Die EU-Kommission verhandelt derzeit mit den USA über die weitere Teilnahme an deren Visa-Waiver-Programm, das Touristinnen und Touristen sowie Geschäftsreisenden eine Einreise in die Vereinigten Staaten für bis zu 90 Tage ohne Visum ermöglicht. Die USA verlangen dafür aber von allen Staaten, die daran teilnehmen, den Abschluss einer sogenannten Enhanced Border Security Partnership (EBSP). Dahinter verbirgt sich ein Abkommen, das amerikanischen Behörden einen automatisierten Zugriff auf nationale Polizeidatenbanken mit biometrischen Informationen wie Fingerabdrücken und Gesichtsbildern erlaubt. Diese Vereinbarung betrifft nahezu alle EU-Mitgliedstaaten und würde, ginge es nach den US-Vorstellungen, weit über Daten von tatsächlichen oder potenziellen USA-Reisenden hinausreichen – während ein spiegelbildlicher Zugriff der EU auf US-Daten schon gar nicht vorgesehen ist.
Innerhalb der EU gibt es bislang kein vergleichbares System, das anderen Mitgliedstaaten einen Direktzugriff auf nationale Polizeidatenbanken einräumt. Der Austausch sensibler Daten erfolgt vielmehr nach dem Prinzip "Treffer/kein Treffer" mit anschließendem rechtsförmlichem Ersuchen. In Deutschland wären mutmaßlich Millionen von Datensätzen im polizeilichen Informationssystem INPOL betroffen, darunter Gesichtsbilder und Fingerabdrücke von Beschuldigten, Zeugen, Opfern und anderen betroffenen Personen. Dieser beispiellose Vorgang wirft damit erhebliche unions- und verfassungsrechtliche Fragen auf.
Unionsrechtliche Standards in vielfacher Gestalt
Aus unionsrechtlicher Perspektive ist zwischen zwei Normkomplexen zu differenzieren: Einerseits gibt es die Datenschutz-Grundverordnung (DS-GVO) mit den Regeln zum Drittlandtransfer in Art. 44 ff. DS-GVO und zum anderen die JI-Richtlinie (EU) 2016/680. Letztere gilt für die Verarbeitung personenbezogener Daten durch Behörden zum Zwecke der Strafverfolgung und Prävention. Auf der grundrechtlichen Ebene ist insbesondere Art. 8 GrCh einschlägig, der das Recht auf Schutz personenbezogener Daten garantiert, flankiert von Art. 7 GRCh (Achtung des Privatlebens) sowie den Verfahrensgarantien des Art. 47 GRCh.
Dabei ist allgemein zu berücksichtigen, dass biometrische Daten, speziell Fingerabdrücke und Gesichtsbilder, als besondere Kategorien personenbezogener Daten einzustufen sind. Sie unterliegen nach unionsrechtlicher Systematik einem gesteigerten Schutzstandard, der letzten Endes auch in abseitigen Regelungen wie der KI-Verordnung vorzufinden ist. Ihre Verarbeitung setzt also in jedem EU-rechtlichen Kontext eine besondere Erforderlichkeitsprüfung und angemessene Garantien voraus.
"Schrems II" lässt grüßen
Im Rahmen der DS-GVO dürfte die Übermittlung von Daten an US-Behörden an Kapitel V der DS-GVO zu messen sein. Der EuGH hat im Urteil "Schrems II" (C-311/18) einen Rechtsgedanken entwickelt, wonach für Datenübermittlungen in ein Drittland ein im Wesentlichen gleichwertiges Schutzniveau zu dem der EU bestehen muss. Seinerzeit hatte der Gerichtshof das EU-US-Privacy-Shield mangels hinreichenden Schutzes vor US-Überwachungsprogrammen und mangels wirksamen Rechtsschutzes für Betroffene für ungültig erklärt. Problematisch war aus Sicht des Gerichtshofs vor allem der fehlende Vorrang der Grundrechte vor sicherheitsrechtlichen Erfordernissen sowie der Umstand, dass die US-Überwachungsprogramme nicht auf das zwingend erforderliche Maß beschränkt seien und Betroffene keinen mit Art. 47 GRCh vergleichbaren Rechtsschutz genössen.
