenschutzes bei Konsumentenkrediten) ergriffen, ist in nahezu 60 Datensicherheitsfällen und mehr als 50 allgemeinen Datenschutzfällen sowie in etwa 30 Fällen einer Verletzung des Gramm-Leach-Bliley Act tätig geworden und hat mehr als 20 Maßnahmen zur Durchsetzung des Children's Online Privacy Protection Act ("COPPA") eingeleitet ³. Neben den genannten Fällen hat die FTC auch Warnschreiben verfasst und herausgegeben ⁴.

Darüber hinaus hat die FTC im Rahmen ihrer bisherigen Bemühungen um eine konsequente Handhabung des Datenschutzes kontinuierlich über mögliche Verstöße gegen die SAFE-Harbor-Regelung gewacht. Seit Annahme der SAFE-Harbor-Regelung hat die FTC auf eigene Initiative zahlreiche Ermittlungen im Zusammenhang mit der Einhaltung der SAFE-Harbor-Verfahren geführt und 39 Verfahren gegen US-Unternehmen wegen Verstößen gegen die SAFE-Harbor-Regelung eingeleitet. Diese proaktive Herangehensweise will die FTC auch weiterhin fortsetzen und dabei der Durchsetzung der neuen Regelung eine hohe Priorität einräumen.

II. Verbraucherdatenschutz auf Bundesebene und in den Einzelstaaten

Der Überblick über die Möglichkeiten der Durchsetzung der Grundsätzes des sicheren Hafens im Anhang zur Entscheidung der Kommission über die Angemessenenheit des von den Grundsätzen des sicheren Hafens gewährleisteten Schutzes enthält eine Zusammenfassung vieler der zum Zeitpunkt der Annahme der SAFE-Harbor-Regelung im Jahr 2000 auf Bundesebene und in den Einzelstaaten geltenden Datenschutzgesetze ⁵. Zu diesem Zeitpunkt wurde die gewerbliche Erfassung und Verwendung personenbezogener Daten durch zahlreiche Bundesgesetze - neben § 5 des FTC Act - geregelt, darunter der Cable Communications Policy Act, der Driver's Privacy Protection Act, der Electronic Communications Privacy Act, der Electronic Funds Transfer Act, der Fair Credit Reporting Act, der Gramm-Leach-Bliley Act, der Right to Financial Privacy Act, der Telephone Consumer Protection Act und der Video Privacy Protection Act. Viele Bundesstaaten hatten in diesen Bereichen eine analoge Rechtsprechung.

Seit dem Jahr 2000 hat es auf Bundesebene und in den Einzelstaaten grundlegende Veränderungen gegeben, die zu einem zusätzlichen Verbraucherdatenschutz beitragen ⁶. So hat die FTC im Jahr 2013 auf Bundesebene beispielsweise den COPPA überarbeitet, um einige zusätzliche Schutzmechanismen für die personenbezogenen Angaben von Kindern einzuführen. Darüber hinaus hat sie mit der Datenschutz- und der Garantiebestimmung zwei Bestimmungen zur Umsetzung des Gramm- Leach-Bliley Act eingeführt, die Finanzinstitutionen dazu verpflichten ⁷ ihre Praktiken beim Austausch von Informationen offenzulegen und ein umfassendes Informationssicherheitsprogramm zum Schutz von Verbraucherdaten zu erarbeiten ⁸. Der im Jahr 2003 eingeführte Fair and Accurate Credit Transactions Act ("FACTA") dient ebenfalls der Ergänzung altbewährter US-Kreditgesetze und enthält Bestimmungen zur Unkenntlichmachung, gemeinsamen Nutzung und Vernichtung sensibler Finanzdaten. Im Rahmen des FACTA hat die FTC eine Reihe von Regeln eingeführt, die sich unter anderem auf das Recht der Verbraucher auf einen kostenfreien jährlichen Kreditbericht, auf Bestimmungen zur sicheren Vernichtung von gemeldeten Verbraucherdaten, auf das Recht der Verbraucher, den Erhalt bestimmter Informationen zu Krediten und Versicherungen abzubestellen, auf das Recht der Verbraucher, der Verwendung von durch ein Tochterunternehmen bereitgestellten Angaben für die Vermarktung seiner Produkte und Dienstleistungen zu widersprechen sowie auf Anforderungen an Institutionen und Kreditgeber zur Durchführung von Programmen zur Ermittlung und Prävention von Identitätsdiebstahl beziehen ⁹. Darüber hinaus wurden die im Rahmen des Health Insurance Portability and Accountability Act eingeführten Regeln im Jahr 2013 überarbeitet und um zusätzliche Garantien für den Schutz und die Sicherheit personenbezogener Gesundheitsdaten ergänzt ¹⁰. Dank neuer Vorschriften werden Verbraucher zudem vor unerbetener Telefonwerbung, computergesteuerten Werbeanrufen und Spam geschützt. Der Kongress hat ferner Gesetze erlassen, die Gesundheitsinformationen erfassende Unternehmen dazu verpflichten, Verbraucher über einen möglichen Verstoß zu unterrichten ¹¹.

Auch in den Bundestaaten wurden zahlreiche Gesetze im Bereich Datenschutz und -sicherheit erlassen. Seit dem Jahre 2000 haben 47 Bundesstaaten, der District of Columbia, Guam, Puerto Rico und die Virgin Islands Gesetze eingeführt, die Unternehmen dazu verpflichten, Einzelpersonen über Verstöße gegen die Sicherheit personenbezogener Angaben zu unterrichten ¹². In mindestens 32 Staaten sowie in Puerto Rico gibt es Gesetze zur Datenvernichtung mit Vorschriften zur Zerstörung oder Vernichtung personbezogener Daten ¹³. In einer Reihe von Bundesstaaten wurden zudem allgemeine Datensicherheitsgesetze erlassen. Darüber hinaus wurden in Kalifornien unterschiedliche Datenschutzgesetze eingeführt, darunter ein Gesetz, das Unternehmen zur Festlegung von Datenschutzbestimmungen und zur Offenlegung ihrer "donottrack"-Verfahren verpflichtet ¹⁴ sowie ein "Shine the Light"-Gesetz mit höheren Transparenzanforderungen an Datenvermittler ¹⁵ und ein Gesetz, das die Einführung einer Schaltfläche vorsieht, mit der Minderjährige die Löschung bestimmter Daten in sozialen Medien auslösen können ¹⁶. Mit Hilfe dieser Gesetze sowie weiterer Befugnisse konnten die Regierungen auf Bundesebene und in den Einzelstaaten hohe Geldbußen gegen Unternehmen verhängen, die den Schutz und die Sicherheit der personenbezogenen Daten von Verbrauchern nicht gewährleistet haben ¹⁷.

Auch zivilrechtliche Verfahren hatten erfolgreiche gerichtliche Entscheidungen und Vergleiche zum Ergebnis, die zu mehr Datenschutz und -sicherheit für Verbraucher beitragen. So hat beispielsweise Target im Jahr 2015 zugestimmt, im Rahmen eines Vergleichs 10 Mio. USD an Kunden zu zahlen, die Klage wegen Missbrauchs ihrer personenbezogenen Finanzdaten im Zuge einer umfassenden Datenschutzverletzung eingereicht hatten. AOL hat sich 2013 bereit erklärt, im Rahmen eines Vergleichs 5 Mio. USD zu zahlen, um eine Sammelklage wegen unzureichender Anonymisierung im Zusammenhang mit der Veröffentlichung von Suchanfragen von Hunderttausenden AOL-Nutzern abzuwehren. Darüber hinaus hat ein Bundesgericht einer Zahlung in Höhe von 9 Mio. USD durch Netflix zugestimmt. Gegen das Unternehmen war Beschwerde eingereicht worden, weil es entgegen den Bestimmungen aus dem Video Privacy Protection Act von 1988 die Verleihhistorien seiner Nutzer gespeichert hatte. Bundesgerichte in Kalifornien haben zwei separate Vergleiche mit Facebook über 20 bzw. 9,5 Mio. USD genehmigt, in denen es um die Erfassung, die Verwendung und den Austausch personenbezogener Daten der Nutzer durch das Unternehmen ging. Ferner hat ein Gericht des Bundestaats Kalifornien im Jahr 2008 einem Vergleich in Höhe von 20 Mio. USD in einem Verfahren gegen LensCrafters wegen unrechtmäßige Offenlegung medizinischer Verbraucherinformationen zugestimmt.

Alles in allem zeigt dieser Überblick, dass in den USA ein umfassender Rechtsschutz im Bereich Verbraucherdatenschutz und -sicherheit besteht. Auf dieser soliden Rechtsgrundlage, die Verbraucherdatenschutz und -sicherheit nach wie vor oberste Priorität einräumt, kann die neue Datenschutzschild-Regelung zur Anwendung kommen, mit der wirksame Garantien für Einzelpersonen in der EU verbunden sind.

.

19. Februar 2016

Re: EU-US-Datenschutzschild

Sehr geehrte Frau Jourová,

das US-Verkehrsministerium ("Ministerium" oder "DOT") freut sich über diese Gelegenheit, näher auf seine Rolle bei der Umsetzung des EU-US-Datenschutzschilds eingehen zu können. Der Datenschutzschild leistet einen wesentlichen Beitrag zum Schutz personenbezogener Daten, die im Geschäftsverkehr in einer zunehmend vernetzten Welt zur Verfügung gestellt werden. Er ermöglicht Unternehmen die Durchführung wichtiger Transaktionen in der Weltwirtschaft und stellt gleichzeitig sicher, dass EU-Verbraucher weiterhin durch grundlegende Datenschutzbestimmungen geschützt werden.

Bereits vor mehr als 15 Jahren hat das Verkehrsministerium in einem an die Europäische Kommission gerichteten Schreiben erstmals sein Engagement für die Durchsetzung der SAFE-Harbor-Regelung zum Ausdruck gebracht. In diesem Schreiben hat sich das Ministerium dazu verpflichtet, die Grundsätze der SAFE-Harbor-Regelung mit Nachdruck geltend zu machen. An dieser Verpflichtung hält das Ministerium unverändert fest, woran mit dem vorliegenden Schreiben erinnert werden soll.

Das erneuerte Engagement des Ministeriums bezieht sich insbesondere auf die folgenden Schlüsselbereiche: 1) vorrangige Ermittlung bei mutmaßlichen Verstößen gegen die Grundsätze des Datenschutzschilds, 2) angemessene Durchsetzungsmaßnahmen gegen Organisationen, die falsche oder irreführende Angaben zur Beteiligung am Datenschutzschild machen und 3) Kontrolltätigkeit und Unterrichtung der Öffentlichkeit über behördliche Durchsetzungsmaßnahmen. Auf jede dieser Verpflichtungen wollen wir im Folgenden näher eingehen und relevante Hintergrundinformationen zur Rolle des Ministeriums beim Schutz von Verbraucherdaten und bei der Durchsetzung der Datenschutzschild-Regelung liefern, um den notwendigen Kontext herzustellen.

I. Hintergrund

A. Die Datenschutzabteilung im Ministerium

Das Ministerium setzt sich konsequent dafür ein, die Geheimhaltung personenbezogener Daten, die Verbraucher den Luftverkehrsgesellschaften oder den Inhabern von Kartenverkaufsstellen überlassen werden, zu gewährleisten. Die Handlungsbefugnisse des Ministeriums auf diesem Gebiet ergeben sich aus 49 U.S.C. 41712. Diese Vorschrift verbietet Luftverkehrsgesellschaften oder Inhabern von Kartenverkaufsstellen, unlautere und irreführende Praktiken beim Verkauf von Flugtickets anzuwenden, die den Verbraucher schädigen bzw. schädigen könnten. § 41712 ist nach dem Vorbild von § 5 des Federal Trade Commission Act (15 U.S.C. 45) aufgebaut. Nach unserer Auslegung ist es einer Luftverkehrsgesellschaft oder einem Inhaber einer Kartenverkaufsstelle gemäß dem Gesetz über unlautere und irreführende Praktiken untersagt: 1) gegen die eigenen Datenschutzbestimmungen zu verstoßen oder 2) personenbezogene Daten in einer Art und Weise zu erfassen oder offenzulegen, die der öffentlichen Ordnung zuwiderläuft, gegen moralische Grundsätze verstößt oder dem Verbraucher einen erheblichen Schaden zufügt, der nicht durch geldwerte Vorteile aufgehoben wird. Gemäß § 41712 ist es Luftverkehrsgesellschaften oder Inhabern einer Kartenverkaufsstelle nach unserer Auslegung ebenfalls verboten: 1) gegen eine vom Ministerium verabschiedete Regel zu verstoßen, wonach bestimmte Datenschutzpraktiken als unlauter oder irreführend eingestuft werden oder 2) den Children's Online Privacy Protection Act (COPPA) oder FTC-Bestimmungen zu seiner Umsetzung zu verletzen. Gemäß Bundesgesetz verfügt das Ministerium über die alleinige Befugnis, die Datenschutzpraxis von Luftverkehrsgesellschaften zu regulieren, und mit der FTC über die gemeinsame Befugnis, die Datenschutzpraxis der Inhaber von Verkaufsstellen für Flugtickets zu regeln.

Sobald sich eine Luftverkehrsgesellschaft oder der Inhaber einer Verkaufsstelle für Flugtickets öffentlich zu den Rahmengrundsätzen des Datenschutzschilds bekennt, kann das Ministerium daher von den rechtlichen Befugnissen gemäß § 41712 Gebrauch machen und die Einhaltung dieser Grundsätze sicherstellen. Gibt also ein Passagier Informationen an eine Luftverkehrsgesellschaft oder den Inhaber einer Verkaufsstelle, die sich zur Einhaltung der Rahmengrundsätze des Datenschutzschilds verpflichtet haben, dann würde ein Verstoß gegen diese Grundsätze eine Verletzung der Bestimmungen des § 41712 darstellen.

B. Durchsetzungsmaßnahmen

Die Dienststelle des Ministeriums für Rechtsdurchsetzung und Verfahren im Luftverkehr (Office of Aviation Enforcement and Proceedings/Aviation Enforcement Office) untersucht und verfolgt Fälle, die 49 U.S.C. 41712 betreffen. Sie setzt das gesetzliche Verbot unlauterer und irreführender Praktiken gemäß § 41712 durch, insbesondere auf dem Verhandlungswege sowie durch den Erlass von Unterlassungsanordnungen und Anordnungen zur Festsetzung zivilrechtlicher Sanktionen. Die Dienststelle wird auf mögliche Verstöße insbesondere durch Beschwerden von Privatpersonen, Reisebüros, Luftverkehrsgesellschaften sowie US-amerikanischen und ausländischen staatlichen Stellen aufmerksam. Verbraucher haben die Möglichkeit, über die Website des Ministeriums Beschwerden wegen Verletzung der Datenschutzbestimmungen durch Luftverkehrsgesellschaften und Inhaber von Kartenverkaufsstellen einzureichen ¹.

Sollte in einem Fall keine angemessene und geeignete Vereinbarung erzielt werden können, ist die Dienststelle befugt, zur Rechtsdurchsetzung ein Verfahren einzuleiten, das eine Beweisverhandlung vor einem Verwaltungsrichter des Ministeriums vorsieht. Der Verwaltungsrichter ist befugt, Unterlassungsanordnungen sowie zivilrechtliche Sanktionen festzulegen. Eine Verletzung der Bestimmungen des § 41712 kann Unterlassungsanordnungen nach sich ziehen; der Verstoß gegen diese Anordnungen kann zivilrechtliche Sanktionen in Höhe von bis zu 27.500 USD für jeden Verstoß gegen § 41712 zur Folge haben.

Das Ministerium hat nicht das Recht, beschwerdeführenden Privatpersonen Schadenersatz oder finanzielle Entschädigungen zuzuerkennen. Es kann allerdings Vereinbarungen genehmigen, die sich aus von seiner Dienststelle eingebrachten Untersuchungen ergeben und dem Verbraucher als Ausgleich für andernfalls an die US-Regierung zu entrichtende Geldbußen einen unmittelbaren Vorteil (z.B. in Form von Bargeld, Gutscheinen) verschaffen. Dies wurde in der Vergangenheit so gehandhabt und kann auch im Zusammenhang mit den Rahmengrundsätzen des Datenschutzschilds weiterhin so gehandhabt werden, falls die Umstände dies erfordern. Sollte eine Luftverkehrsgesellschaft die Bestimmungen des § 41712 wiederholt verletzen, würden Zweifel an der Bereitschaft der Gesellschaft zur Einhaltung der Grundsätze aufkommen, was in gravierenden Fällen dazu führen könnte, dass die Gesellschaft als nicht mehr betriebstauglich angesehen und ihr somit die wirtschaftliche Betriebsgenehmigung entzogen würde.

Bisher sind beim Ministerium relativ wenige Beschwerden wegen mutmaßlicher Verstöße gegen die Datenschutzbestimmungen durch Inhaber von Kartenverkaufsstellen und Luftverkehrsgesellschaften eingegangen. Bei Vorliegen einer Beschwerde wird diese gemäß den im Vorangehenden ausgeführten Grundsätzen geprüft.

C. Der durch das Ministerium gewährte Rechtsschutz kommt EU-Verbrauchern zugute

Gemäß § 41712 gilt das Verbot unlauterer und irreführender Praktiken im Luftverkehr oder beim Verkauf von Flugtickets für amerikanische oder ausländische Luftverkehrsunternehmen oder Inhaber von Kartenverkaufsstellen. Das Ministerium geht häufig gegen amerikanische und ausländische Luftverkehrsunternehmen wegen Praktiken vor, die sich sowohl auf ausländische als auch auf amerikanische Verbraucher nachteilig auswirken, sofern diese bei der Erbringung von Verkehrsdienstleistungen mit Ziel oder Ausgangspunkt in den USA stattgefunden haben. Das Ministerium nutzt alle ihm zur Verfügung stehenden Rechtsbehelfe und wird dies auch weiterhin tun, um ausländische wie amerikanische Verbraucher vor unlauteren und irreführenden Praktiken im Luftverkehr vonseiten beaufsichtigter Unternehmen zu schützen.

