Ein Urteil des Obersten Gerichtshofs der USA stellt das Abkommen für transatlantische Datentransfers infrage. Der Supreme Court entschied, dass der Präsident Mitglieder der Federal Trade Commission grundsätzlich entlassen darf. Genau deren politische Unabhängigkeit hatte die EU-Kommission 2023 jedoch als wichtige Garantie für den Schutz europäischer Daten anerkannt.
Der Europäische Datenschutzausschuss hat die EU-Kommission aufgefordert, die Folgen des US-Urteils für das EU-US Data Privacy Framework zu prüfen. In einem Schreiben vom 31. Juli weist das Gremium darauf hin, dass eine unabhängige Datenschutzaufsicht zu den zentralen Voraussetzungen für die Anerkennung eines angemessenen Schutzniveaus in einem Drittstaat gehört.
Das Framework erlaubt es europäischen Unternehmen, personenbezogene Daten vergleichsweise unkompliziert an zertifizierte Anbieter in den USA zu übertragen. Dazu können etwa Kunden-, Beschäftigten- oder Nutzerdaten gehören, die von amerikanischen Cloud-, Software- oder Plattformunternehmen verarbeitet werden.
Das Urteil handelt nicht von Datenschutz
Ausgangspunkt ist kein Verfahren über europäische Daten, Geheimdienste oder die Datenschutz-Grundverordnung.
US-Präsident Donald Trump hatte die demokratische FTC-Kommissarin Rebecca Kelly Slaughter entlassen. Nach dem bislang geltenden Recht konnten Mitglieder der Behörde nur aus bestimmten Gründen wie Pflichtvernachlässigung, Unfähigkeit oder Amtsmissbrauch abberufen werden.
Der Supreme Court entschied am 29. Juni mit einer Mehrheit von sechs zu drei, dass diese Beschränkung verfassungswidrig ist. Die FTC verfüge über weitreichende Regelsetzungs-, Ermittlungs- und Sanktionsbefugnisse und übe damit Exekutivgewalt aus. Ihre Mitglieder müssten deshalb der Kontrolle des Präsidenten unterstehen – einschließlich seines Rechts, sie zu entlassen.
Das Urteil betrifft damit zunächst die Machtverteilung innerhalb des amerikanischen Staates. Seine Nebenwirkung reicht jedoch bis zum europäischen Datenschutz.
Die EU hat sich ausdrücklich auf eine unabhängige FTC verlassen
Die Federal Trade Commission überwacht unter anderem, ob amerikanische Unternehmen ihre Zusagen aus dem Data Privacy Framework einhalten. Sie kann irreführende Datenschutzversprechen untersuchen, Verstöße verfolgen und gerichtliche oder behördliche Anordnungen durchsetzen.
In ihrem Angemessenheitsbeschluss von 2023 bezeichnete die EU-Kommission die beteiligten amerikanischen Behörden ausdrücklich als unabhängig. Sie verwies dabei auch darauf, dass die fünf FTC-Kommissare nicht nach politischem Belieben, sondern nur aus gesetzlich festgelegten Gründen entlassen werden könnten.
Genau diese Absicherung existiert nach dem Urteil nicht mehr.
Der Europäische Datenschutzausschuss fragt deshalb nicht nur, ob sich die Zusammensetzung einer amerikanischen Behörde verändert hat. Er stellt infrage, ob eine zentrale Annahme, auf der die europäische Genehmigung beruht, noch mit der Rechtslage übereinstimmt.
Der Datentransfer wird nicht automatisch illegal
Für Unternehmen ist zunächst entscheidend: Das Data Privacy Framework gilt weiterhin.
Weder der Supreme Court noch der Europäische Datenschutzausschuss können den Angemessenheitsbeschluss der EU-Kommission automatisch aufheben. Der Ausschuss hat eine Prüfung verlangt, aber noch nicht festgestellt, dass das amerikanische Schutzniveau unzureichend ist.
Europäische Unternehmen dürfen daher weiterhin Daten auf Grundlage des Frameworks an amerikanische Empfänger übermitteln, sofern diese auf der offiziellen Liste zertifizierter Organisationen stehen und die konkrete Datenverarbeitung von der Zertifizierung erfasst wird.
Auch Unternehmen, die andere Übertragungsinstrumente wie Standardvertragsklauseln oder verbindliche interne Datenschutzregeln nutzen, sind nicht unmittelbar von einem Wegfall des Frameworks betroffen. Allerdings müssen auch solche Instrumente ein in der Praxis ausreichendes Schutzniveau gewährleisten.