TL;DR

• Das EU-US Data Privacy Framework ist weiterhin gültig.
• Ein Urteil des US Supreme Court stellt jedoch seine rechtliche Grundlage infrage.
• Auch Standardvertragsklauseln und Transfer Impact Assessments geraten unter Druck.
• Unternehmen sollten Datenschutz als strategischen Bestandteil ihrer IT-Architektur verstehen.

Datenschutz zwischen Europa und den USA bleibt ein Unsicherheitsfaktor

Die transatlantische Datenübertragung steht erneut vor einer entscheidenden Bewährungsprobe. Auslöser ist ein Urteil des US Supreme Court, das auf den ersten Blick wie eine rein amerikanische verfassungsrechtliche Entscheidung wirkt. Tatsächlich könnte es jedoch weitreichende Folgen für den Datenschutz in Europa haben.

Noch gilt offiziell das EU-US Data Privacy Framework. Gleichzeitig ist das rechtliche Risiko deutlich gestiegen. Denn eine der wesentlichen Säulen, auf denen der Angemessenheitsbeschluss beruht, wurde durch das Urteil erheblich geschwächt.

Die Entwicklung zeigt einmal mehr: Datenschutz ist längst nicht mehr nur eine Frage der Compliance. Er entwickelt sich zunehmend zu einem strategischen Faktor für digitale Resilienz und unternehmerische Handlungsfähigkeit.

Was hat der US Supreme Court entschieden?

Im Verfahren Trump v. Slaughter entschied der US Supreme Court, dass die Mitglieder der Federal Trade Commission (FTC) künftig ohne besonderen Grund vom US-Präsidenten entlassen werden können.

Hintergrund ist die sogenannte Unitary Executive Theory. Diese Verfassungsauffassung geht davon aus, dass sämtliche Bundesbehörden letztlich der unmittelbaren Kontrolle des Präsidenten unterstehen müssen. Behörden, deren Unabhängigkeit gesetzlich besonders geschützt ist, gelten nach dieser Rechtsauffassung als verfassungsrechtlich problematisch.

Für europäische Unternehmen mag diese Debatte zunächst weit entfernt erscheinen. Tatsächlich berührt sie jedoch unmittelbar die Grundlage des transatlantischen Datenschutzes.

Warum ist die Unabhängigkeit der Federal Trade Commission so wichtig?

Die FTC übernimmt in den USA eine zentrale Rolle bei der Durchsetzung datenschutzrechtlicher Verpflichtungen von Unternehmen – insbesondere auch gegenüber Unternehmen, die am EU-US Data Privacy Framework teilnehmen.

Genau diese unabhängige Kontrollfunktion war ein wesentlicher Grund dafür, dass die Europäische Kommission im Jahr 2023 das Datenschutzniveau in den USA als angemessen bewertete.

Wie bedeutend diese Rolle war, zeigt ein Blick in den Angemessenheitsbeschluss selbst: Die Europäische Kommission verweist dort 259-mal auf die Kontroll- und Durchsetzungsfunktion der FTC.

Mit der Entscheidung des Supreme Court gerät genau dieses Argument ins Wanken. Wenn die Behörde künftig unmittelbar politischen Weisungen unterliegt, lässt sich ihre Unabhängigkeit deutlich schwerer begründen als noch zum Zeitpunkt des Beschlusses.

Die juristischen Folgen dieser Entscheidung sind derzeit noch nicht abschließend absehbar. Dennoch hat sich die tatsächliche Grundlage verändert, auf die sich die Europäische Kommission bei ihrer Bewertung gestützt hat.

Gilt das Data Privacy Framework jetzt noch?

Das EU-US Data Privacy Framework ist weiterhin gültig. Weder hat die Europäische Kommission ihren Angemessenheitsbeschluss aufgehoben, noch hat der Europäische Gerichtshof das Framework für unwirksam erklärt.

Allerdings wächst die Unsicherheit. Datenschutzaktivist Max Schrems und seine Organisation noyb haben bereits angekündigt, auch gegen das Data Privacy Framework vorzugehen. Sollte das Verfahren erfolgreich sein, wäre es nach Safe Harbor (2015) und Privacy Shield (2020) bereits das dritte transatlantische Datenschutzabkommen, das vor dem Europäischen Gerichtshof scheitert.

Bis zu einer Entscheidung dürften allerdings noch mehrere Jahre vergehen. Für Unternehmen bedeutet das vor allem eines: Sie müssen ihre Datenschutzstrategie in einer Phase zunehmender Rechtsunsicherheit weiterentwickeln.

Betrifft das nur Unternehmen, die das Data Privacy Framework nutzen?

Nein. Auch Unternehmen, die Datenübermittlungen auf Standardvertragsklauseln (Standard Contractual Clauses – SCCs) oder Binding Corporate Rules (BCRs) stützen, sollten die aktuelle Entwicklung aufmerksam verfolgen.

Diese Instrumente setzen voraus, dass Unternehmen im Rahmen eines Transfer Impact Assessments (TIA) prüfen, ob personenbezogene Daten im Empfängerland tatsächlich angemessen geschützt werden können.

