Das EU-US-Datenschutzrahmenwerk (DPF) ist in Gefahr.
- Autor: Arno Schlösser, DP-Dock GmbH
- Letzte Aktualisierung: Juli 2026
- Kategorie: Datensicherheit
Das Urteil des Obersten Gerichtshofs der Vereinigten Staaten im Fall „Trump gegen Slaughter“ stellt nach seiner Entscheidung vom 29.06.2026 die Rechtmäßigkeit transatlantischer Datenübermittlungen in Frage.
Der Oberste Gerichtshof der USA hatte über die Rechtmäßigkeit der Entlassung von Rebecca Slaughter, einer demokratischen Kommissarin der Federal Trade Commission („FTC“), durch Präsident Trump zu entscheiden. Der Präsident hatte die Kommissarin ohne Angabe von Gründen abberufen, obwohl eine solche Maßnahme zuvor im Hinblick auf Mitglieder unabhängiger Behörden als verfassungsrechtlich unzulässig galt. Das Gericht entschied, dass der Präsident die verfassungsmäßige Befugnis hat, die Leiter unabhängiger Behörden oder Kommissionen, einschließlich der FTC, ohne Angabe von Gründen abzuberufen. Die Entscheidung stützte sich auf die sogenannte Theorie der einheitlichen Exekutive, wonach die Verfassung die Exekutivgewalt dem Präsidenten überträgt. Dementsprechend müssen Behörden, die Exekutivbefugnisse ausüben, der Kontrolle des Präsidenten unterliegen, einschließlich der Befugnis des Präsidenten, ihre Amtsträger jederzeit und ohne Angabe von Gründen abzuberufen.
Bedeutung für das Datenschutzrecht
Das im Jahr 2023 geschlossene EU-US-Datenschutzrahmenwerk („DPF“) stützt sich in hohem Maße auf die FTC als unabhängige Aufsichts- und Durchsetzungsbehörde.
Die Angemessenheitsentscheidung der EU, auf der das DPF basiert, stützt sich wesentlich auf die Unabhängigkeit und Wirksamkeit der US-amerikanischen Aufsichts- und Durchsetzungsmechanismen, um sicherzustellen, dass den betroffenen Personen in der EU ein Schutzniveau gewährt wird, das im Wesentlichen dem innerhalb der EU garantierten Schutzniveau entspricht. Die FTC spielt in diesem Rahmen eine zentrale Rolle, da sie für die Durchsetzung der DPF-Verpflichtungen der teilnehmenden US-Unternehmen zuständig ist. Sie überwacht, ob die im Rahmen des DPF zertifizierten Unternehmen die Datenschutzgrundsätze, zu deren Einhaltung sie sich verpflichtet haben, tatsächlich einhalten.
Die Entscheidung des Obersten Gerichtshofs wirft die Frage auf, ob die unabhängige Aufsicht, auf der der DPF beruht, diesen Standard noch erfüllen kann, wenn eine wichtige US-amerikanische Durchsetzungsbehörde durch die sofortige Entlassung ihrer Kommissare durch den Präsidenten neu besetzt werden kann. Es lässt sich daher argumentieren, dass solche Behörden nicht mehr als ausreichend unabhängige Aufsichtsbehörden im Sinne des EU-Rechts angesehen werden können.
Für das EU-US-Datenschutz-Rahmenwerk hat die Entscheidung daher erhebliche Auswirkungen. Zwar bleibt die Angemessenheitsentscheidung vorerst in Kraft, doch wachsen die Zweifel daran, ob die Aufsichts- und Durchsetzungsmechanismen der USA langfristig weiterhin den europäischen rechtlichen Anforderungen genügen werden.
Die Situation wird durch das laufende Verfahren vor dem Gericht der Europäischen Union und die bereits angekündigte Klage von Max Schrems und der in Wien ansässigen Digitalrechts-NGO „NOYB“ gegen das Datenschutz-Rahmenabkommen weiter verschärft.
Die EU-Kommission kann die Angemessenheitsentscheidung auch von sich aus überprüfen, wenn sie der Ansicht ist, dass betroffene Personen in der EU kein Schutzniveau für personenbezogene Daten mehr genießen, das dem gemäß der DSGVO garantierten Schutzniveau gleichwertig ist.
Dementsprechend bleibt das Datenschutzrahmenwerk (DPF) formal in Kraft, bis entweder die Europäische Kommission die Angemessenheitsentscheidung aufhebt oder der Gerichtshof der Europäischen Union (EuGH) sie für ungültig erklärt.
Experten gehen davon aus, dass ein Verfahren vor dem EuGH etwa zwei bis drei Jahre dauern wird.
Praktische Auswirkungen für Unternehmen
Unternehmen, die derzeit auf das DPF als rechtlichen Mechanismus für die Übermittlung personenbezogener Daten in die USA zurückgreifen, sollten nicht auf weitere Entwicklungen warten, bevor sie Maßnahmen ergreifen.
Wir empfehlen:
- die Übermittlung personenbezogener Daten in die Vereinigten Staaten zu überprüfen und festzustellen, welche Datenströme derzeit auf der DPF-Zertifizierung beruhen und daher betroffen wären, falls das DPF ausgesetzt oder für ungültig erklärt würde;
- ihre Transfer-Folgenabschätzungen („TIAs“) zu überprüfen; und
- alternative Übermittlungsmechanismen wie die EU-Standardvertragsklauseln („SCCs“) oder verbindliche Unternehmensregeln („BCRs“) zu prüfen, um sicherzustellen, dass geeignete Ausweichmechanismen vorhanden sind.
Wenn Sie Fragen zu diesem Artikel oder zu internationalen Datenübermittlungen im Allgemeinen haben, können Sie sich gerne an uns wenden.
