Experteneinschätzung: Droht das Aus für das Data Privacy Framework?

Aktuelle Rechtsprechung in den USA: Der Fall Trump vs. Slaughter
Voraussetzung für den rechtskonformen Datenaustausch zwischen den USA und der EU, ist der sog. Angemessenheitsbeschluss der EU-Kommission nach Art. 45 EU-DSGVO dar. Dieser setzt voraus, dass ein Drittland ein Datenschutzniveau gewährleistet, das dem der EU im Wesentlichen gleichwertig ist. Nach Art. 16 AEUV sowie Art. 8 Abs. 3 der EU-Grundrechtecharta muss die Einhaltung des Datenschutzes dabei von einer unabhängigen Behörde überwacht werden.

Die EU-Kommission stützt den Angemessenheitsbeschluss für die USA unter anderem auf die unabhängige Kontrollfunktion  der Federal Trade Commission (FTC).

Genau diese Unabhängigkeit stellt der US Supreme Court im Urteil Trump vs. Slaughter infrage: Nach Auffassung des Gerichts ist die gesetzlich verankerte Unabhängigkeit der FTC verfassungswidrig, sodass der Präsident der USA ihr gegenüber weisungsbefugt ist. Damit könnte eine wesentliche Grundlage des Data Privacy Frameworks (DPF) entfallen.

Was bedeutet diese Entwicklung nun konkret?
„Unternehmen sollten jetzt nicht in Aktionismus verfallen", erklärt Michael Engelke. „Das Data Privacy Framework gilt weiterhin. Dennoch ist es sinnvoll, sich frühzeitig mit alternativen Szenarien auseinanderzusetzen." Der Angemessenheitsbeschluss für die USA in Form des DPF war seit seinem Inkrafttreten nicht unumstritten, gab aber allen Beteiligten das Gefühl von rechtlicher Sicherheit. Insofern war zu erwarten, dass dieses Szenario in nicht allzu ferner Zukunft am Horizont auftauchen könnte.

In der Vergangenheit gab es dieses Szenario bereits zweimal: bei Safe Harbour und bei Privacy Shield, den Vorgängern des Data Privacy Frameworks. Beide Male war der Wegfall des Angemessenheitsbeschlusses nicht das Ende des transatlantischen Datenaustauschs und auch ein dritter Wegfall des Angemessenheitsbeschlusses für die USA wird nicht das Ende bedeuten. „Selbst wenn das DPF künftig wegfallen sollte, bedeutet das nicht das Ende der Nutzung von US-Cloud-Diensten. Wie schon nach Safe Harbor und Privacy Shield wird es alternative Rechtsgrundlagen geben – allerdings mit höherem Dokumentationsaufwand." Nach Einschätzung von Engelke sollten Unternehmen die verbleibende Zeit nutzen, um ihre Datenschutzstrategie zu überprüfen und mögliche Alternativen frühzeitig zu bewerten.

Wichtig ist, dass übereilte Reaktionen auf dieses Urteil zu vermeiden sind. Ein überstürztes Kündigen sämtlicher Verträge mit Microsoft, AWS, Google, etc. oder ein ebenso überstürztes Abschalten der Server ist nicht erforderlich, da der Angemessenheitsbeschluss der EU-Kommission auch mit dem Urteil des Supreme Courts formal weiterhin Gültigkeit hat, bis die EU-Kommission ihn aufhebt oder der Europäische Gerichtshof (EuGH) diesen kippt.

Dies geschieht nicht in von heute auf morgen, die juristischen Zahnräder haben sich jedoch bereits angefangen zu drehen: Das Gericht der Europäischen Union (EuG) hat im September 2025 die Klage des französischen Abgeordneten Philippe Latombe gegen den Angemessenheitsbeschluss der EU-Kommission abgewiesen. Das entsprechende Rechtsmittel zum EuGH läuft seit Oktober 2025. Solche Verfahren dauern üblicherweise drei bis fünf Jahre. So lange hat man Zeit, um zu erwägen, ob es langfristig sinnvoller wäre EU-Dienste den etablierten US-Diensten vorzuziehen, wobei auch hier in die Erwägung mit einbezogen werden sollte, dass der EuGH in der Vergangenheit stets eine Risikoabwägung im Einzelfall und ergänzende Maßnahmen gefordert hat und kein Pauschalverbot ausgesprochen hat, welches in der Regel auch rechtswidrig wäre, da es unverhältnismäßig wäre.

Was Unternehmen jetzt beachten sollten:

• Keine vorschnellen Verträge kündigen.
• Entwicklung des Data Privacy Frameworks beobachten.
• Datenschutzdokumentation aktuell halten.
• Cloud-Strategie und mögliche Alternativen bewerten.
• Risikoanalyse regelmäßig überprüfen.

„Wer seine Cloud-Strategie frühzeitig überprüft und seine Datenschutzprozesse sauber dokumentiert, schafft die Grundlage, auch auf mögliche Änderungen des Rechtsrahmens flexibel reagieren zu können", fasst Michael Engelke zusammen. Somit gilt es die weitere Entwicklung aufmerksam zu beobachten.