ANHANG I

7. Juli 2016

Sehr geehrte Frau Jourová,

es ist mir eine große Freude, Ihnen im Namen der Vereinigten Staaten mit diesem Schreiben eine Materialsammlung zum EU-US-Datenschutzschild zukommen zu lassen, die das Ergebnis zweijähriger produktiver Gespräche zwischen den Teams unserer beiden Seiten ist. In Kombination mit anderen öffentlichen Quellen, die der Kommission zur Verfügung stehen, bietet diese Sammlung der Kommission eine fundierte Grundlage, um eine aktuelle Angemessenheitsfeststellung vorzunehmen (1).

Meines Erachtens können wir auf beiden Seiten stolz auf die erzielten Verbesserungen der Regelung sein. Der Datenschutzschild stützt sich auf Grundsätze, über die beiderseits des Atlantiks ein breiter Konsens besteht und denen wir zu mehr Wirksamkeit verholfen haben. Dank unserer Zusammenarbeit bietet sich uns eine wirkliche Gelegenheit, weltweit zur Stärkung des Datenschutzes beizutragen.

Die Materialsammlung zum Datenschutzschild umfasst die Datenschutzgrundsätze sowie ein in Anlage 1 beigefügtes Schreiben der für die Programmverwaltung zuständigen International Trade Administration (ITA) des US-Handelsministeriums, in dem die Verpflichtungen erläutert werden, die unser Ministerium mit Blick auf eine wirksame Umsetzung des Datenschutzschildes eingegangen ist. Die Sammlung umfasst ferner Anlage 2 mit den Zusagen des Ministeriums zum neuen Schiedssystem, das im Rahmen des Datenschutzschildes zur Verfügung steht.

Meine Mitarbeiter sind angewiesen, alle notwendigen Ressourcen unverzüglich und vollständig auf die Realisierung des Datenschutzschildes zu konzentrieren und eine fristgemäße Umsetzung der in Anlage 1 und Anlage 2 aufgeführten Zusagen sicherzustellen.

Ferner beinhaltet die Sammlung zum Datenschutzschild weitere Dokumente anderer US-Behörden, darunter:

Seien Sie versichert, dass die USA diese Zusagen sehr ernst nimmt.

Innerhalb von 30 Tagen nach der endgültigen Annahme der Angemessenheitsfeststellung wird das vollständige Paket zum Datenschutzschild zur Veröffentlichung an das Bundesregister übermittelt.

Wir freuen uns auf unsere Zusammenarbeit bei der Umsetzung des Datenschutzschildes und der Einleitung der nächsten Phase in diesem Prozess.

(1)  Unter der Voraussetzung, dass der Beschluss über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes für Island, Liechtenstein und Norwegen gilt, wird die Materialsammlung zum Datenschutzschild sowohl die Europäische Union als auch diese drei Länder abdecken.

ANHANG II

GRUNDSÄTZE DES EU-US-DATENSCHUTZSCHILDS VORGELEGT VOM AMERIKANISCHEN HANDELSMINISTERIUM

I.   ÜBERBLICK

II.   GRUNDSÄTZE

1.   Informationspflicht

2.   Wahlmöglichkeit

3.   Verantwortlichkeit für die Weitergabe

4.   Sicherheit

5.   Datenintegrität und Zweckbindung

6.   Auskunftsrecht

7.   Rechtsschutz, Durchsetzung und Haftung

III.   ZUSATZGRUNDSÄTZE

1.   Sensible Daten

2.   Ausnahmen für den journalistischen Bereich

3.   Hilfsweise Haftung

4.   Due-Diligence-Prüfung und Wirtschaftsprüfung

5.   Die Rolle der Datenschutzbehörden

6.   Selbstzertifizierung

7.   Anlassunabhängige Kontrolle

8.   Auskunftsrecht

a.   Das Auskunftsrecht in der Praxis

b.   Aufwand oder Kosten für die Gewährung des Zugangs

c.   Vertrauliche Geschäftsdaten

d.   Datenbanken von Organisationen

e.   Wann eine Beschränkung des Zugangs möglich ist

f.   Recht auf Erhalt einer Bestätigung sowie Erhebung einer Gebühr zur Deckung der Kosten der Zugangserteilung

g.   Wiederholte oder belästigende Auskunftsbegehren

Eine Organisation kann die Zahl der Anfragen einer Person innerhalb eines bestimmten Zeitraums angemessen begrenzen. Bei der Festlegung dieser Grenze sind Faktoren zu berücksichtigen wie die Häufigkeit, mit der Daten aktualisiert werden, der Zweck, für den die Daten verwendet werden, und die Art der Daten.

h.   Auskunftserschleichung

Eine Organisation muss nur Auskunft erteilen, wenn die anfragende Person ihre Identität zweifelsfrei nachweist.

i.   Frist für die Auskunftserteilung

Eine Organisation soll innerhalb angemessener Frist auf angemessene und eine für die anfragenden Personen leicht verständliche Weise auf Auskunftsbegehren antworten. Organisationen, die betroffene Personen regelmäßig informieren, können einem einzelnen Auskunftsbegehren im Rahmen ihrer regelmäßigen Auskünfte nachkommen, wenn es dadurch nicht zu einer übermäßigen Verzögerung kommt.

9.   Personaldaten

a.   Abdeckung durch den Datenschutzschild

b.   Anwendung der Grundsätze der Informationspflicht und des Wahlrechts

c.   Anwendung des Auskunftsrechts

Im Zusatzgrundsatz „Auskunftsrecht“ wird ausgeführt, aus welchen Gründen der Zugang zu Personaldaten beschränkt oder verwehrt werden kann. Selbstverständlich müssen Arbeitgeber in der Europäischen Union Arbeitnehmern aus der EU nach den Rechtsvorschriften ihres Landes Zugang zu Personaldaten gewähren, unabhängig davon, wo diese Daten verarbeitet oder gespeichert werden. Nach den Grundsätzen des Datenschutzschilds muss eine Organisation, die solche Daten in den USA verarbeitet, diesen Zugang direkt oder unter Einschaltung des EU-Arbeitgebers gewährleisten.

d.   Rechtsdurchsetzung

e.   Anwendung des Grundsatzes der Verantwortlichkeit für die Weitergabe

Bei gelegentlichen beschäftigungsbezogenen operativen Erfordernissen der dem Datenschutzschild angehörenden Organisation im Hinblick auf im Rahmen des Datenschutzschilds übertragene personenbezogene Daten, wie z. B. die Buchung von Flügen, Hotelzimmern oder den Abschluss von Versicherungen, kann die Übertragung personenbezogener Daten einer geringen Zahl von Arbeitnehmern an für die Verarbeitung Verantwortliche ohne Anwendung des Auskunftsrechtgrundsatzes oder Abschluss eines Vertrags mit dem als für die Verarbeitung Verantwortlicher tätigen Dritten erfolgen, wie es ansonsten entsprechend dem Grundsatz der Verantwortlichkeit für die Weitergabe notwendig wäre, vorausgesetzt, die dem Datenschutzschild angehörende Organisation hat die Grundsätze der Informationspflicht und der Wahlmöglichkeit eingehalten.

10.   Obligatorische Verträge bei Weitergabe

a.   Datenverarbeitung im Auftrag

b.   Datenübermittlung innerhalb einer kontrollierten Gruppe von Unternehmen

Werden personengebundene Daten zwischen zwei für die Verarbeitung Verantwortlichen innerhalb einer kontrollierten Gruppe von Unternehmen übermittelt, ist ein Vertrag nach dem Grundsatz der Vertraulichkeit der Weitergabe nicht immer erforderlich. Für die Verarbeitung Verantwortliche innerhalb einer kontrollierten Gruppe von Unternehmen können für diese Übermittlungen andere Instrumente zugrunde legen, wie z. B. verbindliche unternehmensinterne Vorschriften der EU oder andere konzerninterne Instrumente (z. B. Compliance- und Kontrollprogramme), um die Kontinuität des Schutzes personenbezogener Daten im Rahmen der Grundsätze zu sichern. Bei einer derartigen Übermittlung bleibt die dem Datenschutzschild angehörende Organisation für die Einhaltung der Grundsätze verantwortlich.

c.   Datenübermittlung zwischen für die Verarbeitung Verantwortlichen

Bei der Übermittlung von Daten zwischen für die Verarbeitung Verantwortlichen muss der Empfänger keine dem Datenschutzschild angehörende Organisation sein oder über eine unabhängige Beschwerdestelle verfügen. Die dem Datenschutz angehörende Organisation muss einen Vertrag mit dem empfangenden externen für die Verarbeitung Verantwortlichen schließen, der das gleiche Schutzniveau wie im Rahmen des Datenschutzschilds vorsieht, wobei es nicht erforderlich ist, dass der als für die Verarbeitung Verantwortlicher tätige Dritte eine dem Datenschutzschild angehörende Organisation ist oder über eine unabhängige Beschwerdestelle verfügen muss, vorausgesetzt, er stellt ein gleichwertiges Beschwerdeverfahren zur Verfügung.

11.   Beschwerdeverfahren und Durchsetzung

a.   Im Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung ist festgelegt, wie dem Datenschutzschild Geltung zu verschaffen ist. Wie Punkt a)ii) des Grundsatzes zu entsprechen ist, wird im Zusatzgrundsatz „Anlassunabhängige Kontrolle“ ausgeführt. Der vorliegende Zusatzgrundsatz befasst sich mit den Punkten a)i) und a)iii), die beide die Forderung nach unabhängigen Beschwerdestellen enthalten. Das Beschwerdeverfahren kann auf verschiedene Weise ausgestaltet werden, es muss aber die im Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung genannten Anforderungen erfüllen. Organisationen erfüllen die Anforderungen wie folgt: i) indem sie von der Privatwirtschaft entwickelte Datenschutzprogramme befolgen, in deren Regeln die Grundsätze des Datenschutzschilds integriert sind und die wirksame Durchsetzungsmechanismen vorsehen, wie sie im Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung beschrieben sind; ii) indem sie sich gesetzlich oder durch Rechtsverordnung vorgesehenen Kontrollorganen unterwerfen, die Beschwerden von Einzelpersonen nachgehen und Streitigkeiten schlichten; iii) indem sie sich verpflichten, mit den Datenschutzbehörden in der Europäischen Union oder mit deren bevollmächtigten Vertretern zusammenzuarbeiten.

b.   Die hier angeführten Möglichkeiten sind Beispiele, es handelt sich nicht um eine abschließende Aufzählung. Die Privatwirtschaft kann auch andere Durchsetzungsmechanismen einführen, sie müssen nur die Forderungen erfüllen, die im Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung und in den Zusatzgrundsätzen niedergelegt sind. Zu beachten ist, dass die Forderungen des Grundsatzes des Rechtsschutzes, der Durchsetzung und der Haftung die Forderung ergänzen, wonach auch bei freiwilliger Selbstkontrolle Verstöße gegen die Grundsätze gemäß § 5 des Federal Trade Commission Act oder einem ähnlichen Gesetz verfolgbar sein müssen.

c.   Um die Einhaltung ihrer Verpflichtungen im Rahmen des Datenschutzschilds zu gewährleisten und die Verwaltung des Programms zu unterstützen, müssen Organisationen sowie deren unabhängige Beschwerdestellen dem Ministerium auf Anfrage Informationen zum Datenschutzschild übermitteln. Darüber hinaus müssen die Organisationen umgehend auf von den Datenschutzbehörden über das Ministerium an sie weitergeleitete Beschwerden bezüglich ihrer Einhaltung der Grundsätze antworten. In der Antwort soll darauf eingegangen werden, ob die Beschwerde begründet ist, und wenn ja, wie die Organisation den Missstand zu beheben gedenkt. Das Ministerium wird die Vertraulichkeit der bei ihm eingegangenen Informationen gemäß dem US-Recht wahren.

d.   Anrufung unabhängiger Beschwerdestellen

e.   Rechtsbehelfe und Sanktionen

Die Inanspruchnahme eines Rechtsbehelfs soll dazu führen, dass die Organisation, gegen die sich die Beschwerde richtet, die Folgen ihres Verstoßes gegen die Grundsätze soweit möglich abstellt oder rückgängig macht und die den Beschwerdeführer betreffenden Daten künftig entweder im Einklang mit den Grundsätzen schützt oder nicht mehr verarbeitet. Sanktionen müssen so empfindlich sein, dass sie die Einhaltung der Grundsätze gewährleisten. Den Beschwerdestellen stehen Sanktionen von abgestufter Strenge zur Verfügung, mit denen sie gegen Verstöße von unterschiedlicher Schwere angemessen vorgehen können. Als Sanktionen kommen in Frage die öffentliche Bekanntmachung des Verstoßes, in bestimmten Fällen die Anordnung der Löschung der betreffenden Daten (6), der vorübergehende oder dauernde Entzug der Zugehörigkeit zur Zuständigkeit einer Beschwerdestelle, Entschädigungen für Personen, denen durch die Nichteinhaltung der Grundsätze ein Schaden entstanden ist, und Auflagen. Beschwerdestellen und Einrichtungen der freiwilligen Selbstkontrolle des privaten Sektors müssen bei Missachtung ihrer Entscheidungen die Gerichte anrufen oder die zuständige entscheidungsbefugte Behörde verständigen und das Ministerium unterrichten.

f.   Befassung der FTC

Die FTC will Beschwerden wegen Verletzung der Grundsätze, die an sie verwiesen wurden i) von Einrichtungen der Selbstkontrolle für den Datenschutz und anderen unabhängigen Beschwerdestellen, ii) von EU-Mitgliedstaaten, iii) vom Ministerium, vorrangig behandeln und feststellen, ob gegen § 5 des FTC Act verstoßen wurde, der unlautere und irreführende Geschäftspraktiken verbietet. Hat die FTC Grund zu der Annahme, dass ein solcher Verstoß vorliegt, kann sie eine behördliche Anordnung erwirken, die die beanstandete Praxis untersagt, oder sie kann vor einem Bezirksgericht klagen. Entscheidet das Gericht in ihrem Sinne, kann ein Bundesgericht eine Anordnung mit gleicher Wirkung erlassen. Dazu gehören falsche Angaben zur Einhaltung der Grundsätze des Datenschutzschilds oder zur Beteiligung am Datenschutzschild von Organisationen, die entweder nicht mehr auf der Datenschutzschild-Liste stehen oder nie eine Selbstzertifizierung gegenüber dem Ministerium abgegeben haben. Gegen die Missachtung einer behördlichen Unterlassungsanordnung kann die FTC Geldstrafen verhängen; gegen die Missachtung der Anordnung eines Bundesgerichts kann sie zivil- und strafrechtlich vorgehen. Die FTC unterrichtet das Ministerium über von ihr unternommene Schritte. Andere Behörden sind angehalten, dem Ministerium das abschließende Ergebnis in solchen Fällen und sonstige Entscheidungen über die Beachtung der Grundsätze des Datenschutzschilds mitzuteilen.

g.   Fortgesetzte Missachtung der Grundsätze

12.   Wahlmöglichkeit — Zeitpunkt des Widerspruchs

13.   Reisedaten

14.   Arzneimittel und Medizinprodukte

a.   Anwendung des Rechts der EU-Mitgliedstaaten oder der Grundsätze des Datenschutzschilds

Das Recht der EU-Mitgliedstaaten gilt für die Erhebung der personenbezogenen Daten und für ihre Verarbeitung vor der Übermittlung in die USA. Die Grundsätze des Datenschutzschilds gelten, nachdem die Daten in die USA übermittelt worden sind. Daten, die für die pharmazeutische Forschung oder sonstige Zwecke benutzt werden, sollten gegebenenfalls anonymisiert werden.

b.   Künftige Forschungsarbeiten

c.   Rückzug aus einem klinischen Versuch

Ein Teilnehmer kann sich jederzeit aus einem klinischen Versuch zurückziehen oder dazu aufgefordert werden. Personenbezogene Daten, die vor seinem Rückzug erhoben wurden, können jedoch weiterhin verarbeitet werden wie die übrigen im Rahmen des Versuchs erhobenen Daten, wenn er darauf hingewiesen wurde, als er seine Bereitschaft zur Teilnahme erklärte.

d.   Übermittlung von Daten an Aufsichtsbehörden zur Überprüfung

Hersteller von Arzneimitteln und Medizinprodukten dürfen in klinischen Versuchen in der EU gewonnene personenbezogene Daten zur Überprüfung an Aufsichtsbehörden in den USA übermitteln. Unter Beachtung der Grundsätze der Informationspflicht und der Wahlmöglichkeit dürfen sie die Daten auch an andere Stellen wie Organisationen und Wissenschaftler übermitteln.

e.   Blindversuche

f.   Überwachung der Sicherheit und Wirksamkeit von Produkten

Wenn ein Hersteller von Arzneimitteln oder Medizinprodukten Maßnahmen zur Überwachung der Sicherheit und Wirksamkeit seiner Produkte trifft und u. a. über Zwischenfälle berichtet und laufend Daten über Patienten/Versuchspersonen erhebt, die bestimmte Arzneimittel oder Medizinprodukte nutzen, muss er die im Datenschutzschild verankerten Grundsätze der Informationspflicht, der Wahlmöglichkeit, der Weiterübermittlung und des Auskunftsrechts nicht beachten, soweit die Grundsätze mit gesetzlichen Pflichten kollidieren. Das gilt sowohl für Berichte von Dienstleistern des Gesundheitswesens an Arzneimittel- und Medizinprodukthersteller als auch für Berichte von Arzneimittel- und Medizinproduktherstellern an Behörden wie die amerikanische Food and Drug Administration.

g.   Verschlüsselte Daten

Forschungsdaten werden stets an der Quelle verschlüsselt, damit aus ihnen nicht die Identität einzelner Personen zu ersehen ist. Den Pharmaorganisationen, also den Projektträgern, wird der Schlüssel nicht ausgehändigt, er verbleibt beim Forscher, so dass er unter bestimmten Umständen (z. B. wenn eine nachträgliche Überwachung notwendig ist) einzelne Versuchspersonen identifizieren kann. Die Übermittlung derart verschlüsselter Daten von der EU in die USA ist nicht als Übermittlung personenbezogener Daten anzusehen, die den Grundsätzen des Datenschutzschilds unterliegt.

15.   Daten aus öffentlichen Registern und öffentlich zugängliche Daten

16.   Anträge von Behörden auf Datenzugriff

(1)  Unter der Voraussetzung, dass der Beschluss über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes für Island, Liechtenstein und Norwegen gilt, wird die Materialsammlung zum Datenschutzschild sowohl die Europäische Union als auch diese drei Länder abdecken. Demzufolge sind bei Bezugnahmen auf die EU und ihre Mitgliedstaaten auch Island, Liechtenstein und Norwegen eingeschlossen.

(2)  Je nach Sachlage kommt als zulässiger Zweck für die Verarbeitung beispielsweise Folgendes in Frage: Pflege von Kundenbeziehungen, Compliance-Erwägungen und rechtliche Erwägungen, Wirtschaftsprüfung, Sicherheit und Betrugsprävention, Erhaltung oder Wahrung der Rechte der Organisation oder andere Zwecke, die nach vernünftigem Ermessen den Erwartungen im Zusammenhang mit der Erhebung entsprechen.

(3)  In diesem Zusammenhang gilt eine Person als „identifizierbar“, wenn sie in Anbetracht der mit hinreichender Wahrscheinlichkeit genutzten Mittel der Identifizierung (z. B. unter Berücksichtigung des Kosten- und Zeitaufwands für die Identifizierung und der zum Zeitpunkt der Verarbeitung verfügbaren Technik) und der Aufbewahrungsform der Daten nach vernünftigem Ermessen von der Organisation oder von einem Dritten mit Zugriff auf die Daten identifiziert werden kann.

(4)  Die Organisation sollte Anfragen von Privatpersonen zum Zweck der Verarbeitung, zu den Datenkategorien, die verarbeitet werden, sowie zu den Empfängern oder Kategorien der Empfänger der personenbezogenen Daten beantworten.

(5)  Abschnitt I.5 der Grundsätze.

(6)  Beschwerdestellen können Sanktionen nach eigenem Ermessen verhängen. Die Sensibilität der Daten ist ein maßgebendes Kriterium, wenn zu entscheiden ist, ob Daten zu löschen sind oder ob eine Organisation mit der Erhebung, Nutzung oder Weitergabe von Daten die Grundsätze des Datenschutzschilds in eklatanter Weise verletzt hat.

ANHANG III

7. Juli 2016

Sehr geehrte Frau Jourová,

es freut mich sehr, dass wir eine Einigung zum Datenschutzschild zwischen der Europäischen Union und den USA erzielen konnten, die auch eine Ombudsstelle beinhaltet, bei der EU-Behörden Auskunftsbegehren von EU-Bürgern im Zusammenhang mit signalerfassender Aufklärung in den USA einreichen können.

Präsident Barack Obama hat am 17. Januar 2014 in der Presidential Policy Directive 28 (PPD-28) eine grundlegende Reform der Nachrichtendienste angekündigt. Im Rahmen der PPD-28 habe ich Under-Secretary Catherine A. Novelli, die ebenfalls das Amt eines Senior Coordinator für internationale Diplomatie im Bereich der Informationstechnologie bekleidet, zur Ansprechpartnerin für ausländische Regierungen benannt, die Bedenken im Zusammenhang mit der US-Signalaufklärung vorbringen. Ausgehend von dieser Funktion habe ich in Übereinstimmung mit den in Anlage A festgelegten Bestimmungen, die seit meinem Schreiben vom 22. Februar 2016 aktualisiert wurden, eine Ombudsstelle des Datenschutzschilds ins Leben gerufen. Dieses Amt wird von Under-Secretary Novelli bekleidet, die unabhängig von den Nachrichtendiensten in den USA arbeitet und mir direkt unterstellt ist.

Meine Mitarbeiter sind angewiesen, die erforderlichen Ressourcen für die Einrichtung dieser neuen Ombudsstelle einzusetzen, und ich bin überzeugt, dass wir den Bedenken der EU-Bürger auf diese Weise wirksam begegnen können.

ANHANG IV

7. Juli 2016

PER E-MAIL

Sehr geehrte Frau Jourová:

Die Federal Trade Commission der Vereinigten Staaten („FTC“) nimmt gern diese Gelegenheit wahr, um darzulegen, wie sie die neue EU-US-Datenschutzschild-Regelung (die „Datenschutzschild-Regelung“ oder „Regelung“) durchzusetzen gedenkt. Nach unserer Auffassung wird die Regelung maßgeblich dazu beitragen, den datenschutzfreundlichen Geschäftsverkehr in einer zunehmend vernetzten Welt zu erleichtern. Sie wird Unternehmen in die Lage versetzen, in der globalen Wirtschaft wichtige Transaktionen durchzuführen, und zugleich sicherstellen, dass die Verbraucher in der EU ein hohes Maß an Datenschutz genießen.Die FTC bekennt sich schon seit Langem zum grenzüberschreitenden Datenschutz und wird der Durchsetzung der neuen Regelung eine hohe Priorität einräumen. Im Folgenden geben wir einen allgemeinen Überblick über die bisherigen Bemühungen der FTC um die konsequente Handhabung des Datenschutzes, namentlich der ursprünglich geltenden SAFE-Harbor-Regelung, und über die Vorstellungen der FTC zur Durchsetzung der neuen Regelung.

