Trumpism: Wie die USA den Krieg der Daten vorbereiten

Wichtige Entscheidungen sind nicht selten daran zu erkennen, dass sie besonders leise getroffen werden. So geschehen mit dem Cloud Act, einem US-Gesetz, das Ende März 2018 den US-Kongress wie eine Nebensache im Omnibus-Verfahren passierte. In Europa bislang kaum beachtet, wurde die Verordnung einfach an das sehr viel aufsehenerregendere Haushaltsgesetz angehängt. In der Folge konnten die Kongress-Abgeordneten nur das gesamte Gesetzespaket annehmen oder ablehnen. So fokussierte sich die öffentliche Wahrnehmung beinahe vollständig auf den Haushaltskompromiss, um den monatelang gerungen wurde. Der Cloud Act war nicht viel mehr als ein kleiner Nebendeal.

Dabei ist der Inhalt des Gesetzes alles andere als nebensächlich. Im Gegenteil: Es könnte die ohnehin angespannten transatlantischen Beziehungen auf die nächste harte Probe stellen. Denn während Europa deutlich gemacht hat, den Datenschutz mit Einführung der DSGVO deutlich zu stärken, haben die USA mit dem Cloud Act alles in die Wege geleitet, um diese Bemühungen zu konterkarieren. Mit DSGVO und Cloud Act sind zwei wuchtige rechtliche Instrumente in Stellung gebracht, die konfrontativ gegeneinander gerichtet sind. Der nächste Konfliktherd in den transatlantischen Beziehungen könnte sich leicht am Datenaustausch entzünden.

Legislative Geschütztürme mit großer Durchschlagskraft

"Cloud Act" steht in voller Länge für Clarifying Lawful Overseas Use of Data Act   und regelt den Zugriff von US-Behörden auf Daten, die im Ausland gespeichert sind. Auslöser für die Gesetzesinitiative ist eine seit 2013 andauernde gerichtliche Auseinandersetzung, die unter dem Namen "Microsoft Corporation v. United States of America" bekannt ist.

Seit 2001 sind US-Unternehmen im Rahmen des Patriot-Act verpflichtet, ermittelnden US-Behörden weitreichende Auskünfte zu erteilen und auch Benutzerdaten zu übermitteln. In den meisten Fällen ist weder eine richterliche Anordnung erforderlich, noch muss der Betroffene über diese Maßnahme informiert werden.

Im Fall "Microsoft Corporation v. United States of America" kam es jedoch zu Komplikationen. Anlass waren Ermittlungen gegen einen US-Bürger, derentwegen US-Behörden von Microsoft Einsicht in das Mail-Konto des Betroffenen verlangten. Allerdings waren in diesem Fall die gewünschten Daten in einem irischen Rechenzentrum gespeichert. Die Microsoft-Anwälte argumentierten nun, der Durchsuchungsbeschluss könne nicht umgesetzt werden, da er in Irland keine Gültigkeit habe. Die US-Regierung wollte sich dieser Argumentation nicht anschließen und bestand auf Herausgabe, weil der Diensteanbieter ein US-Unternehmen sei. Der Fall ging durch mehrere Instanzen und lag zuletzt beim höchsten US-Gericht, dem Supreme Court, zur Entscheidung vor.

Einer Entscheidung dieses Gerichts ist die Trump-Administration Ende März mit dem Cloud Act zuvorgekommen. Das Gesetz stellt klar, unter welchen Umständen US-Unternehmen die Daten herausgeben müssen - selbst wenn diese (aus US-Sicht) ausländische Bürger betreffen oder im Ausland gespeichert sind. Wenig verwunderlich räumt sich die US-Regierung dabei äußerst großzügige Rechte ein. Im Wesentlichen:

Der Cloud Act

• Eine US-Behörde kann von jedem US-Unternehmen Daten von Bürgern anfordern, wenn sie sich zu Ermittlungen gegen diese Person berechtigt fühlt.
  
• Ein US-Unternehmen muss diesem Begehren nachgeben, solange es die Herrschaft über diese Daten hat.
  
• Sollten sich die Daten im Ausland befinden und sollten ausländische Gesetze gegen eine Datenweitergabe sprechen, sind diese Gesetze nicht zu beachten.
  
• Lediglich in Ausnahmefällen kann eine solche behördliche Anordnung in einem sehr begrenzten Rahmen von einem Gericht überprüft oder aufgehoben werden.
  