Die später geschaffenen Mechanismen des EU-US Data Privacy Frameworks haben an dieser Problematik wenig geändert, zumal sie primär kommerzielle Datenflüsse betreffen; für den hier betroffenen polizeilichen Datenaustausch sind sie wenig bedeutsam. Insofern steht das EBSP in einem erheblichen Spannungsverhältnis zwischen den Überwachungsbefugnissen US-amerikanischer Sicherheitsbehörden und den unionsrechtlichen Grundrechtsstandards. US-Rechtsinstrumente wie der US CLOUD Act (der anders als die europäische e-Evidence-Verordnung weder eine Notifizierung betroffener Staaten noch weitreichende richterliche Vorbehalte vorsieht) aber auch FISA 702 (ein Gesetz, das US-Geheimdiensten erlaubt, Kommunikation von Nicht-US-Personen im Ausland aus Gründen der nationalen Sicherheit ohne richterlichen Beschluss zu überwachen) eröffnen den Behörden weitreichende Zugriffsmöglichkeiten, ohne dass EU-Bürgerinnen und -Bürgern der vom EuGH geforderte effektive Rechtsschutz zur Verfügung stünde.
Verarbeitung biometrischer Daten soll Ausnahme sein, nicht die Regel
Die JI-Richtlinie (EU) 2016/680 lässt in Art. 10 die Verarbeitung biometrischer Daten zu Strafverfolgungszwecken nur unter strengen Voraussetzungen zu. Eine Übermittlung an Drittstaaten verlangt auch mit Blick auf diese Gestaltung – dazu Erwägungsgrund 51 der JI-Richtlinie – ein angemessenes Schutzniveau, idealerweise über einen Angemessenheitsbeschluss samt geeigneter Garantien (Art. 36, 37, ErwG 71 JI-RL), wobei die typischen Risiken staatlicher Massenüberwachung in Drittstaaten zu berücksichtigen und effektiver Rechtsschutz vorzuhalten sind. Dabei ist die Übermittlung ohne Genehmigung des betroffenen Mitgliedstaats gerade die Ausnahme (Art. 35 Abs. 2 JI-RL).
Dem steht konträr der derzeit diskutierte EBSP-Ansatz gegenüber, mit dem ein strukturell angelegter, automatisierter Direktzugriff auf nationale Datenbanken installiert werden soll – mit dem zugleich eine dauerhafte und unkontrollierte Infrastruktur der Datenverfügbarkeit für US-Behörden begründet würde. Eine solche Struktur liefe sowohl der vom Gesetzgeber als auch vom EuGH betonten Erforderlichkeits- und Verhältnismäßigkeitsprüfung diametral zuwider, die konkrete, eng definierte, kontrollierte und mit Rechtsschutz versehene Übermittlungsszenarien verlangt.
Das bereits bestehende Rahmenabkommen zur polizeilichen Zusammenarbeit zwischen EU und USA ändert daran nichts, da dieses auf klassische Rechtshilfe ausgelegt ist und solche Massenabfragen gerade nicht abdeckt.
"Hessendata"-Entscheidung des BVerfG zieht enge Grenzen
Auf nationaler Ebene ist ergänzend die "Hessendata"-Entscheidung des BVerfG zur automatisierten Datenanalyse von Bedeutung, in der das Gericht Regelungen für Datenanalyseplattformen zweier Bundesländer für verfassungswidrig erklärte. Das BVerfG kritisierte insbesondere die rechtlich unbegrenzte Einbeziehung verschiedenster Datenquellen sowie das Fehlen hinreichend bestimmter Eingriffsschwellen und Verwendungszwecke, wobei es betonte, dass automatisierte Datenanalyse nur unter strikter Beachtung der Verhältnismäßigkeit und mit hinreichend konkretisierten Gefahrenlagen für besonders gewichtige Rechtsgüter zulässig sei.