Zum ersten Mal verpflichtete sich die FTC im Jahr 2000 öffentlich dazu, die SAFE-Harbor-Regelung durchzusetzen. Der damalige FTC-Vorsitzende Robert Pitofsky sandte der Europäischen Kommission ein Schreiben, in dem er die Entschlossenheit der FTC unterstrich, den SAFE-Harbor-Datenschutzgrundsätzen mit Nachdruck Geltung zu verschaffen. Wie fast 40 Durchsetzungsmaßnahmen, zahlreiche zusätzliche Ermittlungen und die Zusammenarbeit mit einzelnen europäischen Datenschutzbehörden zu Fragen von gegenseitigem Interesse deutlich machen, hat die FTC ihre Zusage eingehalten.

Nachdem die Europäische Kommission im November 2013 Bedenken zur Verwaltung und Durchsetzung des SAFE-Harbor-Programms anmeldete, leiteten wir und das US-Handelsministerium Konsultationen mit Vertretern der Europäischen Kommission ein, um Möglichkeiten zur Stärkung des Programms zu erkunden. Während die Konsultationen noch im Gange waren, verkündete der Europäische Gerichtshof am 6. Oktober 2015 ein Urteil in der Rechtssache Schrems, das unter anderem die Entscheidung der Europäischen Kommission über die Angemessenheit des SAFE-Harbor-Programms für ungültig erklärte. Danach arbeiteten wir weiter eng mit dem Handelsministerium und der Europäischen Kommission zusammen, um den Datenschutz für Einzelpersonen in der EU effektiver zu gestalten. Die Datenschutzschild-Regelung ist ein Ergebnis dieser weiter andauernden Konsultationen. Wie beim SAFE-Harbor-Programm verpflichtet sich die FTC hiermit zur konsequenten Durchsetzung der neuen Regelung. Dieses Schreiben soll diese Verpflichtung dokumentieren.

Im Mittelpunkt unseres Engagements stehen vier Kernbereiche: (1) die vorrangige Behandlung von überwiesenen Fällen und Ermittlungen; (2) die Unterbindung falscher oder irreführender Angaben zur Mitgliedschaft im Datenschutzschild; (3) die Kontrolle der Befolgung von Verfügungen; und (4) verstärkte Kontakte zu Datenschutzbehörden der EU und engere Zusammenarbeit mit ihnen bei der Durchsetzung. Nachstehend machen wir zu jedem dieser Punkte detaillierte Angaben und geben Hintergrundinformationen zu dem Beitrag, den die FTC bisher zum Schutz von Verbraucherdaten und zur Durchsetzung des SAFE-Harbor-Programms leistete, sowie zur Gesamtsituation des Datenschutzes in den Vereinigten Staaten (1).

I.   HINTERGRUND

A.   Durchsetzung des Datenschutzrechts durch die FTC und konzeptionelle Fragen

Die FTC genießt umfassende zivilrechtliche Befugnisse zur Förderung des Verbraucherschutzes und des Wettbewerbs im Wirtschaftsleben. Im Rahmen ihres Auftrags zum Verbraucherschutz verschafft sie einem breiten Spektrum von Rechtsvorschriften Geltung und sorgt damit für den Schutz und die Sicherheit von Verbraucherdaten. Das wichtigste von ihr durchzusetzende Gesetz, der FTC Act, untersagt „unlautere“ und „irreführende“ Handlungen oder Praktiken, die den Geschäftsverkehr betreffen oder sich darauf auswirken (2). Eine Darstellung, Unterlassung oder Praxis ist irreführend, wenn sie rechtserheblich und geeignet ist, Verbraucher zu täuschen, die sich unter den gegebenen Umständen angemessen verhalten (3). Eine Handlung oder Praxis ist unlauter, wenn sie tatsächlich oder vermutlich einen erheblichen Schaden bewirkt, der von Verbrauchern unter normalen Umständen nicht zu vermeiden ist oder nicht durch ausgleichende Vorteile für die Verbraucher oder den Wettbewerb aufgewogen wird (4). Die FTC setzt auch Gesetze durch, die gezielt dem Schutz von Informationen über die Gesundheit, Kredite und andere finanzielle Daten dienen, sowie dem Schutz von Online-Informationen zu Kindern. Zu jedem dieser Gesetze hat sie Durchführungsverordnungen erlassen.

Nach dem FTC Act ist die FTC für Sachen zuständig, die „den Geschäftsverkehr betreffen oder sich darauf auswirken“. Sie ist nicht befugt, strafrechtliche Maßnahmen zu ergreifen oder in Fragen der nationalen Sicherheit zu entscheiden. Auch liegen die meisten anderen hoheitlichen Maßnahmen außerhalb ihres Zuständigkeitsbereichs. Hinzu kommen Einschränkungen ihrer Kompetenzen im wirtschaftlichen Bereich, die den Bankensektor, den Luftverkehr, das Versicherungsgewerbe und die Betreiber öffentlicher Telekommunikationsnetze betreffen. Auch ist die FTC nicht zuständig für die meisten gemeinnützigen Organisationen, wohl aber für nur scheinbar karitative oder gemeinnützige Einrichtungen, die in Wirklichkeit gewinnorientiert sind. In ihren Aufgabenbereich fallen auch gemeinnützige Organisationen, die zugunsten gewinnorientierter Mitglieder kommerzielle Zwecke verfolgen, indem sie ihnen beispielsweise erhebliche wirtschaftliche Vorteile verschaffen (5). In manchen Fällen überschneiden sich die Kompetenzen der FTC mit denen anderer Strafverfolgungsbehörden.

Wir haben stabile Arbeitsbeziehungen zu Behörden des Bundes und der Einzelstaaten aufgebaut und arbeiten mit ihnen eng zusammen, um die Ermittlungen zu koordinieren oder gegebenenfalls Fälle an eine andere Stelle zu verweisen.

Die Durchsetzung ist der Dreh- und Angelpunkt des Datenschutzkonzepts der FTC. Die FTC ist bisher in über 500 Fällen Verstößen gegen den Schutz und die Sicherheit von Verbraucherdaten nachgegangen. Dabei geht es sowohl um Offline- als auch um Online-Daten und um Durchsetzungsmaßnahmen gegen große wie kleine Unternehmen, denen vorgeworfen wurde, dass sie nicht richtig mit sensiblen Verbraucherdaten umgingen, personenbezogene Daten von Verbrauchern nicht schützten, das Verhalten von Verbrauchern unter Vorspiegelung falscher Tatsachen online verfolgten, unerbetene Werbung an Verbraucher versendeten, Spyware oder andere Schadsoftware auf den PCs von Verbrauchern installierten, gegen das Anrufverbot und andere Regeln des Telemarketing verstießen und missbräuchlich Verbraucherdaten zu Mobilgeräten erfassten und weitergaben. Die Durchsetzungsmaßnahmen der FTC betrafen sowohl realwirtschaftliche als auch digitale Vorgänge und waren eine klare Ansage an die Unternehmen, dass sie die Privatsphäre von Verbrauchern zu respektieren haben.

Die FTC hat auch zahlreiche politische Initiativen zur wirksameren Gestaltung des Verbraucherschutzes verfolgt, die das Ziel all seiner Durchsetzungsmaßnahmen ist. Sie hat Workshops veranstaltet und Berichte mit Empfehlungen zu bewährten Verfahren herausgegeben, die auf folgende Ziele gerichtet sind: besserer Schutz der Privatsphäre im Mobile-Ökosystem; größere Transparenz in der Datenmaklerbranche; Ausschöpfung des Potenzials von Big Data bei gleichzeitiger Minderung der Risiken, insbesondere für Geringverdiener und unterversorgte Verbraucher; und Verdeutlichung der datenschutzrechtlichen und sicherheitstechnischen Probleme, die sich aus der Gesichtserkennung, dem „Internet der Dinge“ und anderen Entwicklungen ergeben.

Die FTC bemüht sich auch um die Aufklärung von Verbrauchern und Unternehmen, damit ihre Initiativen zur Durchsetzung der Regeln und zur Politikgestaltung stärker zum Tragen kommen. Sie nutzte ein breites Instrumentarium — Veröffentlichungen, Online-Ressourcen, Workshops und soziale Medien —, um Informationsmaterial zu einem breiten Spektrum von Themen, darunter mobile Apps, Schutz der Privatsphäre von Kindern und Datensicherheit, zur Verfügung zu stellen. Unlängst brachte die Kommission ihre Initiative „Start With Security“ mit neuen Leitlinien für Unternehmen auf den Weg, die auf den Erfahrungen mit Datenschutzfällen der Behörde sowie einer Reihe von Workshops in verschiedenen Teilen des Landes aufbauen. Überdies spielt die FTC seit Langem eine führende Rolle bei der Aufklärung der Verbraucher über Grundfragen der Computersicherheit. Im letzten Jahr verzeichneten unsere Website OnGuard Online und ihr spanischsprachiges Pendant Alerta en Línea über fünf Millionen Aufrufe.

B.   US-Rechtsschutz kommt EU-Verbrauchern zugute

Die Regelung ist im Gesamtzusammenhang des US-Datenschutzes zu sehen, der EU-Verbraucher auf verschiedene Weise schützt.

Das im FTC Act verankerte Verbot unlauterer oder irreführender Handlungen oder Praktiken ist nicht darauf beschränkt, US-Verbraucher vor US-Unternehmen zu schützen, da es Praktiken einschließt, die (1) tatsächlich oder wahrscheinlich einen nach vernünftigem Ermessen vorhersehbaren Schaden in den Vereinigten Staaten bewirken oder (2) entscheidungserhebliches Verhalten in den Vereinigten Staaten dabei eine Rolle spielt. Zudem kann die FTC beim Schutz ausländischer Verbraucher alle Rechtsbehelfe in Anspruch nehmen, darunter eine Wiederherstellungsklage, die zum Schutz inländischer Verbraucher zur Verfügung stehen.

Die Durchsetzungsmaßnahmen der FTC zahlen sich sowohl für amerikanische als auch für ausländische Verbraucher deutlich aus. Beispielsweise galten die Klagen zur Durchsetzung von § 5 des FTC Act dem Schutz der Privatsphäre sowohl amerikanischer als auch ausländischer Verbraucher. In einem Fall, der den Informationsbroker Accusearch betraf, vertrat die FTC den Standpunkt, dass der Verkauf vertraulicher Telefondaten an Dritte ohne Wissen oder Zustimmung des Verbrauchers unlauteres Handeln darstellte und gegen § 5 des FTC verstieß. Accusearch verkaufte Daten, die sowohl US-Bürger als auch ausländische Verbraucher betrafen (6). Das Gericht erließ eine einstweilige Verfügung, die Accusearch unter anderem die Vermarktung oder den Verkauf personenbezogener Daten von Verbrauchern ohne schriftliche Einwilligung untersagte, sofern sie nicht rechtmäßig aus öffentlich zugänglichen Informationen beschafft wurden, und verhängte eine Geldbuße von fast 200 000 USD (7).

Ein weiteres Beispiel ist der Vergleich, den die FTC mit TRUSTe geschlossen hat. Er stellt sicher, dass sich Verbraucher — auch in der Europäischen Union — auf Erklärungen verlassen können, die eine zur Selbstkontrolle verpflichtete globale Organisation zur Überprüfung und Zertifizierung von inländischen und ausländischen Online-Diensten abgibt (8). Hervorzuheben ist dabei, dass unser Vorgehen gegen TRUSTe auch das Selbstkontrollsystem im Bereich des Datenschutzes insgesamt stärkt, denn es gewährleistet die Rechenschaftspflicht von Einrichtungen, die in Systemen der freiwilligen Selbstkontrolle eine wichtige Rolle spielen, wozu auch grenzüberschreitende Datenschutzregelungen gehören.

Die FTC setzt darüber hinaus weitere zielgerichtete Rechtsvorschriften durch, deren Schutzwirkung sich auch auf Nicht-US-Verbraucher erstreckt, beispielsweise den Children's Online Privacy Protection Act („COPPA“). Dieses Gesetz schreibt vor, dass Betreiber von Websites und Online-Diensten, die für Kinder bestimmt sind, sowie von allgemeinen Websites, die wissentlich personenbezogene Daten von Kinder unter 13 Jahren erfassen, die Eltern davon in Kenntnis setzen und deren nachprüfbare Zustimmung einholen müssen. In den USA beheimatete Websites und Dienste, die dem COPPA unterliegen und personenbezogene Daten ausländischer Kinder erfassen, müssen das Gesetz einhalten. Es gilt auch für ausländische Websites und Online-Dienste, wenn sie für Kinder in den Vereinigten Staaten bestimmt sind oder wenn wissentlich personenbezogene Daten von Kindern in den USA erfasst werden. Neben den von der FTC durchgesetzten Bundesgesetzen können sich noch weitere Verbraucherschutz- und Datenschutzregelungen des Bundes und der Einzelstaaten als vorteilhaft für EU-Verbraucher erweisen.

C.   Durchsetzung der SAFE-Harbor-Regelung

Im Rahmen ihres Programms zur Durchsetzung des Datenschutzes und der Datensicherheit bemühte sich die FTC zudem um den Schutz der EU-Verbraucher, indem sie bei Verstößen gegen die SAFE-Harbor-Regelung Durchsetzungsmaßnahmen einleitete. Die FTC hat im Rahmen von SAFE Harbor 39 Durchsetzungsmaßnahmen eingeleitet: In 36 Fällen ging es um falsche Angaben zur Zertifizierung und in drei Fällen — Google, Facebook und Myspace — um mutmaßliche Verstöße gegen Datenschutzgrundsätze von SAFE Harbor (9). Diese Verfahren belegen, dass korrekte Angaben zur Zertifizierung durchgesetzt werden können und welche Folgen Verstöße nach sich ziehen. Mit Zustimmung der Gegenseite erlassene „Consent orders“ mit einer Geltungsdauer von zwanzig Jahren verpflichten Google, Facebook und Myspace dazu, umfassende Datenschutzprogramme zu erstellen, die nach menschlichem Ermessen so konzipiert sind, dass sie Datenschutzrisiken abdecken, die sich aus der Entwicklung bzw. Verwaltung neuer und bestehender Produkte und Dienstleistungen ergeben, und die Privatsphäre und die Vertraulichkeit personenbezogener Daten schützen. Die aufgrund dieser Verfügungen erstellten umfassenden Datenschutzprogramme müssen wesentliche vorhersehbare Risiken benennen und Kontrollen zur Ausräumung dieser Risiken vorsehen. Zudem müssen sich die Unternehmen kontinuierlichen unabhängigen Einschätzungen ihrer Datenschutzprogramme unterziehen, die der FTC vorzulegen sind. In den Verfügungen wird diesen Unternehmen auch untersagt, falsche Angaben zu ihrer Datenschutzpraxis und zur Beteiligung an einem Datenschutz- oder Sicherheitsprogramm zu machen. Dieses Verbot würde auch für die Handlungen und Praktiken von Unternehmen im Rahmen der neuen Datenschutzschild-Regelung gelten. Die FTC kann diese Verfügungen durch zivilrechtliche Klagen durchsetzen. So hat Google 2012 ein Bußgeld in Rekordhöhe, nämlich 22,5 Mio. USD, gezahlt, weil ihm Verstöße gegen die Verfügung vorgeworfen wurden. Die Maßnahmen der FTC tragen also zum Schutz von über einer Milliarde Verbraucher in der Welt bei, von denen Hunderte von Millionen in Europa beheimatet sind.

Einen weiteren Schwerpunkt der FTC bildeten falsche oder irreführende Behauptungen über eine Beteiligung an der SAFE-Harbor-Regelung. Die FTC nimmt derartige falsche Angaben sehr ernst. Beispielsweise erhob die FTC 2011 in der Rechtssache FTC/Karnani Klage gegen einen Internet-Anbieter in den Vereinigten Staaten, dem vorgeworfen wurde, dass er und sein Unternehmen britischen Verbrauchern vortäuschte, der Sitz der Firma befände sich im Vereinigten Königreich, indem er unter anderem Webadressen mit der Endung.uk verwendete und auf die britische Währung und das britische Postsystem Bezug nahm (10). Als aber die Ware eintraf, stellten die Käufer fest, dass darauf wider Erwarten Einfuhrzölle erhoben wurden, die Garantiezusagen im Vereinigten Königreich nichts galten und Kosten für die Erstattung der Zollgebühren anfielen. Die FTC machte zudem geltend, dass die Beklagten die Verbraucher über ihre Beteiligung am SAFE-Harbor-Programm getäuscht hatten. Im Übrigen waren alle Opfer des Betrugs Briten.

Bei vielen anderen Verfahren zur Durchsetzung der SAFE-Harbor-Regelung ging es um Organisationen, die dem Programm beitraten, ohne ihre Zertifizierung jährlich zu erneuern, sich aber weiterhin als aktuelle Mitglieder ausgaben. Wie weiter unten dargelegt, verpflichtet sich die FTC auch dazu, gegen falsche Angaben über die Beteiligung an der Datenschutzschild-Regelung vorzugehen. Diese strategischen Durchsetzungsmaßnahmen ergänzen die verstärkten Bemühungen des Handelsministeriums, die Einhaltung der Anforderungen an die Zertifizierung und Rezertifizierung zu überprüfen, die tatsächliche Einhaltung zu überwachen, unter anderem durch Fragebogenaktionen bei den Teilnehmern, und falsche Angaben zur Mitgliedschaft im Datenschutzschild und Fälle des Missbrauchs von Zertifizierungsmarken aufzudecken (11).

II.   DIE VORRANGIGE BEHANDLUNG VON ÜBERWIESENEN FÄLLEN UND ERMITTLUNGEN

Wie schon beim SAFE-Harbor-Programm verpflichtet sich die FTC, die ihr von EU-Mitgliedstaaten im Rahmen des Datenschutzschilds zugeleiteten Fälle vorrangig zu behandeln. Priorität haben auch Fälle, die Verstöße gegen die für den Datenschutzschild geltenden Leitlinien der freiwilligen Selbstkontrolle betreffen und mit denen wir von Einrichtungen der Selbstkontrolle und anderen unabhängigen Beschwerdestellen befasst werden.

Um im Rahmen der Regelung die Zuleitung von Fällen aus den EU-Mitgliedstaaten zu erleichtern, richtet die FTC ein standardisiertes Verweisungsverfahren ein und gibt den EU-Mitgliedstaaten eine Anleitung dazu, welche Art von Informationen für die FTC bei den Ermittlungen zu einem ihr zugeleiteten Fall besonders hilfreich ist. Zu diesem Zweck benennt die FTC innerhalb der Behörde eine Kontaktstelle für aus den EU-Mitgliedstaaten weitergeleitete Fälle. Es ist zweifellos von Vorteil, wenn die vorlegende Behörde bereits eine Voruntersuchung des mutmaßlichen Verstoßes eingeleitet hat und bei den Ermittlungen mit der FTC zusammenarbeiten kann.

Wenn ein EU-Mitgliedstaat oder eine der Selbstkontrolle unterliegende Organisation die FTC mit einer Sache befasst, kann diese eine Reihe von Maßnahmen ergreifen, um die aufgeworfenen Fragen zu klären. Beispielsweise können wir die Datenschutzpolitik des Unternehmens überprüfen; zusätzliche Informationen direkt beim Unternehmen oder bei Dritten einholen; die vorlegende Stelle dazu befragen; untersuchen, ob die Verstöße systematisch erfolgen oder eine größere Anzahl von Verbrauchern betreffen; in Erfahrung bringen, ob der uns zugeleitete Fall Fragen berührt, die in den Zuständigkeitsbereich des Handelsministeriums fallen; prüfen, ob Aufklärungsmaßnahmen für Verbraucher und Unternehmen hilfreich wären; und gegebenenfalls ein Verfahren einleiten.

Die FTC verpflichtet sich auch dazu, mit den vorlegenden Durchsetzungsinstanzen Informationen über die ihr zugeleiteten Sachen auszutauschen, unter anderem zu deren Status im Hinblick auf Geheimhaltungsvorschriften und Einschränkungen. In dem Maße, wie es Anzahl und Art der überwiesenen Fälle erlauben, enthalten die Informationen eine Beurteilung der Fälle, einschließlich einer Beschreibung der aufgeworfenen Kernfragen und der Maßnahmen, die gegen Verstöße im Zuständigkeitsbereich der FTC ergriffen wurden. Die FTC unterrichtet die vorlegende Behörde auch über die Art der ihr zugeleiteten Fälle, um die Wirksamkeit der Bemühungen um die Ahndung gesetzwidrigen Verhaltens zu erhöhen. Wenn eine vorlegende Durchsetzungsinstanz um Informationen zum Status eines bestimmten Falles ersucht, um eigene Durchsetzungsmaßnahmen zu verfolgen, wird die FTC diesem Wunsch nachkommen, wobei sie die Anzahl der jeweils zu prüfenden Sachen ebenso berücksichtigt wie Geheimhaltungsvorschriften sowie andere rechtliche Vorgaben.

Die FTC wird auch eng mit den Datenschutzbehörden der EU zusammenarbeiten, um die Durchsetzung der Regelung zu unterstützen. In bestimmten Fällen könnten ein Informationsaustausch und Amtshilfe bei Ermittlungen gemäß U.S. SAFE WEB Act dazugehören, denn dieses Gesetz gestattet der FTC, ausländischen Strafverfolgungsbehörden Amtshilfe zu leisten, wenn die betreffende ausländische Behörde Vorschriften zur Unterbindung von Praktiken durchsetzt, die im Wesentlichen denen entsprechen, die auch nach den von der FTC durchgesetzten Vorschriften strafbar sind (12). Im Rahmen dieser Amtshilfe kann die FTC Informationen weitergeben, die sie im Zusammenhang mit eigenen Ermittlungen erlangt hat, Zwangsmaßnahmen zur Beweissicherung im Auftrag von Datenschutzbehörden der EU anordnen, die eigene Ermittlungen durchführen, und Zeugen oder Beschuldigte im Zusammenhang mit Durchsetzungsmaßnahmen der Datenschutzbehörden anhören, wobei die Bestimmungen des U.S. SAFE WEB Act einzuhalten sind. Die FTC macht regelmäßig von diesem Recht Gebrauch, um anderen Behörden weltweit bei Daten- und Verbraucherschutzsachen zur Seite zu stehen (13).

Die FTC räumt nicht nur im Rahmen des Datenschutzschilds den Fällen, die ihr von EU-Mitgliedstaaten und der Selbstkontrolle unterliegenden Organisationen zugeleitet werden, Priorität ein (14), sondern verpflichtet sich auch dazu, mögliche Verstöße gegen die Regelung gegebenenfalls aus eigener Initiative zu untersuchen und dazu verschiedene Instrumente einzusetzen.

Seit gut einem Jahrzehnt verfolgt die FTC ein tragfähiges Programm zur Untersuchung von Datenschutz- und Sicherheitsproblemen, die in Unternehmen auftreten. Im Rahmen dieser Ermittlungen prüfte die FTC routinemäßig, ob sich die Unternehmen öffentlich zu den SAFE-Harbor-Grundsätzen bekannten. Wenn dies der Fall war, die Ermittlungen aber offensichtliche Verstöße gegen diese Grundsätze erkennen ließen, berücksichtigte die FTC das mutmaßliche Fehlverhalten bei ihren Durchsetzungsmaßnahmen. Wir werden bei der neuen Regelung an diesem offensiven Vorgehen festhalten. Anzumerken ist, dass die Zahl der Untersuchungen, die von der FTC eingeleitet werden, wesentlich höher ist als die Zahl der Untersuchungen, die letztendlich zu öffentlichen Durchsetzungsmaßnahmen führen. Vielfach werden Ermittlungen der FTC eingestellt, weil keine offensichtlichen Rechtsverstöße erkennbar sind. Da die Untersuchungen vertraulich und nicht öffentlich zugänglich sind, wird häufig auch die Einstellung nicht publik gemacht.

