Von Johannes Kuhn

Vor zehn Jahren legten EU und USA fest, wie Google und Co. mit unseren Daten umgehen können. Das Regelwerk gilt als unbrauchbar, doch die deutsche Regierung mauert.

Oft wird der Politik vorgeworfen, sie würde bei der Internet-Gesetzgebung hinterher hinken - und dann noch alles falsch machen. Beim Austausch von personenbezogenen Daten kann man ihr zumindest nicht vorhalten, zu spät gehandelt haben: Bereits im Jahr 2000 schloss die EU mit den USA ein Abkommen, das die Übermittlung personenbezogener Daten regelt.

Schon zu diesem Zeitpunkt war klar, dass es sich um einen Kompromiss handelt: Die EU-Datenschutzrichtlinie sieht vor, dass keine Daten von den Bürgern des Kontinents an Länder übermittelt werden dürften, deren Datenschutz unter den EU-Standards liegt. Gleichzeitig drängte die Zeit, weil eine Grundlage für den Informationsaustausch im Internet gelegt werden musste, das bereits damals von US-Firmen dominiert wurde.

Der niedrigere Standard der USA sollte mit dem so genannten Safe-Harbor-Abkommen ausgeglichen werden: Darin ist festgelegt, dass sich US-Unternehmen gegenüber der US-Aufsichtsbehörde Federal Trade Commission (FTC) verpflichten müssen, bei der Datenverarbeitung sieben Punkte zu beachten.

Darunter fällt die Pflicht, Nutzer darüber zu informieren, welche Daten sie zu welchem Zweck weitergeben, sie bei Weitergabe an Dritte zu informieren und ihnen das Recht einzuräumen, die gespeicherten Daten einzusehen und sie ergänzen oder löschen zu können.

Das Abkommen ist bis heute in Kraft und bilden die Rechtsgrundlage für in Europa agierende Unternehmen wie Facebook, Google oder Amazon, aber auch für Konzerne, die beispielsweise die Personaldaten ihrer Mitarbeiter auf Servern in den USA verarbeiten.

Zahlen für die Datenauskunft

Doch das hehre Ziel der Transparenz ist hierbei nur auf dem Papier verwirklicht: Die Unternehmen können sich mit einem einzigen Schreiben bei der FTC selbst zertifizieren. Die Organisation überprüft in der Praxis nicht genauer, wie die sieben Punkte jenseits der Lippenbekenntnisse umgesetzt werden. Einer Studie aus dem Jahr 2008 (pdf hier) zufolge erfüllte damals nur ein Drittel der unter Safe Harbor gemeldeten US-Firmen die festgelegten Standards.

Für die FTC offenbar dennoch kein Grund, besonders aktiv zu werden: Im Jahr 2009 ging sie nur gegen sechs Firmen vor - und auch nur deshalb, weil diese fälschlicherweise ihre Selbstzertifizierung behauptet hatten.

Dabei gäbe es viel zu kritisieren, die angestrebten Rechte für Verbraucher lassen in der Praxis häufig zu wünschen übrig. Die Hälfte aller Unternehmen stellte Nutzern der Studie zufolge keine Informationen zur Verfügung, wie sie von Rechten wie Löschung oder Einsicht in die gespeicherten Daten Gebrauch machen; 314 Unternehmen verlangten für die Durchsetzung der zugesicherten Rechte sogar Summen von 2000 bis 4000 Dollar.

Hinzu kommt, dass in Folge der Anschläge vom 11. September US-Ermittlungsbehörden weitreichende Zugriffsrechte auf Daten erhalten, die auf amerikanischen Servern lagern. Ob und wie oft sie dabei auch persönliche Daten europäischer Bürger durchsuchen, bleibt trotz der im Abkommen festgelegten unternehmerischen Auskunftspflicht bei der Weitergabe an Dritte im Dunkeln.