Im Zusammenhang mit Luftverkehrsunternehmen setzt das Ministerium darüber hinaus weitere zielgerichtete Gesetze durch, die Bestimmungen zum Schutz von Verbrauchern außerhalb der USA beinhalten, darunter das COPPA. Dieses Gesetz verlangt unter anderem von Betreibern von Websites und Online-Diensten, die an Kinder gerichtet sind, sowie von für die Allgemeinheit bestimmten Websites, die wissentlich personenbezogene Daten von Kindern unter 13 erheben, dass sie die Eltern darüber in Kenntnis setzen und die nachweisliche Zustimmung der Eltern einholen. In den USA betriebene Websites und Dienste, die dem COPPA unterliegen und personenbezogene Daten von ausländischen Kindern erheben, sind an die Bestimmungen des COPPA gebunden. Im Ausland betriebene Websites und Dienste müssen sich ebenfalls daran halten, wenn sie sich an Kinder in den USA richten oder wissentlich personenbezogene Daten von Kindern in den USA erheben. Für den Fall, dass amerikanische oder ausländische Luftverkehrsunternehmen, die in den USA geschäftlich tätig sind, gegen das COPPA verstoßen, ist das Ministerium zur Einleitung von Durchsetzungsmaßnahmen befugt.

II. Durchsetzung des Datenschutzschilds

Sobald sich eine Luftverkehrsgesellschaft oder der Inhaber einer Kartenverkaufsstelle für eine Beteiligung am Datenschutzschild entscheidet und beim Ministerium eine Beschwerde eingeht, wonach diese Luftverkehrsgesellschaft bzw. dieser Inhaber einer Kartenverkaufsstelle gegen die Grundsätze verstoßen hat, kann das Ministerium folgende Schritte einleiten, um dem Datenschutzschild mit Nachdruck Geltung zu verschaffen.

A. Vorrangige Ermittlung bei mutmaßlichen Verstößen

Die Dienststelle des Ministeriums für Rechtsdurchsetzung und Verfahren im Luftverkehr prüft alle Beschwerden wegen mutmaßlicher Verstöße gegen den Datenschutzschild (dazu gehören auch Beschwerden von EU-Datenschutzbehörden) und leitet Durchsetzungsmaßnahmen ein, sofern es Anzeichen für einen Verstoß gibt. Darüber hinaus arbeitet die Dienststelle mit der FTC und dem Handelsministerium zusammen und befasst sich vorrangig mit Beschwerden über den Verstoß beaufsichtigter Unternehmen gegen im Rahmen des Datenschutzschilds eingegangene Datenschutzverpflichtungen.

Nach Eingang einer Beschwerde über einen mutmaßlichen Verstoß gegen den Datenschutzschild kann die Dienststelle im Rahmen ihrer Ermittlungen eine Reihe von Maßnahmen ergreifen. So kann sie beispielsweise die Datenschutzbestimmungen des Inhabers einer Kartenverkaufsstelle oder der Luftverkehrsgesellschaft überprüfen, beim Inhaber der Kartenverkaufsstelle, bei der Luftverkehrsgesellschaft oder bei Dritten zusätzliche Informationen einholen, die vorlegende Stelle dazu befragen und untersuchen, ob die Verstöße systematisch erfolgen oder eine größere Anzahl von Verbrauchern betreffen. Darüber hinaus stellt die Dienststelle fest, ob in dem vorliegenden Fall Sachverhalte berührt werden, die in den Zuständigkeitsbereich des Handelsministeriums oder der FTC fallen, sie prüft, ob Aufklärungsmaßnahmen für Verbraucher und Unternehmen hilfreich wären und leitet gegebenenfalls ein Verfahren ein.

Sollte das Ministerium Kenntnis von möglichen Verstößen gegen den Datenschutzschild durch die Inhaber von Kartenverkaufsstellen erhalten, stimmt es sein weiteres Vorgehen mit der FTC ab. Darüber hinaus unterrichten wir die FTC und das Handelsministerium über die Ergebnisse von Durchsetzungsmaßnahmen im Rahmen des Datenschutzschilds.

B. Vorgehen bei falschen oder irreführenden Angaben zur Beteiligung

Das Ministerium bekräftigt seine Zusage, im Falle von Verstößen gegen den Datenschutzschild, die auch falsche oder irreführende Angaben zur Beteiligung am Datenschutzschild-Programm einschließen, Ermittlungen einzuleiten. Wir behandeln vorrangig Fälle, die uns durch das Handelsministerium übermittelt werden und Organisationen betreffen, die sich seinen Nachforschungen zufolge unrechtmäßig als Mitglied des Datenschutzschilds bezeichnen oder das Gütesiegel des Datenschutzschilds ohne Genehmigung verwenden.

Wenn im Übrigen eine Organisation in ihren Datenschutzbestimmungen zusichert, dass sie sich an die Grundsätze des Datenschutzschilds hält, reicht die bloße Tatsache, dass sie sich beim Handelsministerium nicht registrieren lässt oder ihre Registrierung nicht verlängert, nicht aus, um sich der Durchsetzung dieser Zusicherungen durch das Handelsministerium zu entziehen.

C. Überwachung von Durchsetzungsmassnahmen bei Verstössen gegen den Datenschutzschild und Unterrichtung der Öffentlichkeit darüber

Darüber hinaus bekräftigt die Dienststelle des Ministeriums ihr Engagement für die Überwachung möglicher Durchsetzungsmaßnahmen, die zur Gewährleistung der Einhaltung der Grundsätze des Datenschutzschilds erforderlich sein können. Insbesondere wenn die Dienststelle eine Anordnung an eine Luftverkehrsgesellschaft oder einen Inhaber einer Kartenverkaufsstelle erlässt, in der künftige Verstöße gegen den Datenschutzschild und gegen § 41712 untersagt werden, überwacht sie in der Folge die Einhaltung der Vorgaben in der Unterlassungsanordnung durch die jeweilige Organisation. Die Dienststelle stellt zudem sicher, dass Anordnungen im Zusammenhang mit den Datenschutzschild betreffenden Fällen auf ihrer Website eingesehen werden können.

Einer weiteren Zusammenarbeit mit unseren Partnern in den USA und mit den verantwortlichen Akteuren in der EU in allen den Datenschutzschild betreffenden Angelegenheiten sehen wir erwartungsvoll entgegen.

Ich hoffe, dass Ihnen diese Ausführungen weiterhelfen. Falls Sie noch Fragen haben oder weitere Auskünfte benötigen, wenden Sie sich bitte vertrauensvoll an mich.

Hochachtungsvoll

Anthony R. Foxx

Verkehrsminister

.

22. Februar 2016

Sehr geehrter Herr Antonipillai, sehr geehrter Herr Dean,

im Verlaufe der letzten zweieinhalb Jahre stellten die Vereinigten Staaten im Zusammenhang mit den Verhandlungen zum EU-US-Datenschutzschild umfangreiche Informationen über die Erhebungstätigkeit der US Intelligence Community im Wege der signalerfassenden Aufklärung bereit. Dazu gehören Auskünfte zum geltenden rechtlichen Rahmen, zu der auf verschiedenen Ebenen durchgeführten Überwachung dieser Tätigkeiten, zu deren weitreichender Transparenz und zu den allgemeinen Maßnahmen für den Schutz der Privatsphäre und der bürgerlichen Freiheiten, die der Europäischen Kommission die Entscheidung über die Angemessenheit dieser Schutzmaßnahmen erleichtern sollten, soweit sie sich auf die aus Gründen der nationalen Sicherheit gewährten Ausnahmen von den Grundsätzen des Datenschutzschilds beziehen. Dieses Dokument enthält eine Zusammenfassung der übermittelten Informationen.

I. Die PPD-28 und die Durchführung der signalerfassenden Aufklärung in den USA

Die Vorgehensweise der Intelligence Community der USA bei der Beschaffung ihrer Auslandsaufklärungsdaten unterliegt einer sorgfältigen Kontrolle, steht voll und ganz im Einklang mit den Rechtsvorschriften der USA und wird auf verschiedenen Ebenen überwacht, wobei das Hauptaugenmerk auf wichtigen Daten der Auslandsaufklärung und Schwerpunkten der nationalen Sicherheit liegt. Ein Mosaik aus Gesetzen und Maßnahmen regelt die Signalaufklärung in den USA, darunter die Verfassung der USA, der Foreign Intelligence Surveillance Act (50 U.S.C., § 1801 ff.) (FISA), Executive Order 12333 und damit zusammenhängende Durchführungsverfahren, Direktiven des Präsidenten sowie zahlreiche durch das FISA-Gericht und den Justizminister gebilligte Verfahren und Leitlinien, mit denen zusätzliche Regeln zur Einschränkung der Erhebung, Speicherung, Nutzung und Weitergabe von Auslandsaufklärungsdaten festgelegt werden ¹.

a. Die PPD-28 im Überblick Im Januar 2014 erläuterte Präsident Obama in einer Rede verschiedene Reformen in der signalerfassenden Aufklärung der USA und unterzeichnete hierzu die Presidential Policy Directive 28 (PPD-28) ². Der Präsident betonte, dass die US-Signalaufklärung nicht nur dazu dient, unser Land und unsere Freiheiten zu schützen, sondern auch zum Schutz der Sicherheit und der Freiheiten anderer Länder beiträgt, einschließlich der EU-Mitgliedstaaten, die zum Schutz ihrer eigenen Bürger auf Erkenntnisse von US-Nachrichtendiensten zugreifen.

Die PPD-28 enthält eine Reihe von Grundsätzen und Anforderungen, die für sämtliche Aktivitäten der US-Signalaufklärung und für alle Personen unabhängig von Nationalität oder Standort gelten. Insbesondere werden Anforderungen an Verfahren im Zusammenhang mit der Erhebung, Speicherung und Weitergabe von personenbezogenen Daten zu Nicht-US-Bürgern festgelegt, die im Rahmen der US-Signalaufklärung gesammelt wurden. Diese Anforderungen werden nachstehend detaillierter, aber dennoch zusammenfassend, dargelegt:

• In der PPD wird bekräftigt, dass die Vereinigten Staaten Signalaufklärungsdaten nur in dem Umfang erheben, wie dies per Gesetz, Executive Order oder Presidential Directive zulässig ist.
• In der PPD sind Verfahren festgelegt, mit denen sichergestellt wird, dass signalerfassende Aufklärung nur zur Förderung von legitimen und autorisierten Zielsetzungen der nationalen Sicherheit erfolgt.
• In der PPD wird zudem gefordert, dass bei der Planung der signalerfassenden Aufklärung die Privatsphäre und die bürgerlichen Freiheiten integraler Bestandteil aller Überlegungen sind. Insbesondere sammeln die Vereinigten Staaten keine Geheimdienstinformationen, um Kritik oder abweichende Meinungen zu unterdrücken oder zu belasten, um Menschen aufgrund ihrer ethnischen Zugehörigkeit, ihrer Rasse, ihres Geschlechts, ihrer sexuellen Orientierung oder ihres Glaubens zu diskriminieren oder um amerikanischen Firmen oder bestimmten amerikanischen Branchen einen Wettbewerbsvorteil zu verschaffen.
• In der PPD ist festgelegt, dass die Datenerhebung im Rahmen der signalerfassenden Aufklärung immer so "passgerecht wie möglich" erfolgen muss und dass Daten als Ergebnis von Sammelerhebungen nur für bestimmte, explizit aufgeführte Zwecke genutzt werden dürfen.
• In der PPD ist festgelegt, dass die Intelligence Community Verfahren anwendet, die so sinnvoll konzipiert sind, dass sie die Weitergabe und Speicherung von personenbezogenen Daten aus der signalerfassenden Aufklärung auf ein Mindestmaß beschränken und vor allem bestimmte Schutzmaßnahmen, die für personenbezogene Daten von US-Bürgern gelten, auch auf Daten von Nicht-US-Bürger erweitern.
• Es wurden behördliche Verfahren zur Umsetzung der PPD-28 festgelegt und publik gemacht.

Die Anwendbarkeit der darin festgelegten Verfahren und Schutzmaßnahmen auf den Datenschutzschild steht außer Frage. Nach der Übermittlung von Daten an Unternehmen in den Vereinigten Staaten im Rahmen des Datenschutzschilds - oder auch auf jede andere Art und Weise - dürfen die amerikanischen Nachrichtendienste diese Daten von den Unternehmen nur abfragen, wenn ihr Antrag mit dem FISA im Einklang steht oder über einen National Security Letter erfolgt, die an anderer Stelle erläutert werden ³. Ohne dass Medienberichte bestätigt oder dementiert werden, wonach die US Intelligence Community Daten aus transatlantischen Kabeln sammelt, während sie in die Vereinigten Staaten übertragen werden, würde eine solche Datensammlung vorbehaltlich der hierin dargelegten Beschränkungen und Garantien erfolgen, einschließlich der Anforderungen der PPD-28.

b. Beschränkungen der Datenerhebung

Die PPD-28 legt eine Reihe wichtiger allgemeiner Grundsätze für die Erhebung von Signalaufklärungsdaten fest:

• Die signalerfassende Aufklärung muss gesetzlich zulässig oder vom Präsidenten autorisiert sein und muss im Einklang mit der Verfassung der USA und dem amerikanischen Recht stehen.
• Die Privatsphäre und die bürgerlichen Freiheiten sind integraler Bestandteil aller Überlegungen bei der Planung der signalerfassenden Aufklärung.
• Die signalerfassende Aufklärung kommt ausschließlich dann zum Einsatz, wenn dies der Auslandsaufklärung oder der Spionageabwehr dient.
• Die Vereinigten Staaten sammeln keine Signalaufklärungsdaten, um Kritik oder abweichende Meinungen zu unterdrücken oder zu belasten.
• Die Vereinigten Staaten sammeln keine Signalaufklärungsdaten, um Menschen aufgrund ihrer ethnischen Zugehörigkeit, ihrer Rasse, ihres Geschlechts, ihrer sexuellen Orientierung oder ihres Glaubens zu diskriminieren.
• Die Vereinigten Staaten sammeln keine Signalaufklärungsdaten, um amerikanischen Firmen oder bestimmten amerikanischen Branchen einen Wettbewerbsvorteil zu verschaffen.
• Die signalerfassende Aufklärung der USA muss immer so "passgerecht wie möglich" erfolgen und dabei die Verfügbarkeit anderer Informationsquellen berücksichtigen. Das bedeutet unter anderem, dass - wann immer dies machbar ist - eine gezielte Datenerhebung und keine Sammelerhebung erfolgt.

Die Anforderung, dass die signalerfassende Aufklärung so "passgerecht wie möglich" erfolgen sollte, gilt sowohl für die Art und Weise, in der Signalaufklärungsdaten erhoben werden, als auch für die Daten selbst. Bei der Entscheidung darüber, ob Daten dieser Art erhoben werden sollen, muss die Intelligence Community die Verfügbarkeit anderer Informationen prüfen, einschließlich diplomatische oder öffentliche Quellen, und bei der Erhebung vorrangig auf diese Alternativen zurückgreifen, sofern diese geeignet und machbar sind. Darüber hinaus sollten die Nachrichtendienste, wann immer dies praktikabel erscheint, die Erhebung auf spezifische Aufklärungsziele oder -themen im Ausland konzentrieren, indem sie Selektoren (z.B. konkrete Objekte, Suchkriterien und Identifikatoren) heranziehen.

Die der Kommission bereitgestellten Informationen müssen unbedingt in ihrer Gesamtheit gesehen werden. Die Entscheidungen darüber, was "machbar" oder "praktikabel" ist, bleiben nicht dem Ermessen Einzelner überlassen, sondern sind Gegenstand der Strategien, die die Nachrichtendienste zur Umsetzung der PPD-28 erlassen haben - und die öffentlich zugänglich gemacht wurden - sowie der anderen darin beschriebenen Verfahren ⁴. Wie es in der PPD-28 heißt, erfolgt bei einer Sammelerhebung von Signalaufklärungsdaten die Erhebung "aufgrund technischer oder operativer Erwägungen" ohne die Heranziehung von Selektoren (z.B. konkrete Objekte, Suchkriterien und Identifikatoren). In diesem Zusammenhang wird in der PPD-28 anerkannt, dass Nachrichtendienste unter bestimmten Umständen auf die Sammelerhebung zurückgreifen müssen, um neue oder sich abzeichnende Bedrohungen zu erkennen oder andere für die nationale Sicherheit hochwichtige Informationen zu erlangen, die oftmals innerhalb des großen und komplexen Systems der modernen globalen Kommunikation verborgen sind. Auch die im Zusammenhang mit der Sammelerhebung vorgebrachten Bedenken, was den Schutz der Privatsphäre und der bürgerlichen Freiheiten betrifft, werden in der PPD-28 nicht von der Hand gewiesen. Folglich orientiert sie die Intelligence Community dahingehend, Alternativen den Vorzug zu geben, die eine gezielte Signalaufklärung ermöglichen. Nachrichtendienste sollten - wann immer dies möglich ist - die Sammelerhebung durch gezielte Informationsgewinnung ersetzen ⁵. Diese Grundsätze gewährleisten, dass ungeachtet der Ausnahme der Sammelerhebung die allgemeine Regel bestehen bleibt.

