FISA 702

Section 702 des Foreign Intelligence Surveillance Act erlaubt es US-Nachrichtendiensten, gezielt Kommunikation von Personen außerhalb der Vereinigten Staaten zu erfassen, die keine US-Staatsbürger sind. Die Erfassung erfolgt nicht auf eigenen Leitungen, sondern über die Mitwirkung amerikanischer Diensteanbieter.

Damit ist die Vorschrift der eigentliche Grund, warum die Übermittlung personenbezogener Daten an US-Anbieter seit Jahren rechtlich schwierig ist — und warum zwei Angemessenheitsbeschlüsse gefallen sind.

Wie das Verfahren abläuft

Der US-Generalstaatsanwalt und der Director of National Intelligence legen jährlich Zertifizierungen vor, die Kategorien von Aufklärungszielen beschreiben. Ein nicht öffentlich tagendes Gericht prüft diese Zertifizierungen und die dazugehörigen Verfahren zur Auswahl von Zielen und zur Minimierung.

Was dieses Gericht nicht prüft, ist die einzelne Person. Die Auswahl konkreter Ziele nehmen die Dienste innerhalb der genehmigten Kategorien selbst vor. Genau dieser Punkt — Prüfung der Kategorie statt des Einzelfalls, ohne Beteiligung der betroffenen Person — steht im Zentrum der europäischen Kritik.

Warum das für europäische Unternehmen zählt

Der Europäische Gerichtshof hat in Schrems II nicht festgestellt, dass europäische Daten massenhaft abgeflossen sind. Er hat festgestellt, dass die Befugnis besteht und dass betroffene Personen dagegen keinen dem europäischen gleichwertigen Rechtsbehelf haben.

Für Ihre eigene Prüfung heißt das: Maßstab ist die Rechtslage im Empfängerland, nicht Ihre Einschätzung, wie interessant Ihre Daten sind. Ein Mittelständler mit Konstruktionsdaten muss dieselbe Frage beantworten wie ein Konzern.

Was daraus praktisch folgt

Die Anbieterfrage geht der Standortfrage vor. Ein Anbieter außerhalb der US-Gerichtsbarkeit nimmt die Befugnis vom Tisch. Alles andere ist Schadensbegrenzung.

Verschlüsselung wirkt nur mit eigener Schlüsselhoheit. Der Europäische Datenschutzausschuss nennt sie als ergänzende Maßnahme ausdrücklich — allerdings nur unter der Bedingung, dass der Anbieter im Empfängerland die Daten nicht lesbar machen kann. Siehe Schlüsselhoheit.

Die Prüfung gehört dokumentiert. Nicht weil ein Dokument schützt, sondern weil die Aufsichtsbehörde im Zweifel danach fragt und weil die Prüfung Ihnen die Rangfolge Ihrer eigenen Abhängigkeiten liefert.

Was oft verwechselt wird

FISA 702 und der US CLOUD Act sind zwei verschiedene Wege. Der CLOUD Act ist Strafverfolgung und richtet sich an das Unternehmen; er hat ein Verfahren, das ein Anbieter gerichtlich angreifen kann. FISA 702 ist Auslandsaufklärung und läuft über zertifizierte Kategorien; hier gibt es für Betroffene keinen vergleichbaren Weg.

Wer nur den CLOUD Act betrachtet, unterschätzt die Lage. Wer nur FISA 702 betrachtet, übersieht, dass auch alltägliche Strafverfahren zu Herausgaben führen können.