FISA und CLOUD-Act

Da Google Analytics nun ein sehr aktuelles Thema ist, gibt es viel Information auch über FISA und CLOUD-Act.

Ist das dasselbe, oder doch etwas Unterschiedliches?

Die Datenschutzbehörde hat im Google Analytics Bescheid (Ende des Jahres 2021) Google LLC als Anbieter elektronischer

Kommunikationsdienste im Sinne von 50 U.S. Code § 1881(b)(4) qualifiziert.

Als solcher unterliegt Google LLC der Überwachung durch US-Geheimdienste gemäß 50 U.S. Code § 1881a („FISA 702”) unterliegt

Hier erfahren Sie mehr ber FISA 702 auf der Website von noyb.

________________________________________________________

Davon zu unterscheiden ist der sog. CLOUD-Act (Clarifying Lawful Overseas Use of Data - Act), der seit 2018 besteht, und einen Zugriff der US-Behörden auf Daten, die außerhalb der USA durch Unternehmen, die im Einfluss von US-amerikanischen Unternehmen stehen, verarbeitet werden regelt.

Vor Geltungsbeginn des CLOUD-Act haben US-amerikanische Unternehmen, die von Durchsuchungsbeschlüssen oder Anordnungen zur Datenherausgabe betroffen waren, argumentiert, dass die Daten außerhalb der USA verarbeitet werden, und die Anordnungen / Beschlüsse nur für das Gebiet / das Territorium der USA Geltung haben, und daher diese Daten nicht herausgegeben werden müssen.

Anlassfall für den CLOUD-Act war ein Verfahren der US-Behörden gegen Microsoft, die bezüglich Daten, die außerhalb der USA verarbeitet wurden, so argrumeniert hatten. Das Verfahren begann im Jahr 2013 und wurde am 17.4.2018 vom US Supreme Court - nach Geltungsbeginn des CLOUD-Act - ohne Urteilsspruch beendet.

Der CLOUD-Act soll den Zugang zu elektronischen Informationen  beschleunigen, die sich im Besitz von in den USA ansässigen globalen Anbietern befinden und für die Ermittlungen unserer ausländischen Partner bei schweren Straftaten - von Terrorismus und Gewaltverbrechen bis hin zu sexueller Ausbeutung von Kindern und Cyberkriminalität - von entscheidender Bedeutung sind.

Auf Grundlage des CLOUD-Act können amerikanische Internet-Firmen und IT-Dienstleister durch US-Behörden verpflichtet werden, Zugriff auf die gespeicherten Daten zu gewähren, auch wenn die Speicherung nicht in den USA erfolgt.

Das Unternehmen, das von der Herausgabe betroffen ist, kann gegen die Anordnung Widerspruch erheben, wenn die Daten keine US-Bürger  oder Personen, die nicht in den USA leben, betreffen und das Unternehmen durch die Heraugsabe der Daten gegen Recht in anderen Ländern verstoßen würde. Das wäre bei EU-Bürgern und der DSGVO wohl der Fall.

Leider gibt es diese Widerspruchsmöglichkeit nur für Ländern, mit denen ein Abkommen iZhg mit derm CLOUD-Act bestht, und das ist derzeit nur UK.

Für EU-Bürger ist das daher nicht anwendbar, und EU-Bürger haben daher nur sehr eingeschränkte Rechtsschutzmöglichkeiten.

Microsoft hat dennoch angekündigt, dass es sich gegen Herausgabeanordnungen zur Wehr setzen werde. Bemerkenswert ist in diesem Zusammenhang, dass den Unternehmen, die von einer Herausgabeanordnung beroffen sind, auch gleichzeit verboten wird, darüber zu kommunizieren (sog. gag order)