Mario Dobovisek: David gegen Goliat - der Jurastudent Maximilian Schrems aus Österreich klagte gegen Facebook und Co. Er brachte Safe Harbor zu Fall. Inzwischen hat er seinen Doktortitel erworben und blickt mit seiner Initiative "Europe versus Facebook" weiter auf den Datenschutz und damit auch auf die Nachfolgevereinbarung, auf das Privacy Shield. Sind unsere Daten, Herr Schrems, durch das Privacy Shield besser geschützt?

Maximilian Schrems: Besser geschützt - auf jeden Fall gut geschützt - noch nicht wirklich. Es ist so, dass die Sache doch ein bisschen strenger ist als das Safe Harbor, wo noch einige Lücken geschlossen worden sind, aber noch relativ weit weg entfernt ist von dem, was wir eigentlich in Europa als Standard so haben.

Dobovisek: Welche Lücken sehen Sie denn noch?

Schrems: Mir geht es wirklich um die Grundsätze von Definitionen. Zum Beispiel ist es so, dass man in Europa prinzipiell von anderen Leuten Daten nicht verarbeiten darf, es sei denn, man kann das irgendwie rechtfertigen. Und im Privacy Shield ist es genau anders herum: Da darf man prinzipiell von allen Leuten alle Daten verarbeiten. Da gibt es so was wie in Europa, dieses Verbotsprinzip, nicht. Das heißt in der Praxis, dass ein Unternehmen eigentlich machen kann was es will.

Eine andere Sache ist, dass Europa sehr stark auf die Zweckbindung achtet. Das heißt, dass man Daten immer nur für einen gewissen Zweck verwenden darf und nicht für was anderes. Ihr Arzt darf zum Beispiel die Krankenakten dann nicht für Werbesachen verwenden, sondern nur zum Behandeln. Und diese Zweckbindung, die ist bei uns sehr streng definiert, und im Privacy Shield ist die so generisch, dass man praktisch einen so breiten Zweck machen kann, dass man sowieso mit den Daten machen kann, was man will. Es sind so diese Details dann, die aber in der Wirklichkeit den Schutz total unterminieren.

Dobovisek: Was bedeutet das zum Beispiel, wenn ich jetzt in Facebook reinschreibe, dass wir beide miteinander gesprochen haben? Wo enden diese Daten und wer kann da alles mitlesen, auch nach dem neuen Vertrag?

Schrems: Da geht es vor allem um die Frage, kann der Staat mitlesen bei den Sachen, und da ist Privacy Shield - und das war ja der große Punkt, warum Safe Harbor, die Vorgängerregelung, vom EuGH gekippt worden ist - nichts anderes. Da steht genauso drin, US-Recht hat Vorrang, wenn US-Recht sagt, die Daten dürfen abgefangen werden, dann dürfen die abgefangen werden. Es ist jetzt so, dass die EU-Kommission offiziell sagt, dass es die Massenüberwachung nicht mehr gibt und dass die USA da irgendwas zugesichert hätten. Wenn man dann aber die Dokumente anschaut von Privacy Shield, steht da ausdrücklich drin, dass es für sechs Fälle auf jeden Fall noch Massenüberwachung gibt. Und dann ist es auch so, dass diese Definition, was Massenüberwachung eigentlich ist, bei den Amerikanern ein bisschen skurril ist.

Es gibt viele Dinge, wo sie sagen, sie speichern die ganzen Daten schon mal, aber sie schauen sich dann nicht alles an, und dann ist es ja keine Massenüberwachung, weil man sich ja nur spezifische Fälle von diesen ganzen gespeicherten Daten anschaut. Auch da bei den Definitionen wird es dann spannend, was da eigentlich das wirklich bedeutet. Selbst wenn man mit den zuständigen Leuten bei der EU-Kommission spricht, dann können die einem eigentlich auch nicht genau sagen, was das bedeuten soll, und da ist es dann doch recht spannend, dass die so was zustimmen. Da ist einfach der politische und der wirtschaftliche Druck, da einfach irgendwas zu machen, anscheinend höher als jeder menschliche Verstand.

Dobovisek: Die EU-Kommission, Herr Schrems, sagt ja klar und beruft sich dabei auf die USA, dass der Zugriff der Geheimdienste begrenzt sei, unter strenger Aufsicht stehe. Trauen Sie den Amerikanern nicht?

Schrems: Na ja, eine strenge Aufsicht ist ein sehr dehnbarer Begriff. Einerseits gibt es durchaus begründete Zweifel, den Dingen nicht zu trauen, weil man einfach regelmäßig nach Snowden und Co. darauf gekommen ist, dass Sachen sehr anders interpretiert worden sind, als offiziell verlautbart. Und andererseits ist es so, dass die USA ja ausdrücklich sagen, dass sie das tun. Da geht es gar nicht so weit, dass man sagen muss, wahrscheinlich tun die irgendwas Sinisteres im Hintergrund, sondern bei dem, was die schon öffentlich sagen, dass sie für sechs Gründe Massenüberwachungen machen - auch in dem Zusatzbrief, der diesem Privacy Shield angeschlossen ist, steht dabei, dass die ganze Regionen massenüberwachen, um nach irgendwelchen Terroristen zu fahnden -, genau das ist das, was eigentlich nach europäischem Recht nicht erlaubt ist.

Dobovisek: Sie haben gegen Safe Harbor geklagt, haben auch gewonnen, das Abkommen zu Fall gebracht. Jetzt also Privacy Shield. Werden Sie auch dagegen klagen?

Schrems: Man muss sich jetzt anschauen überhaupt, wie das in der Praxis umgesetzt wird. Ein großes Problem ist, viele Unternehmen werden Privacy Shield gar nicht verwenden. Die werden hauptsächlich weiter diese sogenannten Standard-Vertragsklauseln verwenden, das ist die Alternative dazu, die ein bisschen rechtssicherer sind. Das heißt, es kann durchaus sein, dass da einfach sehr wenig Unternehmen nur Privacy Shield verwenden und damit gar keine Klagemöglichkeit sich ergibt, weil was keiner verwendet, kann man nicht klagen. Das muss man sich jetzt noch genauer anschauen und dann werden wir sehen. Ich gehe aber davon aus, dass es sehr viele Leute gibt, die sich da bemüßigt fühlen, sich das genauer mal vor Gericht anzuschauen. Auch die Datenschutzbehörden. Die können ja auch solche Fälle direkt dem EuGH eventuell vorlegen. Und nachdem wir in Europa da doch 30, 40 Datenschutzbehörden haben, könnte es durchaus sein, dass da jemand das Gefühl hat, dass das vielleicht so eine Aufgabe wäre. Das wäre auf jeden Fall sehr zu begrüßen, weil man dann einmal Rechtssicherheit hätte und wissen würde, ob das Privacy Shield jetzt hält oder nicht.