Die fast 40 Durchsetzungsmaßnahmen, die von der FTC im Zusammenhang mit dem SAFE-Harbor-Programm ergriffen wurden, belegen den Einsatz der Behörde für eine offensive Durchsetzung grenzüberschreitender Datenschutzregelungen. Die FTC wird bei ihren regelmäßigen Untersuchungen im Bereich des Datenschutzes und der Sicherheit auf mögliche Verstöße gegen die neue Regelung achten.

III.   UNTERBINDUNG FALSCHER ODER IRREFÜHRENDER ANGABEN ZUR MITGLIEDSCHAFT IM DATENSCHUTZSCHILD

Wie bereits ausgeführt, wird die FTC gegen Unternehmen vorgehen, die falsche Angaben zu ihrer Beteiligung an der Regelung machen. Priorität erhalten dabei die Fälle, die ihr vom Handelsministerium zugeleitet werden und Organisationen betreffen, die wahrheitswidrig behaupten, aktuelle Mitglieder der Regelung zu sein, oder unbefugt Zertifizierungsmarken der Regelung verwenden.

Wenn im Übrigen eine Organisation in ihren Datenschutzbestimmungen zusichert, dass sie sich an die Grundsätze des Datenschutzschilds hält, reicht die bloße Tatsache, dass sie sich beim Handelsministerium nicht registrieren lässt oder ihre Registrierung nicht verlängert, nicht aus, um sich der Durchsetzung dieser Zusicherungen durch die FTC zu entziehen.

IV.   KONTROLLE DER BEFOLGUNG VON VERFÜGUNGEN

Die FTC bekräftigt zudem die von ihr eingegangene Verpflichtung, die Befolgung von Verfügungen zu überwachen, um die Einhaltung der Datenschutzschild-Regelung zu gewährleisten.

Wir werden bei künftigen die Regelung betreffenden FTC-Verfügungen durch eine Vielzahl geeigneter vorläufiger Anordnungen auf die Einhaltung der Grundsätze hinwirken. Dazu gehört die Untersagung von falschen Angaben zur neuen Regelung oder anderen Datenschutzprogrammen, wenn diese die Grundlage für das Vorgehen der FTC bilden.

Die bisherigen Verfahren der FTC zur Durchsetzung des SAFE-Harbor-Programms sind sehr aufschlussreich. In den 36 Fällen, die falsche oder irreführende Angaben zur SAFE-Habor-Zertifizierung betrafen, untersagt die jeweilige Verfügung den Beklagten, falsche Angaben zur Beteiligung an SAFE Harbor oder anderen Datenschutz- bzw. Sicherheitsprogrammen zu machen, und verpflichtet das Unternehmen dazu, der FTC Compliance-Berichte vorzulegen. Wenn es in den Verfahren um Verstöße gegen die Datenschutzgrundsätze von SAFE Harbor ging, wurde es den Unternehmen zur Auflage gemacht, umfassende Datenschutzprogramme einzurichten und zwanzig Jahre lang alle zwei Jahre für unabhängige externe Einschätzungen dieser Programme zu sorgen, die der FTC vorzulegen sind.

Die Nichtbefolgung von Verfügungen der FTC kann zur Folge haben, dass je Verstoß ein Bußgeld von bis zu 16 000 USD und bei anhaltenden Verstößen von 16 000 USD je Tag verhängt wird (15). Wenn sich die Praktiken auf zahlreiche Verbraucher auswirken, kann sich die Summe schnell auf Millionen von Dollar belaufen. Jeder „Consent order“ ist auch mit Berichts- und Einhaltungspflichten verbunden. Die betroffenen Unternehmen müssen über einen festgelegten Zeitraum die Belege für regelkonformes Verhalten aufbewahren. Auch sind sie gehalten, die Verfügungen an die Mitarbeiter weiterzuleiten, die für die Befolgung zuständig sind.

Wie bei all ihren Verfügungen kontrolliert die FTC auch bei SAFE Harbor systematisch die Einhaltung der Auflagen. Sie nimmt die Durchsetzung ihrer Verfügungen in den Bereichen Datenschutz und -sicherheit sehr ernst und leitet erforderlichenfalls dazu juristische Schritte ein. Wie schon erwähnt, zahlte Google aufgrund der Anschuldigung, es habe gegen eine FTC-Verfügung verstoßen, ein Bußgeld von 22,5 Mio. USD. Die Verfügungen der FTC werden auch künftig alle Verbraucher weltweit schützen, die Kunden eines Unternehmens sind, und nicht nur jene unter ihnen, die Beschwerden eingereicht haben.

Abschließend dazu sei betont, dass die FTC weiterhin eine Online-Liste von Unternehmen führen wird, die Auflagen im Zusammenhang mit der Durchsetzung des SAFE-Harbor-Programms und der neuen Datenschutzschild-Regelung unterliegen (16). Überdies sind nach den Grundsätzen des Datenschutzschilds alle Unternehmen, die aufgrund von Verstößen gegen die Grundsätze Auflagen der FTC oder eines Gerichts erfüllen müssen, jetzt dazu verpflichtet, sämtliche die Regelung betreffenden Abschnitte eines der FTC vorgelegten Compliance- oder Prüfberichts publik zu machen, soweit die Geheimhaltungsvorschriften und -regeln dies gestatten.

V.   VERSTÄRKTE KONTAKTE ZU DATENSCHUTZBEHÖRDEN DER EU UND ENGERE ZUSAMMENARBEIT MIT IHNEN BEI DER DURCHSETZUNG

Die FTC erkennt die wichtige Rolle an, die Datenschutzbehörden der EU bei der Einhaltung der Regelung spielen, und befürwortet verstärkte Konsultationen und eine engere Zusammenarbeit bei der Durchsetzung. Über Rücksprachen mit vorlegenden Datenschutzbehörden zu fallspezifischen Fragen hinaus verpflichtet sich die FTC, an regelmäßigen Zusammenkünften mit dazu benannten Vertretern der Artikel-29-Datenschutzgruppe teilzunehmen, um in allgemeiner Form darüber zu diskutieren, wie sich die Zusammenarbeit bei der Durchsetzung der Regelung verbessern lässt. Die FTC wird sich zudem gemeinsam mit dem Handelsministerium, der Europäischen Kommission und Vertretern der Artikel-20-Datenschutzgruppe an der jährlichen Überprüfung der Regelung beteiligen, um die praktische Umsetzung zu erörtern.

Die FTC wirkt auch auf die Entwicklung von Instrumenten hin, die eine verstärkte Zusammenarbeit mit Datenschutzbehörden der EU sowie ähnlichen Einrichtungen in der ganzen Welt bei Durchsetzungsmaßnahmen ermöglichen. Vor allem hat die FTC zusammen mit Partnern in der Europäischen Union und der übrigen Welt im letzten Jahr ein Warnsystem innerhalb des Global Privacy Enforcement Network („GPEN“) ins Leben gerufen, um Informationen über Ermittlungen auszutauschen und die Koordinierung der Durchsetzungsmaßnahmen zu fördern. Dieses als „GPEN Alert“ bezeichnete Instrument könnte sich bei der Datenschutzschild-Regelung als besonders nützlich erweisen. Die FTC und die Datenschutzbehörden der EU könnten es für diesbezügliche und andere datenschutzrechtliche Ermittlungen nutzen, auch als Ausgangspunkt für den Informationsaustausch, um für einen besser koordinierten und effektiveren Verbraucherschutz zu sorgen. Wir sehen erwartungsvoll der weiteren Zusammenarbeit mit den beteiligten EU-Behörden entgegen, damit wir das GPEN-Alert-System auf noch breiterer Grundlage einsetzen und weitere Instrumente entwickeln können, die zur Verbesserung der Zusammenarbeit bei der Durchsetzung des Datenschutzes, auch im Rahmen der neuen Regelung, beitragen.

Die FTC bekennt sich hiermit zu ihrer Verpflichtung, der neuen Datenschutzschild-Regelung zum Erfolg zu verhelfen. Wir freuen uns darauf, weiterhin im Zusammenwirken mit unseren Kollegen in der EU den Verbraucherschutz beiderseits des Atlantiks zu befördern.

(1)  Zusätzliche Angaben über das US-Datenschutzrecht auf Bundesebene und in den Einzelstaaten finden Sie im Anhang A und einen Überblick über unsere neuesten Durchsetzungsmaßnahmen im Bereich Datenschutz und -sicherheit in Anhang B. Dieser Überblick ist auch auf der Website der FTC abrufbar unter https://www.ftc.gov/reports/privacy-data-security-update-2015.

(2)  15 U.S.C. § 45(a).

(3)  Siehe FTC Policy Statement on Deception, appended to Cliffdale Assocs., Inc., 103 F.T.C. 110, 174 (1984), abrufbar unter https://www.ftc.gov/public-statements/1983/10/ftc-policy-statement-deception.

(4)  Siehe 15 U.S.C § 45(n); FTC Policy Statement on Unfairness, appended to Int'l Harvester Co., 104 F.T.C. 949, 1070 (1984), abrufbar unter https://www.ftc.gov/public-statements/1980/12/ftc-policy-statement-unfairness.

(5)  Siehe California Dental Ass'n v. FTC, 526 U, S. 756 (1999).

(6)  Siehe Office of the Privacy Commissioner of Canada, Complaint under PIPEDA against Accusearch, Inc., doing business as Abika.com, https://www.priv.gc.ca/cf-dc/2009/2009_009_0731_e.asp. Das Büro des kanadischen Datenschutzbeauftragten legte im Rechtsmittelverfahren gegen die FTC-Maßnahme einen Amicus-curiae-Schriftsatz vor und führte eigene Ermittlungen durch, die zu dem Schluss führten, dass die Praktiken von Accusearch auch gegen kanadisches Recht verstießen.

(7)  Siehe FTC v. Accusearch, Inc., No. 06CV015D (D. Wyo. Dec. 20, 2007), aff'd 570 F.3d 1187 (10th Cir. 2009).

(8)  Siehe In the Matter of True Ultimate Standards Everywhere, Inc., No. C-4512 (F.T.C. Mar. 12, 2015) (Entscheidung und Verfügung), abrufbar unter https://www ftc.gov/system/files/documents/cases/150318trust-edo.pdf.

(9)  Siehe In the Matter of Google, Inc., No. C-4336 (F.T.C. Oct. 13 2011) (Entscheidung und Verfügung), abrufbar unter https://www.ftc.gov/news-events/press-releases/2011/03/ftc-charges-deceptive-privacy-practices-googles-rollout-its-buzz; In the Matter of Facebook, Inc., No. C-4365 (F.T.C. July 27, 2012) (Entscheidung und Verfügung), abrufbar unter https://www.ftc.gov/news-events/press-releases/2012/08/ftc-approves-final-settlement-facebook; In the Matter of Myspace LLC, No. C-4369 (F.T.C. Aug. 30, 2012) (Entscheidung und Verfügung), abrufbar unter https://www.ftc.gov/news-events/press-releases/2012/09/ftc-finalizes-privacy-settlement-myspace.

(10)  Siehe FTC v. Karnani, No. 2:09-cv-05276 (C.D. Cal. May 20, 2011) (abschließende Verfügung), abrufbar unter https://www ftc.gov/sites/default/files/documents/cases/2011/06/110609karnanistip.pdf; siehe auch Lesley Fair, FTC Business Center Blog, Around the World in Shady Ways, https://www.ftc.gov/blog/2011/06/around-world-shady-ways (9. Juni 2011).

(11)  Schreiben von Ken Hyatt, geschäftsführender Staatssekretär für internationalen Handel im Handelsministerium, Leiter der International Trade Administration, an Věra Jourová, Kommissionsmitglied für Justiz, Verbraucherschutz und Gleichstellungsfragen.

(12)  Zur Beantwortung der Frage, ob sie ihre Befugnisse nach dem U.S. SAFE WEB Act ausüben sollte, prüft die FTC unter anderem, „(A) ob die vorlegende Behörde sich dazu bereit erklärt hat, ihrerseits der Kommission Amtshilfe zu leisten; (B) ob die Befürwortung des Antrags dem öffentlichen Interesse der Vereinigten Staaten zuwiderlaufen würde; und (C) ob die Ermittlungen oder Durchsetzungsmaßnahmen der vorlegenden Behörde Handlungen oder Praktiken zum Gegenstand haben, die einer größeren Zahl von Personen tatsächlich oder voraussichtlich zum Schaden gereichen.“ 15 U.S.C. § 46(j)(3). Die Befugnisse erstrecken sich nicht auf die Durchsetzung von Wettbewerbsvorschriften.

(13)  In den Haushaltsjahren 2012-2015 beispielsweise machte die FTC Gebrauch von ihren Befugnissen gemäß U.S. SAFE WEB Act, um auf fast 60 Anträge ausländischer Behörden hin Informationen weiterzugeben, und erließ fast 60 „civil investigative demands“ (Auskunftsersuchen zur Beweissicherung) und leistete damit Amtshilfe in 25 ausländischen Ermittlungsverfahren.

(14)  Auch wenn die FTC keinen Beschwerden einzelner Verbraucher nachgeht oder dabei vermittelt, wird sie Fälle, die ihr von Datenschutzbehörden der EU im Rahmen des Datenschutzschilds zugeleitet werden, vorrangig behandeln. Zudem wertet die FTC Beschwerden für ihre Datenbank Consumer Sentinel aus, die vielen Strafverfolgungsbehörden zugänglich ist, um Trends zu erkennen, Schwerpunkte der Durchsetzung festzulegen und mögliche Ziele von Ermittlungen auszumachen. EU-Bürger können dasselbe Beschwerdesystem, das US-Bürgern zur Verfügung steht, für eine Beschwerde an die FTC unter www.ftc.gov/complaint nutzen. Bei Individualbeschwerden, die den Datenschutzschild betreffen, ist es aber für EU-Bürger am zweckmäßigsten, wenn sie ihre Beschwerde bei einer Datenschutzbehörde ihres Mitgliedstaats oder einer Schiedsstelle einreichen.

(15)  15 U.S.C. § 45(m); 16 C.F.R. § 1.98.

(16)  Siehe FTC, Business Center, Legal Resources, https://www.ftc.gov/tips-advice/business-center/legal-resources?type=case&field-consumer-protection-topics-tid=251.

ANHANG V

19. Februar 2016

Re: EU-US-Datenschutzschild

Sehr geehrte Frau Jourová,

das US-Verkehrsministerium („Ministerium“ oder „DOT“) freut sich über diese Gelegenheit, näher auf seine Rolle bei der Umsetzung des EU-US-Datenschutzschilds eingehen zu können. Der Datenschutzschild leistet einen wesentlichen Beitrag zum Schutz personenbezogener Daten, die im Geschäftsverkehr in einer zunehmend vernetzten Welt zur Verfügung gestellt werden. Er ermöglicht Unternehmen die Durchführung wichtiger Transaktionen in der Weltwirtschaft und stellt gleichzeitig sicher, dass EU-Verbraucher weiterhin durch grundlegende Datenschutzbestimmungen geschützt werden.

Bereits vor mehr als 15 Jahren hat das Verkehrsministerium in einem an die Europäische Kommission gerichteten Schreiben erstmals sein Engagement für die Durchsetzung der SAFE-Harbor-Regelung zum Ausdruck gebracht. In diesem Schreiben hat sich das Ministerium dazu verpflichtet, die Grundsätze der SAFE-Harbor-Regelung mit Nachdruck geltend zu machen. An dieser Verpflichtung hält das Ministerium unverändert fest, woran mit dem vorliegenden Schreiben erinnert werden soll.

Das erneuerte Engagement des Ministeriums bezieht sich insbesondere auf die folgenden Schlüsselbereiche: 1) vorrangige Ermittlung bei mutmaßlichen Verstößen gegen die Grundsätze des Datenschutzschilds, 2) angemessene Durchsetzungsmaßnahmen gegen Organisationen, die falsche oder irreführende Angaben zur Beteiligung am Datenschutzschild machen und 3) Kontrolltätigkeit und Unterrichtung der Öffentlichkeit über behördliche Durchsetzungsmaßnahmen. Auf jede dieser Verpflichtungen wollen wir im Folgenden näher eingehen und relevante Hintergrundinformationen zur Rolle des Ministeriums beim Schutz von Verbraucherdaten und bei der Durchsetzung der Datenschutzschild-Regelung liefern, um den notwendigen Kontext herzustellen.

I.   HINTERGRUND

A.   Die Datenschutzabteilung im Ministerium

Das Ministerium setzt sich konsequent dafür ein, die Geheimhaltung personenbezogener Daten, die Verbraucher den Luftverkehrsgesellschaften oder den Inhabern von Kartenverkaufsstellen überlassen werden, zu gewährleisten. Die Handlungsbefugnisse des Ministeriums auf diesem Gebiet ergeben sich aus 49 U.S.C. 41712. Diese Vorschrift verbietet Luftverkehrsgesellschaften oder Inhabern von Kartenverkaufsstellen, unlautere und irreführende Praktiken beim Verkauf von Flugtickets anzuwenden, die den Verbraucher schädigen bzw. schädigen könnten. § 41712 ist nach dem Vorbild von § 5 des Federal Trade Commission Act (15 U.S.C. 45) aufgebaut. Nach unserer Auslegung ist es einer Luftverkehrsgesellschaft oder einem Inhaber einer Kartenverkaufsstelle gemäß dem Gesetz über unlautere und irreführende Praktiken untersagt: 1) gegen die eigenen Datenschutzbestimmungen zu verstoßen oder 2) personenbezogene Daten in einer Art und Weise zu erfassen oder offenzulegen, die der öffentlichen Ordnung zuwiderläuft, gegen moralische Grundsätze verstößt oder dem Verbraucher einen erheblichen Schaden zufügt, der nicht durch geldwerte Vorteile aufgehoben wird. Gemäß § 41712 ist es Luftverkehrsgesellschaften oder Inhabern einer Kartenverkaufsstelle nach unserer Auslegung ebenfalls verboten: 1) gegen eine vom Ministerium verabschiedete Regel zu verstoßen, wonach bestimmte Datenschutzpraktiken als unlauter oder irreführend eingestuft werden oder 2) den Children's Online Privacy Protection Act (COPPA) oder FTC-Bestimmungen zu seiner Umsetzung zu verletzen. Gemäß Bundesgesetz verfügt das Ministerium über die alleinige Befugnis, die Datenschutzpraxis von Luftverkehrsgesellschaften zu regulieren, und mit der FTC über die gemeinsame Befugnis, die Datenschutzpraxis der Inhaber von Verkaufsstellen für Flugtickets zu regeln.

Sobald sich eine Luftverkehrsgesellschaft oder der Inhaber einer Verkaufsstelle für Flugtickets öffentlich zu den Rahmengrundsätzen des Datenschutzschilds bekennt, kann das Ministerium daher von den rechtlichen Befugnissen gemäß § 41712 Gebrauch machen und die Einhaltung dieser Grundsätze sicherstellen. Gibt also ein Passagier Informationen an eine Luftverkehrsgesellschaft oder den Inhaber einer Verkaufsstelle, die sich zur Einhaltung der Rahmengrundsätze des Datenschutzschilds verpflichtet haben, dann würde ein Verstoß gegen diese Grundsätze eine Verletzung der Bestimmungen des § 41712 darstellen.

B.   Durchsetzungsmaßnahmen

Die Dienststelle des Ministeriums für Rechtsdurchsetzung und Verfahren im Luftverkehr (Office of Aviation Enforcement and Proceedings/Aviation Enforcement Office) untersucht und verfolgt Fälle, die 49 U.S.C. 41712 betreffen. Sie setzt das gesetzliche Verbot unlauterer und irreführender Praktiken gemäß § 41712 durch, insbesondere auf dem Verhandlungswege sowie durch den Erlass von Unterlassungsanordnungen und Anordnungen zur Festsetzung zivilrechtlicher Sanktionen. Die Dienststelle wird auf mögliche Verstöße insbesondere durch Beschwerden von Privatpersonen, Reisebüros, Luftverkehrsgesellschaften sowie US-amerikanischen und ausländischen staatlichen Stellen aufmerksam. Verbraucher haben die Möglichkeit, über die Website des Ministeriums Beschwerden wegen Verletzung der Datenschutzbestimmungen durch Luftverkehrsgesellschaften und Inhaber von Kartenverkaufsstellen einzureichen (1).

Sollte in einem Fall keine angemessene und geeignete Vereinbarung erzielt werden können, ist die Dienststelle befugt, zur Rechtsdurchsetzung ein Verfahren einzuleiten, das eine Beweisverhandlung vor einem Verwaltungsrichter des Ministeriums vorsieht. Der Verwaltungsrichter ist befugt, Unterlassungsanordnungen sowie zivilrechtliche Sanktionen festzulegen. Eine Verletzung der Bestimmungen des § 41712 kann Unterlassungsanordnungen nach sich ziehen; der Verstoß gegen diese Anordnungen kann zivilrechtliche Sanktionen in Höhe von bis zu 27 500 USD für jeden Verstoß gegen § 41712 zur Folge haben.

Das Ministerium hat nicht das Recht, beschwerdeführenden Privatpersonen Schadenersatz oder finanzielle Entschädigungen zuzuerkennen. Es kann allerdings Vereinbarungen genehmigen, die sich aus von seiner Dienststelle eingebrachten Untersuchungen ergeben und dem Verbraucher als Ausgleich für andernfalls an die US-Regierung zu entrichtende Geldbußen einen unmittelbaren Vorteil (z. B. in Form von Bargeld, Gutscheinen) verschaffen. Dies wurde in der Vergangenheit so gehandhabt und kann auch im Zusammenhang mit den Rahmengrundsätzen des Datenschutzschilds weiterhin so gehandhabt werden, falls die Umstände dies erfordern. Sollte eine Luftverkehrsgesellschaft die Bestimmungen des § 41712 wiederholt verletzen, würden Zweifel an der Bereitschaft der Gesellschaft zur Einhaltung der Grundsätze aufkommen, was in gravierenden Fällen dazu führen könnte, dass die Gesellschaft als nicht mehr betriebstauglich angesehen und ihr somit die wirtschaftliche Betriebsgenehmigung entzogen würde.

Bisher sind beim Ministerium relativ wenige Beschwerden wegen mutmaßlicher Verstöße gegen die Datenschutzbestimmungen durch Inhaber von Kartenverkaufsstellen und Luftverkehrsgesellschaften eingegangen. Bei Vorliegen einer Beschwerde wird diese gemäß den im Vorangehenden ausgeführten Grundsätzen geprüft.

C.   Der durch das Ministerium gewährte Rechtsschutz kommt EU-Verbrauchern zugute

Gemäß § 41712 gilt das Verbot unlauterer und irreführender Praktiken im Luftverkehr oder beim Verkauf von Flugtickets für amerikanische oder ausländische Luftverkehrsunternehmen oder Inhaber von Kartenverkaufsstellen. Das Ministerium geht häufig gegen amerikanische und ausländische Luftverkehrsunternehmen wegen Praktiken vor, die sich sowohl auf ausländische als auch auf amerikanische Verbraucher nachteilig auswirken, sofern diese bei der Erbringung von Verkehrsdienstleistungen mit Ziel oder Ausgangspunkt in den USA stattgefunden haben. Das Ministerium nutzt alle ihm zur Verfügung stehenden Rechtsbehelfe und wird dies auch weiterhin tun, um ausländische wie amerikanische Verbraucher vor unlauteren und irreführenden Praktiken im Luftverkehr vonseiten beaufsichtigter Unternehmen zu schützen.

