Datenschutz: Bezirksgericht in New York verurteilt Microsoft zur Herausgabe „europäischer“ Daten

US-amerikanische Unternehmen können auf Aufforderung der US-Behörden verpflichtet sein, Daten auch dann herauszugeben, wenn diese ausschließlich in europäischen Rechenzentren gespeichert sind.

Hintergrund

In dem Rechtsstreit ging es um E-Mails eines Microsoft-Kunden, die in einem Rechenzentrum in Irland bei einer Tochtergesellschaft von Microsoft gespeichert sind. Gegen diesen Kunden wurde wegen des Verdachts auf Drogenschmuggel ermittelt. Die US-Regierung hatte die Herausgabe der E-Mails verlangt, ein Richter in New York hatte daraufhin bereits im Dezember 2013 einen Durchsuchungsbefehl ausgestellt.

Die Entscheidung

Das Bezirksgericht in New York bestätigte die Entscheidung der Vorinstanz. Danach muss Microsoft Daten von einem Nutzer auch dann an die US-Behörden herausgeben, wenn diese auf Servern im Ausland liegen. Die Ermittler dürfen also auf E-Mails oder Dokumente europäischer Nutzer zugreifen – ohne auf europäische Gesetze Rücksicht nehmen zu müssen. Sie vermeiden damit den üblichen – und oft langwierigen – Weg über die Behörden vor Ort und die meist strengeren Anforderungen an die Herausgabe von Daten. Nach Auffassung des Gerichts komme es alleine darauf an, wer die Kontrolle habe, nicht aber darauf, wo die Informationen tatsächlich liegen.

Das Bezirksgericht setzte den Vollzug seiner Entscheidung allerdings bis zu einer letztinstanzlichen Entscheidung aus. Microsoft hat bereits angekündigt, alle möglichen Rechtsmittel ausschöpfen zu wollen.

Praxishinweise

Microsoft wird (und wurde) in dieser Auseinandersetzung von nahezu allen großen amerikanischen IT-Dienstleistern unterstützt. Dies ist auch wenig überraschend: schon der NSA-Skandal hat in der amerikanischen IT-Industrie Studien zufolge zu Milliardenschäden geführt. Sollte das New Yorker Urteil Bestand haben, ist insbesondere das als fragil bekannte Vertrauen der Europäer in die US-amerikanischen IT-Dienstleister weiter gefährdet.

Diese haben in den vergangenen Jahren mit erheblichem Aufwand in europäische Rechenzentren investiert. Viele Anbieter verkaufen ihre Dienstleistungen (insbesondere im Bereich des Cloud Computing) mit der Garantie, dass die Daten ausschließlich in Europa und im Einklang mit den europäischen Datenschutzvorschriften gespeichert werden – eine Zusage, die US-amerikanische Unternehmen nach der New Yorker Entscheidung wohl kaum einhalten können. Es ist deshalb nicht verwunderlich, dass sich Microsoft massiv gegen diesen Durchsuchungsbeschluss wehrt: „The US government doesn’t have the power to search a home in another country, nor should it have the power to search the content of email stored overseas”. Die US-Regierung steht demgegenüber auf dem Standpunkt, es handle sich um einen allein nach US Recht zu beurteilenden Sachverhalt.

Für die Nutzer solcher Dienste bedeutet dies, dass die Sicherheit der Daten nicht in dem Maß gewährleistet ist, wie sie es vielleicht erwarten. Dies betrifft in erste Linie sicherlich die sogenannten personenbezogenen Daten, die unter einem besonderen Schutz des Bundesdatenschutzgesetzes stehen. Einige Datenschützer sehen daher in der Entscheidung eine Bestätigung ihrer bereits bestehenden Rechtsauffassung, wonach die Speicherung personenbezogener (Kunden)-Daten bei US-amerikanischen Dienstleistern unzulässig ist. Aber auch bei anderen sensiblen Daten sollte überlegt werden, ob deren Sicherheit wirklich in ausreichendem Maße gewährleistet ist.

Ironischerweise sind die Hauptargumente gegen die New Yorker Entscheidung nicht etwa die (Persönlichkeits-)Rechte der betroffenen Personen. Vielmehr besteht die Angst, dass dann auch andere Länder auf in den USA gespeicherte Daten zugreifen wollen und US-Unternehmen gegenüber ausländischen Dienstanbietern einen erheblichen Wettbewerbsnachteil erleiden. Einige Unternehmen fordern daher bereits eine Entscheidung des US-Kongress als Gesetzgeber.

Letztendlich zeigt die Entscheidung nochmals deutlich, dass bei der Entscheidung, ob und ggfs. welchem Dienstleister die eigenen Daten anvertraut werden, nicht nur wirtschaftliche Kriterien zu berücksichtigen sind. Neben der Frage der Leistungsfähigkeit und des Angebotsumfangs des Dienstleisters sind auch Datensicherheit und Datenschutz zu berücksichtigen und qualifiziert zu prüfen.