Was das Konzept der Verhältnismäßigkeit betrifft, so handelt es sich um einen fundamentalen Grundsatz des US-Rechts. Die Nachrichtendienste sollen demnach nicht theoretisch mögliche Maßnahmen ergreifen, sondern müssen ihre Bemühungen um den Schutz der legitimen Interessen auf dem Gebiet des Datenschutzes und der bürgerlichen Freiheiten mit den praktischen Erfordernissen der signalerfassenden Aufklärung in Einklang bringen. Auch in diesem Zusammenhang haben die Nachrichtendienste ihre Strategien vorgelegt, mit denen gesichert werden kann, dass die allgemeine Regel nicht untergraben wird, wenn Maßnahmen "so sinnvoll konzipiert sind, dass sie die Weitergabe und Speicherung von personenbezogenen Daten auf ein Mindestmaß beschränken".

Die PPD-28 beschränkt außerdem die Nutzung der durch Sammelerhebung gewonnenen Signalaufklärungsdaten auf eine Liste von sechs spezifischen Zielsetzungen, und zwar die Ermittlung und Abwehr bestimmter Aktivitäten ausländischer Mächte, Terrorismusbekämpfung, Nichtverbreitung von Massenvernichtungswaffen, Cybersecurity, Aufdeckung und Abwehr von Bedrohungen für die amerikanischen oder mit ihnen verbündeten Streitkräfte und Abwehr länderübergreifender krimineller Bedrohungen, einschließlich Umgehung von Sanktionen. Der Nationale Sicherheitsberater des Präsidenten wird in Absprache mit dem Director for National Intelligence (DNI) jährlich Überprüfungen zu diesen zulässigen Nutzungszwecken durchführen und feststellen, ob Änderungen erforderlich sind. Der DNI macht diese Liste unter Berücksichtigung der Interessen der nationalen Sicherheit in größtmöglichem Umfang publik. Dadurch wird die Nutzung von Signalaufklärungsdaten aus Sammelerhebungen ganz wesentlich und gleichzeitig auf transparente Art und Weise eingeschränkt.

Abgesehen davon haben die mit der Umsetzung der PPD-28 befassten Nachrichtendienste vorhandene Analysemethoden und -standards für die Abfrage ungeprüfter Signalaufklärungsdaten verschärft ⁶. Die Analysten müssen ihre Anfragen oder Suchbegriffe und -methoden so strukturieren, dass sie mit Sicherheit Aufklärungsdaten bezeichnen können, die für einen begründeten Zweck der Auslandsaufklärung oder Strafverfolgung von Belang sind. Zu diesem Zweck müssen die Nachrichtendienste bei Anfragen zu Personen die Kategorien der Signalaufklärungsdaten in den Mittelpunkt stellen, die den Erfordernissen der Auslandsaufklärung oder Strafverfolgung entsprechen, um so die Verwendung von personenbezogenen Informationen zu verhindern, die für den Zweck der Auslandsaufklärung oder Strafverfolgung nicht relevant sind.

Es ist wichtig zu betonen, dass die Sammelerhebung von Internetdaten, die von der Intelligence Community der USA im Wege der signalerfassenden Aufklärung durchgeführt wird, nur einen kleinen Teil des Internets berührt. Gezielte Abfragen, wie sie an anderer Stelle beschrieben wurden, stellen zudem sicher, dass den Analysten nur Objekte vorgelegt werden, die einen potenziellen Erkenntniswert aufweisen. Ziel dieser Einschränkungen ist es, die Privatsphäre und die bürgerlichen Freiheiten aller Personen unabhängig von ihrer Nationalität und ihrem Wohnort zu schützen.

Die Vereinigten Staaten bedienen sich aufwändiger Verfahren, um zu gewährleisten, dass signalerfassende Aufklärung nur zur Förderung von angemessenen Zielsetzungen der nationalen Sicherheit erfolgt. Jedes Jahr legt der Präsident nach einem umfassenden formellen Verfahren unter Einbeziehung aller Nachrichtendienste die höchsten Prioritäten des Landes in der Auslandsaufklärung fest. Der DNI ist für die Umsetzung dieser nachrichtendienstlichen Schwerpunkte im "National Intelligence Priorities Framework", oder NIPF, zuständig. Durch die PPD-28 wurde das behördenübergreifende Verfahren gestärkt und weiter ausgestaltet, damit gesichert ist, dass alle Schwerpunkte der nachrichtendienstlichen Tätigkeit auf hoher politischer Ebene überprüft und bestätigt werden. Die Intelligence Community Directive (ICD) 204 gibt weiterführende Orientierung zum NIPF und wurde im Januar 2015 zur Aufnahme der Anforderungen der PPD-28 aktualisiert ⁷. Der NIPF selbst unterliegt der Geheimhaltung, jedoch finden Informationen zu den spezifischen Schwerpunkten der Auslandsaufklärung der USA jährlich Eingang in die nicht geheime "Worldwide Threat Assessment" des DNI, die auf der ODNI-Website leicht zugänglich ist.

Die Schwerpunkte im NIPF tragen in recht hohem Maße allgemeinen Charakter. Sie beinhalten Themen wie die Bestrebungen feindlicher ausländischer Akteure im Bereich nuklearer und ballistischer Raketen, die Auswirkungen von Drogenkartellen und Korruption sowie Menschenrechtsverletzungen in bestimmten Ländern. Und sie gelten nicht nur für die signalerfassende Aufklärung, sondern für alle nachrichtendienstlichen Tätigkeiten. Zuständig für die Umsetzung der NIPF-Schwerpunkte bei der tatsächlichen Erhebung von Signalaufklärungsdaten ist das National Signals Intelligence Committee, oder SIGCOM. Es agiert unter der Leitung des Direktors der National Security Agency (NSA), der gemäß Executive Order 12333 die Aufgaben eines "operativen Leiters der signalerfassenden Aufklärung" wahrnimmt und für die Überwachung und Koordinierung der Signalaufklärung der gesamten Intelligence Community zuständig ist und dabei sowohl vom Verteidigungsminister als auch vom DNI beaufsichtigt wird. Im SIGCOM sind alle Nachrichtendienste vertreten, und da die USA die PPD-28 vollständig umsetzen, werden auch andere Regierungsstellen, die ein politisches Interesse an der signalerfassenden Aufklärung haben, umfassend repräsentiert sein.

Alle Ministerien und Regierungsstellen der USA, die die Auslandsaufklärung für sich in Anspruch nehmen, richten ihre Auskunftsersuchen an das SIGCOM. Dieses prüft die Ersuchen, stellt sicher, dass sie mit dem NIPF in Einklang stehen und versieht sie mit Schwerpunkten, wobei unter anderem folgende Kriterien zur Anwendung kommen:

• Kann die signalerfassende Aufklärung in diesem Fall nützliche Informationen liefern oder gibt es bessere oder kostengünstigere Informationsquellen zur Erfüllung der Anfrage, wie etwa Bildmaterial oder öffentliche Informationsquellen?
• Wie wichtig ist dieser Informationsbedarf? Wenn er im NIPF mit hoher Priorität eingestuft ist, kommt ihm größtenteils bei der Signalaufklärung hohe Priorität zu.
• Welche Art der signalerfassenden Aufklärung könnte eingesetzt werden?
• Ist die Erhebung so passgerecht wie möglich? Sollte es zeitliche, geografische oder sonstige Beschränkungen geben?

Beim amerikanischen Verfahren zur Prüfung der Erfordernisse einer Signalaufklärung sind ausdrücklich auch andere Faktoren zu berücksichtigen, nämlich:

• Ist das Ziel der Erhebung oder die verwendete Erhebungsmethode besonders sensibel? Wenn ja, ist eine Überprüfung durch ranghohe Entscheidungsträger erforderlich.
• Ist mit der Erhebung ein ungerechtfertigtes Risiko für den Schutz der Privatsphäre und die bürgerlichen Freiheiten unabhängig von der Nationalität verbunden?
• Sind zusätzliche Garantien bezüglich Weitergabe und Speicherung erforderlich, um die Privatsphäre oder nationale Sicherheitsinteressen zu schützen?

Zum Abschluss des Verfahrens schließlich untersuchen und benennen ausgebildete NSA-Mitarbeiter auf der Grundlage der vom SIGCOM validierten Schwerpunkte konkrete Suchkriterien wie etwa Telefonnummern oder E-Mail-Adressen, anhand derer Erkenntnisse aus dem Ausland gewonnen werden können, die den Schwerpunkten entsprechen. Jeder Selektor muss überprüft und bestätigt werden, bevor er in die Erhebungssysteme der NSA aufgenommen wird. Aber selbst dann werden zum Teil noch zusätzliche Kriterien wie die Verfügbarkeit von geeigneten Erhebungsressourcen herangezogen, um zu entscheiden, ob und wann die tatsächliche Erhebung stattfindet. Durch dieses Verfahren wird gewährleistet, dass die Ziele der US-Signalaufklärung einen begründeten und wichtigen Bedarf an Auslandsaufklärungsdaten widerspiegeln. Und natürlich müssen die NSA und andere Nachrichtendienste bei Durchführung der Erhebung gemäß FISA weitere Einschränkungen nach Maßgabe des Foreign Intelligence Surveillance Court beachten. Kurz gesagt, weder die NASA noch ein anderer amerikanischer Nachrichtendienst entscheidet selbst darüber, was erhoben wird.

Generell ist dieses Verfahren Gewähr dafür, dass die Schwerpunkte der nachrichtendienstlichen Tätigkeit der USA allesamt von ranghohen politischen Entscheidungsträgern festgelegt werden, die die Erfordernisse im Bereich der Auslandsaufklärung am besten bestimmen können, und dass diese Entscheidungsträger nicht nur den potenziellen Wert der geheimdienstlichen Datenerhebung im Auge haben, sondern auch die damit verbundenen Risiken, einschließlich der Gefahren für den Datenschutz, die nationalen wirtschaftlichen Interessen und die Außenbeziehungen.

Wenngleich die Vereinigten Staaten konkrete nachrichtendienstliche Methoden oder Operationen nicht bestätigen oder dementieren können, so gelten doch in Bezug auf die im Rahmen des Datenschutzschilds in die Vereinigten Staaten übermittelten Daten die Anforderungen der PPD-28 für alle von den Vereinigten Staaten durchgeführten Operationen der signalerfassenden Aufklärung, unabhängig von Art oder Quelle der erhobenen Daten. Zudem gelten die auf die signalerfassende Aufklärung anzuwendenden Einschränkungen und Garantien für alle Signalaufklärungsdaten, die für einen autorisierten Zweck erhoben wurden, was sowohl die Außenbeziehungen als auch die Belange der nationalen Sicherheit einschließt.

Die hier erörterten Verfahren lassen das deutliche Bemühen erkennen, die willkürliche und anlassunabhängige Erhebung signalerfassender Aufklärungsdaten zu verhindern und - ausgehend von den höchsten Ebenen staatlicher Verwaltung - dem Grundsatz der Verhältnismäßigkeit Geltung zu verschaffen. Mit der PPD-28 und den Durchführungsverfahren der Nachrichtendienste werden neue und bestehende Einschränkungen bei der Signalaufklärung eindeutig geregelt, und es wird konkreter festgelegt, für welchen Zweck die Vereinigten Staaten Signalaufklärungsdaten erheben und verwenden. Dadurch sollte gesichert sein, dass Aktivitäten der signalerfassenden Aufklärung jetzt und in Zukunft nur zur Verfolgung berechtigter Ziele der Auslandsaufklärung durchgeführt werden.

c. Einschränkungen der Speicherung und Weitergabe

§ 4 der PPD-28 schreibt für die gesamte Intelligence Community Grenzen für die Speicherung und Weitergabe von personenbezogenen Daten betreffend Nicht-US-Bürger vor, die im Wege der signalerfassenden Aufklärung erhoben wurden, und diese Grenzen sind mit den für US-Bürger geltenden Grenzen vergleichbar. Diese Regelungen sind Bestandteil der für die einzelnen Nachrichtendienste geltenden Verfahren, die im Februar 2015 herausgegeben wurden und öffentlich zugänglich sind. Um für eine Speicherung oder Weitergabe als Auslandsaufklärungsdaten in Frage zu kommen, müssen sich die personenbezogenen Daten auf einen autorisierten Zweck der nachrichtendienstlichen Tätigkeit beziehen, wie er entsprechend dem weiter oben beschriebenen NIPF-Verfahren bestimmt wurde, müssen mit hinreichender Bestimmtheit Anhaltspunkte für eine Straftat liefern oder einem der anderen Standards für die Speicherung von Daten zu US-Bürgern gemäß Executive Order 12333, Abschnitt 2.3., entsprechen.

Daten, für die keine derartigen Festlegungen gelten, dürfen nicht länger als fünf Jahre gespeichert werden, sofern nicht der DNI ausdrücklich bestimmt, dass eine weitere Speicherung im Interesse der nationalen Sicherheit der Vereinigten Staaten liegt. Die Nachrichtendienste müssen daher Informationen zu Nicht-US-Bürgern, die per Signalaufklärung erhoben wurden, fünf Jahre nach der Erhebung löschen, wenn nicht beispielsweise festgestellt wurde, dass die Daten für ein autorisiertes Ziel der Auslandsaufklärung von Belang sind oder der DNI unter Berücksichtigung der Auffassung des ODNI Civil Liberties Protection Officer sowie der Datenschutz- und Bürgerrechtsbeauftragten der Behörde zu der Entscheidung gelangt, dass eine weitere Speicherung dem nationalen Sicherheitsinteresse entspricht.

Darüber hinaus ist mittlerweile bei allen nachrichtendienstlichen Maßnahmen zur Umsetzung der PPD-28 ausdrücklich vorgeschrieben, dass personenbezogene Daten nicht einfach weitergegeben werden dürfen, weil die betreffende Person kein US-Bürger ist, und das ODNI hat im Sinne dieser Anforderung eine Direktive an alle Nachrichtendienste gerichtet ⁸. Geheimdienstmitarbeiter sind ausdrücklich aufgefordert, bei der Erarbeitung und Weitergabe von Aufklärungsberichten den Schutz der Privatsphäre von Nicht-US-Bürgern zu berücksichtigen. Insbesondere wird signalerfassende Aufklärung über die alltäglichen Aktivitäten eines ausländischen Staatsangehörigen nicht als Auslandsaufklärung angesehen, die man allein aus diesem Grund weitergeben oder dauerhaft speichern darf, ohne dass sie einem autorisiertem Zweck der Auslandsaufklärung dient. Damit wird eine wichtige Einschränkung anerkannt und den Bedenken der Europäischen Kommission bezüglich der Breite der Definition der Auslandsaufklärung gemäß Executive Order 12333 Rechnung getragen.

d. Compliance und Überwachung

Das US-System zur Überwachung der Auslandsaufklärung sieht eine gründliche und mehrstufige Kontrolle vor, um die Einhaltung der geltenden Gesetze und Verfahren zu gewährleisten, auch was die Erhebung, Speicherung und Weitergabe von Daten zu Nicht-US-Bürgern betrifft, die per Signalaufklärung gemäß PPD-28 erhoben wurden. Das beinhaltet Folgendes:

• Die Intelligence Community beschäftigt Hunderte von Mitarbeitern für die Überwachung. Bei der NSA allein befassen sich 300 Mitarbeiter mit der Compliance, und andere Nachrichtendienste haben ebenfalls Überwachungsbüros. Darüber hinaus werden die nachrichtendienstlichen Tätigkeiten vom Justizministerium umfassend beaufsichtigt, und ebenso nimmt das Vereidigungsministerium eine Aufsichtsfunktion wahr.
• Jeder Nachrichtendienst verfügt über ein eigenes Büro des Generalinspekteurs, das unter anderem für die Überwachung der Auslandsaufklärung zuständig ist. Generalinspekteure sind rechtlich unabhängig, haben umfassende Befugnisse zur Durchführung von Untersuchungen, Audits und Überprüfungen im Zusammenhang mit den Programmen, darunter auch in Bezug auf Betrug sowie Missbrauchsfälle oder Rechtsverstöße, und können Korrekturmaßnahmen empfehlen. Zwar sind derartige Empfehlungen nicht bindend, doch werden die Berichte der Generalinspekteure oftmals publik gemacht und in jedem Fall dem Kongress übermittelt, was Folgeberichte einschließt, wenn in vorangegangenen Berichten empfohlene Korrekturmaßnahmen noch nicht abgeschlossen sind. Der Kongress wird daher über jede Nichteinhaltung informiert und kann durch entsprechenden Druck, nicht zuletzt über die Haushaltsmittel, auf die Durchsetzung der Korrekturmaßnahme hinarbeiten. Mehrere Berichte von Generalinspekteuren zu Aufklärungsprogrammen wurden veröffentlicht ⁹.
• Das ODNI Civil Liberties and Privacy Office (CLPO) hat die Aufgabe sicherzustellen, dass die Nachrichtendienste durch die Art ihrer Vorgehensweise dem Schutz der nationalen Sicherheit dienen und gleichzeitig die bürgerlichen Freiheiten und das Recht auf Privatsphäre geschützt werden ¹⁰. Andere Nachrichtendienste haben ihre eigenen Datenschutzbeauftragten.
• Dem Privacy and Civil Liberties Oversight Board (PCLOB), einem unabhängigen, gesetzlich festgelegten Gremium, obliegt die Analyse und Überprüfung von Programmen und Maßnahmen zur Terrorismusbekämpfung, einschließlich des Einsatzes signalerfassender Aufklärung, um in diesem Zusammenhang den Schutz der Privatsphäre und der bürgerlichen Freiheiten zu gewährleisten. Er hat mehrere öffentliche Berichte zu nachrichtendienstlichen Aktivitäten herausgegeben.
• Wie an anderer Stelle noch ausführlicher dargelegt wird, ist das FISA-Gericht (Foreign Intelligence Surveillance Court), das aus einem Gremium unabhängiger Bundesrichter besteht, für die Überwachung aller Signalaufklärungsaktivitäten gemäß FISA und die damit zusammenhängenden Compliance-Fragen zuständig.
• Und schließlich nimmt auch der Kongress der USA, vor allem über die Ausschüsse des Repräsentantenhauses und des Senats für Nachrichtendienste und Justiz, wichtige Kontrollaufgaben wahr, die alle Formen der Auslandsaufklärung, darunter die US-Signalaufklärung, betreffen.