Im Zusammenhang mit Luftverkehrsunternehmen setzt das Ministerium darüber hinaus weitere zielgerichtete Gesetze durch, die Bestimmungen zum Schutz von Verbrauchern außerhalb der USA beinhalten, darunter das COPPA. Dieses Gesetz verlangt unter anderem von Betreibern von Websites und Online-Diensten, die an Kinder gerichtet sind, sowie von für die Allgemeinheit bestimmten Websites, die wissentlich personenbezogene Daten von Kindern unter 13 erheben, dass sie die Eltern darüber in Kenntnis setzen und die nachweisliche Zustimmung der Eltern einholen. In den USA betriebene Websites und Dienste, die dem COPPA unterliegen und personenbezogene Daten von ausländischen Kindern erheben, sind an die Bestimmungen des COPPA gebunden. Im Ausland betriebene Websites und Dienste müssen sich ebenfalls daran halten, wenn sie sich an Kinder in den USA richten oder wissentlich personenbezogene Daten von Kindern in den USA erheben. Für den Fall, dass amerikanische oder ausländische Luftverkehrsunternehmen, die in den USA geschäftlich tätig sind, gegen das COPPA verstoßen, ist das Ministerium zur Einleitung von Durchsetzungsmaßnahmen befugt.

II.   DURCHSETZUNG DES DATENSCHUTZSCHILDS

Sobald sich eine Luftverkehrsgesellschaft oder der Inhaber einer Kartenverkaufsstelle für eine Beteiligung am Datenschutzschild entscheidet und beim Ministerium eine Beschwerde eingeht, wonach diese Luftverkehrsgesellschaft bzw. dieser Inhaber einer Kartenverkaufsstelle gegen die Grundsätze verstoßen hat, kann das Ministerium folgende Schritte einleiten, um dem Datenschutzschild mit Nachdruck Geltung zu verschaffen.

A.   Vorrangige Ermittlung bei mutmaßlichen Verstößen

Die Dienststelle des Ministeriums für Rechtsdurchsetzung und Verfahren im Luftverkehr prüft alle Beschwerden wegen mutmaßlicher Verstöße gegen den Datenschutzschild (dazu gehören auch Beschwerden von EU-Datenschutzbehörden) und leitet Durchsetzungsmaßnahmen ein, sofern es Anzeichen für einen Verstoß gibt. Darüber hinaus arbeitet die Dienststelle mit der FTC und dem Handelsministerium zusammen und befasst sich vorrangig mit Beschwerden über den Verstoß beaufsichtigter Unternehmen gegen im Rahmen des Datenschutzschilds eingegangene Datenschutzverpflichtungen.

Nach Eingang einer Beschwerde über einen mutmaßlichen Verstoß gegen den Datenschutzschild kann die Dienststelle im Rahmen ihrer Ermittlungen eine Reihe von Maßnahmen ergreifen. So kann sie beispielsweise die Datenschutzbestimmungen des Inhabers einer Kartenverkaufsstelle oder der Luftverkehrsgesellschaft überprüfen, beim Inhaber der Kartenverkaufsstelle, bei der Luftverkehrsgesellschaft oder bei Dritten zusätzliche Informationen einholen, die vorlegende Stelle dazu befragen und untersuchen, ob die Verstöße systematisch erfolgen oder eine größere Anzahl von Verbrauchern betreffen. Darüber hinaus stellt die Dienststelle fest, ob in dem vorliegenden Fall Sachverhalte berührt werden, die in den Zuständigkeitsbereich des Handelsministeriums oder der FTC fallen, sie prüft, ob Aufklärungsmaßnahmen für Verbraucher und Unternehmen hilfreich wären und leitet gegebenenfalls ein Verfahren ein.

Sollte das Ministerium Kenntnis von möglichen Verstößen gegen den Datenschutzschild durch die Inhaber von Kartenverkaufsstellen erhalten, stimmt es sein weiteres Vorgehen mit der FTC ab. Darüber hinaus unterrichten wir die FTC und das Handelsministerium über die Ergebnisse von Durchsetzungsmaßnahmen im Rahmen des Datenschutzschilds.

B.   Vorgehen bei falschen oder irreführenden Angaben zur Beteiligung

Das Ministerium bekräftigt seine Zusage, im Falle von Verstößen gegen den Datenschutzschild, die auch falsche oder irreführende Angaben zur Beteiligung am Datenschutzschild-Programm einschließen, Ermittlungen einzuleiten. Wir behandeln vorrangig Fälle, die uns durch das Handelsministerium übermittelt werden und Organisationen betreffen, die sich seinen Nachforschungen zufolge unrechtmäßig als Mitglied des Datenschutzschilds bezeichnen oder das Gütesiegel des Datenschutzschilds ohne Genehmigung verwenden.

Wenn im Übrigen eine Organisation in ihren Datenschutzbestimmungen zusichert, dass sie sich an die Grundsätze des Datenschutzschilds hält, reicht die bloße Tatsache, dass sie sich beim Handelsministerium nicht registrieren lässt oder ihre Registrierung nicht verlängert, nicht aus, um sich der Durchsetzung dieser Zusicherungen durch das Handelsministerium zu entziehen.

C.   Überwachung von Durchsetzungsmassnahmen bei Verstössen gegen den Datenschutzschild und Unterrichtung der Öffentlichkeit darüber

Darüber hinaus bekräftigt die Dienststelle des Ministeriums ihr Engagement für die Überwachung möglicher Durchsetzungsmaßnahmen, die zur Gewährleistung der Einhaltung der Grundsätze des Datenschutzschilds erforderlich sein können. Insbesondere wenn die Dienststelle eine Anordnung an eine Luftverkehrsgesellschaft oder einen Inhaber einer Kartenverkaufsstelle erlässt, in der künftige Verstöße gegen den Datenschutzschild und gegen § 41712 untersagt werden, überwacht sie in der Folge die Einhaltung der Vorgaben in der Unterlassungsanordnung durch die jeweilige Organisation. Die Dienststelle stellt zudem sicher, dass Anordnungen im Zusammenhang mit den Datenschutzschild betreffenden Fällen auf ihrer Website eingesehen werden können.

Einer weiteren Zusammenarbeit mit unseren Partnern in den USA und mit den verantwortlichen Akteuren in der EU in allen den Datenschutzschild betreffenden Angelegenheiten sehen wir erwartungsvoll entgegen.

Ich hoffe, dass Ihnen diese Ausführungen weiterhelfen. Falls Sie noch Fragen haben oder weitere Auskünfte benötigen, wenden Sie sich bitte vertrauensvoll an mich.

(1)  http://www.transportation.gov/airconsumer/privacy-complaints.

ANHANG VI

22. Februar 2016

Sehr geehrter Herr Antonipillai, sehr geehrter Herr Dean,

im Verlaufe der letzten zweieinhalb Jahre stellten die Vereinigten Staaten im Zusammenhang mit den Verhandlungen zum EU-US-Datenschutzschild umfangreiche Informationen über die Erhebungstätigkeit der US Intelligence Community im Wege der signalerfassenden Aufklärung bereit. Dazu gehören Auskünfte zum geltenden rechtlichen Rahmen, zu der auf verschiedenen Ebenen durchgeführten Überwachung dieser Tätigkeiten, zu deren weitreichender Transparenz und zu den allgemeinen Maßnahmen für den Schutz der Privatsphäre und der bürgerlichen Freiheiten, die der Europäischen Kommission die Entscheidung über die Angemessenheit dieser Schutzmaßnahmen erleichtern sollten, soweit sie sich auf die aus Gründen der nationalen Sicherheit gewährten Ausnahmen von den Grundsätzen des Datenschutzschilds beziehen. Dieses Dokument enthält eine Zusammenfassung der übermittelten Informationen.

I.   DIE PPD-28 UND DIE DURCHFÜHRUNG DER SIGNALERFASSENDEN AUFKLÄRUNG IN DEN USA

Die Vorgehensweise der Intelligence Community der USA bei der Beschaffung ihrer Auslandsaufklärungsdaten unterliegt einer sorgfältigen Kontrolle, steht voll und ganz im Einklang mit den Rechtsvorschriften der USA und wird auf verschiedenen Ebenen überwacht, wobei das Hauptaugenmerk auf wichtigen Daten der Auslandsaufklärung und Schwerpunkten der nationalen Sicherheit liegt. Ein Mosaik aus Gesetzen und Maßnahmen regelt die Signalaufklärung in den USA, darunter die Verfassung der USA, der Foreign Intelligence Surveillance Act (50 U.S.C., § 1801 ff.) (FISA), Executive Order 12333 und damit zusammenhängende Durchführungsverfahren, Direktiven des Präsidenten sowie zahlreiche durch das FISA-Gericht und den Justizminister gebilligte Verfahren und Leitlinien, mit denen zusätzliche Regeln zur Einschränkung der Erhebung, Speicherung, Nutzung und Weitergabe von Auslandsaufklärungsdaten festgelegt werden (1).

a.   Die PPD-28 im Überblick

Im Januar 2014 erläuterte Präsident Obama in einer Rede verschiedene Reformen in der signalerfassenden Aufklärung der USA und unterzeichnete hierzu die Presidential Policy Directive 28 (PPD-28) (2). Der Präsident betonte, dass die US-Signalaufklärung nicht nur dazu dient, unser Land und unsere Freiheiten zu schützen, sondern auch zum Schutz der Sicherheit und der Freiheiten anderer Länder beiträgt, einschließlich der EU-Mitgliedstaaten, die zum Schutz ihrer eigenen Bürger auf Erkenntnisse von US-Nachrichtendiensten zugreifen.

Die PPD-28 enthält eine Reihe von Grundsätzen und Anforderungen, die für sämtliche Aktivitäten der US-Signalaufklärung und für alle Personen unabhängig von Nationalität oder Standort gelten. Insbesondere werden Anforderungen an Verfahren im Zusammenhang mit der Erhebung, Speicherung und Weitergabe von personenbezogenen Daten zu Nicht-US-Bürgern festgelegt, die im Rahmen der US-Signalaufklärung gesammelt wurden. Diese Anforderungen werden nachstehend detaillierter, aber dennoch zusammenfassend, dargelegt:

Die Anwendbarkeit der darin festgelegten Verfahren und Schutzmaßnahmen auf den Datenschutzschild steht außer Frage. Nach der Übermittlung von Daten an Unternehmen in den Vereinigten Staaten im Rahmen des Datenschutzschilds — oder auch auf jede andere Art und Weise — dürfen die amerikanischen Nachrichtendienste diese Daten von den Unternehmen nur abfragen, wenn ihr Antrag mit dem FISA im Einklang steht oder über einen National Security Letter erfolgt, die an anderer Stelle erläutert werden (3). Ohne dass Medienberichte bestätigt oder dementiert werden, wonach die US Intelligence Community Daten aus transatlantischen Kabeln sammelt, während sie in die Vereinigten Staaten übertragen werden, würde eine solche Datensammlung vorbehaltlich der hierin dargelegten Beschränkungen und Garantien erfolgen, einschließlich der Anforderungen der PPD-28.

b.   Beschränkungen der Datenerhebung

Die PPD-28 legt eine Reihe wichtiger allgemeiner Grundsätze für die Erhebung von Signalaufklärungsdaten fest:

Die Anforderung, dass die signalerfassende Aufklärung so „passgerecht wie möglich“ erfolgen sollte, gilt sowohl für die Art und Weise, in der Signalaufklärungsdaten erhoben werden, als auch für die Daten selbst. Bei der Entscheidung darüber, ob Daten dieser Art erhoben werden sollen, muss die Intelligence Community die Verfügbarkeit anderer Informationen prüfen, einschließlich diplomatische oder öffentliche Quellen, und bei der Erhebung vorrangig auf diese Alternativen zurückgreifen, sofern diese geeignet und machbar sind. Darüber hinaus sollten die Nachrichtendienste, wann immer dies praktikabel erscheint, die Erhebung auf spezifische Aufklärungsziele oder -themen im Ausland konzentrieren, indem sie Selektoren (z. B. konkrete Objekte, Suchkriterien und Identifikatoren) heranziehen.

Die der Kommission bereitgestellten Informationen müssen unbedingt in ihrer Gesamtheit gesehen werden. Die Entscheidungen darüber, was „machbar“ oder „praktikabel“ ist, bleiben nicht dem Ermessen Einzelner überlassen, sondern sind Gegenstand der Strategien, die die Nachrichtendienste zur Umsetzung der PPD-28 erlassen haben — und die öffentlich zugänglich gemacht wurden — sowie der anderen darin beschriebenen Verfahren (4). Wie es in der PPD-28 heißt, erfolgt bei einer Sammelerhebung von Signalaufklärungsdaten die Erhebung „aufgrund technischer oder operativer Erwägungen“ ohne die Heranziehung von Selektoren (z. B. konkrete Objekte, Suchkriterien und Identifikatoren). In diesem Zusammenhang wird in der PPD-28 anerkannt, dass Nachrichtendienste unter bestimmten Umständen auf die Sammelerhebung zurückgreifen müssen, um neue oder sich abzeichnende Bedrohungen zu erkennen oder andere für die nationale Sicherheit hochwichtige Informationen zu erlangen, die oftmals innerhalb des großen und komplexen Systems der modernen globalen Kommunikation verborgen sind. Auch die im Zusammenhang mit der Sammelerhebung vorgebrachten Bedenken, was den Schutz der Privatsphäre und der bürgerlichen Freiheiten betrifft, werden in der PPD-28 nicht von der Hand gewiesen. Folglich orientiert sie die Intelligence Community dahingehend, Alternativen den Vorzug zu geben, die eine gezielte Signalaufklärung ermöglichen. Nachrichtendienste sollten — wann immer dies möglich ist — die Sammelerhebung durch gezielte Informationsgewinnung ersetzen (5). Diese Grundsätze gewährleisten, dass ungeachtet der Ausnahme der Sammelerhebung die allgemeine Regel bestehen bleibt.

Was das Konzept der Verhältnismäßigkeit betrifft, so handelt es sich um einen fundamentalen Grundsatz des US-Rechts. Die Nachrichtendienste sollen demnach nicht theoretisch mögliche Maßnahmen ergreifen, sondern müssen ihre Bemühungen um den Schutz der legitimen Interessen auf dem Gebiet des Datenschutzes und der bürgerlichen Freiheiten mit den praktischen Erfordernissen der signalerfassenden Aufklärung in Einklang bringen. Auch in diesem Zusammenhang haben die Nachrichtendienste ihre Strategien vorgelegt, mit denen gesichert werden kann, dass die allgemeine Regel nicht untergraben wird, wenn Maßnahmen „so sinnvoll konzipiert sind, dass sie die Weitergabe und Speicherung von personenbezogenen Daten auf ein Mindestmaß beschränken“.

Die PPD-28 beschränkt außerdem die Nutzung der durch Sammelerhebung gewonnenen Signalaufklärungsdaten auf eine Liste von sechs spezifischen Zielsetzungen, und zwar die Ermittlung und Abwehr bestimmter Aktivitäten ausländischer Mächte, Terrorismusbekämpfung, Nichtverbreitung von Massenvernichtungswaffen, Cybersecurity, Aufdeckung und Abwehr von Bedrohungen für die amerikanischen oder mit ihnen verbündeten Streitkräfte und Abwehr länderübergreifender krimineller Bedrohungen, einschließlich Umgehung von Sanktionen. Der Nationale Sicherheitsberater des Präsidenten wird in Absprache mit dem Director for National Intelligence (DNI) jährlich Überprüfungen zu diesen zulässigen Nutzungszwecken durchführen und feststellen, ob Änderungen erforderlich sind. Der DNI macht diese Liste unter Berücksichtigung der Interessen der nationalen Sicherheit in größtmöglichem Umfang publik. Dadurch wird die Nutzung von Signalaufklärungsdaten aus Sammelerhebungen ganz wesentlich und gleichzeitig auf transparente Art und Weise eingeschränkt.

Abgesehen davon haben die mit der Umsetzung der PPD-28 befassten Nachrichtendienste vorhandene Analysemethoden und -standards für die Abfrage ungeprüfter Signalaufklärungsdaten verschärft (6). Die Analysten müssen ihre Anfragen oder Suchbegriffe und -methoden so strukturieren, dass sie mit Sicherheit Aufklärungsdaten bezeichnen können, die für einen begründeten Zweck der Auslandsaufklärung oder Strafverfolgung von Belang sind. Zu diesem Zweck müssen die Nachrichtendienste bei Anfragen zu Personen die Kategorien der Signalaufklärungsdaten in den Mittelpunkt stellen, die den Erfordernissen der Auslandsaufklärung oder Strafverfolgung entsprechen, um so die Verwendung von personenbezogenen Informationen zu verhindern, die für den Zweck der Auslandsaufklärung oder Strafverfolgung nicht relevant sind.

Es ist wichtig zu betonen, dass die Sammelerhebung von Internetdaten, die von der Intelligence Community der USA im Wege der signalerfassenden Aufklärung durchgeführt wird, nur einen kleinen Teil des Internets berührt. Gezielte Abfragen, wie sie an anderer Stelle beschrieben wurden, stellen zudem sicher, dass den Analysten nur Objekte vorgelegt werden, die einen potenziellen Erkenntniswert aufweisen. Ziel dieser Einschränkungen ist es, die Privatsphäre und die bürgerlichen Freiheiten aller Personen unabhängig von ihrer Nationalität und ihrem Wohnort zu schützen.

Die Vereinigten Staaten bedienen sich aufwändiger Verfahren, um zu gewährleisten, dass signalerfassende Aufklärung nur zur Förderung von angemessenen Zielsetzungen der nationalen Sicherheit erfolgt. Jedes Jahr legt der Präsident nach einem umfassenden formellen Verfahren unter Einbeziehung aller Nachrichtendienste die höchsten Prioritäten des Landes in der Auslandsaufklärung fest. Der DNI ist für die Umsetzung dieser nachrichtendienstlichen Schwerpunkte im „National Intelligence Priorities Framework“, oder NIPF, zuständig. Durch die PPD-28 wurde das behördenübergreifende Verfahren gestärkt und weiter ausgestaltet, damit gesichert ist, dass alle Schwerpunkte der nachrichtendienstlichen Tätigkeit auf hoher politischer Ebene überprüft und bestätigt werden. Die Intelligence Community Directive (ICD) 204 gibt weiterführende Orientierung zum NIPF und wurde im Januar 2015 zur Aufnahme der Anforderungen der PPD-28 aktualisiert (7). Der NIPF selbst unterliegt der Geheimhaltung, jedoch finden Informationen zu den spezifischen Schwerpunkten der Auslandsaufklärung der USA jährlich Eingang in die nicht geheime „Worldwide Threat Assessment“ des DNI, die auf der ODNI-Website leicht zugänglich ist.

Die Schwerpunkte im NIPF tragen in recht hohem Maße allgemeinen Charakter. Sie beinhalten Themen wie die Bestrebungen feindlicher ausländischer Akteure im Bereich nuklearer und ballistischer Raketen, die Auswirkungen von Drogenkartellen und Korruption sowie Menschenrechtsverletzungen in bestimmten Ländern. Und sie gelten nicht nur für die signalerfassende Aufklärung, sondern für alle nachrichtendienstlichen Tätigkeiten. Zuständig für die Umsetzung der NIPF-Schwerpunkte bei der tatsächlichen Erhebung von Signalaufklärungsdaten ist das National Signals Intelligence Committee, oder SIGCOM. Es agiert unter der Leitung des Direktors der National Security Agency (NSA), der gemäß Executive Order 12333 die Aufgaben eines „operativen Leiters der signalerfassenden Aufklärung“ wahrnimmt und für die Überwachung und Koordinierung der Signalaufklärung der gesamten Intelligence Community zuständig ist und dabei sowohl vom Verteidigungsminister als auch vom DNI beaufsichtigt wird. Im SIGCOM sind alle Nachrichtendienste vertreten, und da die USA die PPD-28 vollständig umsetzen, werden auch andere Regierungsstellen, die ein politisches Interesse an der signalerfassenden Aufklärung haben, umfassend repräsentiert sein.

Alle Ministerien und Regierungsstellen der USA, die die Auslandsaufklärung für sich in Anspruch nehmen, richten ihre Auskunftsersuchen an das SIGCOM. Dieses prüft die Ersuchen, stellt sicher, dass sie mit dem NIPF in Einklang stehen und versieht sie mit Schwerpunkten, wobei unter anderem folgende Kriterien zur Anwendung kommen:

Beim amerikanischen Verfahren zur Prüfung der Erfordernisse einer Signalaufklärung sind ausdrücklich auch andere Faktoren zu berücksichtigen, nämlich:

Zum Abschluss des Verfahrens schließlich untersuchen und benennen ausgebildete NSA-Mitarbeiter auf der Grundlage der vom SIGCOM validierten Schwerpunkte konkrete Suchkriterien wie etwa Telefonnummern oder E-Mail-Adressen, anhand derer Erkenntnisse aus dem Ausland gewonnen werden können, die den Schwerpunkten entsprechen. Jeder Selektor muss überprüft und bestätigt werden, bevor er in die Erhebungssysteme der NSA aufgenommen wird. Aber selbst dann werden zum Teil noch zusätzliche Kriterien wie die Verfügbarkeit von geeigneten Erhebungsressourcen herangezogen, um zu entscheiden, ob und wann die tatsächliche Erhebung stattfindet. Durch dieses Verfahren wird gewährleistet, dass die Ziele der US-Signalaufklärung einen begründeten und wichtigen Bedarf an Auslandsaufklärungsdaten widerspiegeln. Und natürlich müssen die NSA und andere Nachrichtendienste bei Durchführung der Erhebung gemäß FISA weitere Einschränkungen nach Maßgabe des Foreign Intelligence Surveillance Court beachten. Kurz gesagt, weder die NASA noch ein anderer amerikanischer Nachrichtendienst entscheidet selbst darüber, was erhoben wird.

Generell ist dieses Verfahren Gewähr dafür, dass die Schwerpunkte der nachrichtendienstlichen Tätigkeit der USA allesamt von ranghohen politischen Entscheidungsträgern festgelegt werden, die die Erfordernisse im Bereich der Auslandsaufklärung am besten bestimmen können, und dass diese Entscheidungsträger nicht nur den potenziellen Wert der geheimdienstlichen Datenerhebung im Auge haben, sondern auch die damit verbundenen Risiken, einschließlich der Gefahren für den Datenschutz, die nationalen wirtschaftlichen Interessen und die Außenbeziehungen.

Wenngleich die Vereinigten Staaten konkrete nachrichtendienstliche Methoden oder Operationen nicht bestätigen oder dementieren können, so gelten doch in Bezug auf die im Rahmen des Datenschutzschilds in die Vereinigten Staaten übermittelten Daten die Anforderungen der PPD-28 für alle von den Vereinigten Staaten durchgeführten Operationen der signalerfassenden Aufklärung, unabhängig von Art oder Quelle der erhobenen Daten. Zudem gelten die auf die signalerfassende Aufklärung anzuwendenden Einschränkungen und Garantien für alle Signalaufklärungsdaten, die für einen autorisierten Zweck erhoben wurden, was sowohl die Außenbeziehungen als auch die Belange der nationalen Sicherheit einschließt.