• Selbst für diesen Minimalschutz bedarf es eines bilateralen Abkommens zwischen den USA und dem betroffenen Land. Fehlt es daran, ist eine gerichtliche Prüfung generell nicht möglich.

Mit dem Cloud Act dürfen US-Behörden also weitgehend unbeschränkt von ausländischem Recht auch auf im Ausland gespeicherte Daten US-fremder Personen und Unternehmen zugreifen. Jedenfalls dann, wenn US-Unternehmen diese kontrollieren und eine US-Behörde ermittelt.

Der Freibrief ist um so drastischer, als in den USA weder eine allgemeingültige Datenschutzregelung existiert, die mit einer umfassenden Regelung wie in Europa vergleichbar wäre, noch eine solche Datenanfrage einem Richtervorbehalt unterliegt oder auch nur eines staatsanwaltschaftlichen Ermittlungsverfahrens bedarf.

Unauflösbarer Konflikt mit der DSGVO

Damit stehen gerade amerikanische Unternehmen vor einem unauflösbaren Konflikt: Einerseits müssen Unternehmen in Europa die DSGVO beachten, die empfindliche Strafen bei Verstößen vorsieht. Andererseits werden sie durch den Cloud Act gezwungen, genau diese Vorschriften zu missachten.

"Mit der DSGVO und dem Cloud Act stehen sich derzeit zwei gesetzliche Regelungen gegenüber", weiß auch Rebekka Weiß , Datenschutzexpertin des Branchenverbands Bitkom  . "Das Verhältnis der beiden Vorschriften zueinander ist derzeit nicht geklärt."

Aber nicht nur internationale Unternehmen mit Sitz in den USA drohen zwischen die Fronten zu geraten. Auch heimische Unternehmen können vor Problemen stehen, wenn sie einen Cloud-Service, ein CRM-System oder ein Shopsystem eines US-Herstellers nutzen. Denn streng genommen können diese Dienstleister die DSGVO-konforme Datenverarbeitung gar nicht sicherstellen, da sie US-Gesetzen unterliegen.

Entsprechend groß ist derzeit die Verunsicherung in der Branche. Sie steht vor einem Dilemma. Praktisch betrachtet kann die Digitalwirtschaft weder auf die Dienste von US-Unternehmen verzichten noch ist deren DSGVO-Konformität sichergestellt. "Die Branche befindet sich in einem rechtlichen Schwebezustand, der eine eindeutige Klärung erforderlich macht. Dabei muss auch die Verzahnung von US Cloud Act und dem EU E-Evidence-Vorschlag geklärt werden", fordert Weiß. Immerhin halten alle Parteien bislang Maß. "Derzeit gibt es kein Interesse an einer Zuspitzung der Situation und keine Seite besteht aggressiv auf die Durchsetzung ihrer Position", hat die Branchenexpertin beobachtet. "Aber der Konflikt ist offensichtlich."

Den gordischen Knoten durchschlagen

Zwar haben beide Seiten ihre gesetzlichen Geschütze gegeneinander in Stellung gebracht, die Türe komplett zugeschlagen hat bislang aber auch noch keine Seite. Es gibt mehrere Ansätze, den schwelenden Datenkonflikt zu entschärfen - und in mancher Hinsicht liegen die Interessen auch nicht so weit auseinander.

Einigungschancen in der DSGVO:

• Artikel 49 der DSGVO sieht Ausnahmen vor, wenn die Datenübermittlung an Drittstaaten "aus wichtigen Gründen des öffentlichen Interesses notwendig" ist. Die EU könnte nachgeben und das öffentliche Interesse weit auslegen. Allerdings gilt es unter Rechtspraktikern als nahezu ausgeschlossen, dass eine so unkontrollierte und weitreichende Datenabfrage, wie sie die USA erwarten, mit diesem Artikel gerechtfertigt werden könnte.
  
• Artikel 48 der DSGVO scheint griffiger. Er regelt die Datenweitergabe an Drittstaaten, setzt aber auch enge Grenzen. Erste Grundanforderung: Daten dürfen nur übergeben werden, wenn die Anforderung "auf eine in Kraft befindliche internationale Übereinkunft wie etwa ein Rechtshilfeabkommen [...] gestützt sind." Auf den Cloud Act trifft das nicht zu. Beide Seiten müssten sich zunächst auf einen rechtlichen Rahmen einigen.