Bei diesen Bewertungen wird regelmäßig auf bestehende Kontroll- und Rechtsschutzmechanismen in den USA verwiesen.

Eine wichtige Rolle spielt dabei der Data Protection Review Court, den die US-Regierung im Zuge des Data Privacy Framework geschaffen hat. Allerdings handelt es sich dabei nicht um ein unabhängiges Gericht im europäischen Sinne, sondern um eine Einrichtung innerhalb des US-Justizministeriums. Seine Ausgestaltung beruht maßgeblich auf einer präsidialen Executive Order.

Sollte diese künftig geändert oder aufgehoben werden, würde sich auch die Grundlage vieler bestehender Transfer Impact Assessments verändern.

Unternehmen sollten ihre bisherigen Risikoanalysen daher überprüfen und dokumentieren, ob die bisherigen Annahmen weiterhin tragfähig sind.

Warum Unternehmen jetzt ihre Cloud-Strategie überprüfen sollten

Die aktuelle Entwicklung zeigt, wie eng Datenschutz, Geopolitik und IT-Strategie inzwischen miteinander verknüpft sind.

Viele Organisationen verlassen sich heute auf internationale Cloud-Dienste für Kommunikation, Zusammenarbeit und die Verarbeitung sensibler Daten. Ändern sich die rechtlichen Rahmenbedingungen kurzfristig, können daraus erhebliche organisatorische und wirtschaftliche Herausforderungen entstehen.

Deshalb lohnt sich jetzt ein kritischer Blick auf die eigene Infrastruktur.

Folgende Fragen sollten Unternehmen beantworten können:

• Wie stark ist unsere Organisation von einzelnen US-Cloud-Anbietern abhängig?
• Welche Anwendungen verarbeiten personenbezogene oder besonders schützenswerte Daten?
• Sind unsere Transfer Impact Assessments noch aktuell?
• Welche Prozesse wären betroffen, wenn sich die Rechtslage erneut ändert?
• Wo können europäische Alternativen Risiken reduzieren?

Datenschutz wird damit zunehmend zu einem Bestandteil des unternehmerischen Risikomanagements.

Digitale Souveränität wird zum Wettbewerbsvorteil

Unabhängig davon, wie der Europäische Gerichtshof künftig entscheidet, macht die aktuelle Entwicklung eines deutlich:

Rechtliche Rahmenbedingungen für internationale Datentransfers können sich jederzeit verändern.

Für Unternehmen bedeutet das, kritische Kommunikations- und Kollaborationsprozesse sollten möglichst unabhängig von geopolitischen Entwicklungen gestaltet werden. Deshalb gewinnt das Thema digitale Souveränität weiter an Bedeutung.

Europäische Lösungen, deren Unternehmenssitz, Entwicklung und Datenverarbeitung vollständig innerhalb des europäischen Rechtsraums erfolgen, können dazu beitragen, regulatorische Risiken zu reduzieren und langfristig mehr Planungssicherheit zu schaffen. Insbesondere bei sensiblen Kommunikationsprozessen setzen viele Organisationen deshalb bewusst auf Anbieter, die ausschließlich der DSGVO sowie europäischem Datenschutzrecht unterliegen.

Fazit

Das Urteil des US Supreme Court hebt das EU-US Data Privacy Framework nicht unmittelbar auf, jedoch verändert die Entscheidung die juristische Ausgangslage erheblich. Die Unabhängigkeit der Federal Trade Commission war ein zentrales Argument für die Angemessenheitsentscheidung der Europäischen Kommission. Wird diese Grundlage geschwächt, steigt das Risiko, dass das Framework erneut vor dem Europäischen Gerichtshof scheitert.

Auch Unternehmen, die auf Standardvertragsklauseln oder Binding Corporate Rules setzen, sollten die Entwicklung aufmerksam verfolgen und ihre Transfer Impact Assessments überprüfen.

Die eigentliche Lehre aus der aktuellen Situation reicht jedoch über die juristische Bewertung hinaus: Datenschutz ist heute kein isoliertes Compliance-Thema mehr. Er ist ein wesentlicher Bestandteil einer zukunftsfähigen IT-Strategie, einer resilienten Cloud-Architektur und einer digitalen Souveränität, die Unternehmen unabhängiger von politischen und regulatorischen Veränderungen macht.

Weiterführende Fragen für Unternehmen

Wer personenbezogene Daten international verarbeitet, sollte die aktuelle Entwicklung zum Anlass nehmen, die eigene Datenschutzstrategie kritisch zu hinterfragen:

• Sind unsere Datentransfers langfristig rechtlich belastbar?
• Wie hoch ist unsere Abhängigkeit von außereuropäischen Cloud-Anbietern?
• Sind unsere Transfer Impact Assessments auf dem aktuellen Stand?
• Welche Rolle soll digitale Souveränität künftig in unserer IT-Strategie spielen?

Wer diese Fragen frühzeitig beantwortet, schafft nicht nur mehr Rechtssicherheit, sondern stärkt auch die Widerstandsfähigkeit der eigenen digitalen Infrastruktur.