Abgesehen von diesen formellen Überwachungsmechanismen verfügen auch die Nachrichtendienste selbst über verschiedene Mechanismen, um die Einhaltung der bereits beschriebenen Einschränkungen bei der Erhebung zu sichern. Hier einige Beispiele:

• Von Kabinettsbeamten wird gefordert, dass sie ihre Anforderungen an die Signalaufklärung jährlich validieren.
• Die NSA kontrolliert die Ziele der Signalaufklärung während der gesamten Erhebung, um festzustellen, ob damit tatsächlich wertvolle Erkenntnisse aus dem Ausland gewonnen werden, die den Schwerpunkten entsprechen. Für Ziele, bei denen dies nicht der Fall ist, wird die Erhebung eingestellt. Durch zusätzliche Verfahren ist eine regelmäßige Überprüfung der Suchkriterien gewährleistet.
• Ausgehend von der Empfehlung einer von Präsident Obama benannten unabhängigen Review Group hat der DNI einen neuen Mechanismus zur Überwachung der Erhebung und Weitergabe von Signalaufklärungsdaten eingerichtet, der bedingt durch die Art des Zieles bzw. das Mittel der Erhebung besonders sensibel ist, um auf diese Weise eine vollständige Übereinstimmung mit den auf politischer Ebene getroffenen Festlegungen sicherzustellen.
• Schließlich prüft das ODNI jährlich die von den Nachrichtendiensten vorgenommene Ressourcenverteilung nach Schwerpunkten und die nachrichtendienstliche Tätigkeit insgesamt. Im Rahmen dieser Prüfung erfolgt eine Beurteilung des Nutzens aller Arten der geheimdienstlichen Datenerhebung, einschließlich der signalerfassenden Aufklärung, und es wird sowohl ein Resümee gezogen - wie erfolgreich hat die Intelligence Community ihre Ziele umgesetzt? - als auch nach vorn geschaut - wie sieht der künftige Bedarf der Intelligence Community aus? So wird sichergestellt, dass die Ressourcen der Signalaufklärung für die wichtigsten nationalen Schwerpunkte zum Einsatz kommen.

Aus diesen umfassenden Darlegungen geht hervor, dass die Intelligence Community nicht allein entscheidet, welche Gespräche abgehört werden, dass sie keine lückenlose Erfassung anstrebt und nicht frei von Kontrolle operiert. Sie richtet ihre Aktivitäten auf die von den politischen Entscheidungsträgern festgelegten Schwerpunkt aus, was insgesamt mit einem Prozess verbunden ist, in den sich die verschiedensten staatlichen Stellen einbringen und der sowohl innerhalb der NSA als auch durch das ODNI, das Justizministerium und das Verteidigungsministerium überwacht wird.

Die PPD-28 enthält zahlreiche weitere Bestimmungen zur Sicherung des Schutzes von personenbezogenen Signalaufklärungsdaten, unabhängig von der Nationalität. Beispielsweise trifft sie mit Blick auf den Schutz dieser Daten Regelungen zur Datensicherheit, zum Zugang und zu Qualitätsverfahren und sieht obligatorische Schulungen vor, damit sich die Mitarbeiter jederzeit der Verantwortung für den Schutz personenbezogener Daten unabhängig von der Nationalität bewusst sind. Die PPD orientiert zudem auf zusätzliche Überwachungs- und Compliance-Mechanismen. Dazu gehört, dass die Verfahren zum Schutz der personenbezogenen Informationen, die bei der Signalaufklärung anfallen, regelmäßig von kompetenten Überwachungs- und Compliance-Mitarbeitern überprüft und begutachtet werden. Bei den Prüfungen muss zudem die Einhaltung der Verfahren zum Schutz solcher Daten seitens der Nachrichtendienste untersucht werden.

Darüber hinaus wird in der PPD-28 geregelt, dass wichtige Compliance-Probleme in Bezug auf Nicht-US-Bürger an höhere Regierungsebenen weitergeleitet werden. Im Falle eines wichtigen Compliance-Problems, bei dem es um personenbezogene Daten geht, die per Signalaufklärung erhoben wurden, muss das Problem ungeachtet sonstiger bestehender Berichtspflichten unverzüglich dem DNI gemeldet werden. Sind hierbei die personenbezogenen Daten einer Nicht-US-Person betroffen, entscheidet der DNI in Abstimmung mit dem Außenminister und dem Leiter des betreffenden Nachrichtendienstes darüber, ob Schritte einzuleiten sind, um die betreffende ausländische Regierung in einer Weise davon in Kenntnis zu setzen, die mit dem Schutz der Quellen und Methoden und der US-Mitarbeiter vereinbar ist. Darüber hinaus hat der Außenminister gemäß PPD-28 als Ansprechpartner für ausländische Regierungen, die Bedenken im Zusammenhang mit der US-Signalaufklärung vorbringen, eine hochrangige Beamtin eingesetzt, Under Secretary Catherine Novelli. Dieses Bekenntnis zu einem Engagement auf höchster Ebene ist beispielhaft für die Bemühungen der US-Regierung in den letzten Jahren, Vertrauen in die zahlreichen bestehenden und sich überschneidenden Bestimmungen zum Schutz der Daten von US-Bürgern und Nicht-US-Bürgern zu schaffen.

e. Zusammenfassung

Die Verfahren der Vereinigten Staaten für die Erhebung, Speicherung und Weitergabe von Daten aus der Auslandsaufklärung schließen wichtige Vorkehrungen zum Schutz der personenbezogenen Daten aller Personen unabhängig von der Nationalität ein. Insbesondere wird durch diese Verfahren sichergestellt, dass sich unsere Intelligence Community in der nach Gesetz, Executive Order oder Presidential Directive zulässigen Form auf den Schutz der nationalen Sicherheit konzentriert, dass sie die Daten vor unbefugtem Zugriff, unbefugter Nutzung und Weitergabe schützt und dass ihre Aktivitäten einer mehrstufigen Kontrolle und Überwachung unterliegen, einschließlich durch Kontrollausschüsse des Kongresses. Die PPD-28 und die Verfahren zu ihrer Durchführung machen unsere Bemühungen deutlich, bestimmte Minimierungsverfahren und andere wesentliche Grundsätze des Datenschutzes auf die personenbezogenen Daten aller Personen unabhängig der Nationalität auszuweiten. Personenbezogene Informationen, die durch die signalerfassende Aufklärung der USA erhoben wurden, unterliegen den Grundsätzen und Anforderungen des amerikanischen Rechts und den Anweisungen des Präsidenten, einschließlich der in der PPD-28 festgelegten Schutzbestimmungen. Diese Grundsätze und Anforderungen sind die Gewähr dafür, dass alle Personen unabhängig von ihrer Nationalität oder ihrem Wohnort würde- und respektvoll behandelt werden, und sie erkennen an, dass alle Personen berechtigte Datenschutzinteressen beim Umgang mit ihren personenbezogenen Informationen haben.

II. Foreign Intelligence Surveillance Act - § 702

Die Erhebung gemäß § 702 des Foreign Intelligence Surveillance Act ¹¹ erfolgt nicht "massenhaft und anlassunabhängig", sondern ist strikt auf die Erhebung ausländischer Aufklärungsdaten einzeln benannter legitimer Ziele gerichtet; ist eindeutig durch ausdrückliche gesetzliche Ermächtigung autorisiert und unterliegt sowohl der unabhängigen richterlichen Aufsicht als auch einer umfassenden Überprüfung und Überwachung innerhalb der Exekutive und im Kongress. Die Erhebung gemäß § 702 gilt als signalerfassende Aufklärung nach Maßgabe der Anforderungen der PPD-28 ¹².

Die Erhebung gemäß § 702 stellt eine der wertvollsten Quellen für Aufklärungsdaten dar, da sowohl die Vereinigten Staaten als auch unsere europäischen Partner geschützt werden. Umfassende Informationen zur Funktionsweise und Überwachung von § 702 sind öffentlich zugänglich. Zahlreiche Gerichtsunterlagen, richterliche Entscheidungen und Überwachungsberichte im Zusammenhang mit dem Programm wurden freigegeben und auf der Website des ODNI öffentlich bekannt gemacht (www.icontherecord.tumblr.com.). Außerdem führte das PCLOB eine umfassende Analyse zu § 702 durch; der entsprechende Bericht ist abrufbar unter https://www.pclob.gov/library/702-Report.pdf ¹³.

Der § 702 wurde nach einer breiten öffentlichen Debatte als Teil des FISA Amendments Act von 2008 ¹⁴ im Kongress verabschiedet. Er genehmigt die Sammlung von Auslandsaufklärungsdaten durch die gezielte Überwachung von Nicht-US-Bürgern, die sich außerhalb der Vereinigten Staaten aufhalten, wobei amerikanische Anbieter elektronischer Kommunikationsdienste zur Unterstützung verpflichtet sind. § 702 autorisiert den Justizminister und den DNI - zwei vom Präsidenten ernannte und vom Senat bestätigte Beamte auf Kabinettsebene -, dem FISA Court jährliche Zertifizierungen vorzulegen ¹⁵. Diese beziehen sich auf spezifische Kategorien von zu erhebenden Auslandsaufklärungsdaten, wie etwa Erkenntnisse in Bezug auf Terrorismusbekämpfung oder Massenvernichtungswaffen, die unter die im FISA-Gesetz festgelegten Kategorien von Auslandsaufklärungsdaten fallen müssen ¹⁶. Wie das PCLOB feststellte, "ist aufgrund dieser Einschränkungen eine unbeschränkte Erhebung von Daten über Ausländer nicht möglich" ¹⁷.

Zudem müssen die Zertifizierungen Verfahren zur "zielgenauen Erfassung" und "Minimierung" vorsehen, die vom FISA-Gericht zu überprüfen und zu bestätigen sind ¹⁸. Die Verfahren für eine zielgenaue Erfassung sollen sicherstellen, dass die Erhebung nur in der gesetzlich zulässigen Form stattfindet und der Anwendungsbereich der Zertifizierungen eingehalten wird; durch die Verfahren zur Minimierung sollen die Gewinnung, Weitergabe und Speicherung von Informationen über US-Bürger eingeschränkt werden, sie sehen jedoch auch einen umfassenden Schutz für Informationen über Nicht-US-Bürger vor, wie an anderer Stelle noch erläutert wird. Zudem hat der Präsident, wie bereits dargelegt, in der PPD-28 angewiesen, dass die Intelligence Community zusätzliche Schutzvorkehrungen für personenbezogene Daten von Nicht-US-Bürgern treffen, und diese Vorkehrungen gelten für Daten, die gemäß § 702 erhoben werden.

Bestätigt das Gericht die Verfahren zur zielgenauen Erfassung und Minimierung, erfolgt die Erhebung gemäß § 702 nicht als Sammelerhebung oder anlassunabhängig, sondern es geht ausschließlich um konkrete Zielpersonen, zu denen individualisierte Merkmale festgelegt worden sind, wie das PCLOB anmerkt ¹⁹. Zur zielgenauen Ausrichtung der Erhebung werden individuelle Selektoren verwendet, wie etwa E-Mail-Adressen oder Telefonnummern, die nach Erkenntnissen der Mitarbeiter der US-Nachrichtendienste vermutlich dazu verwendet werden, um Auslandsaufklärungsdaten der Art zu übermitteln, die unter die dem Gericht vorgelegte Zertifizierung fällt ²⁰. Die Grundlage für die Auswahl des Ziels muss dokumentiert werden, und die Dokumentation für die einzelnen Selektoren wird nachfolgend vom Justizministerium überprüft ²¹. Nach Informationen der Regierung der USA wurden 2014 zu etwa 90.000 Personen gezielte Erhebungen nach § 702 durchgeführt, was einem winzigen Bruchteil der weltweit mehr als drei Milliarden Internetnutzer entspricht ²².

Nach § 702 erhobene Daten sind Gegenstand der vom Gericht bestätigten Minimierungsverfahren, die Schutzmaßnahmen für Nicht-US-Bürger wie auch für US-Bürger vorsehen und die der Öffentlichkeit bekanntgegeben wurden ²³. Beispielsweise werden nach § 702 gesammelte Kommunikationsinhalte - sei es von US-Bürgern oder von Nicht-US-Bürgern - in Datenbanken mit strengen Zugangskontrollen gespeichert. Sie dürfen nur von nachrichtendienstlichem Personal überprüft werden, die in den auf den Datenschutz abgestellten Minimierungsverfahren geschult und für diesen Zugang speziell bestätigt wurden, damit sie ihre autorisierten Aufgaben wahrnehmen können ²⁴. Verwendet werden dürfen die Daten nur für die Ermittlung von Auslandsaufklärungsdaten oder den Nachweis einer Straftat ²⁵. Die Weitergabe darf gemäß PPD-28 nur dann erfolgen, wenn dies einem begründeten Ziel der Auslandsaufklärung oder der Strafverfolgung dient; die alleinige Tatsache, dass es sich bei einer der Kommunikationsparteien nicht um eine US-Person handelt, ist nicht ausreichend ²⁶. Außerdem wird durch die Minimierungsverfahren und die PPD-28 die mögliche Speicherdauer der nach § 702 gewonnenen Daten begrenzt ²⁷.

Der § 702 unterliegt einer umfassenden Überwachung, an der alle drei Gewalten des Staates beteiligt sind. Bei den Nachrichtendiensten, die das Gesetz umsetzen, erfolgen interne Überprüfungen auf mehreren Ebenen, einschließlich durch unabhängige Generalinspekteure, sowie technische Kontrollen des Datenzugriffs. Seitens des Justizministeriums und des ODNI wird die Anwendung von § 702 genau überprüft und untersucht, um die Einhaltung der rechtlichen Bestimmungen zu verifizieren. Unabhängig davon sind auch die Nachrichtendienste verpflichtet, potenzielle Verstöße zu melden. Hierzu erfolgt eine Untersuchung, und über alle Verstöße wird dem Foreign Intelligence Surveillance Court, dem Intelligence Oversight Board des Präsidenten und dem Kongress Bericht erstattet, und es wird gegebenenfalls Abhilfe geschaffen ²⁸. Bislang gibt es keine Fälle, in denen vorsätzlich versucht wurde, gegen das Gesetz zu verstoßen oder rechtliche Vorgaben zu umgehen ²⁹.

Das FISA-Gericht spielt bei der Umsetzung von § 702 eine wichtige Rolle. Es besteht aus einem Gremium unabhängiger Bundesrichter, die ihm sieben Jahre angehören, jedoch wie alle Bundesrichter auf Lebenszeit als Richter ernannt werden. Wie bereits an anderer Stelle ausgeführt, ist es Aufgabe des Gerichts, die jährlichen Zertifizierungen und die Verfahren zur zielgenauen Erfassung und Minimierung auf die Einhaltung der Rechtsvorschriften zu überprüfen. Darüber hinaus muss die Regierung, wie ebenfalls schon festgestellt, das Gericht bei Compliance-Problemen unverzüglich in Kenntnis setzen ³⁰, und es wurden mehrere Stellungnahmen des Gerichts freigegeben und veröffentlicht, um deutlich zu machen, mit welch außerordentlich hohem Maße an richterlicher Kontrolle und Unabhängigkeit derartige Fälle überprüft werden.

Die anspruchsvollen Prozesse des Gerichts wurden von dessen ehemaligem vorsitzenden Richter in einem Schreiben an den Kongress erläutert, das öffentlich zur Verfügung gestellt wurde ³¹. Als eine Auswirkung des USA FREEDOM Act, auf den weiter unten genauer eingegangen wird, ist das Gericht nunmehr ausdrücklich autorisiert, in Fällen neuer oder bedeutender rechtlicher Fragen einen externen Anwalt als unabhängigen Vertreter des Datenschutzes zu benennen ³². Dieser Grad der Beteiligung der unabhängigen Gerichte an Aktivitäten der Auslandsaufklärung in Bezug auf Personen, die weder Bürger dieses Landes sind noch sich in diesem Land aufhalten, ist ungewöhnlich, wenn nicht sogar beispiellos, und trägt dazu bei, dass bei Erhebungen gemäß § 702 die entsprechenden rechtlichen Beschränkungen eingehalten werden.

Die Überwachung durch den Kongress erfolgt mittels gesetzlich vorgeschriebener Berichte an die Ausschüsse für Nachrichtendienste und Justiz sowie häufiger Informationsgespräche und Anhörungen. Dazu gehören ein halbjährlicher Bericht des Justizministers über die Anwendung von § 702 und alle aufgetretenen Verstöße ³³; eine gesonderte halbjährliche Einschätzung des Justizministers und des DNI, der die Einhaltung der Verfahren zur zielgenauen Erfassung und Minimierung dokumentiert, darunter auch die Einhaltung der Verfahren, die sicherstellen sollen, dass die Erhebung einem begründeten Ziel der Auslandsaufklärung dient ³⁴; und ein jährlicher Bericht der Leiter der Nachrichtendienste einschließlich einer Bestätigung, dass mit der Erhebung gemäß § 702 auch weiterhin Auslandsaufklärungsdaten erlangt werden ³⁵.

