EU-Gericht bestätigt Rechtmäßigkeit von Datenaustauschabkommen mit den USA

Das EU-Gericht erklärte am Mittwoch, dass die Vereinigten Staaten ein zufriedenstellendes Schutzniveau für personenbezogene Daten bieten, die von Europa an US-basierte Organisationen übermittelt werden. Der französische Kläger äußerte Bedenken hinsichtlich der Unabhängigkeit des 'Data Protection Review Court' (DPRC) und beanstandete die weitreichende Datensammlung durch US-Geheimdienste. Laut Urteil sind die Ernennung und Arbeitsweise der DPRC-Richter jedoch an zahlreiche Bedingungen geknüpft, um Unabhängigkeit zu gewährleisten. Die Europäische Kommission bleibt befugt, den Mechanismus bei Änderungen des US-Datenschutzrechts zu überprüfen und entsprechend einzugreifen. Darüber hinaus wies das Gericht darauf hin, dass dem DPRC eine nachträgliche gerichtliche Kontrolle über umfangreiche Datensammlungen möglich ist, sodass kein Verstoß gegen bisherige Urteile vorliegt und das Schutzniveau dem der EU entspricht.

Hintergrund dieses Urteils ist das neue Datenschutzabkommen 'EU-U.S. Data Privacy Framework', das im Juli 2023 in Kraft getreten ist und den Datenaustausch zwischen Unternehmen der EU und den USA erleichtern sowie rechtskonform absichern soll. Es stellt den dritten Versuch dar, einen datenschutzrechtlich einwandfreien Rahmen für die transatlantische Datenübermittlung zu schaffen, nachdem die Vorgängerregelungen Safe Harbor und Privacy Shield vom Europäischen Gerichtshof jeweils für unzureichend erklärt und aufgehoben wurden. Trotz erneut vorgebrachter Kritik, etwa durch Datenschutzaktivisten wie Max Schrems, sieht das Gericht in Luxemburg unter Berücksichtigung der Änderungen auf US-Seite, insbesondere beim DPRC und den Kontrollmechanismen für Sicherheitsbehörden, jetzt einen gleichwertigen Datenschutzstandard. Zuletzt gab es vermehrt Diskussionen, ob das Rahmenwerk langfristig den strengen Vorgaben der DSGVO entspricht, da beispielsweise die Betroffenenrechte in den USA weiterhin als weniger ausgeprägt gelten als in der EU. Allerdings beobachten Datenschutzbehörden und die EU-Kommission die tatsächliche Umsetzung und werden den Angemessenheitsbeschluss jährlich evaluieren.