Die hier entwickelten Maßstäbe lassen sich auf die internationale Übermittlung übertragen: Wenn bereits die innerstaatliche, polizeiliche Zusammenführung und algorithmische Auswertung großer Datenbestände strengen verfassungsrechtlichen Grenzen unterliegt, muss erst recht die Übermittlung solcher Daten an ausländische Behörden mit eigenständigen, der deutschen und europäischen Kontrolle weitgehend entzogenen Analysebefugnissen – und dann nochmals gesteigert – restriktiv gehandhabt werden.
Mit Blick auf die aufgezeigte europarechtliche Lage begegnet das EBSP daher gravierenden rechtlichen Bedenken, und nicht zuletzt stehen die vom EuGH ausdrücklich formulierten Anforderungen an ein im Wesentlichen gleichwertiges Schutzniveau im Empfängerstaat, die Betonung der Verhältnismäßigkeit von Überwachungsmaßnahmen und der zwingend geforderte effektive Rechtsschutz in deutlichem Spannungsverhältnis zu den in den USA bestehenden Überwachungsbefugnissen.
Nie konnte man den USA weniger vertrauen
Den problematischen Gesamtkontext verschärft auch der unbestimmte Verwendungszweck: Ursprünglich sollten US-Behörden nur auf Daten von Personen zugreifen können, die in die USA reisen oder dort Asyl beantragen. Inzwischen soll der Austausch jedoch auch Personen betreffen, die in "Grenz- und Migrationskontexten" angetroffen werden – ein extrem weiter und unbestimmter Begriff. An dieser Stelle sei daran erinnert, wie unter Präsident Trump die Einwanderungs- und Zollbehörde ICE ausgebaut und umstrukturiert wurde: Mit einem zweistelligen Milliarden-Dollarbudget ausgestattet sind pauschal avisierte eine Million Abschiebungen pro Jahr das erklärte Ziel, was in dieser Pauschalität schon für sich mit europäischen Werten kaum vereinbar erscheint (siehe nur Art. 19 Abs. 1 GRCh). Dazu kommt der Einsatz der umstrittenen Software Palantir und aktuelle Berichte über ICE-Einsätze, die ein militärisches Vorgehen mit bewaffneten Agentinnen und Agenten zeigen, die bei Razzien mitunter sogar tödliche Gewalt anwenden.
Der direkte Zugriff auf europäische Polizeidaten würde diesen Überwachungs- und Abschiebeapparat zumindest mittelbar erheblich verstärken, was mit Blick auf die EU-(Justiz-)Grundrechte samt darin verbriefter europäischer Werte erhebliche Bedenken auslösen muss. Überdies ist es überraschend, hierzulande massiv über einen behördlichen Palantir-Einsatz kritisch zu diskutieren, um dann durch das EBSP einen Datenzugriff quasi durch die Hintertür zu ermöglichen.
Nicht zuletzt auch vor diesem faktischen Hintergrund erscheint es unmöglich, ein EBSP, das US-Behörden einen quasi unmittelbaren Online-Zugriff auf biometrische Polizeidaten von Millionen Menschen einräumt, mit dem tradierten europäischen Daten- und Grundrechtsverständnis in Einklang zu bringen. Ein unions- und verfassungskonformes Modell müsste mindestens am Hit/No-Hit-Prinzip anknüpfen, strikte Zweckbindungen und Eingriffsschwellen vorsehen sowie sensible Personengruppen – etwa Zeugen, Opfer und Berufsgeheimnisträgerinnen – strikt ausnehmen. Ansonsten müsste es effektive Informationswege sowie Rechtsbehelfe für Betroffene gewährleisten, deren praktische Durchsetzung allerdings an den strukturellen Defiziten des US-Rechts zu scheitern droht. Sollten die EU und ihre Mitgliedstaaten gleichwohl einem EBSP im Sinne der US-Forderungen zustimmen, ist mit rechtlichen Auseinandersetzungen vor den Verfassungsgerichten und dem EuGH zu rechnen, wo es keinen Raum für eine unkritische Billigung eines solchen Abkommens geben wird.
Der Autor Jens Ferner ist Fachanwalt für Strafrecht und IT-Recht. Sein Tätigkeitsschwerpunkt liegt im Bereich der Strafverteidigung, insbesondere in der Schnittmenge von IT-Recht und Strafrecht.
