Europäische Datenschützer fordern Prüfung des EU-US-Datentransferabkommens

Der Europäische Datenschutzausschuss (EDSA) hat die Europäische Kommission offiziell aufgefordert, eine rechtliche Überprüfung des EU-US-Datenschutzrahmens (DPF) einzuleiten. Denn der Einsatz von US-IT-Produkten mit Datentransfer in die USA basiert auf einem Angemessenheitsbeschluss der EU-Kommission. Dieser scheint aber hinfällig, da eine zentrale Basis entfallen ist. Erforderlich ist dies nach einem Urteil eines US-Supreme Court.

US-IT als Problem: Worum es geht

Unter US-President Biden wurde das "Transatlantic Data Privacy Framework" (TADPF)  mit der EU-Kommission etabliert. Die EU-Kommission sah unter dem Transatlantic Data Privacy Framework (TADPF) das Datenschutzniveau europäischer Bürger in den USA als gleichwertig mit den DSGVO-Regelungen an. Daher wurde ein Angemessenheitsbeschluss gefällt (siehe EU-Kommission fällt Angemessenheitsbeschluss für EU-U.S. Data Privacy Framework).

Datenschützer hegen von Beginn an Zweifel, dass das Transatlantic Data Privacy Framework (TADPF), welches auf US-Seite nur per Presidential Order in Kraft gesetzt wurde, wirklich mit den DSGVO-Regeln in der EU gleichwertig ist und europäische Bürger ihre Datenschutzrechte vor US-Stellen einfordern können. Ich hatte im Beitrag Bekommt EU-US-Datentransferabkommen Risse? bereits im Januar 2025 angedeutet, dass der aktuelle US-Präsident Trump das Abkommen mit einem Federstrich versenken könnte.

Firmen und Institutionen können sich bisher rechtlich auf das Transatlantic Data Privacy Framework (TADPF) berufen, wenn persönliche Daten von europäischen Bürgern durch entsprechend benannte US-Unternehmen in die USA transferiert und dort verarbeitet werden. Die gesamten US-Cloud-Lösungen samt Microsoft 365 basieren auf der Annahme, dass dieser Transfer nach dem TADPF rechtens ist.

Das Problem: Ein Urteil des US Supreme Court

Am Montag, den 29. Juni 2026, hat der US Supreme Court als höchstes US-Gericht im Verfahren Trump v. Slaughter eine Entscheidung gefällt. Der Oberste Gerichtshof der USA entschied im Fall "Trump gegen Slaughter", dass die US-amerikanische Federal Trade Commission ("FTC") möglicherweise nicht mehr unabhängig ist.

Dieses Urteil kommt bezüglich des EU US Transatlantic Datentransfer-Abkommen quasi einem "Erdbeben" gleich. Denn das EU-Vertragsrecht, insbesondere Artikel 16 Absatz 2 AEUV und Artikel 8 Absatz 3 der Charta der Grundrechte, schreibt vor, dass die Aufsicht über Datenschutzangelegenheiten durch eine "unabhängige" Behörde erfolgen muss. Da Drittländer für den Angemessenheitsbeschluss der EU-Kommission über "im Wesentlichen gleichwertige" Schutzvorkehrungen verfügen müssen, ist es erforderlich, dass jedes Drittland, das den freien Datenverkehr personenbezogener Daten aus der EU in Anspruch nehmen möchte, ebenfalls solche Schutzvorkehrungen bietet.

Bislang haben die USA die "unabhängige" FTC als US-Datenschutzbehörde benannt, um die EU-Anforderung einer unabhängigen Aufsicht zu erfüllen. Die EU wiederum hat sich in ihrer Entscheidung zum Datenverkehr zwischen der EU und den USA auf die FTC als "unabhängige Behörde" gestützt. Durch das oben zitierte Urteil des US Supreme Court wurde aber die Unabhängigkeit der FTC gekippt. Das Gericht stellte die Unabhängigkeit der FTC als verfassungswidrig fest. Damit fällt die Grundlage des Angemessenheitsbeschluss der EU-Kommission zum EU-US Datentransferabkommen in sich zusammen.