Die hier erörterten Verfahren lassen das deutliche Bemühen erkennen, die willkürliche und anlassunabhängige Erhebung signalerfassender Aufklärungsdaten zu verhindern und — ausgehend von den höchsten Ebenen staatlicher Verwaltung — dem Grundsatz der Verhältnismäßigkeit Geltung zu verschaffen. Mit der PPD-28 und den Durchführungsverfahren der Nachrichtendienste werden neue und bestehende Einschränkungen bei der Signalaufklärung eindeutig geregelt, und es wird konkreter festgelegt, für welchen Zweck die Vereinigten Staaten Signalaufklärungsdaten erheben und verwenden. Dadurch sollte gesichert sein, dass Aktivitäten der signalerfassenden Aufklärung jetzt und in Zukunft nur zur Verfolgung berechtigter Ziele der Auslandsaufklärung durchgeführt werden.

c.   Einschränkungen der Speicherung und Weitergabe

§ 4 der PPD-28 schreibt für die gesamte Intelligence Community Grenzen für die Speicherung und Weitergabe von personenbezogenen Daten betreffend Nicht-US-Bürger vor, die im Wege der signalerfassenden Aufklärung erhoben wurden, und diese Grenzen sind mit den für US-Bürger geltenden Grenzen vergleichbar. Diese Regelungen sind Bestandteil der für die einzelnen Nachrichtendienste geltenden Verfahren, die im Februar 2015 herausgegeben wurden und öffentlich zugänglich sind. Um für eine Speicherung oder Weitergabe als Auslandsaufklärungsdaten in Frage zu kommen, müssen sich die personenbezogenen Daten auf einen autorisierten Zweck der nachrichtendienstlichen Tätigkeit beziehen, wie er entsprechend dem weiter oben beschriebenen NIPF-Verfahren bestimmt wurde, müssen mit hinreichender Bestimmtheit Anhaltspunkte für eine Straftat liefern oder einem der anderen Standards für die Speicherung von Daten zu US-Bürgern gemäß Executive Order 12333, Abschnitt 2.3., entsprechen.

Daten, für die keine derartigen Festlegungen gelten, dürfen nicht länger als fünf Jahre gespeichert werden, sofern nicht der DNI ausdrücklich bestimmt, dass eine weitere Speicherung im Interesse der nationalen Sicherheit der Vereinigten Staaten liegt. Die Nachrichtendienste müssen daher Informationen zu Nicht-US-Bürgern, die per Signalaufklärung erhoben wurden, fünf Jahre nach der Erhebung löschen, wenn nicht beispielsweise festgestellt wurde, dass die Daten für ein autorisiertes Ziel der Auslandsaufklärung von Belang sind oder der DNI unter Berücksichtigung der Auffassung des ODNI Civil Liberties Protection Officer sowie der Datenschutz- und Bürgerrechtsbeauftragten der Behörde zu der Entscheidung gelangt, dass eine weitere Speicherung dem nationalen Sicherheitsinteresse entspricht.

Darüber hinaus ist mittlerweile bei allen nachrichtendienstlichen Maßnahmen zur Umsetzung der PPD-28 ausdrücklich vorgeschrieben, dass personenbezogene Daten nicht einfach weitergegeben werden dürfen, weil die betreffende Person kein US-Bürger ist, und das ODNI hat im Sinne dieser Anforderung eine Direktive an alle Nachrichtendienste gerichtet (8). Geheimdienstmitarbeiter sind ausdrücklich aufgefordert, bei der Erarbeitung und Weitergabe von Aufklärungsberichten den Schutz der Privatsphäre von Nicht-US-Bürgern zu berücksichtigen. Insbesondere wird signalerfassende Aufklärung über die alltäglichen Aktivitäten eines ausländischen Staatsangehörigen nicht als Auslandsaufklärung angesehen, die man allein aus diesem Grund weitergeben oder dauerhaft speichern darf, ohne dass sie einem autorisiertem Zweck der Auslandsaufklärung dient. Damit wird eine wichtige Einschränkung anerkannt und den Bedenken der Europäischen Kommission bezüglich der Breite der Definition der Auslandsaufklärung gemäß Executive Order 12333 Rechnung getragen.

d.   Compliance und Überwachung

Das US-System zur Überwachung der Auslandsaufklärung sieht eine gründliche und mehrstufige Kontrolle vor, um die Einhaltung der geltenden Gesetze und Verfahren zu gewährleisten, auch was die Erhebung, Speicherung und Weitergabe von Daten zu Nicht-US-Bürgern betrifft, die per Signalaufklärung gemäß PPD-28 erhoben wurden. Das beinhaltet Folgendes:

Abgesehen von diesen formellen Überwachungsmechanismen verfügen auch die Nachrichtendienste selbst über verschiedene Mechanismen, um die Einhaltung der bereits beschriebenen Einschränkungen bei der Erhebung zu sichern. Hier einige Beispiele:

Aus diesen umfassenden Darlegungen geht hervor, dass die Intelligence Community nicht allein entscheidet, welche Gespräche abgehört werden, dass sie keine lückenlose Erfassung anstrebt und nicht frei von Kontrolle operiert. Sie richtet ihre Aktivitäten auf die von den politischen Entscheidungsträgern festgelegten Schwerpunkt aus, was insgesamt mit einem Prozess verbunden ist, in den sich die verschiedensten staatlichen Stellen einbringen und der sowohl innerhalb der NSA als auch durch das ODNI, das Justizministerium und das Verteidigungsministerium überwacht wird.

Die PPD-28 enthält zahlreiche weitere Bestimmungen zur Sicherung des Schutzes von personenbezogenen Signalaufklärungsdaten, unabhängig von der Nationalität. Beispielsweise trifft sie mit Blick auf den Schutz dieser Daten Regelungen zur Datensicherheit, zum Zugang und zu Qualitätsverfahren und sieht obligatorische Schulungen vor, damit sich die Mitarbeiter jederzeit der Verantwortung für den Schutz personenbezogener Daten unabhängig von der Nationalität bewusst sind. Die PPD orientiert zudem auf zusätzliche Überwachungs- und Compliance-Mechanismen. Dazu gehört, dass die Verfahren zum Schutz der personenbezogenen Informationen, die bei der Signalaufklärung anfallen, regelmäßig von kompetenten Überwachungs- und Compliance-Mitarbeitern überprüft und begutachtet werden. Bei den Prüfungen muss zudem die Einhaltung der Verfahren zum Schutz solcher Daten seitens der Nachrichtendienste untersucht werden.

Darüber hinaus wird in der PPD-28 geregelt, dass wichtige Compliance-Probleme in Bezug auf Nicht-US-Bürger an höhere Regierungsebenen weitergeleitet werden. Im Falle eines wichtigen Compliance-Problems, bei dem es um personenbezogene Daten geht, die per Signalaufklärung erhoben wurden, muss das Problem ungeachtet sonstiger bestehender Berichtspflichten unverzüglich dem DNI gemeldet werden. Sind hierbei die personenbezogenen Daten einer Nicht-US-Person betroffen, entscheidet der DNI in Abstimmung mit dem Außenminister und dem Leiter des betreffenden Nachrichtendienstes darüber, ob Schritte einzuleiten sind, um die betreffende ausländische Regierung in einer Weise davon in Kenntnis zu setzen, die mit dem Schutz der Quellen und Methoden und der US-Mitarbeiter vereinbar ist. Darüber hinaus hat der Außenminister gemäß PPD-28 als Ansprechpartner für ausländische Regierungen, die Bedenken im Zusammenhang mit der US-Signalaufklärung vorbringen, eine hochrangige Beamtin eingesetzt, Under Secretary Catherine Novelli. Dieses Bekenntnis zu einem Engagement auf höchster Ebene ist beispielhaft für die Bemühungen der US-Regierung in den letzten Jahren, Vertrauen in die zahlreichen bestehenden und sich überschneidenden Bestimmungen zum Schutz der Daten von US-Bürgern und Nicht-US-Bürgern zu schaffen.

e.   Zusammenfassung

Die Verfahren der Vereinigten Staaten für die Erhebung, Speicherung und Weitergabe von Daten aus der Auslandsaufklärung schließen wichtige Vorkehrungen zum Schutz der personenbezogenen Daten aller Personen unabhängig von der Nationalität ein. Insbesondere wird durch diese Verfahren sichergestellt, dass sich unsere Intelligence Community in der nach Gesetz, Executive Order oder Presidential Directive zulässigen Form auf den Schutz der nationalen Sicherheit konzentriert, dass sie die Daten vor unbefugtem Zugriff, unbefugter Nutzung und Weitergabe schützt und dass ihre Aktivitäten einer mehrstufigen Kontrolle und Überwachung unterliegen, einschließlich durch Kontrollausschüsse des Kongresses. Die PPD-28 und die Verfahren zu ihrer Durchführung machen unsere Bemühungen deutlich, bestimmte Minimierungsverfahren und andere wesentliche Grundsätze des Datenschutzes auf die personenbezogenen Daten aller Personen unabhängig der Nationalität auszuweiten. Personenbezogene Informationen, die durch die signalerfassende Aufklärung der USA erhoben wurden, unterliegen den Grundsätzen und Anforderungen des amerikanischen Rechts und den Anweisungen des Präsidenten, einschließlich der in der PPD-28 festgelegten Schutzbestimmungen. Diese Grundsätze und Anforderungen sind die Gewähr dafür, dass alle Personen unabhängig von ihrer Nationalität oder ihrem Wohnort würde- und respektvoll behandelt werden, und sie erkennen an, dass alle Personen berechtigte Datenschutzinteressen beim Umgang mit ihren personenbezogenen Informationen haben.

II.   FOREIGN INTELLIGENCE SURVEILLANCE ACT — § 702

Die Erhebung gemäß § 702 des Foreign Intelligence Surveillance Act (11) erfolgt nicht „massenhaft und anlassunabhängig“, sondern ist strikt auf die Erhebung ausländischer Aufklärungsdaten einzeln benannter legitimer Ziele gerichtet; ist eindeutig durch ausdrückliche gesetzliche Ermächtigung autorisiert und unterliegt sowohl der unabhängigen richterlichen Aufsicht als auch einer umfassenden Überprüfung und Überwachung innerhalb der Exekutive und im Kongress. Die Erhebung gemäß § 702 gilt als signalerfassende Aufklärung nach Maßgabe der Anforderungen der PPD-28 (12).

Die Erhebung gemäß § 702 stellt eine der wertvollsten Quellen für Aufklärungsdaten dar, da sowohl die Vereinigten Staaten als auch unsere europäischen Partner geschützt werden. Umfassende Informationen zur Funktionsweise und Überwachung von § 702 sind öffentlich zugänglich. Zahlreiche Gerichtsunterlagen, richterliche Entscheidungen und Überwachungsberichte im Zusammenhang mit dem Programm wurden freigegeben und auf der Website des ODNI öffentlich bekannt gemacht (www.icontherecord.tumblr.com.). Außerdem führte das PCLOB eine umfassende Analyse zu § 702 durch; der entsprechende Bericht ist abrufbar unter https://www.pclob.gov/library/702-Report.pdf (13).

Der § 702 wurde nach einer breiten öffentlichen Debatte als Teil des FISA Amendments Act von 2008 (14) im Kongress verabschiedet. Er genehmigt die Sammlung von Auslandsaufklärungsdaten durch die gezielte Überwachung von Nicht-US-Bürgern, die sich außerhalb der Vereinigten Staaten aufhalten, wobei amerikanische Anbieter elektronischer Kommunikationsdienste zur Unterstützung verpflichtet sind. § 702 autorisiert den Justizminister und den DNI — zwei vom Präsidenten ernannte und vom Senat bestätigte Beamte auf Kabinettsebene —, dem FISA Court jährliche Zertifizierungen vorzulegen (15). Diese beziehen sich auf spezifische Kategorien von zu erhebenden Auslandsaufklärungsdaten, wie etwa Erkenntnisse in Bezug auf Terrorismusbekämpfung oder Massenvernichtungswaffen, die unter die im FISA-Gesetz festgelegten Kategorien von Auslandsaufklärungsdaten fallen müssen (16). Wie das PCLOB feststellte, „ist aufgrund dieser Einschränkungen eine unbeschränkte Erhebung von Daten über Ausländer nicht möglich“ (17).

Zudem müssen die Zertifizierungen Verfahren zur „zielgenauen Erfassung“ und „Minimierung“ vorsehen, die vom FISA-Gericht zu überprüfen und zu bestätigen sind (18). Die Verfahren für eine zielgenaue Erfassung sollen sicherstellen, dass die Erhebung nur in der gesetzlich zulässigen Form stattfindet und der Anwendungsbereich der Zertifizierungen eingehalten wird; durch die Verfahren zur Minimierung sollen die Gewinnung, Weitergabe und Speicherung von Informationen über US-Bürger eingeschränkt werden, sie sehen jedoch auch einen umfassenden Schutz für Informationen über Nicht-US-Bürger vor, wie an anderer Stelle noch erläutert wird. Zudem hat der Präsident, wie bereits dargelegt, in der PPD-28 angewiesen, dass die Intelligence Community zusätzliche Schutzvorkehrungen für personenbezogene Daten von Nicht-US-Bürgern treffen, und diese Vorkehrungen gelten für Daten, die gemäß § 702 erhoben werden.

Bestätigt das Gericht die Verfahren zur zielgenauen Erfassung und Minimierung, erfolgt die Erhebung gemäß § 702 nicht als Sammelerhebung oder anlassunabhängig, sondern es geht ausschließlich um konkrete Zielpersonen, zu denen individualisierte Merkmale festgelegt worden sind, wie das PCLOB anmerkt (19). Zur zielgenauen Ausrichtung der Erhebung werden individuelle Selektoren verwendet, wie etwa E-Mail-Adressen oder Telefonnummern, die nach Erkenntnissen der Mitarbeiter der US-Nachrichtendienste vermutlich dazu verwendet werden, um Auslandsaufklärungsdaten der Art zu übermitteln, die unter die dem Gericht vorgelegte Zertifizierung fällt (20). Die Grundlage für die Auswahl des Ziels muss dokumentiert werden, und die Dokumentation für die einzelnen Selektoren wird nachfolgend vom Justizministerium überprüft (21). Nach Informationen der Regierung der USA wurden 2014 zu etwa 90 000 Personen gezielte Erhebungen nach § 702 durchgeführt, was einem winzigen Bruchteil der weltweit mehr als drei Milliarden Internetnutzer entspricht (22).

Nach § 702 erhobene Daten sind Gegenstand der vom Gericht bestätigten Minimierungsverfahren, die Schutzmaßnahmen für Nicht-US-Bürger wie auch für US-Bürger vorsehen und die der Öffentlichkeit bekanntgegeben wurden (23). Beispielsweise werden nach § 702 gesammelte Kommunikationsinhalte — sei es von US-Bürgern oder von Nicht-US-Bürgern — in Datenbanken mit strengen Zugangskontrollen gespeichert. Sie dürfen nur von nachrichtendienstlichem Personal überprüft werden, die in den auf den Datenschutz abgestellten Minimierungsverfahren geschult und für diesen Zugang speziell bestätigt wurden, damit sie ihre autorisierten Aufgaben wahrnehmen können (24). Verwendet werden dürfen die Daten nur für die Ermittlung von Auslandsaufklärungsdaten oder den Nachweis einer Straftat (25). Die Weitergabe darf gemäß PPD-28 nur dann erfolgen, wenn dies einem begründeten Ziel der Auslandsaufklärung oder der Strafverfolgung dient; die alleinige Tatsache, dass es sich bei einer der Kommunikationsparteien nicht um eine US-Person handelt, ist nicht ausreichend (26). Außerdem wird durch die Minimierungsverfahren und die PPD-28 die mögliche Speicherdauer der nach § 702 gewonnenen Daten begrenzt (27).

Der § 702 unterliegt einer umfassenden Überwachung, an der alle drei Gewalten des Staates beteiligt sind. Bei den Nachrichtendiensten, die das Gesetz umsetzen, erfolgen interne Überprüfungen auf mehreren Ebenen, einschließlich durch unabhängige Generalinspekteure, sowie technische Kontrollen des Datenzugriffs. Seitens des Justizministeriums und des ODNI wird die Anwendung von § 702 genau überprüft und untersucht, um die Einhaltung der rechtlichen Bestimmungen zu verifizieren. Unabhängig davon sind auch die Nachrichtendienste verpflichtet, potenzielle Verstöße zu melden. Hierzu erfolgt eine Untersuchung, und über alle Verstöße wird dem Foreign Intelligence Surveillance Court, dem Intelligence Oversight Board des Präsidenten und dem Kongress Bericht erstattet, und es wird gegebenenfalls Abhilfe geschaffen (28). Bislang gibt es keine Fälle, in denen vorsätzlich versucht wurde, gegen das Gesetz zu verstoßen oder rechtliche Vorgaben zu umgehen (29).

Das FISA-Gericht spielt bei der Umsetzung von § 702 eine wichtige Rolle. Es besteht aus einem Gremium unabhängiger Bundesrichter, die ihm sieben Jahre angehören, jedoch wie alle Bundesrichter auf Lebenszeit als Richter ernannt werden. Wie bereits an anderer Stelle ausgeführt, ist es Aufgabe des Gerichts, die jährlichen Zertifizierungen und die Verfahren zur zielgenauen Erfassung und Minimierung auf die Einhaltung der Rechtsvorschriften zu überprüfen. Darüber hinaus muss die Regierung, wie ebenfalls schon festgestellt, das Gericht bei Compliance-Problemen unverzüglich in Kenntnis setzen (30), und es wurden mehrere Stellungnahmen des Gerichts freigegeben und veröffentlicht, um deutlich zu machen, mit welch außerordentlich hohem Maße an richterlicher Kontrolle und Unabhängigkeit derartige Fälle überprüft werden.

Die anspruchsvollen Prozesse des Gerichts wurden von dessen ehemaligem vorsitzenden Richter in einem Schreiben an den Kongress erläutert, das öffentlich zur Verfügung gestellt wurde (31). Als eine Auswirkung des USA FREEDOM Act, auf den weiter unten genauer eingegangen wird, ist das Gericht nunmehr ausdrücklich autorisiert, in Fällen neuer oder bedeutender rechtlicher Fragen einen externen Anwalt als unabhängigen Vertreter des Datenschutzes zu benennen (32). Dieser Grad der Beteiligung der unabhängigen Gerichte an Aktivitäten der Auslandsaufklärung in Bezug auf Personen, die weder Bürger dieses Landes sind noch sich in diesem Land aufhalten, ist ungewöhnlich, wenn nicht sogar beispiellos, und trägt dazu bei, dass bei Erhebungen gemäß § 702 die entsprechenden rechtlichen Beschränkungen eingehalten werden.

Die Überwachung durch den Kongress erfolgt mittels gesetzlich vorgeschriebener Berichte an die Ausschüsse für Nachrichtendienste und Justiz sowie häufiger Informationsgespräche und Anhörungen. Dazu gehören ein halbjährlicher Bericht des Justizministers über die Anwendung von § 702 und alle aufgetretenen Verstöße (33); eine gesonderte halbjährliche Einschätzung des Justizministers und des DNI, der die Einhaltung der Verfahren zur zielgenauen Erfassung und Minimierung dokumentiert, darunter auch die Einhaltung der Verfahren, die sicherstellen sollen, dass die Erhebung einem begründeten Ziel der Auslandsaufklärung dient (34); und ein jährlicher Bericht der Leiter der Nachrichtendienste einschließlich einer Bestätigung, dass mit der Erhebung gemäß § 702 auch weiterhin Auslandsaufklärungsdaten erlangt werden (35).

Zusammenfassend ist festzustellen, dass die Erhebung gemäß § 702 gesetzlich zulässig ist, Überprüfungen auf mehreren Ebenen sowie richterlicher Aufsicht und Überwachung unterliegt und, wie das FISA-Gericht in einer jüngst freigegebenen Stellungnahme feststellte, „nicht als Sammelerhebung oder anlassunabhängig durchgeführt wird“, sondern „durch separate Entscheidungen über eine zielgenaue Erfassung für einzelne [kommunikationstechnische] Möglichkeiten“ (36).

III.   USA FREEDOM ACT

Der USA FREEDOM Act, der im Juni 2015 unterzeichnet und in Kraft gesetzt wurde, brachte erhebliche Veränderungen für die Überwachungsbehörden der USA und andere nationale Sicherheitsbehörden und stellte in Bezug auf den Einsatz dieser Behörden und die Entscheidungen des FISA-Gerichts mehr Transparenz für die Öffentlichkeit her, wie weiter unten dargelegt wird (37). Der Act gewährleistet, dass die in den Bereichen der Nachrichtendienste und der Strafverfolgung tätigen Berufsgruppen über die für den Schutz der Nation notwendigen Befugnisse verfügen, während ein angemessener Schutz der Privatsphäre bei Wahrnehmung dieser Befugnisse auch weiterhin gewahrt bleibt. Er bedeutet folglich eine Verstärkung des Datenschutzes und des Schutzes der bürgerlichen Freiheiten und eine Erhöhung der Transparenz.

Der Act verbietet die Sammelerhebung von Aufzeichnungen, sowohl von US- als auch von Nicht-US-Bürgern, unter Berufung auf verschiedene Bestimmungen des FISA oder durch den Einsatz von National Security Letters, einer Form von gesetzlich zulässigen behördlichen Anordnungen (38). Dieses Verbot bezieht sich speziell auf Telefon-Metadaten zu Gesprächen zwischen Personen innerhalb der USA und Personen außerhalb der USA und würde auch die Erhebung von Informationen im Rahmen des Datenschutzschilds gemäß dieser Rechtsgrundlagen einschließen. Der Act fordert, dass die Behörden bei allen dementsprechend geregelten Anforderungen von Aufzeichnungen einen „konkreten Suchbegriff“ verwenden, d. h. einen Begriff, der eine Person, ein Konto, eine Adresse oder ein persönliches Gerät so präzise bezeichnet, dass der Suchbereich in einem nach vernünftigem Ermessen möglichen Maße eingeschränkt wird (39). Damit wird einmal mehr gewährleistet, dass die Erhebung von Informationen für nachrichtendienstliche Zwecke eng gefasst und zielgenau ausgerichtet ist.

Der Act bewirkte auch erhebliche Änderungen bei den Verfahren vor dem FISA-Gericht, was sowohl mit einer Erhöhung der Transparenz als auch mit einer zusätzlichen Gewähr für den Datenschutz verbunden ist. Wie bereits festgestellt, ermöglicht er die Einsetzung einer ständigen Gruppe von sicherheitsüberprüften Anwälten mit Fachkenntnissen in solchen Bereichen wie Datenschutz und bürgerliche Freiheiten, nachrichtendienstliche Datenerhebung und Kommunikationstechnologie, die benannt werden können, um in Fällen mit bedeutenden oder neuen Rechtsauffassungen vor dem Gericht als „Amicus curiae“ aufzutreten. Diese Anwälte sind ermächtigt, juristische Argumente zur Wahrung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten vorzubringen, und sie haben Zugang zu allen Informationen, einschließlich der Geheimhaltung unterliegenden Informationen, die sie nach Feststellung des Gerichts für die Erfüllung ihrer Aufgaben benötigen (40).