Zusammenfassend ist festzustellen, dass die Erhebung gemäß § 702 gesetzlich zulässig ist, Überprüfungen auf mehreren Ebenen sowie richterlicher Aufsicht und Überwachung unterliegt und, wie das FISA-Gericht in einer jüngst freigegebenen Stellungnahme feststellte, "nicht als Sammelerhebung oder anlassunabhängig durchgeführt wird", sondern "durch separate Entscheidungen über eine zielgenaue Erfassung für einzelne [kommunikationstechnische] Möglichkeiten" ³⁶.

III. USA FREEDOM Act

Der USA FREEDOM Act, der im Juni 2015 unterzeichnet und in Kraft gesetzt wurde, brachte erhebliche Veränderungen für die Überwachungsbehörden der USA und andere nationale Sicherheitsbehörden und stellte in Bezug auf den Einsatz dieser Behörden und die Entscheidungen des FISA-Gerichts mehr Transparenz für die Öffentlichkeit her, wie weiter unten dargelegt wird ³⁷. Der Act gewährleistet, dass die in den Bereichen der Nachrichtendienste und der Strafverfolgung tätigen Berufsgruppen über die für den Schutz der Nation notwendigen Befugnisse verfügen, während ein angemessener Schutz der Privatsphäre bei Wahrnehmung dieser Befugnisse auch weiterhin gewahrt bleibt. Er bedeutet folglich eine Verstärkung des Datenschutzes und des Schutzes der bürgerlichen Freiheiten und eine Erhöhung der Transparenz.

Der Act verbietet die Sammelerhebung von Aufzeichnungen, sowohl von US- als auch von Nicht-US-Bürgern, unter Berufung auf verschiedene Bestimmungen des FISA oder durch den Einsatz von National Security Letters, einer Form von gesetzlich zulässigen behördlichen Anordnungen ³⁸. Dieses Verbot bezieht sich speziell auf Telefon-Metadaten zu Gesprächen zwischen Personen innerhalb der USA und Personen außerhalb der USA und würde auch die Erhebung von Informationen im Rahmen des Datenschutzschilds gemäß dieser Rechtsgrundlagen einschließen. Der Act fordert, dass die Behörden bei allen dementsprechend geregelten Anforderungen von Aufzeichnungen einen "konkreten Suchbegriff" verwenden, d. h. einen Begriff, der eine Person, ein Konto, eine Adresse oder ein persönliches Gerät so präzise bezeichnet, dass der Suchbereich in einem nach vernünftigem Ermessen möglichen Maße eingeschränkt wird ³⁹. Damit wird einmal mehr gewährleistet, dass die Erhebung von Informationen für nachrichtendienstliche Zwecke eng gefasst und zielgenau ausgerichtet ist.

Der Act bewirkte auch erhebliche Änderungen bei den Verfahren vor dem FISA-Gericht, was sowohl mit einer Erhöhung der Transparenz als auch mit einer zusätzlichen Gewähr für den Datenschutz verbunden ist. Wie bereits festgestellt, ermöglicht er die Einsetzung einer ständigen Gruppe von sicherheitsüberprüften Anwälten mit Fachkenntnissen in solchen Bereichen wie Datenschutz und bürgerliche Freiheiten, nachrichtendienstliche Datenerhebung und Kommunikationstechnologie, die benannt werden können, um in Fällen mit bedeutenden oder neuen Rechtsauffassungen vor dem Gericht als "Amicus curiae" aufzutreten. Diese Anwälte sind ermächtigt, juristische Argumente zur Wahrung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten vorzubringen, und sie haben Zugang zu allen Informationen, einschließlich der Geheimhaltung unterliegenden Informationen, die sie nach Feststellung des Gerichts für die Erfüllung ihrer Aufgaben benötigen ⁴⁰.

Aufbauend auf der bisher einmaligen Transparenz der US-Regierung in Bezug auf nachrichtendienstliche Tätigkeiten wird der DNI durch den Act verpflichtet, in Abstimmung mit dem Justizminister jegliche Entscheidung, Anordnung oder Stellungnahme des Foreign Intelligence Surveillance Court bzw. des Foreign Intelligence Surveillance Court of Review, die eine bedeutsame Auslegung oder Interpretation einer gesetzlichen Bestimmung enthält, entweder freizugeben oder eine nicht der Geheimhaltung unterliegende Zusammenfassung davon zu veröffentlichen.

Darüber hinaus sieht der Act umfangreiche Offenlegungen vor, was Erhebungen gemäß FISA und Anfragen auf der Grundlage von National Security Letters betrifft. So müssen die Vereinigten Staaten alljährlich gegenüber dem Kongress und der Öffentlichkeit unter anderem die Anzahl der beantragten und genehmigten FISA-Anordnungen und -Zertifizierungen, die geschätzte Anzahl der von Überwachungsmaßnahmen betroffenen US-Bürger und Nicht-US-Bürger und die Anzahl der Zulassungen als "Amicus curiae" offenlegen ⁴¹. Das Gesetz verlangt zudem, die Öffentlichkeit zusätzlich über die Anzahl der Anfragen auf der Grundlage von National Security Letters sowohl zu US- als auch zu Nicht-US-Bürgern zu unterrichten ⁴².

In Bezug auf die Unternehmenstransparenz bietet der Act den Unternehmen eine Reihe von Optionen, wie sie die Gesamtzahl der FISA-Anordnungen und -Direktiven oder der von Behörden übermittelten National Security Letters sowie die Anzahl der von diesen Anordnungen betroffenen Kundenkonten öffentlich bekanntmachen können ⁴³. Einige Unternehmen haben diese Zahlen bereits offengelegt, wobei deutlich wurde, dass nur von wenigen Kunden Daten angefordert wurden.

Diese Berichte zur Unternehmenstransparenz zeigen auf, dass von den Anfragen der US-Nachrichtendienste nur ein winziger Bruchteil der Daten betroffen ist. In einem kürzlich erschienen Transparenzbericht eines großen Unternehmens beispielsweise heißt es, dass die bei ihm eingegangenen Anfragen zur nationalen Sicherheit (gemäß FISA oder durch National Security Letters) weniger als 20.000 seiner Konten betreffen, und zwar zu einer Zeit, da er mindestens 400 Mio. Nutzer verzeichnete. Mit anderen Worten, alle von diesem Unternehmen gemeldeten Anfragen zur nationalen Sicherheit betrafen weniger als 0,005 % seiner Nutzer. Selbst wenn sich jede dieser Anfragen auf Daten im Rahmen der SAFE-Harbor-Regelung bezogen hätten, was natürlich nicht der Fall ist, lässt sich doch zweifelsohne erkennen, dass die Anfragen zielgenau sind und einen angemessenen Umfang haben und die Erhebung weder massenhaft noch anlassunabhängig erfolgt.

Die Umstände, unter denen Empfängern von National Security Letters deren Offenlegung untersagt werden kann, wurden bereits in den Rechtsvorschriften zu deren Genehmigung entsprechend eingeschränkt. Der Act sieht darüber hinaus vor, dass solche Verpflichtungen zur Geheimhaltung regelmäßig überprüft werden müssen und Empfänger von National Security Letters darüber zu unterrichten sind, wenn die Faktenlage die Verpflichtung zur Geheimhaltung nicht länger rechtfertigt, und er kodifiziert Verfahren, mit denen Empfänger Verpflichtungen zur Geheimhaltung anfechten können ⁴⁴.

Zusammenfassend lässt sich feststellen, dass die wichtigen Änderungen bei den Nachrichtendiensten der USA als Folge des USA FREEDOM Act ein deutlicher Beleg dafür sind, dass sich die Vereinigten Staaten umfassend darum bemühen, bei allen nachrichtendienstlichen Praktiken dem Schutz von personenbezogenen Daten, Privatsphäre und bürgerlichen Freiheiten sowie der Transparenz einen vorrangigen Stellenwert einzuräumen.

IV. Transparenz

Abgesehen von den Transparenzverpflichtungen gemäß dem USA FREEDOM Act stellt die Intelligence Community der USA der Öffentlichkeit umfangreiche zusätzliche Informationen bereit und setzt damit ein deutliches Zeichen, was die Transparenz in ihrer Aufklärungsarbeit betrifft. Die Intelligence Community hat zahlreiche ihrer Strategien und Verfahren, viele Entscheidungen des Foreign Intelligence Surveillance Court und andere freigegebene Materialien publik gemacht und damit ein außerordentlich hohes Maß an Transparenz bewiesen. Zudem veröffentlicht sie in viel größerem Umfang als zuvor statistische Angaben zur Einbeziehung der für Erhebungen zuständigen nationalen Sicherheitsbehörden seitens der Regierung. In ihrem am 22. April 2015 herausgegebenen zweiten Jahresbericht präsentiert sie Statistiken dazu, wie oft diese wichtigen Behörden an der Arbeit der Regierung beteiligt wurden. Das ODNI hat ebenfalls auf seiner Website und auf IC On the Record eine Anzahl konkreter Transparenzgrundsätze ⁴⁵ und einen Plan zur Umsetzung dieser Grundsätze in konkrete messbare Initiativen veröffentlicht ⁴⁶. Im Oktober 2015 hat der Director of National Intelligence verfügt, dass im Interesse der Förderung der Transparenz und der Durchführung von Transparenzinitiativen jeder Nachrichtendienst in den Reihen seiner Führungskräfte einen Intelligence Transparency Officer benennt ⁴⁷. Dieser wird eng mit dem jeweiligen Privacy and Civil Liberties Officer zusammenarbeiten, damit Transparenz, Privatsphäre und bürgerliche Freiheiten auch weiterhin oberste Priorität genießen.

Beispielhaft für diese Bemühungen ist die Veröffentlichung von mehreren nicht der Geheimhaltung unterliegenden Berichten durch den Chief Privacy and Civil Liberties Officer der NSA während der letzten Jahre, namentlich von Berichten zu den Aktivitäten gemäß § 702, Executive Order 12333 und dem USA FREEDOM Act ⁴⁸. Darüber hinaus besteht eine enge Zusammenarbeit der Intelligence Community mit dem PCLOB, dem Kongress und den Datenschutzorganisationen in den USA (U.S. privacy advocacy community), um die Tätigkeit der US-Nachrichtendienste noch transparenter zu gestalten, wann immer dies machbar und mit dem Schutz sensibler nachrichtendienstlicher Quellen und Methoden vereinbar ist. Insgesamt gesehen ist die nachrichtendienstliche Tätigkeit der USA mindestens genauso transparent wie die eines jeden anderen Staates in der Welt und weist den höchstmöglichen Grad an Transparenz auf, bei dem der Notwendigkeit des Schutzes von sensiblen Quellen und Methoden noch entsprochen werden kann

Zusammenfassende Angaben zur umfassenden Transparenz nachrichtendienstlicher Aktivitäten der USA:

• Die Intelligence Community hat Tausende von Seiten mit gerichtlichen Stellungnahmen und behördlichen Verfahren herausgegeben und online gestellt, in denen die spezifischen Verfahren und Anforderungen unserer nachrichtendienstlichen Tätigkeit dargelegt werden. Außerdem haben wir Berichte über die Einhaltung der geltenden Beschränkungen durch die Nachrichtendienste veröffentlicht.
• Hochrangige Beamte des Nachrichtendienstes äußern sich regelmäßig öffentlich über die Aufgaben und Aktivitäten ihrer Organisationen, wobei sie auch die für ihre Arbeit maßgeblichen Compliance-Regelungen und -Sicherungsmaßnahmen erläutern.
• Die Intelligence Community veröffentlichte zahlreiche zusätzliche Dokumente zu den nachrichtendienstlichen Aktivitäten gemäß unserem Freedom of Information Act.
• Der Präsident erließ die PPD-28 und legte damit öffentlich zusätzliche Einschränkungen für unsere nachrichtendienstliche Tätigkeit fest, und das ODNI gab zwei öffentlich zugängliche Berichte über die Umsetzung dieser Einschränkungen heraus.
• Die Intelligence Community ist nunmehr gesetzlich verpflichtet, wichtige Rechtsgutachten des FISA-Gerichts oder Zusammenfassungen dieser Gutachten zu veröffentlichen.
• Die staatlichen Behörden sind verpflichtet, jährlich darüber Bericht zu erstatten, in welchem Umfang sie bestimmte nationale Sicherheitsbehörden einbeziehen, und für Unternehmen ist dies ebenfalls möglich.
• Das PCLOB hat mehrere ausführliche öffentliche Berichte zu nachrichtendienstlichen Aktivitäten herausgegeben und wird künftig auch weiterhin so verfahren.
• Die Intelligence Community stellt Kontrollausschüssen des Kongresses umfangreiche Informationen zur Verfügung, die der Geheimhaltung unterliegen.
• Der DNI hat Transparenzgrundsätze herausgegeben, die für die Tätigkeit der Intelligence Community maßgebend sind.

Dieses hohe Maß an Transparenz wird künftig noch weiter ausgebaut. Alle für die Öffentlichkeit zugänglich gemachten Informationen werden selbstverständlich sowohl dem Handelsministerium als auch der Europäischen Kommission zur Verfügung stehen. Die jährliche Überprüfung der Umsetzung des Datenschutzschilds durch diese beiden Seiten wird der Europäischen Kommission Gelegenheit geben, alle Fragen im Zusammenhang mit neu herausgegebenen Informationen wie auch andere Aspekte bezüglich des Datenschutzschilds und seiner Handhabung anzusprechen und zu erörtern, und wir gehen davon aus, dass das Ministerium möglicherweise nach eigenem Ermessen Vertreter anderer Stellen, einschließlich der Intelligence Community, zur Teilnahme an dieser Überprüfung einlädt. Das geht natürlich über den in der PPD-28 vorgesehenen Mechanismus hinaus, mit dem geregelt wird, in welcher Form EU-Mitgliedstaaten Bedenken im Zusammenhang mit der Überwachung an einen speziell benannten Beamten im Außenministerium herantragen können.

V. Rechtsbehelfe

Das amerikanische Recht sieht eine Reihe von Rechtsschutzinstrumenten für Personen vor, die aus Gründen der nationalen Sicherheit rechtswidrig elektronisch überwacht wurden. Gemäß FISA ist das Recht, ein amerikanisches Gericht um Unterstützung anzurufen, nicht auf US-Bürger beschränkt. Jeder Person, die über eine entsprechende Klagebefugnis verfügt, würden Rechtsbehelfe zur Verfügung stehen, um auf der Grundlage des FISA gegen rechtswidrige elektronische Überwachung vorzugehen. So haben Personen, die von rechtswidriger elektronischer Überwachung betroffen sind, gemäß FISA die Möglichkeit, US-Regierungsbeamte in persönlicher Eigenschaft auf Schadenersatz zu verklagen, was pönalen Schadensersatz und Anwaltsgebühren einschließt. Siehe 50 U.S.C. § 1810. Klagebefugte Personen haben auch die Möglichkeit, eine Zivilklage auf Schadensersatz einschließlich Prozesskostenerstattung gegen die Vereinigten Staaten anzustrengen, wenn die durch elektronische Überwachung im Rahmen des FISA erlangten Informationen, die sie betreffen, gesetzwidrig und vorsätzlich genutzt oder offengelegt wurden. Siehe 18 U.S.C. § 2712. Sofern die US-Regierung beabsichtigt, Erkenntnisse über einen Geschädigten, die direkt oder mittelbar aus der elektronischen Überwachung gemäß FISA gewonnen wurden, in einem Gerichts- oder Verwaltungsverfahren in den Vereinigten Staaten gegen die betroffene Person zu verwenden oder offenzulegen, muss sie dem Gericht und der betroffenen Person ihre Absicht mitteilen, die daraufhin die Rechtmäßigkeit der Überwachung anfechten und auf die Unterdrückung der Informationen hinwirken kann. Siehe 50 U.S.C. § 1806. Das FISA sieht letztlich auch Strafen für Personen vor, die vorsätzlich und unter Vortäuschung rechtlicher Kompetenz eine gesetzwidrige elektronische Überwachung vornehmen oder vorsätzlich Informationen nutzen oder offenlegen, die durch gesetzwidrige Überwachung gewonnen wurden. Siehe 50 U.S.C. § 1809.

