TL;DR

• Der EDSA (Europäischer Datenschutzausschuss) fordert eine Überprüfung des EU-US Data Privacy Frameworks.
• Hintergrund: Ein US-Urteil schwächt die Unabhängigkeit der Federal Trade Commission: Ihre Mitglieder können jetzt vom US-Präsidenten entlassen werden.
• Auch Datenschutzaktivist Max Schrems hat mit seiner Initiative NOYB eine rechtliche Anfechtung des Frameworks angekündigt.
• Unternehmen sollten deshalb ihre Abhängigkeit von US-Datentransfers und Cloud-Diensten prüfen.

Die Debatte um EU-US-Datentransfers erreicht eine neue Stufe

Das EU-US Data Privacy Framework steht erneut auf dem Prüfstand. Nachdem ein Urteil des US Supreme Court Zweifel an der institutionellen Unabhängigkeit der Federal Trade Commission (FTC) ausgelöst hatte, reagiert nun der Europäische Datenschutzausschuss (EDSA): Am 31. Juli 2026 forderte der EDSA die Europäische Kommission auf, die Auswirkungen der Entscheidung auf das Data Privacy Framework zu überprüfen.

Das ist eine wichtige Entwicklung. Denn bislang stellte sich vor allem die Frage, ob das 2023 geschaffene Framework einer erneuten gerichtlichen Überprüfung standhalten würde. Nun kommt die Forderung nach einer Neubewertung aus dem Kreis der europäischen Datenschutzaufsichtsbehörden selbst.

Für Unternehmen bedeutet das nicht, dass Datentransfers in die USA plötzlich unzulässig sind. Das Data Privacy Framework gilt weiterhin. Doch ob das von Anfang an auf wackeligem Fundament gebaute Regelwerk weiterhin Bestand haben kann, wird zunehmend fraglich.

Was hat sich geändert?

Auslöser der aktuellen Diskussion ist die Entscheidung des US Supreme Court im Verfahren „Trump v. Slaughter“. Im Kern geht es um die Unabhängigkeit von US-Bundesbehörden wie der Federal Trade Commission (FTC). Durch das Urteil des US Supreme Court wurde die Macht des US-Präsidenten über diese Behörden gestärkt: Mitglieder der FTC können demnach vom Präsidenten entlassen werden, ohne dass dafür ein besonderer Grund vorliegen muss. Genau das ist aus europäischer Datenschutzperspektive relevant, da das EU-US Data Privacy Framework auf der Unabhängigkeit der Kommission basierte.

Der EDSA sieht deshalb Anlass für eine Neubewertung. Seine Vorsitzende Anu Talus wandte sich am 31. Juli 2026 an EU-Justizkommissar Michael McGrath und forderte die Europäische Kommission auf, die Folgen der US-Entscheidung für das Data Privacy Framework zu untersuchen. Damit wird aus einem möglichen rechtlichen Risiko eine konkrete regulatorische Fragestellung auf europäischer Ebene.

Warum die FTC für das Data Privacy Framework wichtig ist

Um die Bedeutung der aktuellen Entwicklung zu verstehen, lohnt sich ein kurzer Blick zurück: Mit dem EU-US Data Privacy Framework schuf die Europäische Kommission 2023 erneut eine Grundlage für bestimmte Übermittlungen personenbezogener Daten aus der EU in die USA.

Vorausgegangen waren zwei gescheiterte Regelungen: Safe Harbor wurde 2015 durch den Europäischen Gerichtshof für ungültig erklärt, 2020 folgte mit dem „Schrems II“-Urteil das Privacy Shield.

Ein wesentlicher Punkt in der europäischen Bewertung des neuen Frameworks sind die Kontroll-, Durchsetzungs- und Rechtsschutzmechanismen in den USA. Dazu gehört die FTC. Sie kann gegenüber teilnehmenden Unternehmen die Einhaltung bestimmter Verpflichtungen des Data Privacy Frameworks durchsetzen.

Wenn sich die institutionellen Rahmenbedingungen dieser Behörde verändern, stellt sich deshalb zwangsläufig eine Folgefrage: Gelten die Annahmen, auf denen das Data Privacy Framework basiert, weiterhin? Diese Frage soll die Europäische Kommission nach Auffassung des EDSA nun beantworten.

