// HEISE ONLINE — HARDWARE & GADGET
US-Urteil erschüttert das Fundament des transatlantischen Datentransfers
Der Supreme Court hat die Unabhängigkeit der FTC für verfassungswidrig erklärt. Das droht, dem EU-US Data Privacy Framework die rechtliche Basis zu entziehen.
Einem politischen und rechtlichen Kartenhaus droht der Einsturz. Mit der Entscheidung des Obersten Gerichtshofs der USA in der Rechtssache „Trump vs. Slaughter“ hat die konservative Mehrheit der Richter die Unabhängigkeit der Federal Trade Commission (FTC) für verfassungswidrig erklärt. Was nach einer rein innenpolitischen Debatte über die Machtfülle des US-Präsidenten aussieht, entpuppt sich bei genauem Hinsehen als Sprengsatz für die europäische Digitalwirtschaft. Denn die vermeintliche Unabhängigkeit der FTC war lange Zeit das rechtliche Fundament, auf dem der Datenverkehr zwischen der EU und den USA ruhte.
Hintergrund des aktuellen Konflikts ist die sogenannte „Unitary Executive Theory“. Dieser radikalen Verfassungsauslegung folgend muss der US-Präsident die uneingeschränkte Kontrolle über alle Bundesbehörden verfügen. Der Supreme Court erklärte nun alle gesetzlichen Regelungen, die Behörden vor dem direkten Durchgriff des Weißen Hauses schützen, für unzulässig.
Für den transatlantischen Datenschutzrahmen könnte das gravierende Folgen haben. Seit dem Jahr 2000 stützt sich die EU-Kommission bei ihren Abkommen zum Datenexport mit den USA maßgeblich auf die FTC als kontrollierendes Organ. Das Problem dabei ist struktureller Natur: Das EU-Vertragsrecht und die Grundrechtecharta schreiben vor, dass die Überwachung des Datenschutzes durch unabhängige Behörden erfolgen muss. Da Drittstaaten ein „im Wesentlichen gleichwertiges“ Datenschutzniveau zu garantieren haben, galt diese Pflicht zur Unabhängigkeit auch für die US-Aufsicht.
Im aktuellen Angemessenheitsbeschluss der EU, dem heftig umstrittenen EU-US Data Privacy Framework von 2023, beruft sich die EU-Kommission sage und schreibe 259 Mal auf die Kontrollfunktion der FTC. Mit dem neuen Urteil untersteht diese Behörde nun jedoch prinzipiell direkt den politischen Weisungen des US-Präsidenten. Die mühsam konstruierte Argumentation, die USA böten eine unabhängige Aufsicht, dürfte damit über Nacht hinfällig geworden sein.
Max Schrems, Gründer der Datenschutzorganisation Noyb, sieht die Brüsseler Regierungsinstitution damit in der Pflicht. Da es in den USA schlicht keine unabhängigen Behörden mehr gebe, hat Noyb die Kommission formell aufgefordert, die Angemessenheitsentscheidung für die USA in einem geordneten Prozess aufzuheben. Sie habe unter dem Druck der Industrie ein rechtliches Luftschloss gebaut, das nun in sich zusammenfalle. Es sei an der Zeit, Verantwortung zu übernehmen und einen koordinierten Ausstieg der europäischen Wirtschaft aus der US-Cloud-Infrastruktur einzuleiten.
Zuvor hatte Schrems bereits zweimal vor dem Europäischen Gerichtshof (EuGH) Übereinkünfte zum EU-US-Datentransfer zu Fall gebracht.
Die juristische Tragweite des Urteils ist noch nicht ganz absehbar. Seine praktischen Auswirkungen gelten aber nicht als unbegrenzt. Zwar hat sich die faktische Basis des EU-Beschlusses offenbar aufgelöst. Formal bleibt das Abkommen aber so lange in Kraft, bis die EU-Kommission es selbst widerruft oder der schon mit dem Rahmenwerk beschäftigte EuGH es für nichtig erklärt. Firmen, die sich auf die Übereinkunft stützen, drohen also keine sofortigen Strafen.
Ferner betrifft die Datenschutzgrundverordnung (DSGVO) ausschließlich personenbezogene Daten. Rein geschäftliche oder nicht-personenbezogene Informationen dürfen weiter ungehindert fließen. Auch absolut notwendige Datenübermittlungen – etwa für eine Hotelbuchung im Ausland – bleiben über die Ausnahmeregelungen des Artikels 49 der DSGVO legal. Verboten ist indes das systematische und strukturelle Auslagern europäischer Datenbestände an US-Anbieter ohne zwingenden Grund.
Allerdings hängen auch Firmen in der Luft, die das Rahmenabkommen umgehen und auf alternative Instrumente wie Standardvertragsklauseln (SCCs) oder verbindliche Unternehmensregeln (BCRs) setze