EU-Bürgern stehen andere Möglichkeiten zur Verfügung, um gegen US-Regierungsbeamte wegen der rechtswidrigen Verarbeitung oder Abfrage von Daten rechtlich vorzugehen, d. h. auch gegen Regierungsbeamte, die im Zusammenhang mit der rechtswidrigen Abfrage oder Verarbeitung von Informationen für vorgebliche Ziele der nationalen Sicherheit gegen das Gesetz verstoßen. Der Computer Fraud and Abuse Act verbietet vorsätzlichen nicht autorisierten Zugang (oder eine Ausweitung des autorisierten Zugangs) zur Einholung von Daten von einem Finanzinstitut, einem Computersystem der US-Regierung oder einem Computer, auf den über das Internet zugegriffen wird, wie auch zum Zweck der Erpressung oder des Betrugs vorgebrachte Drohungen, geschützten Computern Schaden zuzufügen. Siehe 18 U.S.C. § 1030. Jede Person, ganz gleich welcher Nationalität, die infolge einer Verletzung dieses Gesetzes einen Schaden oder einen Verlust erleidet, kann die Person, die gegen das Gesetz verstoßen hat (einschließlich Regierungsbeamte), nach § 1030(g) auf kompensatorischen Schadenersatz und Unterlassung verklagen oder einen anderen billigkeitsrechtlichen Rechtsbehelf erwirken, was von der Durchführung eines Strafverfahrens unabhängig ist, allerdings das Vorhandensein von mindestens einer der im Gesetz festgelegten Bedingungen voraussetzt. Der Electronic Communications Privacy Act (ECPA) regelt den Zugang der staatlichen Behörden zu gespeicherter elektronischer Kommunikation und Transaktionsaufzeichnungen sowie zu Nutzerdaten, die sich im Besitz von Drittanbietern im Bereich Kommunikation befinden. Siehe 18 U.S.C. §§ 2701-2712. Gemäß ECPA ist ein Geschädigter berechtigt, Regierungsbeamte wegen vorsätzlichen gesetzwidrigen Zugriffs auf gespeicherte Daten zu verklagen. Der ECPA gilt für alle Personen unabhängig von der Staatsbürgerschaft, und Geschädigte haben Anrecht auf Schadensersatz und die Anwaltsgebühren. Der Right to Financial Privacy Act (RFPA) beschränkt den Zugriff der US-Regierung auf Bank- und Brokerunterlagen einzelner Kunden. Siehe 12 U.S.C. §§ 3401-3422. Gemäß RFPA kann ein Bank- oder Brokerkunde die US-Regierung wegen unrechtmäßigen Zugangs zu Kundenunterlagen auf gesetzlichen, eigentlichen und pönalen Schadensersatz verklagen, und wenn sich zeigt, dass ein solcher unrechtmäßiger Zugang vorsätzlich erfolgte, wird automatisch eine Untersuchung über mögliche disziplinarische Maßnahmen gegen die betreffenden Regierungsmitarbeiter eingeleitet. Siehe 12 U.S.C. § 3417.

Der Freedom of Information Act (FOIA) schließlich ist ein Mittel, mit dem alle Personen zu jedem beliebigen Thema Zugang zu vorhandenen Unterlagen von Bundesbehörden erlangen können, vorbehaltlich einiger Kategorien von Ausnahmen. Siehe 5 U.S.C. § 552(b). Dazu gehören Zugangsbegrenzungen bei Informationen, die aus Gründen der nationalen Sicherheit der Geheimhaltung unterliegen, bei personenbezogenen Daten anderer Personen sowie bei Informationen, die strafrechtliche Ermittlungen betreffen. Diese Einschränkungen sind mit denen vergleichbar, die andere Länder in ihren Datenzugangsgesetzen festgelegt haben, und gelten gleichermaßen für Amerikaner und Nicht-Amerikaner. Bei Streitigkeiten über die Freigabe von Unterlagen, die gemäß FOIA angefordert wurden, können auf dem Verwaltungsweg Rechtsbehelfe eingelegt werden, danach ist das Bundesgericht anzurufen. Das Gericht muss eine Denovo-Entscheidung dazu treffen, ob die Unterlagen ordnungsgemäß zurückgehalten werden, 5 U.S.C. § 552(a)(4)(B), und kann die Regierung zwingen, Zugang zu den Unterlagen zu gewähren. In einigen Fällen haben die Gerichte die Behauptungen der Regierung zurückgewiesen, dass die Information als der Geheimhaltung unterliegend zurückgehalten werden sollte ⁴⁹. Obwohl kein Schadensersatz geleistet wird, können die Gerichte die Anwaltskosten erstatten.

VI. Fazit

Die Vereinigten Staaten erkennen an, dass bei ihrer signalerfassenden Aufklärung und anderen nachrichtendienstlichen Tätigkeiten zu berücksichtigen ist, dass alle Personen unabhängig von ihrer Nationalität oder ihrem Wohnort würde- und respektvoll zu behandeln sind und dass alle Personen berechtigte Datenschutzinteressen beim Umgang mit ihren personenbezogenen Daten haben. Die Vereinigten Staaten nutzen die signalerfassende Aufklärung ausschließlich zur Gewährleistung ihrer nationalen Sicherheit und ihrer außenpolitischen Interessen sowie zum Schutz ihrer Bürger und der Bürger von mit ihnen verbündeten oder befreundeten Staaten. Die Intelligence Community der USA betreibt keine systematische anlassunabhängige Überwachung von Personen, was normale europäische Bürger einschließt. Die Erhebung von Signalaufklärungsdaten erfolgt nur bei ordnungsgemäßer Ermächtigung und unter strenger Einhaltung der geltenden Einschränkungen; sie erfolgt erst nach Prüfung der Verfügbarkeit alternativer Quellen, einschließlich diplomatischer und öffentlicher Quellen, und in einer Weise, bei der vorrangig auf geeignete und machbare Alternativen zurückgegriffen wird. Und wann immer es praktikabel erscheint, wird die Erhebung unter Verwendung von Selektoren auf spezifische Aufklärungsziele oder -themen im Ausland konzentriert.

Die Politik der USA in diesem Bereich wurde in der PPD-28 bekräftigt. Innerhalb dieser Rahmenbedingungen verfügen die US-Nachrichtendienste nicht über die rechtliche Befugnis, die Ressourcen, die technischen Voraussetzungen oder den Wunsch, weltweit die gesamte Kommunikation zu überwachen. Die Nachrichtendienste lesen nicht die E-Mails einer jeden Person in den Vereinigten Staaten oder alle weltweit verschickten E-Mails. Entsprechend der PPD-28 gibt es in den Vereinigten Staaten wirksame Schutzvorkehrungen für die personenbezogenen Daten von Nicht-US-Bürgern, die per Signalaufklärung erhoben wurden. Dazu gehören Regeln und Verfahren, um - vergleichbar mit den Schutzmaßnahmen für US-Bürger - die Speicherung und Weitergabe von sie betreffenden personenbezogenen Daten auf ein Mindestmaß zu beschränken, soweit es die Gewährleistung der nationalen Sicherheit zulässt. Zudem besteht, wie oben dargelegt, ein umfassendes Überwachungsregime für die zielgenaue Autorisierung nach § 702 FISA, das seinesgleichen sucht. Und schließlich bewirken die wesentlichen Änderungen an den rechtlichen Grundlagen für die nachrichtendienstliche Tätigkeit, wie sie im USA FREEDOM Act festgelegt wurden, und auch die vom ODNI geleiteten Initiativen zur Förderung der Transparenz innerhalb der Intelligence Community eine deutliche Verbesserung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten für alle Personen unabhängig von ihrer Nationalität.

Hochachtungsvoll

Robert S. Litt

21. Juni 2016

Sehr geehrter Herr Antonipillai, sehr geehrter Herr Dean,

ich möchte Ihnen weitere Informationen über die Art und Weise übermitteln, in der die Vereinigten Staaten die Sammelerhebung von Signalaufklärungsdaten durchführen. Wie in der Fußnote 5 der Presidential Policy Directive 28 (PPD-28) erläutert, bezieht sich der Begriff "Sammelerhebung" auf den Erwerb einer relativ großen Menge von signalerfassenden Aufklärungsdaten unter Bedingungen, in denen die Intelligence Community keinen mit einer bestimmten Zielperson verbundenen Identifikator (wie z.B. die E-Mail-Adresse oder Telefonnummer) für eine zielgerichtete Erhebung verwenden kann. Das bedeutet jedoch nicht, dass diese Art der Erhebung "massenhaft" oder "anlassunabhängig" erfolgt. So wird in der PPD-28 auch gefordert, dass die signalerfassende Aufklärung "so passgerecht wir möglich" sein sollte. Gemäß diesem Auftrag stellt die Intelligence Community mit entsprechenden Maßnahmen sicher, dass auch in Fällen, in denen keine konkreten Suchkriterien für eine gezielte Erhebung verfügbar sind, die zu erhebenden Daten wahrscheinlich Informationen der Auslandsaufklärung enthalten, die den Anforderungen entsprechen, wie sie anhand des in meinem früheren Schreiben erläuterten Prozesses formuliert wurden, und so die Menge erhobener nicht relevanter Daten minimiert wird.

Zum Beispiel kann die Intelligence Community den Auftrag erhalten, Signalaufklärungsdaten zu den Aktivitäten einer Terroristengruppe zu erlangen, die in einer Region eines Nahoststaates operiert und von der vermutet wird, dass sie Anschläge gegen westeuropäische Länder plant. Dabei sind möglicherweise die Namen, Telefonnummern, E-Mail-Adressen oder andere konkrete Identifikatoren von mit dieser Terroristengruppe in Verbindung gebrachten Personen nicht bekannt. Wir könnten uns dafür entscheiden, diese Gruppe ins Visier zu nehmen, indem wir Kommunikationsvorgänge aus dieser und in diese Region überwachen und dann weitere Auswertungen und Analysen vornehmen, um jene Vorgänge zu ermitteln, die sich auf die Gruppe beziehten. Dabei würden sich die Nachrichtendienste bemühen, die Erhebung so weit wie möglich einzugrenzen. Es würde sich also um eine "Sammelerhebung" handeln, da eine Verwendung von Selektoren nicht möglich ist. Sie ist weder "massenhaft" noch "anlassunabhängig", sondern erfolgt so zielgerichtet wie möglich.

Somit erheben die Vereinigten Staaten auch dann, wenn eine zielgenaue Ausrichtung der Erhebung durch Verwendung konkreter Selektoren nicht möglich ist, nicht sämtliche Kommunikationsdaten sämtlicher Kommunikationseinrichtungen der ganzen Welt, sondern konzentrieren ihre Erhebung mithilfe von Filtern und anderen technischen Hilfsmitteln auf jene Einrichtungen, die wahrscheinlich für die Auslandsaufklärung wertvolle Kommunikationsdaten enthalten. Somit erstreckt sich die signalerfassende Aufklärung der Vereinigten Staaten nur auf einen Bruchteil des Datenverkehrs im Internet.

Da, wie in meinem früheren Schreiben angeführt, bei einer "Sammelerhebung" eher die Gefahr besteht, dass nicht relevante Kommunikationsdaten erhoben werden, beschränkt die PPD-28 die zulässige Verwendung von durch Sammelerhebung gewonnenen Signalaufklärungsdaten auf sechs konkrete Zielsetzungen. In der PPD-28 und bei nachrichtendienstlichen Maßnahmen zur Umsetzung der PPD-28 sind zudem Grenzen für die Speicherung und Weitergabe durch Signalaufklärung erlangter personenbezogener Daten festgelegt, und zwar ungeachtet dessen, ob die Daten durch Sammelerhebung oder gezielte Erhebung gewonnen wurden, und unabhängig von der Staatsangehörigkeit der betreffenden Person.

Daher handelt es sich bei der "Sammelerhebung" der Intelligence Community nicht um eine "massenhafte" oder "anlassunabhängige" Erhebung, sondern sie umfasst vielmehr die Anwendung von Verfahren und Hilfsmitteln zum Filtern, um die Erhebung auf Material zu konzentrieren, das die Anforderungen der von den Entscheidungsträgern formulierten Anforderungen an die Auslandsaufklärung erfüllt, und zugleich die Erhebung nicht relevanter Daten zu minimieren; dabei kommen strenge Regeln für den Schutz möglicherweise erhobener nicht relevanter Informationen zur Anwendung. Die in diesem Schreiben geschilderten Strategien und Verfahren gelten für die gesamte Sammelerhebung von Signalaufklärungsdaten, einschließlich der Sammelerhebung des Datenverkehrs von und nach Europa, ohne dass hier bestätigt oder dementiert wird, ob eine derartige Erhebung erfolgt.

Sie haben zudem weitere Informationen über das Privacy and Civil Liberties Oversight Board (PCLOB) und die Generalinspekteure sowie über deren Rechtsgrundlagen angefragt. Das PCLOB ist ein unabhängiges Gremium in der Exekutive ⁵⁰. Die fünf Mitglieder dieses parteienübergreifenden Gremiums werden vom Präsidenten ernannt und vom Senat bestätigt; ihre Amtszeit beträgt sechs Jahre. Die Mitglieder des PCLOB und deren Mitarbeiter erhalten entsprechende Zugangsberechtigungen, damit sie ihren gesetzlichen Pflichten und Aufgaben uneingeschränkt nachkommen können ⁵¹.

Der Auftrag des PCLOB besteht darin zu gewährleisten, dass die Anstrengungen der Bundesregierung zur Terrorismusprävention mit dem notwendigen Schutz der Privatsphäre und der bürgerlichen Freiheiten in Einklang gebracht werden. Das Gremium hat zwei grundlegende Aufgaben - Überwachung und Beratung. Dabei steckt das PCLOB sein Arbeitsgebiet selbst ab und legt fest, welche Tätigkeiten der Überwachung und Beratung es durchzuführen wünscht.

In seiner Rolle als Überwachungsgremium überprüft und analysiert das PCLOB die Maßnahmen der Exekutive zum Schutz der Nation vor Terrorismus, die mit dem notwendigen Schutz der Privatsphäre und der bürgerlichen Freiheiten in Einklang gebracht werden müssen ⁵². Die jüngste abgeschlossene Kontrollarbeit des PCLOB konzentrierte sich auf Überwachungsprogramme nach § 702 des FISA ⁵³. Zurzeit überprüft das Gremium die nachrichtendienstlichen Tätigkeiten gemäß Executive Order 12333 ⁵⁴.

In seiner Rolle als Beratungsgremium sorgt das PCLOB dafür, dass bei der Entwicklung und Umsetzung von Gesetzen, Regelungen und Maßnahmen zum Schutz der Nation vor Terrorismus die individuellen Freiheitsrechte hinreichend berücksichtigt werden ⁵⁵.

Zur Erfüllung seines Auftrags hat das Gremium per Gesetz Zugriff auf alle einschlägigen Unterlagen von Behörden wie Berichte, Audits, Überprüfungen, Dokumente, Schriftstücke, Empfehlungen und sonstige einschlägige Materialien, einschließlich gesetzlich der Geheimhaltung unterliegender Informationen ⁵⁶. Darüber hinaus kann das PCLOB alle Beamten oder Mitarbeiter der Exekutive befragen sowie Aussagen und Zeugenaussagen einholen ⁵⁷. Außerdem kann das Gremium schriftlich beantragen, dass der Justizminister im Namen des PCLOB Anordnungen ausstellt, mit der Parteien außerhalb der Exekutive gezwungen werden, entsprechende Informationen bereitzustellen ⁵⁸.

Nicht zuletzt muss das PCLOB gesetzlichen Anforderungen zur Transparenz gegenüber der Öffentlichkeit nachkommen. Dazu gehört, dass es die Öffentlichkeit über seine Tätigkeit auf dem Laufenden hält, indem es Anhörungen öffentlich durchführt und seine Berichte, soweit es der notwendige Schutz der Geheimhaltung unterliegender Informationen zulässt, in größtmöglichem Umfang publik macht ⁵⁹. Zudem muss das PCLOB melden, wenn eine Regierungsstelle sich weigert, seinem Rat zu folgen.

Die Generalinspekteure in der Intelligence Community führen Audits, Inspektionen und Überprüfungen der Programme und Tätigkeiten der Nachrichtendienste durch, um systemimmanente Risiken, Schwachstellen und Unzulänglichkeiten zu ermitteln und anzusprechen. Darüber hinaus gehen die Generalinspekteure Beschwerden oder Informationen nach, die mutmaßliche Verstöße gegen Gesetze oder Rechtsvorschriften bzw. Misswirtschaft, die grobe Verschwendung von Mitteln, Amtsmissbrauch oder eine erhebliche oder besondere Gefahr für die öffentliche Gesundheit und Sicherheit im Zusammenhang mit nachrichtendienstlichen Programmen und Aktivitäten betreffen. Die Unabhängigkeit der Generalinspekteure ist ein maßgeblicher Faktor für die Objektivität und Integrität aller von ihnen vorgelegten Berichte, Erkenntnisse und Empfehlungen. Zu den wichtigsten Aspekten der Aufrechterhaltung der Unabhängigkeit der Generalinspekteure gehören das Verfahren der Ernennung und Abberufung von Inspekteuren, gesonderte Stellen für die operative Tätigkeit, Haushalt und Personalfragen sowie doppelte Rechenschaftspflichten gegenüber den Leitern von Regierungsbehörden sowie gegenüber dem Kongress.

Vom Kongress wurde in jeder Regierungsbehörde, darunter bei allen Nachrichtendiensten, ein unabhängiges Büro des Generalinspekteurs eingerichtet ⁶⁰. Im Zuge der Annahme des Intelligence Authorization Act for Fiscal Year 2015 werden nahezu alle Generalinspekteure mit Überwachungsaufgaben für eine Stelle der Intelligence Community vom Präsidenten ernannt und vom Senat bestätigt, einschließlich Justizministerium, Central Intelligence Agency (CIA), National Security Agency (NSA) und Intelligence Community ⁶¹. Bei diesen Generalinspekteuren handelt es sich zudem um parteienunabhängige Beamte, die nur vom Präsidenten abberufen werden können. Obgleich die Befugnis des Präsidenten zur Abberufung der Inspekteure in der US-Verfassung verankert ist, wird sie kaum wahrgenommen und erfordert, dass der Präsident dem Kongress 30 Tage vor der Abberufung eines Generalinspekteurs eine schriftliche Begründung zukommen lässt ⁶². Mit diesem Ernennungsverfahren wird gewährleistet, dass Beamte der Exekutive keinen ungebührlichen Einfluss auf die Auswahl, Ernennung oder Abberufung eines Generalinspekteurs ausüben.