Ich hatte im Blog-Beitrag Wurde das US-EU Transatlantic Datentransfer-Abkommen gerade pulverisiert? auf dieses Problem bzw. Dilemma hingewiesen. Die österreichische Datenschutzorganisation hat einen Klage vor dem EuGH angekündigt und dürfte diese gewinnen. Eine verantwortungsvolle EU-Kommission hätte längst eine rechtliche Prüfung und Schritte zur Absicherung des US-EU Transatlantic Datentransfer-Abkommens einleiten müssen. Das ist m.W. nie passiert.

Was fordert ESDA?

Der Europäische Datenschutzausschuss (EDSA) ist eine unabhängige europäische Einrichtung, der die einheitliche Anwendung der Datenschutz-Grundverordnung (DSGVO) und der Strafverfolgungsrichtlinie sowie Zusammenarbeit, auch bei der Durchsetzung innerhalb der EU gewährleisten soll. Man kann EDSA als die oberste Datenschutzinstanz der EU bezeichnen.

Der Europäische Datenschutzausschuss (EDSA) hat zum 31. Juli 2026 die Europäische Kommission offiziell aufgefordert, nach dem oben erwähnten Urteil des Obersten Gerichtshofs der Vereinigten Staaten (Supreme Court) zur Unabhängigkeit der FTC, unverzüglich eine rechtliche Überprüfung des EU-US-Datenschutzrahmens (DPF) einzuleiten.

Im Namen der EDSA richtete die Vorsitzende Anu Talus einen offenen Brief an EU-Justizkommissar Michael McGrath, in dem sie ihn zum Handeln aufforderte, da Bedenken bestehen, dass die Unabhängigkeit wichtiger amerikanischer Aufsichtsbehörden erheblich beeinträchtigt worden sei.

Eine Kopie des Briefes habe ich nicht gefunden. PPC Land hat das Thema zum 3. August 2026 in diesem Beitrag aufgegriffen und auf den Brief abgestellt. Der Tagesspiegel hat es ebenfalls in einen Artikel (leider hinter einer Paywall) angesprochen. Auch heise hat das Thema in diesem Artikel aufgegriffen.

Derzeit ist die juristische Situation so, dass auch mit obigem Schreiben der Angemessenheitsbeschluss EU 2023/1795 vorerst in Kraft bleibt. Unternehmen können sich also über diesen Beschluss absichern. Aber ich gehe davon aus, dass eine Klage von noyb vor dem EuGH eingereicht und irgendwann Erfolg haben wird. Unternehmen sollten sich also mit Plan B befassen, falls der Angemessenheitsbeschluss EU 2023/1795 gekippt wird.

Ähnliche Artikel:
Safe Harbor: EuGH erklärt Abkommen für ungültig
EuGH kippt EU-US-Datenschutzvereinbarung "Privacy Shield"
Vorläufige Einigung zwischen EU und USA im Trans-Atlantic Data Privacy Framework
US-Präsident Biden bringt Datenschutzabkommen "Privacy Shield 2.0" auf den Weg
EU-Kommission fällt vorläufige Angemessenheitsentscheidung zum Trans-Atlantic Data Privacy Framework
Stellungnahmen von ESDA und BfDI zum EU-U.S. Data Privacy Framework
Entschließung des EU-Parlaments zum US-EU Framework (Mai 2023)
USA erfüllen Verpflichtungen des EU-U.S. Data Privacy Framework
EU-Kommission fällt Angemessenheitsbeschluss für EU-U.S. Data Privacy Framework

Datenaustausch mit den USA per EU-U.S. Data Privacy Framework, eine Bestandsaufnahme
DSK-Anwendungshinweise zum EU-US Data Privacy Framework (DPF)
Deutsche Industrie warnt vor Ende des EU-US-Datentransfer-Abkommens
Bekommt EU-US-Datentransferabkommen Risse?
EuG weist Nichtigkeitsklage gegen EU-US-Datentransferabkommen (TADPF) ab

Cloud Act: Grenzenloser Datenzugriff
Souveräne EU-Cloud-Debakel: Microsoft kann US-Zugriff nicht verhindern
Gutachten belegt: Europäische Cloud-Inhalte sind vor US-Zugriff ungeschützt
Wurde das US-EU Transatlantic Datentransfer-Abkommen gerade pulverisiert?