Der Judicial Redress Act (JRA) wurde vom US-Senat und Repräsentantenhaus am 10.2.2016 gebilligt, allerdings mit einem für viele Europäer inakzeptablen Zusatz. Der JRA erlaubt in vielen Fällen Klagen von EU-Bürgern in den USA und Auskünfte nach dem US-Privacy Act von 1974. Der JRA steht im Zusammenhang mit dem sog. EU-US-Umbrella Agreement vom Herbst 2015 (vgl. Spies, ZD-Aktuell 2015, 04869), das den Datentransfer zu Zwecken der Strafverfolgung regelt.
Nach Aussage der EU-Kommission ist der JRA eine Voraussetzung für den neuen EU-US- Privacy Shield. Der Zusatz mit der Möglichkeit des Entzugs des JRA-Rechtsschutzes erhöht den Druck auf die Europäer und die US-Regierung, die Vereinbarungen über den Privacy Shield anzuschließen, weil ansonsten die Rechte der EU-Bürger nach dem JRA nicht bestehen. Ein direktes Junktim mit den laufenden Verhandlungen über den Privacy Shield besteht jedoch nicht.
Der Zusatz hat zum einen zur Konsequenz, dass der Attorney General Folgendes zertifizieren muss, bevor ein Land ein „covered country” werden kann, für dessen Bürger der JRA anwendbar ist: „The country or regional economic integration organization, or member country of such organization, permits the transfer of personal data for commercial purposes between the territory of that country or regional economic organization and the territory of the United States, through an agreement with the United States or otherwise…”. Zum anderen werden nach dem Zusatz die Rechte nach dem JRA dem „covered country” nur gewährt, wenn gilt: „The Attorney General has certified that the policies regarding the transfer of personal data for commercial purposes and related actions of the country or regional economic integration organization, or member country of such organization, do not materially impede the national security interests of the United States.”Konsequenzen:
1. Wird die EU das Umbrella Agreement ausfertigen, wenn der JRA mit dem Zusatz verabschiedet wird?
Dies ist wahrscheinlich, weil die Zusammenarbeit im strafrechtlichen Bereich (auch) im Interesse der Europäer liegt. Es geht ohnehin bei dem JRA nur um Auskünfte nach dem Privacy Act von 1974, die ohnehin nur begrenzt möglich sind. Die EU ist jedenfalls mit ihrer Strategie gescheitert, die Zusammenarbeit in Bereichen der Strafverfolgung von der Diskussion über „Safe Harbor“ zu trennen.
2. Welche Auswirkungen hat der Zusatz für den neuen Privacy Shield?
Wenn die EU oder ein bestimmtes EU-Land die Weitergabe personenbezogener Daten an die USA für kommerzielle Zwecke verbietet, dann können, sozusagen als Vergeltungsmaßnahme, die USA Deutschland den Status als nach dem Umbrella Agreement abgedeckten „covered country“ entziehen. Der Zusatz wird weiterhin diejenigen im EU-Parlament bestärken, die mit den USA überhaupt keinen Privacy Shield vereinbaren wollen, solange die USA nicht ihre Gesetze z. B. zur Auslandsüberwachung ändern.
Allerdings ist zu berücksichtigen: Die Rücknahme des Schutzes nach dem JPA muss vom Attorney General nach Konsultation mit anderen Behörden explizit angeordnet werden. Dies ist eine relativ hohe Hürde, auch für eventuelle Fälle der zweiten Kategorie des Zusatzes („materially impede the national security interests of the United States…“). Das Aufsatteln von allgemeinen Bedingungen auf den Datentransfer in die USA durch die einzelnen DPAs ist trotz des Zusatzes möglich, Einzelmaßnahmen der DPAs, wie Strafen und Bußgelder gegen bestimmte Datenexporteure, wohl ebenfalls. Ob der Zusatz im JRA auch Vergeltungsmaßnahmen gegen die deutsche Vorratsdatenspeicherung (z.B. gegen das Gebot der Speicherung von TK-Daten im Inland) erlaubt, ist eher unwahrscheinlich, weil nur Datenübertragungen in die USA „for commerical purposes“ durch den Zusatz abgedeckt sind. Die Vorratsdatenspeicherung dient jedoch der Strafverfolgung und Terrorismusbekämpfung.
Fazit: Die praktischen Auswirkungen des Zusatzes sind eher gering.