Corner-top-right-trans
Berliner Beauftragte für Datenschutz und Informationsfreiheit

Datenübermittlungen an US-Behörden sowie US-Unternehmen


Zunehmend werden deutsche Unternehmen gezwungen, personenbezogene Kunden- oder Mitarbeiterdaten herauszugeben, sei es an US-Behörden, die die Daten für eigene (u.U. strafrechtliche) Ermittlungen beanspruchen, sei es an US-Unternehmen im Vorfeld von Rechtsstreitigkeiten (“Discovery”).

Auszug aus dem Jahresbericht 2007

In der ersten Fallkonstellation geht es darum, dass deutsche Unternehmen durch Beschlagnahmeanordnungen des US-Justizministeriums direkt verpflichtet werden, personenbezogene Daten ihrer Mitarbeiterinnen und Mitarbeiter in den deutschen Niederlassungen an das Ministerium zu übermitteln. Hintergrund sind die u. a. vom Ministerium geführten Ermittlungen wegen Korruptionsverdachts bei verschiedenen weltweit tätigen Konzernen, die zudem der US-Börsenaufsicht unterliegen. In der zweiten Fallkonstellation geht es um die Herausgabe von Daten an private US-Unternehmen zur Prüfung der Erfolgschancen von zivilrechtlichen Klagen. Im Rahmen dieser “Pre-Trial Discovery of Documents” können die Zivilprozesspar-teien nach amerikanischem Recht schon in einem frühen Stadium des Verfahrens umfänglich Einsicht in ihnen möglicherweise dienliche Unterlagen der Gegenseite nehmen. Bei dieser Beweisermittlung im Verfahrensstadium zwischen Klageerhebung und Hauptverhandlung können die gegnerische Partei oder Dritte zur Vorlage von Beweismitteln gezwungen werden, ohne dass die Klage auf ihre Schlüssigkeit hin überprüft wird. Das Gericht wird dabei nur im Rahmen der Anordnung von Schutz- oder Zwangsmaßnahmen eingeschaltet. Im Übrigen verantworten primär die Parteien und ihre Prozessvertreter dieses Verfahren. Die im US-Recht etablierte “Pre-Trial Discovery”, die sich auch auf elektronische Dokumente beziehen kann (“E-Discovery”), entspricht in ihrer Wirkung häufig dem nach deutschem Prozessrecht unzulässigen Ausforschungsbeweis. Bereits im letzten Jahr wurde diese Fallkonstellation zur Beurteilung an uns herangetragen. Wir hatten ein zweistufiges Vorgehen befürwortet, das in einem ersten Schritt die Übermittlung pseudonymisierter Daten und erst in einem zweiten Schritt, nämlich im Bedarfsfalle, die Übermittlung personenbezogener Daten beinhaltete. Offenbar hat der Prozessgegner in den USA die Unterscheidung gebilligt, was nicht sicher war und dann mit prozessualen Nachteilen für das Berliner Unternehmen hätte enden können.

Beiden Fallkonstellationen ist die Zwangslage gemeinsam, in der sich deutsche Unternehmen befinden: Sie müssen massive Nachteile finanzieller Art (Verlust des Börsenplatzes, des Prozesses) befürchten, wenn sie dem Herausgabeverlangen der US-Seite nicht folgen. Tun sie dies doch, verstoßen sie gegen die Übermittlungsbestimmungen des deutsches Datenschutzrechts, was mit einer Geldbuße bis zu 250.000 Euro geahndet werden kann. Angesichts dieses Konflikts hat die AG “Internationaler Datenverkehr” beschlossen, die politische Ebene einzuschalten. Deshalb wurden diese Fragestellungen an das Bundesministerium der Justiz (BMJ) herangetragen mit dem Ziel, eine einheitliche Beratungspraxis der Aufsichtsbehörden gegenüber deutschen Unternehmen herbeizuführen. Das BMJ hat wie folgt geantwortet:Pdf

Für die erste Fallkonstellation bedeutet dies, dass nach Inkrafttreten des Vertrags über die Rechtshilfe in Strafsachen eine direkte Übermittlung von personenbezogenen Daten an das US-Justizministerium unzulässig ist. Bei solchen Herausgabeverlangen muss das Unternehmen zunächst den offiziellen Rechtshilfeweg beschreiten, d. h. an die Landesjustizverwaltung herantreten. Sie hat das Herausgabeverlangen auch unter Datenschutzaspekten zu prüfen. Betroffenen Unternehmen ist zu empfehlen, auch in der Übergangszeit bis zum Inkrafttreten des Vertrages die für die Rechtshilfe in Strafsachen zuständigen Behörden einzuschalten.

Für die zweite Fallkonstellation bedeutet die Antwort des BMJ, dass deutsche Unternehmen ein umfassendes Herausgabeverlangen von US-Unternehmen zurückweisen müssen. Hierbei können sie auf die Antwort des BMJ verweisen. Der Düsseldorfer Kreis vertritt hierzu folgende Auffassung: Pre-Trial Discovery-Ersuchen US-amerikanischer Unternehmen sind von § 4 c Abs. 1 Satz 1 Nr. 4 BDSG (der eine Datenübermittlung nur gestattet, wenn sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor Gericht erforderlich ist) i. V. m. dem “Erledigungsverbot” nach HBÜ grundsätzlich nicht gedeckt. Das zweistufige Verfahren nach Pseudonymisierung kann dagegen weiterhin befürwortet werden.

Zwar scheint damit die Verfahrensweise aus deutscher Sicht vorerst geklärt. Unbefriedigend ist die Situation aber zumindest dann, wenn sich europaweit tätige Unternehmen (ggf. ein und desselben Konzerns) möglicherweise unterschiedlich verhalten. Deshalb hat die AG “Internationaler Datenverkehr” eine Befassung der Art. 29-Datenschutzgruppe befürwortet und ihr die Fragestellungen unterbreitet. Bei der von uns eingeleiteten ersten Umfrageaktion unter ihren Mitgliedern hat sich herausgestellt, dass die rechtliche Beurteilung beider Fallkonstellationen sehr unterschiedlich erfolgt. Teilweise war man sich der Problematiken überhaupt nicht bewusst. Allseits war man sich allerdings einig, dass eine unterschiedliche Handhabung der US-Herausgabeersuchen in Europa möglichst vermieden werden soll. Die Art. 29-Datenschutzgruppe hat deshalb eine Unterarbeitsgruppe eingesetzt, die zunächst die Rechtslage in der EU näher beleuchten und eine Stellungnahme zu beiden Fallkonstellationen erarbeiten soll. Ziel ist dabei, die Problematiken einheitlich zu lösen, was u. U. dazu führen kann, dass die Auffassung des Düsseldorfer Kreises zur zweiten Fallkonstellation dort erneut diskutiert werden muss.

14.11.2008