Zweitens verfügen die Generalinspekteure über erhebliche gesetzliche Befugnisse zur Durchführung von Audits, Untersuchungen und Überprüfungen von Programmen und Maßnahmen der Exekutive. Neben den gesetzlich vorgeschriebenen Kontrolluntersuchungen und -überprüfungen haben die Generalinspekteure weitreichende Ermessensfreiheit zur Ausübung von Kontrollbefugnissen bei der Überprüfung der von ihnen selbst ausgewählten Programme und Aktivitäten ⁶³. Dabei stellt das Gesetz sicher, dass den Inspekteuren bei der Wahrnehmung dieser Befugnisse unabhängige Mittel zur Erfüllung ihrer Aufgaben zur Verfügung stehen, einschließlich der Möglichkeit, eigene Mitarbeiter einzustellen und ihre Haushaltsanträge an den Kongress gesondert zu dokumentieren ⁶⁴. Es ist gesetzlich sichergestellt, dass die Generalinspekteure Zugang zu den für die Erfüllung ihrer Aufgaben benötigten Informationen erhalten. Dazu gehört der direkte Zugriff auf sämtliche behördlichen Unterlagen und Informationen mit ausführlichen Angaben zu den Programmen und Aktivitäten der Behörde ungeachtet der Geheimhaltungsstufe; die Befugnis zur Einholung von Informationen und Dokumenten per Anordnung sowie die Befugnis zur Vereidigung ⁶⁵. In wenigen Fällen kann der Leiter einer Regierungsbehörde die Tätigkeit eines Generalinspekteurs untersagen, wenn z.B. ein Audit oder eine Untersuchung des Inspekteurs die nationalen Sicherheitsinteressen der Vereinigten Staaten erheblich beeinträchtigen würde. Auch die Wahrnehmung dieser Befugnis ist äußerst ungewöhnlich und macht es erforderlich, dass der Leiter der Behörde den Kongress binnen 30 Tagen über die Gründe in Kenntnis setzt ⁶⁶. Der Director of National Intelligence hat diese Amtsbefugnis zur Einschränkung der Tätigkeiten von Generalinspekteuren noch nie eingesetzt.

Drittens haben die Generalinspekteure die Aufgabe, sowohl die Leiter der Regierungsbehörden als auch den Kongress mithilfe von Berichten umfassend und zeitnah über Betrugsfälle und andere schwerwiegende Probleme, Missstände und Mängel bei Programmen und Aktivitäten der Exekutive zu informieren ⁶⁷. Die doppelte Berichterstattung stützt die Unabhängigkeit der Inspekteure, indem die Überwachung durch sie transparent wird und die Behördenleiter Gelegenheit erhalten, Empfehlungen der Inspekteure umzusetzen, bevor der Kongress gesetzgeberische Maßnahmen einleiten kann. Beispielsweise sind die Generalinspekteure gesetzlich verpflichtet, diese Probleme sowie bislang eingeleitete Abhilfemaßnahmen in halbjährlichen Berichten darzulegen ⁶⁸. Die Regierungsbehörden nehmen die Feststellungen und Empfehlungen der Inspekteure ernst, und Letztere können oftmals die Akzeptanz und Umsetzung ihrer Empfehlungen in diese und andere Berichte an den Kongress und mitunter an die Öffentlichkeit aufnehmen ⁶⁹. Neben der doppelten Berichterstattung sind die Generalinspekteure auch dafür verantwortlich, Whistleblowern der Exekutive den Weg zu den zuständigen Kontrollgremien des Kongresses zu weisen, wo sie mutmaßliche Betrugsfälle, Verschwendung oder Missstände bei Programmen und Aktivitäten der Exekutive melden können. Die Identität der Hinweisgeber ist vor einer Preisgabe gegenüber der Exekutive geschützt, so dass sie vor möglichen unzulässigen Disziplinarmaßnahmen oder Sicherheitsüberprüfungen als Vergeltung dafür, dass sie sich an den Inspekteur gewandt haben, bewahrt bleiben ⁷⁰. Da Whistleblower oftmals die Informationsquelle für Untersuchungen der Generalinspekteure darstellen, erhöht die Möglichkeit, dass sie ihr Anliegen ohne Einflussnahme der Exekutive dem Kongress vortragen können, die Wirksamkeit der Überwachung durch die Inspekteure. Aufgrund dieser Unabhängigkeit können die Generalinspekteure Wirtschaftlichkeit, Effizienz und Rechenschaftspflicht in den Regierungsbehörden mit Objektivität und Integrität fördern.

Abschließend sei erwähnt, dass der Kongress den Rat der Generalinspekteure für Integrität und Effizienz eingerichtet hat. Dieser Rat entwickelt u. a. Standards der Generalinspekteure für Audits, Untersuchungen und Überprüfungen, fördert Schulungen und ist befugt, ein angebliches Fehlverhalten von Generalinspekteuren zu überprüfen; somit dient er als kritisches Auge gegenüber den Generalinspekteuren, die damit betraut sind, alle anderen zu überwachen ⁷¹.

Ich hoffe, dass Ihnen diese Ausführungen weiterhelfen.

Mit freundlichen Grüßen,

Robert S. Litt

General Counsel 1) Weitere Informationen zur US-Auslandsaufklärung werden online veröffentlicht und sind über "IC on the Record" (www.icontherecord.tumblr.com) abrufbar, der öffentlichen Website des ODNI, mit der die nachrichtendienstlichen Aktivitäten der Regierung für die Öffentlichkeit transparenter gemacht werden sollen.

2) Abrufbar unter https://www.whitehouse.gov/the-press-office/2014/01/17/presidential-policy-directive-signals-intelligence-activities.

3) Strafverfolgungs- oder Aufsichtsbehörden können von Unternehmen die Herausgabe von Daten für Ermittlungszwecke in den USA nach Maßgabe anderer Justiz- und Aufsichtsbehörden verlangen, die nicht in den Anwendungsbereich dieses Dokuments fallen, der auf die nationalen Sicherheitsbehörden beschränkt ist.

4) Abrufbar unter www.icontherecord.tumblr.com/ppd-28/2015/privacycivilliberties#ppd-28. Mit diesen Verfahren werden die in diesem Schreiben erörterten Konzepte der Zielgenauigkeit und Passgerechtigkeit in einer für die einzelnen Nachrichtendienste spezifischen Form umgesetzt.

5) In den Durchführungsbestimmungen der NSA zur PPD-28 - um nur ein Beispiel zu nennen - heißt es, dass nach Möglichkeit bei der Erhebung ein Selektor oder mehrere Selektoren angewandt werden, um die Erhebung auf spezifische Aufklärungsziele (z.B. einen konkreten, bekannten internationalen Terroristen oder eine Terroristengruppe) oder Aufklärungsthemen (z B. die Verbreitung von Massenvernichtungswaffen durch eine ausländische Macht oder deren Vertreter) im Ausland zu konzentrieren.

6) Abrufbar unter http://www.dni.gov/files/documents/1017/PPD-28_Status_Report_Oct_2014.pdf.

7) Abrufbar unter http://www.dni.gov/files/documents/ICD/ICD%20204%20National%20Intelligence%20Priorities%20Framework.pdf.

8) Intelligence Community Directive (ICD) 203, abrufbar unter http://www.dni.gov/files/documents/ICD/ICD%20203%20Analytic%20Standards.pdf.

9) Siehe z.B. U.S. Department of Justice, Inspector General Report "A Review of the Federal Bureau of Investigation's Activities Under Section 702 of the Foreign Intelligence Surveillance Act of 2008" (September 2012), abrufbar unter https://oig.justice.gov/reports/2016/o1601a.pdf.

10) Siehe www.dni.gov/clpo.

11) 50 U.S.C., § 1881a.

12) Die Vereinigten Staaten können aufgrund anderer Bestimmungen des FISA auch gerichtliche Anordnungen erwirken, um Daten zu erlangen, wozu auch im Rahmen des Datenschutzschilds übermittelte Daten gehören. Siehe 50 U.S.C., § 1801 ff.. Nach Titel I und III des FISA, durch die elektronische Überwachung und Durchsuchung genehmigt werden, ist (außer in Notfällen) eine gerichtliche Anordnung erforderlich und muss in jedem Falle hinreichend Anlass zu der Vermutung bestehen, dass das Ziel eine ausländische Macht oder ein Vertreter einer ausländischen Macht ist. Titel IV des FISA genehmigt die Verwendung von Geräten zur Rufnummernerfassung von ausgehenden und eingehenden Anrufen gemäß gerichtlicher Anordnung (außer in Notfällen) bei autorisierten Untersuchungen in den Bereichen Auslandsaufklärung, Spionageabwehr oder Terrorismusbekämpfung. Titel V des FISA gestattet dem FBI, gemäß gerichtlicher Anordnung (außer in Notfällen) Geschäftsunterlagen einzuholen, die für autorisierte Untersuchungen in den Bereichen Auslandsaufklärung, Spionageabwehr oder Terrorismusbekämpfung von Belang sind. Wie weiter unten erörtert wird, untersagt der USA FREEDOM Act ausdrücklich die Verwendung von Rufnummernerfassung oder abgeforderten Geschäftsunterlagen auf der Grundlage von FISA für die Sammelerhebung und schreibt einen "konkreten Suchbegriff" vor, um eine zielgerichtete Autorisierung zu gewährleisten.

13) Privacy and Civil Liberties Board, "Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act" (2. Juli 2014) ("PCLOB Report").

14) Siehe Pub. L. No. 110-261, 122 Stat. 2436 (2008).

15) Siehe 50 U.S.C., § 1881a(a) und (b).

16) Siehe ebenda § 1801(e).

17) Siehe PCLOB Report unter 99.

18) Siehe 50 U.S.C., § 1881a(d) und (e).

19) Siehe PCLOB Report unter 111.

20) Ebenda.

21) Ebenda, unter 8; 50 U.S.C. § 1881a(l); siehe auch Bericht des NSA Director of Civil Liberties and Privacy "NSA's Implementation of Foreign Intelligence Surveillance Act Section 702" (im Folgenden "NSA-Bericht") unter 4, abrufbar unter http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

22) Director of National Intelligence 2014 Transparency Report, abrufbar unter http://icontherecord.tumblr.com/transparency/odni_transparencyreport_cy2014.

23) Minimierungsverfahren abrufbar unter: http://www.dni.gov/files/documents/ppd-28/2014%20NSA%20702%20Minimization%20Procedures.pdf ("NSA-Minimierungsverfahren"); http://www.dni.gov/files/documents/ppd-28/2014%20FBI%20702%20Minimization%20Procedures.pdf; and http://www.dni.gov/files/documents/ppd-28/2014%20CIA%20702%20Minimization%20Procedures.pdf.

24) Siehe NSA-Bericht unter 4.

25) Siehe z.B. NSA-Minimierungsverfahren unter 6.

26) Nachrichtendienstliche PPD-28-Verfahren abrufbar unter http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

27) Siehe NSA-Minimierungsverfahren; PPD-28 Section 4.

28) Siehe 50 U.S.C. § 1881(l); siehe auch PCLOB Report unter 66-76.

29) Siehe Semiannual Assessment of Compliance with Procedures and Guidelines Issues Pursuant to Section 702 of the Foreign Intelligence Surveillance Act, vorgelegt vom Justizminister und dem Director of National Intelligence unter 2-3, abrufbar unter http://www.dni.gov/files/documents/Semiannual%20Assessment%20of%20Compliance%20with%20procedures%20and%20guidelines%20issued%20pursuant%20to%20Sect%20702%20of%20FISA.pdf.

30) Rule 13 der Rules of Procedures des Foreign Intelligence Surveillance Court, abrufbar unter http://www.fisc.uscourts.gov/sites/default/files/FISC%20Rules%20of%20Procedure.pdf.

31) 29. Juli 2013, Letter from The Honorable Reggie B. Walton to The Honorable Patrick J. Leahy, abrufbar unter http://fas.org/irp/news/2013/07/fisc-leahy.pdf.

32) Siehe § 401 des USA FREEDOM Act, P.L. 114-23.

33) Siehe 50 U.S.C. § 1881f.

34) Siehe ebenda, § 1881a(l)(1).

35) Siehe ebenda, § 1881a(l)(3). Einige dieser Berichte unterliegen der Geheimhaltung.

36) Mem. Opinion and Order unter 26 (FISC 2014), abrufbar unter http://www.dni.gov/files/documents/0928/FISC%20Memorandum%20Opinion%20and%20Order%2026%20August%202014.pdf.

37) Siehe USA FREEDOM Act von 2015, Pub. L. No. 114-23, § 401, 129 Stat. 268.

38) Siehe ebenda, §§ 103, 201, 501. National Security Letters sind durch verschiedene Gesetze zugelassen und ermöglichen dem FBI die Einholung von Informationen aus Kreditauskünften, von Finanzdaten sowie von Daten aus elektronischen Nutzer- und Transaktionsaufzeichnungen ausschließlich zum Zweck des Schutzes vor internationalem Terrorismus und verdeckten nachrichtendienstlichen Aktivitäten. Siehe 12 U.S.C. § 3414; 15 U.S.C. §§ 1681u-1681v; 18 U.S.C. § 2709. National Security Letters werden normalerweise vom FBI verwendet, um in den frühen Phasen von Ermittlungen zur Terrorismusbekämpfung und Spionageabwehr wichtige nichtinhaltliche Informationen zu sammeln - wie etwa die Identität eines Kontonutzers, der möglicherweise mit Agenten einer Terroristengruppe wie ISIL kommuniziert. Empfänger eines National Security Letter haben das Recht, diesen vor Gericht anzufechten. Siehe 18 U.S.C. § 3511.

39) Siehe ebenda.

40) Siehe ebenda, § 401.

41) Siehe ebenda, § 602.

42) Siehe ebenda.

43) Siehe ebenda, § 603.

44) Siehe ebenda, §§ 502(f)-503.

45) Abrufbar unter http://www.dni.gov/index.php/intelligence-community/intelligence-transparency-principles.

46) Abrufbar unter http://www.dni.gov/files/documents/Newsroom/Reports%20and%20Pubs/Principles%20of%20Intelligence%20Transparency%20Implementation%20Plan.pdf.

47) Siehe ebenda.

48) Abrufbar unter https://www.nsa.gov/civil_liberties/_files/nsa_report_on_section_702_program.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf.

49) Siehe z.B. New York Times v. Department of Justice, 756 F.3d 100 (2d Cir. 2014); American Civil Liberties Union v. CIA, 710 F.3d 422 (D.C. Cir. 2014).

50) 42 U.S.C. 2000ee(a), (h).

51) 42 U.S.C. 2000ee(k).

52) 42 U.S.C. 2000ee(d)(2).

53) Siehe allgemein https://www.pclob.gov/library.html#oversightreports.

54) Siehe allgemein https://www.pclob.gov/events/2015/may13.html.

55) 42 U.S.C. 2000ee(d)(1); siehe auch PCLOB Advisory Function Policy and Procedure, Policy 2015-004, abrufbar unter https://www.pclob.gov/library/Policy-Advisory_Function_Policy_Procedure.pdf.

56) 42 U.S.C. 2000ee(g)(1)(A).

57) 42 U.S.C. 2000ee(g)(1)(B).

58) 42 U.S.C. 2000ee(g)(1)(D).

59) 42 U.S.C. 2000eee(f).

60) § 2 und 4 des Inspektor General Act von 1978 in der geltenden Fassung (im Folgenden "IG Act"); § 103H(b) und (e) des National Security Act von 1947 in der geltenden Fassung; § 17(a) des Central Intelligence Act (im Folgenden "CIA Act").

61) Siehe Pub. L. No. 113-293, 128 Stat. 3990, (19. Dezember 2014). Nur die Generalinspekteure der Defense Intelligence Agency und der National Geospatial-Intelligence Agency werden nicht vom Präsidenten ernannt; allerdings haben der Generalinspekteur des Vereidigungsministeriums und der Generalinspekteur der Intelligence Community konkurrierende Zuständigkeit für diese Behörden.

62) § 3 des the IG Act von 1978 in der geltenden Fassung; § 103H(c) des National Security Act; und § 17(b) des CIA Act.

63) Siehe §§ 4(a) und 6(a)(2) des IG Act von 1947; § 103H(e) und (g)(2)(A) des National Security Act; § 17(a) und (c) des CIA Act.

64) §§ 3(d), 6(a)(7) ud 6(f) des IG Act; § 103H(d), (i), (j) und (m) des National Security Act; § 17(e)(7) und (f) des CIA Act.

65) § 6(a)(1), (3), (4), (5), und (6) des IG Act; § 103H(g)(2) des National Security Act; § 17(e)(1), (2), (4), und (5) des CIA Act.

66) Siehe z.B. §§ 8(b) und 8E(a) des IG Act; § 103H(f) des National Security Act; § 17(b) des CIA Act.

67) § 4(a)(5) des IG Act; § 103H(a)(b)(3) und (4) des National Security Act; § 17(a)(2) und (4) des CIA Act.

68) § 2(3), 4(a), und 5 des IG Act; § 103H(k) des National Security Act; § 17(d) des CIA Act. Der Generalinspekteur des Justizministeriums stellt seine für die Öffentlichkeit bestimmten Berichte im Internet unter folgendem Link bereit: http://oig.justice.gov/reports/all.htm. Ebenso veröffentlich der Generalinspekteur für die Intelligence Community seine halbjährlichen Berichte unter https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested- under-foia#icig.

69) §§ 2(3), 4(a), und 5 des IG Act; § 103H(k) des National Security Act; § 17(d) des CIA Act. Der Generalinspekteur des Justizministeriums stellt seine für die Öffentlichkeit bestimmten Berichte im Internet unter folgendem Link bereit: http://oig.justice.gov/reports/all.htm. Ebenso veröffentlich der Generalinspekteur für die Intelligence Community seine halbjährlichen Berichte unter https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested- under-foia#icig.

70) § 7 des IG Act; § 103H(g)(3) des National Security Act; § 17(e)(3) des CIA Act.

