Jenseits der Grenzen: Überblick über das US-Geheimdienstrecht
US-Behörden haben zum Teil exzessive Zugriffsmöglichkeiten auf Daten bzw. Informationen, die sogar Grundrechte europäischer Bürger aushebeln können. Ein kurzer Überblick über die vergangenen/aktuellen Möglichkeiten der US-Behörden:
- CLOUD Act (23. März 2018): Das Gesetz verpflichtet US-amerikanische IT-Unternehmen und Dienstleister zur Zusammenarbeit mit den US-Behörden und garantiert diesen den Zugriff auf gespeicherte Daten, auch wenn die Speicherung nicht in den USA (sondern bspw. Europa) erfolgt. Betrifft die Anordnung die Herausgabe von Daten eines Nicht-US-Bürgers, kann das betroffene Unternehmen im Einzelfall von einem Widerspruchsrecht Gebrauch machen. Unklar ist, ob dieses Widerspruchsrecht (immer) gilt. Das NCSC (National Cyber Security Centre, Niederlande) hat im Jahr 2022 eine internationale Anwaltskanzlei beauftragt, die Auswirkungen des CLOUD Act zu bewerten. Zitat:
Question 4: Please indicate whether the U.S. can obtain data from an EU Entity over whom it does not have jurisdiction by ordering a U.S. national who has access to data abroad to hand over data under the CLOUD Act or otherwise.
Response: In theory the answer is NO, in practice it is most likely YES. The CLOUD Act’s amendment to the SCA states that CSPs must disclose data regardless of where the CSP stores the data. […]
- USA PATRIOT Act (26. Oktober 2001) / USA Freedom Act (2. Juni 2015): Die Bestimmungen des PATRIOT Act erlauben es nicht nur US-Behörden wie dem FBI, der NSA oder der CIA, ohne richterliche Anordnung auf Server von US-Unternehmen zuzugreifen. Auch ausländische Tochterunternehmen sind nach US-Recht verpflichtet, Zugriff auf ihre Server zu gewähren – selbst wenn lokale Gesetze dies verbieten. Anfang Juli 2013 wurde durch Edward Snowden bekannt, in welchem Umfang US-Behörden (insbesondere die NSA) von diesem Recht Gebrauch machen. Häufig wird der PATRIOT Act auch als Instrument der Wirtschaftsspionage bezeichnet. Am 2. Juni 2015 wurde der PATRIOT Act vom USA Freedom Act abgelöst. Auch dieser erlaubt (über Umwege) eine massenhafte Überwachung und Auswertung von Telekommunikationsdaten.
- Executive Order 12333 (4. Dezember 1981): Dieser von Ronald Reagan verabschiedete Erlass erweitert die Befugnisse und Kompetenzen der US-Geheimdienste – so darf die NSA aufgrund dieses Erlasses beispielsweise Mobiltelefone überwachen.
- Foreign Intelligence Surveillance Act (FISA) (25. Oktober 1978): Das Gesetz zur Überwachung in der Auslandsaufklärung regelt die Spionagetätigkeit (unter anderem Auslandsaufklärung) der USA. Im Ausland dürfen die Nachrichtendienste z.B. Telekommunikation ohne individuelle Genehmigung überwachen – das Gesetz ist damit die Rechtsgrundlage für die anlasslose Massenüberwachung durch die NSA. Nach § 702 FISA müssen Cloud-Anbieter wie Twitter oder Facebook den Sicherheitsbehörden auf Anfrage Nutzerdaten herausgeben. Einen Rechtsschutz für die Betroffenen gibt es nicht.
Vor diesem Hintergrund empfiehlt es sich, keine Daten in US-Clouds zu speichern und generell die Abhängigkeit von US-amerikanischen IT-Unternehmen zu reduzieren. Nicht zu vergessen: Aufgrund dieser Befugnisse der US-Geheimdienste und der Rechtslage ist ein angemessenes staatliches Datenschutzniveau nach DSGVO grundsätzlich schwierig bis unmöglich umzusetzen.
Das in der Corona-Pandemie viel zitierte Beispiel Südkorea – eine Datenschutz-Analyse
Klimaschutz mit Datenschutz? Der große Elektroauto-Ladeapp-Test
NSA abhörsichere SSL-Verschlüsselung für Apache und nginx
Google Analytics beim Bayerischen Rundfunk und die lascheste Datenschutzbehörde Europas – das TTDSG Teil4
