Civil Liberties Protection Officer

Der Civil Liberties Protection Officer (CLPO) ist eine behördliche Stelle im Büro des Director of National Intelligence der Vereinigten Staaten von Amerika. Im Datenschutzrahmen EU-USA (Data Privacy Framework) prüft der CLPO Beschwerden von EU-Bürgern bei Verdacht auf rechtswidrige Überwachung ihrer Daten durch US-Geheimdienste. Er ist die erste Instanz eines zweistufigen Beschwerdemechanismus, der 2022 von US-Präsident Joe Biden durch einen Präsidialerlass eingerichtet wurde.^[1]

Im Schrems-II-Urteil vom Juli 2020 erklärte der Europäische Gerichtshof (EuGH) das Privacy-Shield-Abkommen genau wie zuvor das Safe Harbor Abkommen wegen unzureichender Datenschutzgarantien und fehlender Rechtsbehelfe für unwirksam. Als Reaktion vereinbarten die EU-Kommission und die US-Regierung mit dem Datenschutzrahmen EU-USA ein drittes Abkommen als Nachfolger.

Zur Umsetzung erließ Präsident Biden im Oktober 2022 die Executive Order 14086 mit einigen Neuerungen, darunter ein zweistufiger Beschwerdemechanismus aus dem CLPO als erster Instanz und dem im Justizministerium angesiedelten Data Protection Review Court (DPRC) als zweiter Instanz, unter Kontrolle des Privacy and Civil Liberties Oversight Board (PCLOB).

EU-Bürger können bei ihrer nationalen Datenschutzbehörde Beschwerde einlegen. Diese wird dann an den CLPO weitergeleitet. Der CLPO untersucht die Beschwerde und entscheidet, ob ein Verstoß gegen geltendes Datenschutzrecht vorlag. Der EU-Bürger erhält die Auskunft, dass kein Verstoß festgestellt wurde oder, dass ein Verstoß festgestellt wurde und die US-Regierung angemessene Maßnahmen zur Behebung ergriffen hat – jedoch ohne preiszugeben, ob die Person tatsächlich überwacht wurde. Die Entscheidung des CLPO kann sowohl von der betroffenen Person als auch vom Nachrichtendienst beim Data Protection Review Court angefochten werden.^[2][3]

Europäische Datenschutzexperten bewerten den Beschwerdemechanismus als rechtlich fragil und unzureichend. Da CLPO und Data Protection Review Court nur durch einen Präsidialerlass und nachgeordnete Anordnungen geschaffen wurden, können US-Regierungen diese Mechanismen mit einfachem Beschluss jederzeit aufheben.^[4]

Zudem wird die praktische Wirksamkeit bezweifelt: Weder CLPO noch Data Protection Review Court legen offen, ob eine Überwachung stattfand und stellen nur fest, dass es keinen Verstoß gab, oder dem Verstoß bereits durch angemessene Maßnahmen begegnet wurde. Datenschutzexperten wie Max Schrems erklärten, dass es undenkbar scheint, dass der Europäische Gerichtshof dies als gerichtlichen Rechtsbehelf gemäß Artikel 47 Grundrechtecharta akzeptieren würde.^[5]