Ist das EU-US Data Privacy Framework noch gültig?

Ja. Die Forderung des EDSA setzt das Data Privacy Framework nicht automatisch außer Kraft. Auch der Angemessenheitsbeschluss der Europäischen Kommission wurde bislang weder aufgehoben noch ausgesetzt. Unternehmen können sich daher grundsätzlich weiterhin auf die bestehende Rechtslage stützen.

Wichtig ist jedoch die Unterscheidung zwischen aktueller Gültigkeit und langfristiger Stabilität. Dass ein Angemessenheitsbeschluss heute gilt, bedeutet nicht automatisch, dass seine rechtlichen und tatsächlichen Voraussetzungen dauerhaft unverändert bleiben. Gerade die Geschichte der EU-US-Datentransfers zeigt, wie schnell vermeintlich etablierte Grundlagen erneut infrage gestellt werden können.

Hinzu kommt weiterer juristischer Druck. Max Schrems bereitet mit seiner Datenschutzinitiative NOYB bereits eine rechtliche Anfechtung des Data Privacy Frameworks vor. Ob daraus tatsächlich ein neues Verfahren vor dem Europäischen Gerichtshof und möglicherweise ein „Schrems III“ wird, ist derzeit noch offen. Eine angekündigte Klage bedeutet ebenso wenig das Ende des Frameworks wie die Forderung des EDSA nach einer Überprüfung. Beides zusammen erhöht jedoch die Unsicherheit über seine langfristige Stabilität.

Was bedeutet das für Standardvertragsklauseln und Transfer Impact Assessments?

Die aktuelle Diskussion betrifft nicht ausschließlich Unternehmen, die Datenübermittlungen unmittelbar auf das Data Privacy Framework stützen. Auch bei anderen Instrumenten für Drittstaatentransfers können die tatsächlichen Rahmenbedingungen in den USA relevant sein.

Wichtig ist dabei: Das Data Privacy Framework kann nur für Datenübermittlungen an US-Unternehmen genutzt werden, die entsprechend zertifiziert sind. Ist ein US-Unternehmen nicht nach dem Data Privacy Framework zertifiziert, ist für die Übermittlung eine andere Rechtsgrundlage erforderlich. In der Praxis kommen dafür insbesondere Standardvertragsklauseln (Standard Contractual Clauses – SCCs) infrage.

Wer SCCs nutzt, muss je nach Konstellation prüfen, ob die vereinbarten Schutzmaßnahmen unter den Bedingungen des jeweiligen Drittstaates tatsächlich wirksam sein können. Solche Bewertungen werden häufig im Rahmen eines Transfer Impact Assessments (TIA) dokumentiert. Verändern sich relevante rechtliche oder institutionelle Bedingungen in den USA, können deshalb auch Annahmen überprüfungsbedürftig werden, die Unternehmen ihren bisherigen Bewertungen zugrunde gelegt haben.

Das bedeutet nicht, dass bestehende SCCs oder TIAs durch die EDSA-Forderung automatisch unwirksam werden. Unternehmen sollten jedoch nachvollziehen können, auf welchen Voraussetzungen ihre Risikobewertung beruht und ob diese weiterhin aktuell sind.

Was sollten Unternehmen jetzt konkret tun?

Für Unternehmen besteht derzeit noch kein akuter Druck, bestehende Datentransfers allein aufgrund der EDSA-Forderung kurzfristig umzustellen. Allerdings wäre es ebenso wenig sinnvoll, die Entwicklung einfach abzuwarten.

Die Forderung und ihre möglichen Konsequenzen sollte jedoch mindestens Anlass für eine Bestandsaufnahme sein:

• Welche Dienste übertragen oder verarbeiten personenbezogene Daten in den USA?
• Auf welcher Rechtsgrundlage erfolgen diese Datentransfers?
• Welche kritischen Geschäftsprozesse hängen von US-amerikanischen Cloud-Diensten ab?
• Sind bestehende Transfer Impact Assessments noch aktuell?
• Welche Folgen hätte eine erneute Veränderung der Rechtslage?
• Welche Alternativen bestehen für besonders sensible Daten und Prozesse?