Aufbauend auf der bisher einmaligen Transparenz der US-Regierung in Bezug auf nachrichtendienstliche Tätigkeiten wird der DNI durch den Act verpflichtet, in Abstimmung mit dem Justizminister jegliche Entscheidung, Anordnung oder Stellungnahme des Foreign Intelligence Surveillance Court bzw. des Foreign Intelligence Surveillance Court of Review, die eine bedeutsame Auslegung oder Interpretation einer gesetzlichen Bestimmung enthält, entweder freizugeben oder eine nicht der Geheimhaltung unterliegende Zusammenfassung davon zu veröffentlichen.

Darüber hinaus sieht der Act umfangreiche Offenlegungen vor, was Erhebungen gemäß FISA und Anfragen auf der Grundlage von National Security Letters betrifft. So müssen die Vereinigten Staaten alljährlich gegenüber dem Kongress und der Öffentlichkeit unter anderem die Anzahl der beantragten und genehmigten FISA-Anordnungen und -Zertifizierungen, die geschätzte Anzahl der von Überwachungsmaßnahmen betroffenen US-Bürger und Nicht-US-Bürger und die Anzahl der Zulassungen als „Amicus curiae“ offenlegen (41). Das Gesetz verlangt zudem, die Öffentlichkeit zusätzlich über die Anzahl der Anfragen auf der Grundlage von National Security Letters sowohl zu US- als auch zu Nicht-US-Bürgern zu unterrichten (42).

In Bezug auf die Unternehmenstransparenz bietet der Act den Unternehmen eine Reihe von Optionen, wie sie die Gesamtzahl der FISA-Anordnungen und -Direktiven oder der von Behörden übermittelten National Security Letters sowie die Anzahl der von diesen Anordnungen betroffenen Kundenkonten öffentlich bekanntmachen können (43). Einige Unternehmen haben diese Zahlen bereits offengelegt, wobei deutlich wurde, dass nur von wenigen Kunden Daten angefordert wurden.

Diese Berichte zur Unternehmenstransparenz zeigen auf, dass von den Anfragen der US-Nachrichtendienste nur ein winziger Bruchteil der Daten betroffen ist. In einem kürzlich erschienen Transparenzbericht eines großen Unternehmens beispielsweise heißt es, dass die bei ihm eingegangenen Anfragen zur nationalen Sicherheit (gemäß FISA oder durch National Security Letters) weniger als 20 000 seiner Konten betreffen, und zwar zu einer Zeit, da er mindestens 400 Mio. Nutzer verzeichnete. Mit anderen Worten, alle von diesem Unternehmen gemeldeten Anfragen zur nationalen Sicherheit betrafen weniger als 0,005 % seiner Nutzer. Selbst wenn sich jede dieser Anfragen auf Daten im Rahmen der SAFE-Harbor-Regelung bezogen hätten, was natürlich nicht der Fall ist, lässt sich doch zweifelsohne erkennen, dass die Anfragen zielgenau sind und einen angemessenen Umfang haben und die Erhebung weder massenhaft noch anlassunabhängig erfolgt.

Die Umstände, unter denen Empfängern von National Security Letters deren Offenlegung untersagt werden kann, wurden bereits in den Rechtsvorschriften zu deren Genehmigung entsprechend eingeschränkt. Der Act sieht darüber hinaus vor, dass solche Verpflichtungen zur Geheimhaltung regelmäßig überprüft werden müssen und Empfänger von National Security Letters darüber zu unterrichten sind, wenn die Faktenlage die Verpflichtung zur Geheimhaltung nicht länger rechtfertigt, und er kodifiziert Verfahren, mit denen Empfänger Verpflichtungen zur Geheimhaltung anfechten können (44).

Zusammenfassend lässt sich feststellen, dass die wichtigen Änderungen bei den Nachrichtendiensten der USA als Folge des USA FREEDOM Act ein deutlicher Beleg dafür sind, dass sich die Vereinigten Staaten umfassend darum bemühen, bei allen nachrichtendienstlichen Praktiken dem Schutz von personenbezogenen Daten, Privatsphäre und bürgerlichen Freiheiten sowie der Transparenz einen vorrangigen Stellenwert einzuräumen.

IV.   TRANSPARENZ

Abgesehen von den Transparenzverpflichtungen gemäß dem USA FREEDOM Act stellt die Intelligence Community der USA der Öffentlichkeit umfangreiche zusätzliche Informationen bereit und setzt damit ein deutliches Zeichen, was die Transparenz in ihrer Aufklärungsarbeit betrifft. Die Intelligence Community hat zahlreiche ihrer Strategien und Verfahren, viele Entscheidungen des Foreign Intelligence Surveillance Court und andere freigegebene Materialien publik gemacht und damit ein außerordentlich hohes Maß an Transparenz bewiesen. Zudem veröffentlicht sie in viel größerem Umfang als zuvor statistische Angaben zur Einbeziehung der für Erhebungen zuständigen nationalen Sicherheitsbehörden seitens der Regierung. In ihrem am 22. April 2015 herausgegebenen zweiten Jahresbericht präsentiert sie Statistiken dazu, wie oft diese wichtigen Behörden an der Arbeit der Regierung beteiligt wurden. Das ODNI hat ebenfalls auf seiner Website und auf IC On the Record eine Anzahl konkreter Transparenzgrundsätze (45) und einen Plan zur Umsetzung dieser Grundsätze in konkrete messbare Initiativen veröffentlicht (46). Im Oktober 2015 hat der Director of National Intelligence verfügt, dass im Interesse der Förderung der Transparenz und der Durchführung von Transparenzinitiativen jeder Nachrichtendienst in den Reihen seiner Führungskräfte einen Intelligence Transparency Officer benennt (47). Dieser wird eng mit dem jeweiligen Privacy and Civil Liberties Officer zusammenarbeiten, damit Transparenz, Privatsphäre und bürgerliche Freiheiten auch weiterhin oberste Priorität genießen.

Beispielhaft für diese Bemühungen ist die Veröffentlichung von mehreren nicht der Geheimhaltung unterliegenden Berichten durch den Chief Privacy and Civil Liberties Officer der NSA während der letzten Jahre, namentlich von Berichten zu den Aktivitäten gemäß § 702, Executive Order 12333 und dem USA FREEDOM Act (48). Darüber hinaus besteht eine enge Zusammenarbeit der Intelligence Community mit dem PCLOB, dem Kongress und den Datenschutzorganisationen in den USA (U.S. privacy advocacy community), um die Tätigkeit der US-Nachrichtendienste noch transparenter zu gestalten, wann immer dies machbar und mit dem Schutz sensibler nachrichtendienstlicher Quellen und Methoden vereinbar ist. Insgesamt gesehen ist die nachrichtendienstliche Tätigkeit der USA mindestens genauso transparent wie die eines jeden anderen Staates in der Welt und weist den höchstmöglichen Grad an Transparenz auf, bei dem der Notwendigkeit des Schutzes von sensiblen Quellen und Methoden noch entsprochen werden kann

Zusammenfassende Angaben zur umfassenden Transparenz nachrichtendienstlicher Aktivitäten der USA:

Dieses hohe Maß an Transparenz wird künftig noch weiter ausgebaut. Alle für die Öffentlichkeit zugänglich gemachten Informationen werden selbstverständlich sowohl dem Handelsministerium als auch der Europäischen Kommission zur Verfügung stehen. Die jährliche Überprüfung der Umsetzung des Datenschutzschilds durch diese beiden Seiten wird der Europäischen Kommission Gelegenheit geben, alle Fragen im Zusammenhang mit neu herausgegebenen Informationen wie auch andere Aspekte bezüglich des Datenschutzschilds und seiner Handhabung anzusprechen und zu erörtern, und wir gehen davon aus, dass das Ministerium möglicherweise nach eigenem Ermessen Vertreter anderer Stellen, einschließlich der Intelligence Community, zur Teilnahme an dieser Überprüfung einlädt. Das geht natürlich über den in der PPD-28 vorgesehenen Mechanismus hinaus, mit dem geregelt wird, in welcher Form EU-Mitgliedstaaten Bedenken im Zusammenhang mit der Überwachung an einen speziell benannten Beamten im Außenministerium herantragen können.

V.   RECHTSBEHELFE

Das amerikanische Recht sieht eine Reihe von Rechtsschutzinstrumenten für Personen vor, die aus Gründen der nationalen Sicherheit rechtswidrig elektronisch überwacht wurden. Gemäß FISA ist das Recht, ein amerikanisches Gericht um Unterstützung anzurufen, nicht auf US-Bürger beschränkt. Jeder Person, die über eine entsprechende Klagebefugnis verfügt, würden Rechtsbehelfe zur Verfügung stehen, um auf der Grundlage des FISA gegen rechtswidrige elektronische Überwachung vorzugehen. So haben Personen, die von rechtswidriger elektronischer Überwachung betroffen sind, gemäß FISA die Möglichkeit, US-Regierungsbeamte in persönlicher Eigenschaft auf Schadenersatz zu verklagen, was pönalen Schadensersatz und Anwaltsgebühren einschließt. Siehe 50 U.S.C. § 1810. Klagebefugte Personen haben auch die Möglichkeit, eine Zivilklage auf Schadensersatz einschließlich Prozesskostenerstattung gegen die Vereinigten Staaten anzustrengen, wenn die durch elektronische Überwachung im Rahmen des FISA erlangten Informationen, die sie betreffen, gesetzwidrig und vorsätzlich genutzt oder offengelegt wurden. Siehe 18 U.S.C. § 2712. Sofern die US-Regierung beabsichtigt, Erkenntnisse über einen Geschädigten, die direkt oder mittelbar aus der elektronischen Überwachung gemäß FISA gewonnen wurden, in einem Gerichts- oder Verwaltungsverfahren in den Vereinigten Staaten gegen die betroffene Person zu verwenden oder offenzulegen, muss sie dem Gericht und der betroffenen Person ihre Absicht mitteilen, die daraufhin die Rechtmäßigkeit der Überwachung anfechten und auf die Unterdrückung der Informationen hinwirken kann. Siehe 50 U.S.C. § 1806. Das FISA sieht letztlich auch Strafen für Personen vor, die vorsätzlich und unter Vortäuschung rechtlicher Kompetenz eine gesetzwidrige elektronische Überwachung vornehmen oder vorsätzlich Informationen nutzen oder offenlegen, die durch gesetzwidrige Überwachung gewonnen wurden. Siehe 50 U.S.C. § 1809.

EU-Bürgern stehen andere Möglichkeiten zur Verfügung, um gegen US-Regierungsbeamte wegen der rechtswidrigen Verarbeitung oder Abfrage von Daten rechtlich vorzugehen, d. h. auch gegen Regierungsbeamte, die im Zusammenhang mit der rechtswidrigen Abfrage oder Verarbeitung von Informationen für vorgebliche Ziele der nationalen Sicherheit gegen das Gesetz verstoßen. Der Computer Fraud and Abuse Act verbietet vorsätzlichen nicht autorisierten Zugang (oder eine Ausweitung des autorisierten Zugangs) zur Einholung von Daten von einem Finanzinstitut, einem Computersystem der US-Regierung oder einem Computer, auf den über das Internet zugegriffen wird, wie auch zum Zweck der Erpressung oder des Betrugs vorgebrachte Drohungen, geschützten Computern Schaden zuzufügen. Siehe 18 U.S.C. § 1030. Jede Person, ganz gleich welcher Nationalität, die infolge einer Verletzung dieses Gesetzes einen Schaden oder einen Verlust erleidet, kann die Person, die gegen das Gesetz verstoßen hat (einschließlich Regierungsbeamte), nach § 1030(g) auf kompensatorischen Schadenersatz und Unterlassung verklagen oder einen anderen billigkeitsrechtlichen Rechtsbehelf erwirken, was von der Durchführung eines Strafverfahrens unabhängig ist, allerdings das Vorhandensein von mindestens einer der im Gesetz festgelegten Bedingungen voraussetzt. Der Electronic Communications Privacy Act (ECPA) regelt den Zugang der staatlichen Behörden zu gespeicherter elektronischer Kommunikation und Transaktionsaufzeichnungen sowie zu Nutzerdaten, die sich im Besitz von Drittanbietern im Bereich Kommunikation befinden. Siehe 18 U.S.C. §§ 2701-2712. Gemäß ECPA ist ein Geschädigter berechtigt, Regierungsbeamte wegen vorsätzlichen gesetzwidrigen Zugriffs auf gespeicherte Daten zu verklagen. Der ECPA gilt für alle Personen unabhängig von der Staatsbürgerschaft, und Geschädigte haben Anrecht auf Schadensersatz und die Anwaltsgebühren. Der Right to Financial Privacy Act (RFPA) beschränkt den Zugriff der US-Regierung auf Bank- und Brokerunterlagen einzelner Kunden. Siehe 12 U.S.C. §§ 3401-3422. Gemäß RFPA kann ein Bank- oder Brokerkunde die US-Regierung wegen unrechtmäßigen Zugangs zu Kundenunterlagen auf gesetzlichen, eigentlichen und pönalen Schadensersatz verklagen, und wenn sich zeigt, dass ein solcher unrechtmäßiger Zugang vorsätzlich erfolgte, wird automatisch eine Untersuchung über mögliche disziplinarische Maßnahmen gegen die betreffenden Regierungsmitarbeiter eingeleitet. Siehe 12 U.S.C. § 3417.

Der Freedom of Information Act (FOIA) schließlich ist ein Mittel, mit dem alle Personen zu jedem beliebigen Thema Zugang zu vorhandenen Unterlagen von Bundesbehörden erlangen können, vorbehaltlich einiger Kategorien von Ausnahmen. Siehe 5 U.S.C. § 552(b). Dazu gehören Zugangsbegrenzungen bei Informationen, die aus Gründen der nationalen Sicherheit der Geheimhaltung unterliegen, bei personenbezogenen Daten anderer Personen sowie bei Informationen, die strafrechtliche Ermittlungen betreffen. Diese Einschränkungen sind mit denen vergleichbar, die andere Länder in ihren Datenzugangsgesetzen festgelegt haben, und gelten gleichermaßen für Amerikaner und Nicht-Amerikaner. Bei Streitigkeiten über die Freigabe von Unterlagen, die gemäß FOIA angefordert wurden, können auf dem Verwaltungsweg Rechtsbehelfe eingelegt werden, danach ist das Bundesgericht anzurufen. Das Gericht muss eine De-novo-Entscheidung dazu treffen, ob die Unterlagen ordnungsgemäß zurückgehalten werden, 5 U.S.C. § 552(a)(4)(B), und kann die Regierung zwingen, Zugang zu den Unterlagen zu gewähren. In einigen Fällen haben die Gerichte die Behauptungen der Regierung zurückgewiesen, dass die Information als der Geheimhaltung unterliegend zurückgehalten werden sollte (49). Obwohl kein Schadensersatz geleistet wird, können die Gerichte die Anwaltskosten erstatten.

VI.   FAZIT

Die Vereinigten Staaten erkennen an, dass bei ihrer signalerfassenden Aufklärung und anderen nachrichtendienstlichen Tätigkeiten zu berücksichtigen ist, dass alle Personen unabhängig von ihrer Nationalität oder ihrem Wohnort würde- und respektvoll zu behandeln sind und dass alle Personen berechtigte Datenschutzinteressen beim Umgang mit ihren personenbezogenen Daten haben. Die Vereinigten Staaten nutzen die signalerfassende Aufklärung ausschließlich zur Gewährleistung ihrer nationalen Sicherheit und ihrer außenpolitischen Interessen sowie zum Schutz ihrer Bürger und der Bürger von mit ihnen verbündeten oder befreundeten Staaten. Die Intelligence Community der USA betreibt keine systematische anlassunabhängige Überwachung von Personen, was normale europäische Bürger einschließt. Die Erhebung von Signalaufklärungsdaten erfolgt nur bei ordnungsgemäßer Ermächtigung und unter strenger Einhaltung der geltenden Einschränkungen; sie erfolgt erst nach Prüfung der Verfügbarkeit alternativer Quellen, einschließlich diplomatischer und öffentlicher Quellen, und in einer Weise, bei der vorrangig auf geeignete und machbare Alternativen zurückgegriffen wird. Und wann immer es praktikabel erscheint, wird die Erhebung unter Verwendung von Selektoren auf spezifische Aufklärungsziele oder -themen im Ausland konzentriert.

Die Politik der USA in diesem Bereich wurde in der PPD-28 bekräftigt. Innerhalb dieser Rahmenbedingungen verfügen die US-Nachrichtendienste nicht über die rechtliche Befugnis, die Ressourcen, die technischen Voraussetzungen oder den Wunsch, weltweit die gesamte Kommunikation zu überwachen. Die Nachrichtendienste lesen nicht die E-Mails einer jeden Person in den Vereinigten Staaten oder alle weltweit verschickten E-Mails. Entsprechend der PPD-28 gibt es in den Vereinigten Staaten wirksame Schutzvorkehrungen für die personenbezogenen Daten von Nicht-US-Bürgern, die per Signalaufklärung erhoben wurden. Dazu gehören Regeln und Verfahren, um — vergleichbar mit den Schutzmaßnahmen für US-Bürger — die Speicherung und Weitergabe von sie betreffenden personenbezogenen Daten auf ein Mindestmaß zu beschränken, soweit es die Gewährleistung der nationalen Sicherheit zulässt. Zudem besteht, wie oben dargelegt, ein umfassendes Überwachungsregime für die zielgenaue Autorisierung nach § 702 FISA, das seinesgleichen sucht. Und schließlich bewirken die wesentlichen Änderungen an den rechtlichen Grundlagen für die nachrichtendienstliche Tätigkeit, wie sie im USA FREEDOM Act festgelegt wurden, und auch die vom ODNI geleiteten Initiativen zur Förderung der Transparenz innerhalb der Intelligence Community eine deutliche Verbesserung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten für alle Personen unabhängig von ihrer Nationalität.

21. Juni 2016

Sehr geehrter Herr Antonipillai, sehr geehrter Herr Dean,

ich möchte Ihnen weitere Informationen über die Art und Weise übermitteln, in der die Vereinigten Staaten die Sammelerhebung von Signalaufklärungsdaten durchführen. Wie in der Fußnote 5 der Presidential Policy Directive 28 (PPD-28) erläutert, bezieht sich der Begriff „Sammelerhebung“ auf den Erwerb einer relativ großen Menge von signalerfassenden Aufklärungsdaten unter Bedingungen, in denen die Intelligence Community keinen mit einer bestimmten Zielperson verbundenen Identifikator (wie z. B. die E-Mail-Adresse oder Telefonnummer) für eine zielgerichtete Erhebung verwenden kann. Das bedeutet jedoch nicht, dass diese Art der Erhebung „massenhaft“ oder „anlassunabhängig“ erfolgt. So wird in der PPD-28 auch gefordert, dass die signalerfassende Aufklärung „so passgerecht wir möglich“ sein sollte. Gemäß diesem Auftrag stellt die Intelligence Community mit entsprechenden Maßnahmen sicher, dass auch in Fällen, in denen keine konkreten Suchkriterien für eine gezielte Erhebung verfügbar sind, die zu erhebenden Daten wahrscheinlich Informationen der Auslandsaufklärung enthalten, die den Anforderungen entsprechen, wie sie anhand des in meinem früheren Schreiben erläuterten Prozesses formuliert wurden, und so die Menge erhobener nicht relevanter Daten minimiert wird.

Zum Beispiel kann die Intelligence Community den Auftrag erhalten, Signalaufklärungsdaten zu den Aktivitäten einer Terroristengruppe zu erlangen, die in einer Region eines Nahoststaates operiert und von der vermutet wird, dass sie Anschläge gegen westeuropäische Länder plant. Dabei sind möglicherweise die Namen, Telefonnummern, E-Mail-Adressen oder andere konkrete Identifikatoren von mit dieser Terroristengruppe in Verbindung gebrachten Personen nicht bekannt. Wir könnten uns dafür entscheiden, diese Gruppe ins Visier zu nehmen, indem wir Kommunikationsvorgänge aus dieser und in diese Region überwachen und dann weitere Auswertungen und Analysen vornehmen, um jene Vorgänge zu ermitteln, die sich auf die Gruppe beziehten. Dabei würden sich die Nachrichtendienste bemühen, die Erhebung so weit wie möglich einzugrenzen. Es würde sich also um eine „Sammelerhebung“ handeln, da eine Verwendung von Selektoren nicht möglich ist. Sie ist weder „massenhaft“ noch „anlassunabhängig“, sondern erfolgt so zielgerichtet wie möglich.

Somit erheben die Vereinigten Staaten auch dann, wenn eine zielgenaue Ausrichtung der Erhebung durch Verwendung konkreter Selektoren nicht möglich ist, nicht sämtliche Kommunikationsdaten sämtlicher Kommunikationseinrichtungen der ganzen Welt, sondern konzentrieren ihre Erhebung mithilfe von Filtern und anderen technischen Hilfsmitteln auf jene Einrichtungen, die wahrscheinlich für die Auslandsaufklärung wertvolle Kommunikationsdaten enthalten. Somit erstreckt sich die signalerfassende Aufklärung der Vereinigten Staaten nur auf einen Bruchteil des Datenverkehrs im Internet.

Da, wie in meinem früheren Schreiben angeführt, bei einer „Sammelerhebung“ eher die Gefahr besteht, dass nicht relevante Kommunikationsdaten erhoben werden, beschränkt die PPD-28 die zulässige Verwendung von durch Sammelerhebung gewonnenen Signalaufklärungsdaten auf sechs konkrete Zielsetzungen. In der PPD-28 und bei nachrichtendienstlichen Maßnahmen zur Umsetzung der PPD-28 sind zudem Grenzen für die Speicherung und Weitergabe durch Signalaufklärung erlangter personenbezogener Daten festgelegt, und zwar ungeachtet dessen, ob die Daten durch Sammelerhebung oder gezielte Erhebung gewonnen wurden, und unabhängig von der Staatsangehörigkeit der betreffenden Person.

Daher handelt es sich bei der „Sammelerhebung“ der Intelligence Community nicht um eine „massenhafte“ oder „anlassunabhängige“ Erhebung, sondern sie umfasst vielmehr die Anwendung von Verfahren und Hilfsmitteln zum Filtern, um die Erhebung auf Material zu konzentrieren, das die Anforderungen der von den Entscheidungsträgern formulierten Anforderungen an die Auslandsaufklärung erfüllt, und zugleich die Erhebung nicht relevanter Daten zu minimieren; dabei kommen strenge Regeln für den Schutz möglicherweise erhobener nicht relevanter Informationen zur Anwendung. Die in diesem Schreiben geschilderten Strategien und Verfahren gelten für die gesamte Sammelerhebung von Signalaufklärungsdaten, einschließlich der Sammelerhebung des Datenverkehrs von und nach Europa, ohne dass hier bestätigt oder dementiert wird, ob eine derartige Erhebung erfolgt.

Sie haben zudem weitere Informationen über das Privacy and Civil Liberties Oversight Board (PCLOB) und die Generalinspekteure sowie über deren Rechtsgrundlagen angefragt. Das PCLOB ist ein unabhängiges Gremium in der Exekutive (50). Die fünf Mitglieder dieses parteienübergreifenden Gremiums werden vom Präsidenten ernannt und vom Senat bestätigt; ihre Amtszeit beträgt sechs Jahre. Die Mitglieder des PCLOB und deren Mitarbeiter erhalten entsprechende Zugangsberechtigungen, damit sie ihren gesetzlichen Pflichten und Aufgaben uneingeschränkt nachkommen können (51).

