LIBE: Wider­stand gegen die Ange­mes­sen­heit des TADPF

Der Aus­schuss für bür­ger­li­che Frei­hei­ten, Justiz und Inne­res des Euro­päi­schen Par­la­ments (LIBE) hat am 14. Febru­ar 2023 den Ent­wurf einer Ent­schlie­ssung im Zusam­men­hang mit dem Pri­va­cy Shield 2.0, dem “EU‑U.S. Data Pri­va­cy Frame­work” (auch “Trans-Atlan­tic Data Pri­va­cy Frame­work”, TADPF), zuhan­den des Par­la­ments ver­ab­schie­det. Der Ent­wurf beruht auf Art. 132(2) der Geschäfts­ord­nung des Euro­päi­schen Par­la­ments, wonach die­ses zum Abschluss einer Aus­spra­che eine Ent­schlie­ssung anneh­men kann – das ist das, was der LIBE verlangt.

Wird der Ent­wurf ange­nom­men, wird sich das Euro­päi­sche Par­la­ment gegen einen Ange­mes­sen­heits­be­schluss für das Data Pri­va­cy Frame­work ent­schei­den. Ähn­lich der Kri­tik von noyb am TADPF bemän­gelt der LIBE vor allem fol­gen­de Punkte:

• zen­tra­le Begrif­fe wie die Ver­hält­nis­mä­ssig­keit im US-Recht anders als nach der DSGVO aus­ge­legt werden;
• die Exe­cu­ti­ce Order 14086 – Grund­la­ge des TADPF – eine “bulk coll­ec­tion of data by signals intel­li­gence, inclu­ding the con­tent of com­mu­ni­ca­ti­ons” nicht ver­hin­de­re und nicht anwend­bar ist für Daten, die US-Behör­den auf ande­re Wei­se erlan­gen, bspw. über den US CLOUD Act, durch frei­wil­li­ge Bekannt­ga­be, durch Daten­kauf oder auf ande­ren Wegen;
• Ent­schei­dun­gen des Data Pro­tec­tion Review Court (DPRC) nicht ver­öf­fent­licht werden;
• das DPRC Teil der Exe­ku­ti­ve ist;
• Betrof­fe­ne vor dem DPRC nicht durch einen unab­hän­gi­gen Rechts­bei­stand ver­tre­ten wer­den, son­dern durch einen “Spe­cial Advocate”;
• Betrof­fe­ne nicht über die Bear­bei­tung ihrer Daten infor­miert wer­den und kei­ne Mög­lich­keit haben, z.B. Scha­den­er­satz zu verlangen;
• der Rechts­schutz gegen Unter­neh­men, die am TADPF teil­neh­men, unge­nü­gend sei;
• Euro­päi­sche Unter­neh­men Rechts­si­cher­heit ver­die­nen (d.h.: kein TADPF zu ver­ab­schie­den, das der EuGH dann wie­der kippt);
• die USA immer noch kein Bun­des-Daten­schutz­ge­setz haben;
• die EO nicht klar genug ist und jeder­zeit, vom US-Prä­si­den­ten, geän­dert wer­den kann.

Das Par­la­ment sol­le des­halb wie folgt entscheiden:

11. Con­clu­des that the EU-US Data Pri­va­cy Frame­work fails to crea­te actu­al equi­va­lence in the level of pro­tec­tion; calls on the Com­mis­si­on to con­ti­n­ue nego­tia­ti­ons with its US coun­ter­parts with the aim of crea­ting a mecha­nism that would ensu­re such equi­va­lence and which would pro­vi­de the ade­qua­te level of pro­tec­tion requi­red by Uni­on data pro­tec­tion law and the Char­ter as inter­pre­ted by the CJEU; urges the Com­mis­si­on not to
adopt the ade­qua­cy fin­ding;

12. Ins­tructs its Pre­si­dent to for­ward this reso­lu­ti­on to the Coun­cil, the Com­mis­si­on and the Pre­si­dent and Con­gress of the United Sta­tes of America.