Gerade der letzte Punkt ist wichtig. Denn das wiederkehrende Problem transatlantischer Datentransfers lässt sich nicht allein durch die nächste rechtliche Konstruktion lösen. Unternehmen müssen sich zunehmend auch mit der Architektur ihrer digitalen Abhängigkeiten beschäftigen.

Digitale Souveränität bedeutet, Wahlmöglichkeiten zu behalten

Digitale Souveränität wird häufig mit der Frage verbunden, ob Technologie aus Europa oder aus den USA stammt. Das greift zu kurz. Entscheidend ist, wie gut eine Organisation ihre technologischen und rechtlichen Abhängigkeiten kennt und steuern kann. Gerade bei sensiblen Kommunikationsprozessen kann eine Verarbeitung innerhalb des europäischen Rechtsraums eine Möglichkeit sein, bestimmte Drittstaatenrisiken von vornherein zu reduzieren.

alfaview verfolgt diesen Ansatz bei Videokommunikation konsequent: Das Unternehmen hat seinen Sitz in Karlsruhe, die Entwicklung findet in Deutschland und Europa statt und für den Betrieb werden ausschließlich Rechenzentren mit Standort und Unternehmenssitz in Deutschland eingesetzt. alfaview sowie die eingesetzten Rechenzentren sind nach ISO 27001 zertifiziert. Audio- und Videoströme werden nicht gespeichert oder weitergegeben.

Das Beispiel verdeutlicht einen grundsätzlichen Ansatz für IT-Entscheidungen: Risiken lassen sich nicht nur durch Verträge und zusätzliche Schutzmaßnahmen adressieren. Unternehmen können bereits bei der Auswahl ihrer Infrastruktur berücksichtigen, welche internationalen Datentransfers überhaupt notwendig sind. Digitale Souveränität bedeutet dann nicht Abschottung, sondern Wahlfreiheit.

Fazit: Nicht das nächste Urteil abwarten

Das EU-US Data Privacy Framework gilt weiterhin. Daran ändert auch die Forderung des EDSA vom 31. Juli 2026 zunächst nichts. Neu ist jedoch, dass die Auswirkungen des US-Supreme-Court-Urteils nun ausdrücklich auf Ebene der europäischen Datenschutzaufsicht thematisiert werden.

Zusammen mit einer möglichen rechtlichen Anfechtung durch noyb stellt sich damit erneut die Frage, wie dauerhaft die aktuelle Grundlage für transatlantische Datenübermittlungen sein wird. Für Unternehmen ist dabei weniger entscheidend, vorherzusagen, ob und wann ein mögliches „Schrems III“-Urteil kommt, sondern vor allem die Frage, wie gut die eigene Organisation auf einen solchen Fall vorbereitet wäre.

Welche Prozesse hängen von Drittstaatentransfers ab? Welche Alternativen gibt es? Und wo lassen sich regulatorische Abhängigkeiten bereits durch die Gestaltung der eigenen IT-Infrastruktur reduzieren? Wer diese Fragen heute klärt, reduziert regulatorische Abhängigkeiten und bleibt auch bei einer veränderten Rechtslage handlungsfähig.

Weiterführende Fragen für die IT- und Datenschutzstrategie

Die aktuelle Entwicklung bietet Anlass für einen kurzen Realitätscheck:

• Welche kritischen Prozesse hängen von US-Datentransfers ab?
• Sind bestehende Transfer Impact Assessments noch auf dem aktuellen Stand?
• Welche Alternativen bestehen für besonders sensible Kommunikationsprozesse?
• Welche regulatorischen und technologischen Abhängigkeiten lassen sich langfristig reduzieren?

Weiterlesen: Wer die Hintergründe zum EU-US Data Privacy Framework, den rechtlichen Mechanismen für Drittstaatentransfers und den möglichen Auswirkungen eines erneuten EuGH-Verfahrens vertiefen möchte, findet diese in unserem ausführlichen Grundlagenbeitrag zum Thema.