Der Auftrag des PCLOB besteht darin zu gewährleisten, dass die Anstrengungen der Bundesregierung zur Terrorismusprävention mit dem notwendigen Schutz der Privatsphäre und der bürgerlichen Freiheiten in Einklang gebracht werden. Das Gremium hat zwei grundlegende Aufgaben — Überwachung und Beratung. Dabei steckt das PCLOB sein Arbeitsgebiet selbst ab und legt fest, welche Tätigkeiten der Überwachung und Beratung es durchzuführen wünscht.

In seiner Rolle als Überwachungsgremium überprüft und analysiert das PCLOB die Maßnahmen der Exekutive zum Schutz der Nation vor Terrorismus, die mit dem notwendigen Schutz der Privatsphäre und der bürgerlichen Freiheiten in Einklang gebracht werden müssen (52). Die jüngste abgeschlossene Kontrollarbeit des PCLOB konzentrierte sich auf Überwachungsprogramme nach § 702 des FISA (53). Zurzeit überprüft das Gremium die nachrichtendienstlichen Tätigkeiten gemäß Executive Order 12333 (54).

In seiner Rolle als Beratungsgremium sorgt das PCLOB dafür, dass bei der Entwicklung und Umsetzung von Gesetzen, Regelungen und Maßnahmen zum Schutz der Nation vor Terrorismus die individuellen Freiheitsrechte hinreichend berücksichtigt werden (55).

Zur Erfüllung seines Auftrags hat das Gremium per Gesetz Zugriff auf alle einschlägigen Unterlagen von Behörden wie Berichte, Audits, Überprüfungen, Dokumente, Schriftstücke, Empfehlungen und sonstige einschlägige Materialien, einschließlich gesetzlich der Geheimhaltung unterliegender Informationen (56). Darüber hinaus kann das PCLOB alle Beamten oder Mitarbeiter der Exekutive befragen sowie Aussagen und Zeugenaussagen einholen (57). Außerdem kann das Gremium schriftlich beantragen, dass der Justizminister im Namen des PCLOB Anordnungen ausstellt, mit der Parteien außerhalb der Exekutive gezwungen werden, entsprechende Informationen bereitzustellen (58).

Nicht zuletzt muss das PCLOB gesetzlichen Anforderungen zur Transparenz gegenüber der Öffentlichkeit nachkommen. Dazu gehört, dass es die Öffentlichkeit über seine Tätigkeit auf dem Laufenden hält, indem es Anhörungen öffentlich durchführt und seine Berichte, soweit es der notwendige Schutz der Geheimhaltung unterliegender Informationen zulässt, in größtmöglichem Umfang publik macht (59). Zudem muss das PCLOB melden, wenn eine Regierungsstelle sich weigert, seinem Rat zu folgen.

Die Generalinspekteure in der Intelligence Community führen Audits, Inspektionen und Überprüfungen der Programme und Tätigkeiten der Nachrichtendienste durch, um systemimmanente Risiken, Schwachstellen und Unzulänglichkeiten zu ermitteln und anzusprechen. Darüber hinaus gehen die Generalinspekteure Beschwerden oder Informationen nach, die mutmaßliche Verstöße gegen Gesetze oder Rechtsvorschriften bzw. Misswirtschaft, die grobe Verschwendung von Mitteln, Amtsmissbrauch oder eine erhebliche oder besondere Gefahr für die öffentliche Gesundheit und Sicherheit im Zusammenhang mit nachrichtendienstlichen Programmen und Aktivitäten betreffen. Die Unabhängigkeit der Generalinspekteure ist ein maßgeblicher Faktor für die Objektivität und Integrität aller von ihnen vorgelegten Berichte, Erkenntnisse und Empfehlungen. Zu den wichtigsten Aspekten der Aufrechterhaltung der Unabhängigkeit der Generalinspekteure gehören das Verfahren der Ernennung und Abberufung von Inspekteuren, gesonderte Stellen für die operative Tätigkeit, Haushalt und Personalfragen sowie doppelte Rechenschaftspflichten gegenüber den Leitern von Regierungsbehörden sowie gegenüber dem Kongress.

Vom Kongress wurde in jeder Regierungsbehörde, darunter bei allen Nachrichtendiensten, ein unabhängiges Büro des Generalinspekteurs eingerichtet (60). Im Zuge der Annahme des Intelligence Authorization Act for Fiscal Year 2015 werden nahezu alle Generalinspekteure mit Überwachungsaufgaben für eine Stelle der Intelligence Community vom Präsidenten ernannt und vom Senat bestätigt, einschließlich Justizministerium, Central Intelligence Agency (CIA), National Security Agency (NSA) und Intelligence Community (61). Bei diesen Generalinspekteuren handelt es sich zudem um parteienunabhängige Beamte, die nur vom Präsidenten abberufen werden können. Obgleich die Befugnis des Präsidenten zur Abberufung der Inspekteure in der US-Verfassung verankert ist, wird sie kaum wahrgenommen und erfordert, dass der Präsident dem Kongress 30 Tage vor der Abberufung eines Generalinspekteurs eine schriftliche Begründung zukommen lässt (62). Mit diesem Ernennungsverfahren wird gewährleistet, dass Beamte der Exekutive keinen ungebührlichen Einfluss auf die Auswahl, Ernennung oder Abberufung eines Generalinspekteurs ausüben.

Zweitens verfügen die Generalinspekteure über erhebliche gesetzliche Befugnisse zur Durchführung von Audits, Untersuchungen und Überprüfungen von Programmen und Maßnahmen der Exekutive. Neben den gesetzlich vorgeschriebenen Kontrolluntersuchungen und -überprüfungen haben die Generalinspekteure weitreichende Ermessensfreiheit zur Ausübung von Kontrollbefugnissen bei der Überprüfung der von ihnen selbst ausgewählten Programme und Aktivitäten (63). Dabei stellt das Gesetz sicher, dass den Inspekteuren bei der Wahrnehmung dieser Befugnisse unabhängige Mittel zur Erfüllung ihrer Aufgaben zur Verfügung stehen, einschließlich der Möglichkeit, eigene Mitarbeiter einzustellen und ihre Haushaltsanträge an den Kongress gesondert zu dokumentieren (64). Es ist gesetzlich sichergestellt, dass die Generalinspekteure Zugang zu den für die Erfüllung ihrer Aufgaben benötigten Informationen erhalten. Dazu gehört der direkte Zugriff auf sämtliche behördlichen Unterlagen und Informationen mit ausführlichen Angaben zu den Programmen und Aktivitäten der Behörde ungeachtet der Geheimhaltungsstufe; die Befugnis zur Einholung von Informationen und Dokumenten per Anordnung sowie die Befugnis zur Vereidigung (65). In wenigen Fällen kann der Leiter einer Regierungsbehörde die Tätigkeit eines Generalinspekteurs untersagen, wenn z. B. ein Audit oder eine Untersuchung des Inspekteurs die nationalen Sicherheitsinteressen der Vereinigten Staaten erheblich beeinträchtigen würde. Auch die Wahrnehmung dieser Befugnis ist äußerst ungewöhnlich und macht es erforderlich, dass der Leiter der Behörde den Kongress binnen 30 Tagen über die Gründe in Kenntnis setzt (66). Der Director of National Intelligence hat diese Amtsbefugnis zur Einschränkung der Tätigkeiten von Generalinspekteuren noch nie eingesetzt.

Drittens haben die Generalinspekteure die Aufgabe, sowohl die Leiter der Regierungsbehörden als auch den Kongress mithilfe von Berichten umfassend und zeitnah über Betrugsfälle und andere schwerwiegende Probleme, Missstände und Mängel bei Programmen und Aktivitäten der Exekutive zu informieren (67). Die doppelte Berichterstattung stützt die Unabhängigkeit der Inspekteure, indem die Überwachung durch sie transparent wird und die Behördenleiter Gelegenheit erhalten, Empfehlungen der Inspekteure umzusetzen, bevor der Kongress gesetzgeberische Maßnahmen einleiten kann. Beispielsweise sind die Generalinspekteure gesetzlich verpflichtet, diese Probleme sowie bislang eingeleitete Abhilfemaßnahmen in halbjährlichen Berichten darzulegen (68). Die Regierungsbehörden nehmen die Feststellungen und Empfehlungen der Inspekteure ernst, und Letztere können oftmals die Akzeptanz und Umsetzung ihrer Empfehlungen in diese und andere Berichte an den Kongress und mitunter an die Öffentlichkeit aufnehmen (69). Neben der doppelten Berichterstattung sind die Generalinspekteure auch dafür verantwortlich, Whistleblowern der Exekutive den Weg zu den zuständigen Kontrollgremien des Kongresses zu weisen, wo sie mutmaßliche Betrugsfälle, Verschwendung oder Missstände bei Programmen und Aktivitäten der Exekutive melden können. Die Identität der Hinweisgeber ist vor einer Preisgabe gegenüber der Exekutive geschützt, so dass sie vor möglichen unzulässigen Disziplinarmaßnahmen oder Sicherheitsüberprüfungen als Vergeltung dafür, dass sie sich an den Inspekteur gewandt haben, bewahrt bleiben (70). Da Whistleblower oftmals die Informationsquelle für Untersuchungen der Generalinspekteure darstellen, erhöht die Möglichkeit, dass sie ihr Anliegen ohne Einflussnahme der Exekutive dem Kongress vortragen können, die Wirksamkeit der Überwachung durch die Inspekteure. Aufgrund dieser Unabhängigkeit können die Generalinspekteure Wirtschaftlichkeit, Effizienz und Rechenschaftspflicht in den Regierungsbehörden mit Objektivität und Integrität fördern.

Abschließend sei erwähnt, dass der Kongress den Rat der Generalinspekteure für Integrität und Effizienz eingerichtet hat. Dieser Rat entwickelt u. a. Standards der Generalinspekteure für Audits, Untersuchungen und Überprüfungen, fördert Schulungen und ist befugt, ein angebliches Fehlverhalten von Generalinspekteuren zu überprüfen; somit dient er als kritisches Auge gegenüber den Generalinspekteuren, die damit betraut sind, alle anderen zu überwachen (71).

Ich hoffe, dass Ihnen diese Ausführungen weiterhelfen.

(1)  Weitere Informationen zur US-Auslandsaufklärung werden online veröffentlicht und sind über „IC on the Record“ (www.icontherecord.tumblr.com) abrufbar, der öffentlichen Website des ODNI, mit der die nachrichtendienstlichen Aktivitäten der Regierung für die Öffentlichkeit transparenter gemacht werden sollen.

(2)  Abrufbar unter https://www.whitehouse.gov/the-press-office/2014/01/17/presidential-policy-directive-signals-intelligence-activities.

(3)  Strafverfolgungs- oder Aufsichtsbehörden können von Unternehmen die Herausgabe von Daten für Ermittlungszwecke in den USA nach Maßgabe anderer Justiz- und Aufsichtsbehörden verlangen, die nicht in den Anwendungsbereich dieses Dokuments fallen, der auf die nationalen Sicherheitsbehörden beschränkt ist.

(4)  Abrufbar unter www.icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties#ppd-28. Mit diesen Verfahren werden die in diesem Schreiben erörterten Konzepte der Zielgenauigkeit und Passgerechtigkeit in einer für die einzelnen Nachrichtendienste spezifischen Form umgesetzt.

(5)  In den Durchführungsbestimmungen der NSA zur PPD-28 — um nur ein Beispiel zu nennen — heißt es, dass nach Möglichkeit bei der Erhebung ein Selektor oder mehrere Selektoren angewandt werden, um die Erhebung auf spezifische Aufklärungsziele (z. B. einen konkreten, bekannten internationalen Terroristen oder eine Terroristengruppe) oder Aufklärungsthemen (z B. die Verbreitung von Massenvernichtungswaffen durch eine ausländische Macht oder deren Vertreter) im Ausland zu konzentrieren.

(6)  Abrufbar unter http://www.dni.gov/files/documents/1017/PPD-28_Status_Report_Oct_2014.pdf.

(7)  Abrufbar unter http://www.dni.gov/files/documents/ICD/ICD%20204%20National%20Intelligence%20Priorities%20Framework.pdf.

(8)  Intelligence Community Directive (ICD) 203, abrufbar unter http://www.dni.gov/files/documents/ICD/ICD%20203%20Analytic%20Standards.pdf.

(9)  Siehe z. B. U.S. Department of Justice, Inspector General Report „A Review of the Federal Bureau of Investigation's Activities Under Section 702 of the Foreign Intelligence Surveillance Act of 2008“ (September 2012), abrufbar unter https://oig.justice.gov/reports/2016/o1601a.pdf.

(10)  Siehe www.dni.gov/clpo.

(11)  50 U.S.C., § 1881a.

(12)  Die Vereinigten Staaten können aufgrund anderer Bestimmungen des FISA auch gerichtliche Anordnungen erwirken, um Daten zu erlangen, wozu auch im Rahmen des Datenschutzschilds übermittelte Daten gehören. Siehe 50 U.S.C., § 1801 ff.. Nach Titel I und III des FISA, durch die elektronische Überwachung und Durchsuchung genehmigt werden, ist (außer in Notfällen) eine gerichtliche Anordnung erforderlich und muss in jedem Falle hinreichend Anlass zu der Vermutung bestehen, dass das Ziel eine ausländische Macht oder ein Vertreter einer ausländischen Macht ist. Titel IV des FISA genehmigt die Verwendung von Geräten zur Rufnummernerfassung von ausgehenden und eingehenden Anrufen gemäß gerichtlicher Anordnung (außer in Notfällen) bei autorisierten Untersuchungen in den Bereichen Auslandsaufklärung, Spionageabwehr oder Terrorismusbekämpfung. Titel V des FISA gestattet dem FBI, gemäß gerichtlicher Anordnung (außer in Notfällen) Geschäftsunterlagen einzuholen, die für autorisierte Untersuchungen in den Bereichen Auslandsaufklärung, Spionageabwehr oder Terrorismusbekämpfung von Belang sind. Wie weiter unten erörtert wird, untersagt der USA FREEDOM Act ausdrücklich die Verwendung von Rufnummernerfassung oder abgeforderten Geschäftsunterlagen auf der Grundlage von FISA für die Sammelerhebung und schreibt einen „konkreten Suchbegriff“ vor, um eine zielgerichtete Autorisierung zu gewährleisten.

(13)  Privacy and Civil Liberties Board, „Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act“ (2. Juli 2014) („PCLOB Report“).

(14)  Siehe Pub. L. No. 110-261, 122 Stat. 2436 (2008).

(15)  Siehe 50 U.S.C., § 1881a(a) und (b).

(16)  Siehe ebenda § 1801(e).

(17)  Siehe PCLOB Report unter 99.

(18)  Siehe 50 U.S.C., § 1881a(d) und (e).

(19)  Siehe PCLOB Report unter 111.

(20)  Ebenda.

(21)  Ebenda, unter 8; 50 U.S.C. § 1881a(l); siehe auch Bericht des NSA Director of Civil Liberties and Privacy „NSA's Implementation of Foreign Intelligence Surveillance Act Section 702“ (im Folgenden „NSA-Bericht“) unter 4, abrufbar unter http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(22)  Director of National Intelligence 2014 Transparency Report, abrufbar unter http://icontherecord.tumblr.com/transparency/odni_transparencyreport_cy2014.

(23)  Minimierungsverfahren abrufbar unter: http://www.dni.gov/files/documents/ppd-28/2014%20NSA%20702%20Minimization%20Procedures.pdf („NSA-Minimierungsverfahren“); http://www.dni.gov/files/documents/ppd-28/2014%20FBI%20702%20Minimization%20Procedures.pdf; and http://www.dni.gov/files/documents/ppd-28/2014%20CIA%20702%20Minimization%20Procedures.pdf.

(24)  Siehe NSA-Bericht unter 4.

(25)  Siehe z. B. NSA-Minimierungsverfahren unter 6.

(26)  Nachrichtendienstliche PPD-28-Verfahren abrufbar unter http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(27)  Siehe NSA-Minimierungsverfahren; PPD-28 Section 4.

(28)  Siehe 50 U.S.C. § 1881(l); siehe auch PCLOB Report unter 66-76.

(29)  Siehe Semiannual Assessment of Compliance with Procedures and Guidelines Issues Pursuant to Section 702 of the Foreign Intelligence Surveillance Act, vorgelegt vom Justizminister und dem Director of National Intelligence unter 2–3, abrufbar unter http://www.dni.gov/files/documents/Semiannual%20Assessment%20of%20Compliance%20with%20procedures%20and%20guidelines%20issued%20pursuant%20to%20Sect%20702%20of%20FISA.pdf.

(30)  Rule 13 der Rules of Procedures des Foreign Intelligence Surveillance Court, abrufbar unter http://www.fisc.uscourts.gov/sites/default/files/FISC%20Rules%20of%20Procedure.pdf.

(31)  29. Juli 2013, Letter from The Honorable Reggie B. Walton to The Honorable Patrick J. Leahy, abrufbar unter http://fas.org/irp/news/2013/07/fisc-leahy.pdf.

(32)  Siehe § 401 des USA FREEDOM Act, P.L. 114-23.

(33)  Siehe 50 U.S.C. § 1881f.

(34)  Siehe ebenda, § 1881a(l)(1).

(35)  Siehe ebenda, § 1881a(l)(3). Einige dieser Berichte unterliegen der Geheimhaltung.

(36)  Mem. Opinion and Order unter 26 (FISC 2014), abrufbar unter http://www.dni.gov/files/documents/0928/FISC%20Memorandum%20Opinion%20and%20Order%2026%20August%202014.pdf.

(37)  Siehe USA FREEDOM Act von 2015, Pub. L. No. 114-23, § 401, 129 Stat. 268.

(38)  Siehe ebenda, §§ 103, 201, 501. National Security Letters sind durch verschiedene Gesetze zugelassen und ermöglichen dem FBI die Einholung von Informationen aus Kreditauskünften, von Finanzdaten sowie von Daten aus elektronischen Nutzer- und Transaktionsaufzeichnungen ausschließlich zum Zweck des Schutzes vor internationalem Terrorismus und verdeckten nachrichtendienstlichen Aktivitäten. Siehe 12 U.S.C. § 3414; 15 U.S.C. §§ 1681u-1681v; 18 U.S.C. § 2709. National Security Letters werden normalerweise vom FBI verwendet, um in den frühen Phasen von Ermittlungen zur Terrorismusbekämpfung und Spionageabwehr wichtige nichtinhaltliche Informationen zu sammeln — wie etwa die Identität eines Kontonutzers, der möglicherweise mit Agenten einer Terroristengruppe wie ISIL kommuniziert. Empfänger eines National Security Letter haben das Recht, diesen vor Gericht anzufechten. Siehe 18 U.S.C. § 3511.

(39)  Siehe ebenda.

(40)  Siehe ebenda, § 401.

(41)  Siehe ebenda, § 602.

(42)  Siehe ebenda.

(43)  Siehe ebenda, § 603.

(44)  Siehe ebenda, §§ 502(f)–503.

(45)  Abrufbar unter http://www.dni.gov/index.php/intelligence-community/intelligence-transparency-principles.

(46)  Abrufbar unter http://www.dni.gov/files/documents/Newsroom/Reports%20and%20Pubs/Principles%20of%20Intelligence%20Transparency%20Implementation%20Plan.pdf.

(47)  Siehe ebenda.

(48)  Abrufbar unter https://www.nsa.gov/civil_liberties/_files/nsa_report_on_section_702_program.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf.

(49)  Siehe z. B. New York Times v. Department of Justice, 756 F.3d 100 (2d Cir. 2014); American Civil Liberties Union v. CIA, 710 F.3d 422 (D.C. Cir. 2014).

(50)  42 U.S.C. 2000ee(a), (h).

(51)  42 U.S.C. 2000ee(k).

(52)  42 U.S.C. 2000ee(d)(2).

(53)  Siehe allgemein https://www.pclob.gov/library.html#oversightreports.

(54)  Siehe allgemein https://www.pclob.gov/events/2015/may13.html.

(55)  42 U.S.C. 2000ee(d)(1); siehe auch PCLOB Advisory Function Policy and Procedure, Policy 2015-004, abrufbar unter https://www.pclob.gov/library/Policy-Advisory_Function_Policy_Procedure.pdf.

(56)  42 U.S.C. 2000ee(g)(1)(A).

(57)  42 U.S.C. 2000ee(g)(1)(B).

(58)  42 U.S.C. 2000ee(g)(1)(D).

(59)  42 U.S.C. 2000eee(f).

(60)  § 2 und 4 des Inspektor General Act von 1978 in der geltenden Fassung (im Folgenden „IG Act“); § 103H(b) und (e) des National Security Act von 1947 in der geltenden Fassung; § 17(a) des Central Intelligence Act (im Folgenden „CIA Act“).

(61)  Siehe Pub. L. No. 113-293, 128 Stat. 3990, (19. Dezember 2014). Nur die Generalinspekteure der Defense Intelligence Agency und der National Geospatial-Intelligence Agency werden nicht vom Präsidenten ernannt; allerdings haben der Generalinspekteur des Vereidigungsministeriums und der Generalinspekteur der Intelligence Community konkurrierende Zuständigkeit für diese Behörden.

(62)  § 3 des the IG Act von 1978 in der geltenden Fassung; § 103H(c) des National Security Act; und § 17(b) des CIA Act.

(63)  Siehe §§ 4(a) und 6(a)(2) des IG Act von 1947; § 103H(e) und (g)(2)(A) des National Security Act; § 17(a) und (c) des CIA Act.

(64)  §§ 3(d), 6(a)(7) ud 6(f) des IG Act; § 103H(d), (i), (j) und (m) des National Security Act; § 17(e)(7) und (f) des CIA Act.

(65)  § 6(a)(1), (3), (4), (5), und (6) des IG Act; § 103H(g)(2) des National Security Act; § 17(e)(1), (2), (4), und (5) des CIA Act.

(66)  Siehe z. B. §§ 8(b) und 8E(a) des IG Act; § 103H(f) des National Security Act; § 17(b) des CIA Act.

(67)  § 4(a)(5) des IG Act; § 103H(a)(b)(3) und (4) des National Security Act; § 17(a)(2) und (4) des CIA Act.

(68)  § 2(3), 4(a), und 5 des IG Act; § 103H(k) des National Security Act; § 17(d) des CIA Act. Der Generalinspekteur des Justizministeriums stellt seine für die Öffentlichkeit bestimmten Berichte im Internet unter folgendem Link bereit: http://oig.justice.gov/reports/all.htm. Ebenso veröffentlich der Generalinspekteur für die Intelligence Community seine halbjährlichen Berichte unter https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(69)  §§ 2(3), 4(a), und 5 des IG Act; § 103H(k) des National Security Act; § 17(d) des CIA Act. Der Generalinspekteur des Justizministeriums stellt seine für die Öffentlichkeit bestimmten Berichte im Internet unter folgendem Link bereit: http://oig.justice.gov/reports/all.htm. Ebenso veröffentlich der Generalinspekteur für die Intelligence Community seine halbjährlichen Berichte unter https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(70)  § 7 des IG Act; § 103H(g)(3) des National Security Act; § 17(e)(3) des CIA Act.

(71)  § 11 des IG Act.