71) § 11 des IG Act.

.

19. Februar 2016

Sehr geehrter Herr Antonipillai, sehr geehrter Herr Dean,

dieses Schreiben gibt einen kurzen Überblick über die wichtigsten Ermittlungsinstrumente, mit denen aus Gründen der Strafverfolgung oder des öffentlichen (zivil- und aufsichtsrechtlichen) Interesses Geschäfts- und andere Daten von amerikanischen Unternehmen eingeholt werden können, und über die in diesen Behörden bestehenden Zugriffsbeschränkungen ¹. Die erlassenen Anordnungen sind insofern nicht diskriminierend, als sie dazu dienen, sowohl Informationen von US-amerikanischen Unternehmen einzuholen als auch solche von Unternehmen, die eine Selbstzertifizierung unter dem US-EU-Datenschutzschild vornehmen, unabhängig von der Staatsangehörigkeit der betroffenen Person. Darüber hinaus können Unternehmen, gegen die in den Vereinigten Staaten rechtliche Schritte eingeleitet werden, dieses Einholen von Informationen wie im Folgenden dargestellt anfechten ².

Von besonderer Bedeutung in Bezug auf die Beschlagnahme von Daten durch öffentliche Behörden ist der vierte Zusatzartikel zur Verfassung der Vereinigten Staaten, der folgendermaßen lautet: "Das Recht des Volkes auf Sicherheit der Person und der Wohnung, der Urkunden und des Eigentums vor willkürlicher Durchsuchung, Festnahme und Beschlagnahme darf nicht verletzt werden, und Haussuchungs- und Haftbefehle dürfen nur bei Vorliegen eines eidlich oder eidesstattlich erhärteten Rechtsgrundes ausgestellt werden und müssen die zu durchsuchende Örtlichkeit und die in Gewahrsam zu nehmenden Personen oder Gegenstände genau bezeichnen." Wie das Oberste Gericht der Vereinigten Staaten in der Rechtssache Berger v. State of New York urteilte "besteht der Hauptzweck dieses Zusatzartikels, wie in zahlreichen Urteilen dieses Gerichts bestätigt wird, im Schutz der Privatsphäre und der Sicherheit von Einzelpersonen vor willkürlichem Eingriffen durch Regierungsbeamte", siehe 388 U, S. 41, 53 (1967) (unter Berufung auf die Rechtssache Camara vs. Mun. Court of San Francisco, 387 U, S. 523, 528 (1967)). Für strafrechtliche Ermittlungen im Inland ist im vierten Zusatzartikel generell vorgeschrieben, dass den Strafverfolgungsbeamten vor der Durchführung einer Haussuchung ein gerichtlicher Hausdurchsuchungsbefehl vorliegen muss. Siehe Rechtssache Katz v. United States, 389 U, S. 347, 357 (1967). In Fällen, in denen diese Vorschrift nicht gilt, unterliegt das Eingreifen des Staates einer Prüfung der "Zumutbarkeit". Somit gewährleistet also die Verfassung selbst, dass die Regierung der Vereinigten Staaten nicht uneingeschränkt oder willkürlich private Informationen beschlagnahmen darf.

Strafverfolgungsbehörden:

Bundesanwälte, die Beamte des Justizministeriums sind, und Ermittler des Bundes einschließlich Ermittler des Federal Bureau of Investigation (FBI), einer Strafverfolgungsbehörde innerhalb des Justizministeriums, können von Unternehmen in den USA die Herausgabe von Unterlagen und anderen Aufzeichnungen zu strafrechtlichen Ermittlungszwecken mithilfe mehrerer Arten von Zwangsmaßnahmen - wie Anordnungen einer Grand Jury oder Behörde und Durchsuchungsbefehlen - erzwingen und auch sonstige Kommunikation gemäß den für das Abhören und für die Rufnummernerfassung zuständigen Bundesbehörden einholen.

Anordnungen einer Grand Jury oder eines Gerichts: Mit strafrechtlichen Anordnungen sollen konkrete strafrechtliche Ermittlungen unterstützt werden. Bei einer Anordnung einer Grand Jury handelt es sich um einen offiziellen Antrag einer Grand Jury (üblicherweise auf Verlangen eines Bundesanwalts), Ermittlungen zu einem konkreten mutmaßlichen Verdacht auf einen Verstoß gegen das Strafrecht durchzuführen. Grand Juries sind eine Anklagekammer eines Gerichts, deren Mitglieder von einem Richter oder Magistrate ausgewählt werden. Bei einer Anordnung kann von der betroffenen Person verlangt werden, in einem Gerichtsverfahren auszusagen oder Geschäftsunterlagen, elektronisch gespeicherte Informationen oder sonstige materielle Beweismittel vorzulegen bzw. zur Verfügung zu stellen. Hierbei muss es sich um für die Ermittlungen relevante Informationen handeln, und die Anordnung darf nicht unverhältnismäßig sein, weil sie überzogen, repressiv oder belastend ist - denn aus diesen Gründen kann ein Empfänger die Anfechtung der Anordnung beantragen. Siehe dazu die Federal Rules of Criminal Procedure [Strafprozessordnung], S. 17. In einigen wenigen Fällen kann ein Gericht nach Anklage durch die Grand Jury die Vorlage von Unterlagen anordnen.

Behördliche Anordnungen: Bei straf- oder zivilrechtlichen Ermittlungen können behördliche Anordnungen ergehen. Im Zuge der Strafverfolgung ist es in mehreren Bundesstaaten gesetzlich zulässig, behördliche Anordnungen zu erlassen, um Geschäftsunterlagen, elektronisch gespeicherte Informationen oder sonstige materielle Beweismittel, die für Ermittlungen zu Betrug im Gesundheitswesen, zum Kindesmissbrauch, zum Schutz durch den Geheimdienst, zu Verstößen gegen das Betäubungsmittelgesetz und Ermittlungen eines Generalinspekteurs, die sich auf Regierungsbehörden auswirken, relevant sind, vorzulegen bzw. zur Verfügung zu stellen. Möchte die Regierung eine behördliche Anordnung gerichtlich durchsetzen, kann der Empfänger der behördlichen Anordnung - wie der Empfänger einer Anordnung einer Grand Jury - die Unverhältnismäßigkeit der Anordnung geltend machen, weil sie überzogen, repressiv oder belastend ist.

Gerichtlich angeordnete Rufnummernerfassung: Gemäß den strafrechtlichen Vorschriften zur Rufnummernerfassung können die Strafverfolgungsbehörden eine gerichtliche Anordnung erlangen, um in Echtzeit nichtinhaltliche Wähl-, Routing-, Anschluss- und Signalinformationen zu einer Telefonnummer oder E-Mail-Adresse zu erfassen, sofern bestätigt wird, dass die gelieferten Informationen für laufende strafrechtliche Ermittlungen relevant sind. Siehe 18 U.S.C. §§ 3121-3127. Dem Bundesgesetz zufolge ist die gesetzwidrige Nutzung bzw. der gesetzwidrige Einbau eines einschlägigen Geräts strafbar.

Electronic Communications Privacy Act (ECPA): Gemäß Titel II des ECPA (Gesetz zum Datenschutz in der elektronischen Kommunikation), das auch als Stored Communications Act (SCA, Gesetz zur Speicherung von Kommunikation) bezeichnet wird (18 U.S.C. §§ 2701-2712), regeln zusätzliche Vorschriften den Zugriff des Staates auf Teilnehmerdaten, Verkehrsdaten und bei Internetdienstanbietern von Telefongesellschaften und anderen dritten Dienstanbietern gespeicherte Kommunikationsinhalte. Im SCA ist ein System gesetzlich vorgeschriebener Datenschutzrechte festgelegt, die den Datenzugriff zu Zwecken der Strafverfolgung einschränken und ihn nur in dem Maße gestatten, wie es verfassungsrechtlich für die Kunden und Abonnenten von Internetdienstanbietern erforderlich ist. Durch das SCA wird die Privatsphäre in Abhängigkeit vom Ausmaß der Datenerfassung stärker geschützt. Um Informationen über die registrierten Abonnenten, IP-Adressen und dazugehörigen Zeitstempel und Rechnungsinformationen einholen zu können, müssen die Strafverfolgungsbehörden eine entsprechende Anordnung erhalten. Für die meisten anderen gespeicherten, nichtinhaltlichen Informationen wie E-Mail-Header ohne Betreffzeile müssen die Strafverfolgungsbehörden einem Richter konkrete Fakten vorlegen, aus denen hervorgeht, dass die beantragten Informationen für laufende strafrechtliche Ermittlungen relevant sind. Um an die gespeicherten Inhalte elektronischer Kommunikation zu gelangen, benötigen die Strafverfolgungsbehörden generell eine entsprechende richterliche Anordnung, die auf dem hinreichenden Verdacht basiert, dass das betreffende Konto Nachweise für eine Straftat enthält. Im SCA sind darüber hinaus auch die Privathaftpflicht und die strafrechtlichen Sanktionen geregelt.

Gerichtlich angeordnete Überwachung nach dem Federal Wiretap Law (Bundesabhörgesetz): Nach dem Bundesabhörgesetz kann die Strafverfolgung darüber hinaus zu strafrechtlichen Ermittlungszwecken in Echtzeit drahtgebundene, mündliche oder elektronische Kommunikation abhören bzw. abfangen. Siehe 18 U.S.C. §§ 2510-2522. Dies kann nur auf gerichtliche Anordnung geschehen, wenn durch einen Richter unter anderem festgestellt wird, dass das Abhören oder elektronische Abfangen vermutlich Beweise für einen Verstoß gegen das Bundesgesetz erbringen oder Hinweise auf den Aufenthaltsort einer sich der Strafverfolgung entziehenden Person liefern wird. In diesem Gesetz sind darüber hinaus auch die Privathaftpflicht und die strafrechtlichen Sanktionen bei Verstoß gegen die Abhörvorschriften geregelt.

Durchsuchungsbefehl - Artikel 41: Nach richterlicher Anordnung können Gebäude in den USA von den Strafverfolgungsbehörden durchsucht werden. Letztere müssen dem Richter anhand eines "hinreichenden Verdachts" glaubhaft darlegen, dass eine Straftat begangen wurde bzw. begangen werden soll und dass an dem im Durchsuchungsbefehl genannten Ort vermutlich mit der Straftat zusammenhängende Gegenstände gefunden werden. Von dieser Befugnis wird häufig Gebrauch gemacht, wenn eine polizeiliche Durchsuchung eines Gebäudes erforderlich wird, weil die Gefahr besteht, dass möglicherweise Beweismittel vernichtet werden, wenn eine Anordnung zur Herausgabe gegen das betreffende Unternehmen ergeht. Siehe vierter Zusatzartikel zur Verfassung der Vereinigten Staaten (auf den oben bereits eingegangen wurde), Federal Rules of Criminal Procedure, S. 41. Die Person, gegen die der Durchsuchungsbefehl ergeht, kann gegen diesen vorgehen, weil er überzogen und schikanös ist oder auf unberechtigte Weise erlangt wurde, und Geschädigte mit Klageberechtigung können bei rechtswidrigen Durchsuchungen erlangte Beweise unterdrücken. Siehe Rechtssache Mapp v. Ohio, 367 U, S. 643 (1961).

Leitlinien und Strategien des Justizministeriums: Neben diesen verfassungsrechtlichen, gesetzlich vorgeschriebenen und auf Regelungen beruhenden Einschränkungen des staatlichen Zugriffs auf Daten hat der Justizminister Leitlinien veröffentlicht, die den Datenzugriff zu Zwecken der Strafverfolgung weiter einschränken und auch die Privatsphäre und die Bürgerrechte schützen. So wird beispielsweise in den Leitlinien des Justizministers für Inlandseinsätze des FBI von September 2008 (im Folgenden FBI-Leitlinien des Justizministers), abrufbar unter http://www.justice.gov/archive/opa/docs/guidelines.pdf, die Anwendung von Ermittlungstechniken zur Einholung von Informationen für Ermittlungen im Rahmen von Verstößen gegen das Bundesgesetz eingeschränkt. Diese Leitlinien verpflichten das FBI, die mit den geringsten Eingriffen verbundenen Ermittlungsmethoden anzuwenden und die Auswirkungen auf die Privatsphäre und die Bürgerrechte und die potenzielle Rufschädigung zu berücksichtigen. Darüber hinaus wird darauf hingewiesen, dass "das FBI seine Ermittlungen und sonstigen Aktivitäten selbstverständlich rechtmäßig und angemessen unter Einhaltung von Bürgerrechten und Privatsphäre so durchführen muss, dass ein unnötiges Eindringen in das Privatleben gesetzestreuer Personen vermieden wird." Siehe FBI-Leitlinien des Justizministers, Seite 5. Umgesetzt hat das FBI diese Leitlinien mithilfe des FBI Domestic Investigations and Operations Guide (abrufbar unter https://vault.fbi.gov/FBI%20Domestic%20Investigations%20and%20Operations%20Guide%20(DIOG), eines umfassenden Handbuchs mit detaillierten Erläuterungen zu den Grenzen der Anwendung von Ermittlungsinstrumenten und entsprechenden Hilfestellungen zur Gewährleistung des Schutzes von Bürgerrechten und Privatsphäre bei sämtlichen Ermittlungen. Weitere Vorschriften und Strategien, die die Ermittlungstätigkeit der Bundesanwälte einschränken, sind im United States Attorneys' Manual (USAM, Anwaltshandbuch der Vereinigten Staaten), aufgeführt, das ebenfalls online abrufbar ist unter http://www.justice.gov/usam/united-states-attorneys-manual.

Zivil- und Aufsichtsbehörden (öffentliches Interesse):

Auch die Zivil- oder Aufsichtsbehörden (die im öffentlichen Interesse handeln) erhalten nur sehr eingeschränkt Zugriff auf Daten von Unternehmen in den Vereinigten Staaten. Behörden mit zivilen und aufsichtsrechtlichen Aufgaben können von Unternehmen die Herausgabe von Geschäftsunterlagen, elektronisch gespeicherten Informationen oder sonstigen materiellen Beweismitteln verlangen. Diese Behörden unterliegen in der Ausübung ihrer administrativen oder zivilen Anordnungsbefugnis Einschränkungen, und zwar nicht nur durch ihre jeweiligen Gründungsgesetze, sondern auch, weil die Anordnungen vor ihrer potenziellen gerichtlichen Umsetzung einer unabhängigen gerichtlichen Überprüfung unterzogen werden. Siehe z.B. die Federal Rules of Civil Procedure [Zivilprozessordnung], S. 45. Die Behörden können nur den Zugriff auf Daten beantragen, die für Sachen innerhalb ihres Verantwortungsbereichs von Belang sind. Darüber hinaus kann ein Empfänger einer behördlichen Anordnung deren Umsetzung vor Gericht anfechten, indem er nachweist, dass die Behörde den Grundsatz der Zumutbarkeit missachtet hat, wie bereits oben dargelegt wurde.

Unternehmen, die sich Datenabfragen von Verwaltungsbehörden widersetzen möchten, können sich je nach Branche und Datenart auf weitere Rechtsgrundlagen stützen. So können Finanzinstitute beispielsweise behördliche Anordnungen anfechten, bei denen bestimmte Arten von Informationen abgerufen werden sollen, wodurch gegen das Bank Secrecy Act (Gesetz über das Bankgeheimnis) und dessen Durchführungsbestimmungen verstoßen wird. Siehe 31 U.S.C. § 5318, 31 C.F.R. Part X. Andere Unternehmen wiederum können sich auf das Fair Credit Reporting Act (Gesetz zur Regelung des Datenschutzes bei Konsumentenkrediten), siehe 15 U.S.C. § 1681b, oder andere branchenspezifische Gesetze berufen. Der Missbrauch einer Anordnungsbefugnis einer Behörde kann deren Haftung bzw. eine persönliche Haftung ihrer Beamten nach sich ziehen. Siehe z.B. das Right to Financial Privacy Act (Gesetz zum Schutz von Finanzdaten), 12 U.S.C. §§ 3401-3422. Somit schützen die Gerichte in den Vereinigten Staaten vor unangemessenen Anträgen der Regulierungsbehörden und vermitteln einen unabhängigen Überblick über die Maßnahmen der Bundesbehörden.

Jegliche gesetzliche Befugnis der Verwaltungsbehörden, Unterlagen eines Unternehmens in den Vereinigten Staaten nach einer behördlichen Durchsuchung zu beschlagnahmen, muss die Anforderungen des vierten Zusatzartikels erfüllen. Siehe See v. City of Seattle, 387 U, S. 541 (1967).

Fazit

Sämtliche Strafverfolgungsmaßnahmen und Aufsichtstätigkeiten in den Vereinigten Staaten müssen nach geltendem Recht erfolgen und im Einklang mit der Verfassung der USA sowie den Gesetzen, Regelungen und Vorschriften stehen. Außerdem müssen einschlägige Strategien wie die Leitlinien des Justizministers zur Regelung der Strafverfolgung auf Bundesebene befolgt werden. Mit dem oben beschriebenen Rechtsrahmen wird die Möglichkeit der amerikanischen Strafverfolgungs- und Aufsichtsbehörden eingeschränkt, Informationen von Unternehmen in den USA einzuholen - unabhängig davon, ob es sich dabei um Informationen über US-Bürger oder Drittstaatsangehörige handelt -, und die gerichtliche Überprüfung jeglicher Datenanfragen, die über diese Behörden erfolgen, ermöglicht.

Hochachtungsvoll

Bruce C. Swartz

Stellvertretender Generalstaatsanwalt des Justizministeriums
und Berater für internationale Angelegenheiten

ENDE