Einigungschancen im Cloud Act:

• Auch wenn der Cloud Act inakzeptabel niedrige Schutzstandards setzt und sogar von US-Unternehmen offen den Rechtsbruch in anderen Ländern fordert, lässt er Raum für Kompromisse: Wenn es zwischen den USA und dem Drittland ein bilaterales Abkommen zum Datenaustausch gibt, sind die dort getroffenen Bedingungen auch von US-Firmen einzuhalten. Ein bilaterales Abkommen hat Vorrang vor dem Cloud Act.
  
• Mehr noch: Im Gegenzug wären US-Unternehmen sogar verpflichtet, selbst Daten an anfragende Behörden aus dem Drittland zu liefern. Datenfreizügigkeit gegen Datenfreizügigkeit lautet das Lockangebot.

Noch ist der Konflikt Cloud Act vs. DSGVO nicht virulent geworden, noch ließe er sich in diplomatischen Hinterzimmern entschärfen. Nach derzeitiger Lesart läge eine realistische Möglichkeit darin, den internationalen Datenaustausch zügig in einem für beide Seiten tragbaren Abkommen auszuhandeln. Dafür würde sprechen, dass die EU selbst an einem E-Evidence-Vorschlag arbeitet, der es Ermittlungsbehörden erleichtern soll, international schnell und unkompliziert an Daten zu gelangen. Das Interesse an einer Einigung besteht also auch auf EU-Seite. Der Preis für den Rechtsfrieden wäre allerdings nicht gerade klein. Es dürfte wohl unweigerlich zu einer Aufweichung europäischer Datenschutzstandards führen. Andererseits könnte die europäische Seite immerhin einige besonders wesentliche Rechtsstandards (wie einen Richtervorbehalt) durchbringen.

Unsicherheitsfaktor Donald Trump

Die Aussichten auf eine solche Einigung dürften derzeit jedoch ungewisser denn je sein. Die Verhandlungsposition der amerikanischen Seite folgt schon jetzt dem typisch Trump'schen Muster von Drohungen und Lockungen: Einerseits könnten sich europäische Hardliner von dem Versprechen ködern lassen, selbst einen relativ einfachen Zugriff auf Daten von US-Bürgern zu erhalten. Andererseits hat die US-Administration schon klargemacht, was die Konsequenzen sein werden, wenn diese Strategie nicht verfangen sollte: Mittels des Cloud Act werden sich die USA "ihre" Daten sowieso holen, ohne die Grenzen von Drittstaaten zu respektieren. Friß oder stirb - der Verhandlungsspielraum liegt nahe null.

Zudem ist noch nicht einmal klar, ob die USA die EU überhaupt als Verhandlungspartner akzeptieren würde. Der Cloud Act selbst gibt das jedenfalls nicht her, die USA könnten auf individuelle Einzelabkommen mit jedem Mitgliedsstaat bestehen. Dies würde in die politische Linie von Donald Trump passen, der ein ausgewiesener Gegner multilateraler Vereinbarungen ist. Schwache Einzelparteien würden viel besser in seine "America First"-Agenda passen als ein starker Verhandlungspartner. Umgekehrt würde sich die EU eine Abwertung ihrer internationalen Autorität wohl kaum gefallen lassen.

Allerdings wäre auch für die US-Seite der Preis in einem konfrontativen Szenario hoch, eine Eskalation wäre vorgezeichnet. Sobald die aggressive Seite der Cloud-Act-Karte gespielt würde, müsste die EU beinahe zwangsläufig empfindliche Strafen gegen amerikanische Tech-Unternehmen verhängen. Faktisch würden IBM  , Oracle  , Salesforce  , Microsoft  , Google  , Facebook  , Amazon   & Co.   aus dem europäischen Markt gedrängt. Das würde die amerikanische Tech-Branche ebenso hart treffen wie die europäische IT-Industrie.

Eigentlich kann keine Seite an einer solchen Entwicklung interessiert sein. Noch vor wenigen Monaten hätte die Branche daher wohl auch gelassen einer Einigung im Datenstreit entgegengesehen. In der derzeitigen politischen Großwetterlage - und bei Trumps ausgewiesener Abneigung den liberalen Internet-Unternehmen gegenüber - scheint jedoch das Krisen-Szenario gar nicht mehr so abwegig. Aus dem gegenwärtigen Handelskrieg könnte so sehr schnell ein Datenkrieg werden. Mit drastischen Folgen.