ANHANG VII

19. Februar 2016

Sehr geehrter Herr Antonipillai, sehr geehrter Herr Dean,

dieses Schreiben gibt einen kurzen Überblick über die wichtigsten Ermittlungsinstrumente, mit denen aus Gründen der Strafverfolgung oder des öffentlichen (zivil- und aufsichtsrechtlichen) Interesses Geschäfts- und andere Daten von amerikanischen Unternehmen eingeholt werden können, und über die in diesen Behörden bestehenden Zugriffsbeschränkungen (1). Die erlassenen Anordnungen sind insofern nicht diskriminierend, als sie dazu dienen, sowohl Informationen von US-amerikanischen Unternehmen einzuholen als auch solche von Unternehmen, die eine Selbstzertifizierung unter dem US-EU-Datenschutzschild vornehmen, unabhängig von der Staatsangehörigkeit der betroffenen Person. Darüber hinaus können Unternehmen, gegen die in den Vereinigten Staaten rechtliche Schritte eingeleitet werden, dieses Einholen von Informationen wie im Folgenden dargestellt anfechten (2).

Von besonderer Bedeutung in Bezug auf die Beschlagnahme von Daten durch öffentliche Behörden ist der vierte Zusatzartikel zur Verfassung der Vereinigten Staaten, der folgendermaßen lautet: „Das Recht des Volkes auf Sicherheit der Person und der Wohnung, der Urkunden und des Eigentums vor willkürlicher Durchsuchung, Festnahme und Beschlagnahme darf nicht verletzt werden, und Haussuchungs- und Haftbefehle dürfen nur bei Vorliegen eines eidlich oder eidesstattlich erhärteten Rechtsgrundes ausgestellt werden und müssen die zu durchsuchende Örtlichkeit und die in Gewahrsam zu nehmenden Personen oder Gegenstände genau bezeichnen.“ Wie das Oberste Gericht der Vereinigten Staaten in der Rechtssache Berger v. State of New York urteilte „besteht der Hauptzweck dieses Zusatzartikels, wie in zahlreichen Urteilen dieses Gerichts bestätigt wird, im Schutz der Privatsphäre und der Sicherheit von Einzelpersonen vor willkürlichem Eingriffen durch Regierungsbeamte“, siehe 388 U, S. 41, 53 (1967) (unter Berufung auf die Rechtssache Camara vs. Mun. Court of San Francisco, 387 U, S. 523, 528 (1967)). Für strafrechtliche Ermittlungen im Inland ist im vierten Zusatzartikel generell vorgeschrieben, dass den Strafverfolgungsbeamten vor der Durchführung einer Haussuchung ein gerichtlicher Hausdurchsuchungsbefehl vorliegen muss. Siehe Rechtssache Katz v. United States, 389 U, S. 347, 357 (1967). In Fällen, in denen diese Vorschrift nicht gilt, unterliegt das Eingreifen des Staates einer Prüfung der „Zumutbarkeit“. Somit gewährleistet also die Verfassung selbst, dass die Regierung der Vereinigten Staaten nicht uneingeschränkt oder willkürlich private Informationen beschlagnahmen darf.

Strafverfolgungsbehörden:

Bundesanwälte, die Beamte des Justizministeriums sind, und Ermittler des Bundes einschließlich Ermittler des Federal Bureau of Investigation (FBI), einer Strafverfolgungsbehörde innerhalb des Justizministeriums, können von Unternehmen in den USA die Herausgabe von Unterlagen und anderen Aufzeichnungen zu strafrechtlichen Ermittlungszwecken mithilfe mehrerer Arten von Zwangsmaßnahmen — wie Anordnungen einer Grand Jury oder Behörde und Durchsuchungsbefehlen — erzwingen und auch sonstige Kommunikation gemäß den für das Abhören und für die Rufnummernerfassung zuständigen Bundesbehörden einholen.

Anordnungen einer Grand Jury oder eines Gerichts: Mit strafrechtlichen Anordnungen sollen konkrete strafrechtliche Ermittlungen unterstützt werden. Bei einer Anordnung einer Grand Jury handelt es sich um einen offiziellen Antrag einer Grand Jury (üblicherweise auf Verlangen eines Bundesanwalts), Ermittlungen zu einem konkreten mutmaßlichen Verdacht auf einen Verstoß gegen das Strafrecht durchzuführen. Grand Juries sind eine Anklagekammer eines Gerichts, deren Mitglieder von einem Richter oder Magistrate ausgewählt werden. Bei einer Anordnung kann von der betroffenen Person verlangt werden, in einem Gerichtsverfahren auszusagen oder Geschäftsunterlagen, elektronisch gespeicherte Informationen oder sonstige materielle Beweismittel vorzulegen bzw. zur Verfügung zu stellen. Hierbei muss es sich um für die Ermittlungen relevante Informationen handeln, und die Anordnung darf nicht unverhältnismäßig sein, weil sie überzogen, repressiv oder belastend ist — denn aus diesen Gründen kann ein Empfänger die Anfechtung der Anordnung beantragen. Siehe dazu die Federal Rules of Criminal Procedure [Strafprozessordnung], S. 17. In einigen wenigen Fällen kann ein Gericht nach Anklage durch die Grand Jury die Vorlage von Unterlagen anordnen.

Behördliche Anordnungen: Bei straf- oder zivilrechtlichen Ermittlungen können behördliche Anordnungen ergehen. Im Zuge der Strafverfolgung ist es in mehreren Bundesstaaten gesetzlich zulässig, behördliche Anordnungen zu erlassen, um Geschäftsunterlagen, elektronisch gespeicherte Informationen oder sonstige materielle Beweismittel, die für Ermittlungen zu Betrug im Gesundheitswesen, zum Kindesmissbrauch, zum Schutz durch den Geheimdienst, zu Verstößen gegen das Betäubungsmittelgesetz und Ermittlungen eines Generalinspekteurs, die sich auf Regierungsbehörden auswirken, relevant sind, vorzulegen bzw. zur Verfügung zu stellen. Möchte die Regierung eine behördliche Anordnung gerichtlich durchsetzen, kann der Empfänger der behördlichen Anordnung — wie der Empfänger einer Anordnung einer Grand Jury — die Unverhältnismäßigkeit der Anordnung geltend machen, weil sie überzogen, repressiv oder belastend ist.

Gerichtlich angeordnete Rufnummernerfassung: Gemäß den strafrechtlichen Vorschriften zur Rufnummernerfassung können die Strafverfolgungsbehörden eine gerichtliche Anordnung erlangen, um in Echtzeit nichtinhaltliche Wähl-, Routing-, Anschluss- und Signalinformationen zu einer Telefonnummer oder E-Mail-Adresse zu erfassen, sofern bestätigt wird, dass die gelieferten Informationen für laufende strafrechtliche Ermittlungen relevant sind. Siehe 18 U.S.C. §§ 3121-3127. Dem Bundesgesetz zufolge ist die gesetzwidrige Nutzung bzw. der gesetzwidrige Einbau eines einschlägigen Geräts strafbar.

Electronic Communications Privacy Act (ECPA): Gemäß Titel II des ECPA (Gesetz zum Datenschutz in der elektronischen Kommunikation), das auch als Stored Communications Act (SCA, Gesetz zur Speicherung von Kommunikation) bezeichnet wird (18 U.S.C. §§ 2701–2712), regeln zusätzliche Vorschriften den Zugriff des Staates auf Teilnehmerdaten, Verkehrsdaten und bei Internetdienstanbietern von Telefongesellschaften und anderen dritten Dienstanbietern gespeicherte Kommunikationsinhalte. Im SCA ist ein System gesetzlich vorgeschriebener Datenschutzrechte festgelegt, die den Datenzugriff zu Zwecken der Strafverfolgung einschränken und ihn nur in dem Maße gestatten, wie es verfassungsrechtlich für die Kunden und Abonnenten von Internetdienstanbietern erforderlich ist. Durch das SCA wird die Privatsphäre in Abhängigkeit vom Ausmaß der Datenerfassung stärker geschützt. Um Informationen über die registrierten Abonnenten, IP-Adressen und dazugehörigen Zeitstempel und Rechnungsinformationen einholen zu können, müssen die Strafverfolgungsbehörden eine entsprechende Anordnung erhalten. Für die meisten anderen gespeicherten, nichtinhaltlichen Informationen wie E-Mail-Header ohne Betreffzeile müssen die Strafverfolgungsbehörden einem Richter konkrete Fakten vorlegen, aus denen hervorgeht, dass die beantragten Informationen für laufende strafrechtliche Ermittlungen relevant sind. Um an die gespeicherten Inhalte elektronischer Kommunikation zu gelangen, benötigen die Strafverfolgungsbehörden generell eine entsprechende richterliche Anordnung, die auf dem hinreichenden Verdacht basiert, dass das betreffende Konto Nachweise für eine Straftat enthält. Im SCA sind darüber hinaus auch die Privathaftpflicht und die strafrechtlichen Sanktionen geregelt.

Gerichtlich angeordnete Überwachung nach dem Federal Wiretap Law (Bundesabhörgesetz): Nach dem Bundesabhörgesetz kann die Strafverfolgung darüber hinaus zu strafrechtlichen Ermittlungszwecken in Echtzeit drahtgebundene, mündliche oder elektronische Kommunikation abhören bzw. abfangen. Siehe 18 U.S.C. §§ 2510-2522. Dies kann nur auf gerichtliche Anordnung geschehen, wenn durch einen Richter unter anderem festgestellt wird, dass das Abhören oder elektronische Abfangen vermutlich Beweise für einen Verstoß gegen das Bundesgesetz erbringen oder Hinweise auf den Aufenthaltsort einer sich der Strafverfolgung entziehenden Person liefern wird. In diesem Gesetz sind darüber hinaus auch die Privathaftpflicht und die strafrechtlichen Sanktionen bei Verstoß gegen die Abhörvorschriften geregelt.

Durchsuchungsbefehl — Artikel 41: Nach richterlicher Anordnung können Gebäude in den USA von den Strafverfolgungsbehörden durchsucht werden. Letztere müssen dem Richter anhand eines „hinreichenden Verdachts“ glaubhaft darlegen, dass eine Straftat begangen wurde bzw. begangen werden soll und dass an dem im Durchsuchungsbefehl genannten Ort vermutlich mit der Straftat zusammenhängende Gegenstände gefunden werden. Von dieser Befugnis wird häufig Gebrauch gemacht, wenn eine polizeiliche Durchsuchung eines Gebäudes erforderlich wird, weil die Gefahr besteht, dass möglicherweise Beweismittel vernichtet werden, wenn eine Anordnung zur Herausgabe gegen das betreffende Unternehmen ergeht. Siehe vierter Zusatzartikel zur Verfassung der Vereinigten Staaten (auf den oben bereits eingegangen wurde), Federal Rules of Criminal Procedure, S. 41. Die Person, gegen die der Durchsuchungsbefehl ergeht, kann gegen diesen vorgehen, weil er überzogen und schikanös ist oder auf unberechtigte Weise erlangt wurde, und Geschädigte mit Klageberechtigung können bei rechtswidrigen Durchsuchungen erlangte Beweise unterdrücken. Siehe Rechtssache Mapp v. Ohio, 367 U, S. 643 (1961).

Leitlinien und Strategien des Justizministeriums: Neben diesen verfassungsrechtlichen, gesetzlich vorgeschriebenen und auf Regelungen beruhenden Einschränkungen des staatlichen Zugriffs auf Daten hat der Justizminister Leitlinien veröffentlicht, die den Datenzugriff zu Zwecken der Strafverfolgung weiter einschränken und auch die Privatsphäre und die Bürgerrechte schützen. So wird beispielsweise in den Leitlinien des Justizministers für Inlandseinsätze des FBI von September 2008 (im Folgenden FBI-Leitlinien des Justizministers), abrufbar unter http://www.justice.gov/archive/opa/docs/guidelines.pdf, die Anwendung von Ermittlungstechniken zur Einholung von Informationen für Ermittlungen im Rahmen von Verstößen gegen das Bundesgesetz eingeschränkt. Diese Leitlinien verpflichten das FBI, die mit den geringsten Eingriffen verbundenen Ermittlungsmethoden anzuwenden und die Auswirkungen auf die Privatsphäre und die Bürgerrechte und die potenzielle Rufschädigung zu berücksichtigen. Darüber hinaus wird darauf hingewiesen, dass „das FBI seine Ermittlungen und sonstigen Aktivitäten selbstverständlich rechtmäßig und angemessen unter Einhaltung von Bürgerrechten und Privatsphäre so durchführen muss, dass ein unnötiges Eindringen in das Privatleben gesetzestreuer Personen vermieden wird.“ Siehe FBI-Leitlinien des Justizministers, Seite 5. Umgesetzt hat das FBI diese Leitlinien mithilfe des FBI Domestic Investigations and Operations Guide (abrufbar unter https://vault.fbi.gov/FBI%20Domestic%20Investigations%20and%20Operations%20Guide%20(DIOG), eines umfassenden Handbuchs mit detaillierten Erläuterungen zu den Grenzen der Anwendung von Ermittlungsinstrumenten und entsprechenden Hilfestellungen zur Gewährleistung des Schutzes von Bürgerrechten und Privatsphäre bei sämtlichen Ermittlungen. Weitere Vorschriften und Strategien, die die Ermittlungstätigkeit der Bundesanwälte einschränken, sind im United States Attorneys' Manual (USAM, Anwaltshandbuch der Vereinigten Staaten), aufgeführt, das ebenfalls online abrufbar ist unter http://www.justice.gov/usam/united-states-attorneys-manual.

Zivil- und Aufsichtsbehörden (öffentliches Interesse):

Auch die Zivil- oder Aufsichtsbehörden (die im öffentlichen Interesse handeln) erhalten nur sehr eingeschränkt Zugriff auf Daten von Unternehmen in den Vereinigten Staaten. Behörden mit zivilen und aufsichtsrechtlichen Aufgaben können von Unternehmen die Herausgabe von Geschäftsunterlagen, elektronisch gespeicherten Informationen oder sonstigen materiellen Beweismitteln verlangen. Diese Behörden unterliegen in der Ausübung ihrer administrativen oder zivilen Anordnungsbefugnis Einschränkungen, und zwar nicht nur durch ihre jeweiligen Gründungsgesetze, sondern auch, weil die Anordnungen vor ihrer potenziellen gerichtlichen Umsetzung einer unabhängigen gerichtlichen Überprüfung unterzogen werden. Siehe z. B. die Federal Rules of Civil Procedure [Zivilprozessordnung], S. 45. Die Behörden können nur den Zugriff auf Daten beantragen, die für Sachen innerhalb ihres Verantwortungsbereichs von Belang sind. Darüber hinaus kann ein Empfänger einer behördlichen Anordnung deren Umsetzung vor Gericht anfechten, indem er nachweist, dass die Behörde den Grundsatz der Zumutbarkeit missachtet hat, wie bereits oben dargelegt wurde.

Unternehmen, die sich Datenabfragen von Verwaltungsbehörden widersetzen möchten, können sich je nach Branche und Datenart auf weitere Rechtsgrundlagen stützen. So können Finanzinstitute beispielsweise behördliche Anordnungen anfechten, bei denen bestimmte Arten von Informationen abgerufen werden sollen, wodurch gegen das Bank Secrecy Act (Gesetz über das Bankgeheimnis) und dessen Durchführungsbestimmungen verstoßen wird. Siehe 31 U.S.C. § 5318, 31 C.F.R. Part X. Andere Unternehmen wiederum können sich auf das Fair Credit Reporting Act (Gesetz zur Regelung des Datenschutzes bei Konsumentenkrediten), siehe 15 U.S.C. § 1681b, oder andere branchenspezifische Gesetze berufen. Der Missbrauch einer Anordnungsbefugnis einer Behörde kann deren Haftung bzw. eine persönliche Haftung ihrer Beamten nach sich ziehen. Siehe z. B. das Right to Financial Privacy Act (Gesetz zum Schutz von Finanzdaten), 12 U.S.C. §§ 3401–3422. Somit schützen die Gerichte in den Vereinigten Staaten vor unangemessenen Anträgen der Regulierungsbehörden und vermitteln einen unabhängigen Überblick über die Maßnahmen der Bundesbehörden.

Jegliche gesetzliche Befugnis der Verwaltungsbehörden, Unterlagen eines Unternehmens in den Vereinigten Staaten nach einer behördlichen Durchsuchung zu beschlagnahmen, muss die Anforderungen des vierten Zusatzartikels erfüllen. Siehe See v. City of Seattle, 387 U, S. 541 (1967).

Fazit

Sämtliche Strafverfolgungsmaßnahmen und Aufsichtstätigkeiten in den Vereinigten Staaten müssen nach geltendem Recht erfolgen und im Einklang mit der Verfassung der USA sowie den Gesetzen, Regelungen und Vorschriften stehen. Außerdem müssen einschlägige Strategien wie die Leitlinien des Justizministers zur Regelung der Strafverfolgung auf Bundesebene befolgt werden. Mit dem oben beschriebenen Rechtsrahmen wird die Möglichkeit der amerikanischen Strafverfolgungs- und Aufsichtsbehörden eingeschränkt, Informationen von Unternehmen in den USA einzuholen — unabhängig davon, ob es sich dabei um Informationen über US-Bürger oder Drittstaatsangehörige handelt —, und die gerichtliche Überprüfung jeglicher Datenanfragen, die über diese Behörden erfolgen, ermöglicht.

(1)  In diesem Überblick geht es nicht um die Instrumente, die die Strafverfolgungsbehörden beispielsweise bei Ermittlungen im Zusammenhang mit dem Terrorismus oder Fragen der nationalen Sicherheit nutzen, z. B. National Security Letters (NSLs) für bestimmte Aufzeichnungen zu Kreditdaten, Finanzdaten und elektronischen Teilnehmer- und Transaktionsdaten, siehe 12 U.S.C. § 3414; 15 U.S.C. § 1681u; 15 U.S.C. § 1681v; 18 U.S.C. § 2709, und nicht um die elektronische Überwachung, Durchsuchungsbefehle, Geschäftsunterlagen und die anderweitige Erfassung von Kommunikation gemäß dem Foreign Intelligence Surveillance Act, siehe 50 U.S.C. § 1801 ff.

(2)  Hier geht es um die Strafverfolgungs- und Aufsichtsbehörden des Bundes; Verstöße gegen das Recht der Bundesstaaten werden von diesen selbst untersucht und vor deren Gerichten verhandelt. Die Strafverfolgungsbehörden der Bundesstaaten wenden die gemäß ihrem Recht erteilten Befehle und Anordnungen an, wie sie hier dargestellt sind, wobei die Möglichkeit besteht, dass die Verfassungen der Bundesstaaten ein Rechtsschutzniveau vorsehen, das über jenes der Verfassung der USA hinausgeht. Der von den Bundesstaaten gewährte Rechtsschutz muss mindestens dem der US-Verfassung — insbesondere Zusatzartikel 4, aber nicht darauf beschränkt — entsprechen.

ANHANG

KAPITEL I

Begriffsbestimmungen

Für die Zwecke dieses Anhangs finden die Begriffsbestimmungen in der Verordnung (EG) Nr. 1224/2009 des Rates (1), der Durchführungsverordnung (EU) Nr. 404/2011 der Kommission (2) und der Verordnung (EU) Nr. 1380/2013 des Europäischen Parlaments und des Rates (3) Anwendung. Ferner gelten die folgenden Begriffsbestimmungen:

1.    Aktive Fischereifahrzeuge : Fischereifahrzeuge, die im Verlauf eines Kalenderjahres (einen Tag oder mehr) einer Fangtätigkeit nachgegangen sind. Ein Fischereifahrzeug, das in einem Jahr keiner Fangtätigkeit nachgegangen ist, gilt als inaktiv.

2.    Anadrome Arten : lebende aquatische Ressourcen mit einem Lebenszyklus, der mit dem Schlüpfen in Süßwasser beginnt, gefolgt von einer Migration ins Salzwasser, der Rückkehr und schließlich dem Laichen in Süßwasser.

3.    Katadrome Arten : lebende aquatische Ressourcen mit einem Lebenszyklus, der mit dem Schlüpfen in Salzwasser beginnt, gefolgt von einer Migration ins Süßwasser, der Rückkehr und schließlich dem Laichen in Salzwasser.

4.    Fanganteil : ein Teil der Gesamtfänge. Beispiele sind der Anteil der oberhalb der Mindestreferenzgröße für die Bestandserhaltung angelandeten Fänge, der Anteil der unterhalb der Mindestreferenzgröße für die Bestandserhaltung angelandeten Fänge, der Anteil der Rückwürfe, die unterhalb der Mindestreferenzgröße für die Bestandserhaltung liegen, „De-minimis-Rückwürfe“ oder Rückwürfe.

5.    Tag auf See : ein fortlaufender Zeitabschnitt von 24 Stunden (oder einem Teil von 24 Stunden), während dessen ein Fischereifahrzeug in einem Gebiet anwesend ist und sich nicht in einem Hafen befindet.

6.    Fangtage : jeder Tag auf See, an dem eine Fangtätigkeit erfolgt, unbeschadet der internationalen Verpflichtungen der Union und ihrer Mitgliedstaaten. Eine Fangreise kann sowohl zu der Summe der Fangtage für stationäre Fanggeräte als auch zu der Summe der Fangtage für bewegliche Fanggeräte beitragen

7.    Fanggrund : (Gruppe) geografische(r) Einheiten, in denen Fischerei stattfindet. Diese Einheiten müssen auf Ebene der Meeresregion auf der Grundlage bestehender, von regionalen Fischereiorganisationen oder wissenschaftlichen Gremien definierter Gebiete vereinbart werden.

8.    Flottensegment : eine Gruppe von Fischereifahrzeugen der gleichen Längenklasse (Lüa, Länge über alles) mit im Jahresverlauf gleichem vorherrschendem Fanggerät.

9.    Metier : eine Einheit von Fangvorgängen, die ähnliche Arten oder eine ähnliche Gruppe von Arten betreffen, mit ähnlichem Fanggerät (4) während desselben Zeitraums im Jahr und/oder im gleichen Gebiet stattfinden und durch eine ähnliche Art der fischereilichen Nutzung eines Bestands gekennzeichnet sind.

10.    Wissenschaftliche Forschungsreisen auf See : Reisen auf einem Forschungsschiff oder einem Schiff für die wissenschaftliche Forschung zur Überwachung von Beständen und Ökosystemen, das von der für die Durchführung des nationalen Arbeitsplans gemäß Artikel 21 der Verordnung (EU) Nr. 508/2014 verantwortlichen Stelle mit dieser Aufgabe betraut wurde.

KAPITEL II

Verfahren der Datenerhebung

Methoden zur Datenerfassung und Qualität müssen den in Artikel 25 der Verordnung (EU) Nr. 1380/2013 definierten Zwecken angemessen sein und sich an den von den einschlägigen wissenschaftlichen Gremien empfohlenen bewährten Verfahren und Methoden orientieren. Zu diesem Zweck sind die Methoden und das Ergebnis ihrer Anwendung in regelmäßigen Abständen von unabhängigen wissenschaftlichen Gremien daraufhin zu prüfen, ob sie für die Verwaltung der Gemeinsamen Fischereipolitik geeignet sind.

KAPITEL III

Datenanforderungen

1.   Datensätze

2.   Biologische Daten über Bestände, die im Rahmen der gewerblichen Fischerei der Union in Unionsgewässern und Gewässern außerhalb der Union sowie durch die Freizeitfischerei in Unionsgewässern gefangen werden

Diese Daten umfassen Folgendes:

3.   Daten zur Bewertung der Auswirkungen der Unionsfischerei auf Meeresökosysteme in Unionsgewässern und Gewässern außerhalb der Union

Diese Daten umfassen Folgendes: