EuG bestätigt neuen EU-US-Datenschutzrahmen

Lange wurde um den rechtsicheren Austausch von Daten mit den USA gerungen, noch nun steht fest: Der aktuelle EU-US-Datenschutzrahmen steht – zumindest vorerst. Das Gericht der Europäischen Union (“EuG“) hat die Klage gegen den neuen transatlantischen Datenschutzrahmen abgewiesen. Damit steht fest: Die Vereinigten Staaten gewährleisteten zum Zeitpunkt des Angemessenheitsbeschlusses der Kommission vom Juli 2023 ein angemessenes Schutzniveau für personenbezogene Daten, die aus der EU übermittelt werden.

Hintergrund

Bereits zwei Vorgängerregelungen waren vom EuGH aufgehoben worden (“Schrems I” 2015 und “Schrems II” 2020). Beide Male kritisierte der Gerichtshof insbesondere den weitreichenden Zugriff der US-Nachrichtendienste. Nach dem Wegfall des Privacy Shield herrschte erhebliche Rechtsunsicherheit im transatlantischen Datenverkehr.

Die USA reagierten 2022 mit einem Präsidialdekret, welches die Befugnisse der Nachrichtendienste einschränkte sowie mit Änderungen bei der Ausgestaltung des neu geschaffenen Data Protection Review Court (“DPRC“). Diese Entwicklungen nahm die Kommission zum Anlass, den aktuellen Angemessenheitsbeschluss zu erlassen.

Die Klage

Ein französischer Nutzer digitaler Plattformen beantragte die Nichtigerklärung des Angemessenheitsbeschlusses mit der Begründung, dass der neu geschaffene Data Protection Review Court (DPRC) nicht unabhängig und die Sammelerhebung personenbezogener Daten durch US-Dienste ohne vorherige Genehmigung einer unabhängigen Behörde daher rechtswidrig sei. Das EuG folgte dieser Argumentation jedoch nicht: Die Unabhängigkeit der Richterinnen und Richter des DPRC sei durch mehrere Garantien abgesichert, ihre Abberufung nur aus triftigen Gründen möglich und eine unzulässige Einflussnahme ausgeschlossen. Auch eine vorherige Genehmigung von Datensammlungen sei nach “Schrems II” nicht zwingend erforderlich, solange eine nachträgliche gerichtliche Überprüfung – wie durch den DPRC – gewährleistet ist. Darüber hinaus betonte das Gericht, dass die Kommission die Rechtslage in den USA fortlaufend überwachen und den Beschluss gegebenenfalls anpassen, aussetzen oder aufheben muss.

Ausblick

Das Urteil bedeutet vorerst Stabilität für Unternehmen, die Daten in die USA übermitteln. Dennoch ist das letzte Wort noch nicht gesprochen. Gegen die Entscheidung kann innerhalb von zwei Monaten und zehn Tagen ein Rechtsmittel beim EuGH eingelegt werden. Ob es zu einem “Schrems III” kommt, bleibt abzuwarten.