EU-U.S. Data Privacy Framework (DPF) auf dem Prüfstand

Dieser Beitrag beschäftigt sich kurz aber heftig mit dem Fortbestand des EU-U.S. Data Privacy Framework (DPF). Dessen rechtliche Grundlage wird nämlich seit geraumer Zeit intensiv diskutiert.

Auslöser war die Entscheidung des US Supreme Court im Fall Trump v. Slaughter vom 29.06.2026. Im Rahmen dieser Entscheidung stellte der US Supreme Court klar, dass der US-Präsident großen Einfluss auf die Besetzung und Abberufung von Leitungsmitgliedern bislang als unabhängig wahrgenommener Behörden ausüben kann. Konkret geht es im aktuellen Thema um die Besetzung der Federal Trade Commission (FTC). Gemäß der Entscheidung des US Supreme Court können die Kommissar*innen der FTC nicht mehr nur aus wichtigem Grund entlassen werden, sondern der Präsident kann sie nach Belieben abberufen und neubesetzen.

Dadurch wird die bisherige institutionelle Unabhängigkeit dieser Aufsichtsbehörde geschwächt. Die FTC ist die wichtigste zivile Durchsetzungsbehörde des DPF und unter anderem für die folgenden Aufgaben zuständig:

Durchsetzung der DPF-Prinzipien
Unternehmen, die sich nach dem DPF zertifizieren lassen, verpflichten sich zur Einhaltung der DPF-Prinzipien. Verstöße gegen diese Verpflichtungen können von der FTC als unlautere oder irreführende Geschäftspraktiken verfolgt werden.
Untersuchung von Beschwerden
Die FTC kann Untersuchungen gegen Unternehmen einleiten, wenn Hinweise auf Verstöße gegen die DPF-Anforderungen vorliegen.
Anordnungen und Sanktionen
Die FTC kann Unterlassungsanordnungen erlassen und Verstöße gegen FTC-Anordnungen direkt sanktionieren. Dadurch soll sichergestellt werden, dass DPF-zertifizierte Unternehmen ihre Verpflichtungen tatsächlich einhalten.

Damit ist die FTC der zentrale Vertrauensanker des DPF. Aus Sicht der EU-Kommission ist die FTC der Garant dafür, dass Datenschutzverstöße in den USA tatsächlich überwacht und sanktioniert werden können. Daher wird die FTC in den DPF-Unterlagen und der Angemessenheitsentscheidung an zahlreichen Stellen erwähnt.

Prüfung durch die Europäische Kommission

Der Angemessenheitsbeschluss der Europäischen Kommission für das DPF basiert unter anderem auf genau dieser Annahme, dass in den USA wirksame Kontroll-, Aufsichts- und Rechtsschutzmechanismen bestehen. Sollte die erforderliche Unabhängigkeit der FTC und gegebenenfalls weiterer Institutionen nicht mehr gewährleistet sein, kann dies Zweifel an der Grundlage des Angemessenheitsbeschlusses begründen. Genau dieser Punkt steht derzeit im Mittelpunkt der Diskussionen.

Die Europäische Kommission ist verpflichtet, die Voraussetzungen eines jeden Angemessenheitsbeschlusses laufend zu überwachen. Stellt sich heraus, dass das Datenschutzniveau im betreffenden Drittland nicht mehr dem zum Zeitpunkt der Entscheidung zugrunde gelegten Schutzniveau entspricht, kann die Kommission den Angemessenheitsbeschluss ändern, aussetzen oder aufheben. Die Kommission hat bereits angekündigt zu prüfen, ob die jüngsten Entscheidungen des US Supreme Court Auswirkungen auf die für das DPF maßgeblichen Garantien haben, insbesondere hinsichtlich der Unabhängigkeit von Aufsichts- und Kontrollmechanismen.

Forderungen der Datenschutzorganisation noyb

Darüber hinaus hat die österreichische Datenschutzorganisation „None Of Your Business“ (noyb) die Europäische Kommission aufgefordert, die Auswirkungen der Entscheidung sorgfältig zu bewerten. Nach Auffassung von noyb könnten die Voraussetzungen für den Angemessenheitsbeschluss nicht mehr vollständig erfüllt sein. Gleichzeitig wurden weitere rechtliche Schritte angekündigt. noyb war bereits maßgeblich an den Verfahren der Vergangenheit beteiligt, die zur Aufhebung der Safe Harbor und Privacy Shield Abkommen führten. In diesem Zusammenhang dürfte vielen der Name „Max Schrems“ bekannt sein. Er ist der Gründer von noyb und bis heute Ehrenvorsitzender sowie Repräsentant der Organisation.

Fazit und Empfehlung

Das Wichtigste zuerst: Das EU-U.S. Data Privacy Framework ist aktuell unverändert gültig. Es kann weiterhin als Grundlage/Garantie für Datentransfers in die USA genutzt werden. Die jüngsten Entwicklungen in den USA haben jedoch bewirkt, dass die rechtlichen Rahmenbedingungen derzeit erneut auf den Prüfstand gestellt werden. Auch wenn aktuell keine unmittelbaren Maßnahmen erforderlich sind, empfiehlt sich eine vorsorgliche Vorbereitung alternativer Transfermechanismen, um auf mögliche zukünftige Änderungen schnell und rechtssicher reagieren zu können.

Wir empfehlen, bestehende US-Datentransfers zu überprüfen und festzustellen, bei welchen Transfers bislang ausschließlich auf das DPF vertraut wird. Soweit möglich, sollten SCC (wir hatten dazu eine ganze Artikelserie veröffentlicht, für das vermutlich relevanteste Thema Controller-Processor, also Auftragsverarbeitung, siehe hier) als zusätzliche Absicherung bereits (bitte mit aufschiebender Wirkung) vereinbart oder, sofern das nicht immer möglich ist, zumindest vorbereitet werden. Gleichzeitig empfehlen wir allen Unternehmen, die weiteren Veröffentlichungen der Europäischen Kommission sowie der Datenschutzaufsichtsbehörden und natürlich unsere Veröffentlichungen verfolgen.

Wenn Sie Unterstützung bei der Ermittlung der derzeit genutzten Garantien und gegebenenfalls im Nachgang beim Abschluss von SCC brauchen: Melden Sie sich gern!