Die Tage wird viel über eine Entscheidung des US Supreme Court diskutiert. Die Rede ist dabei von der Entscheidung No. 25-332 (Trump v. Slaughter). Worum es aber in der Entscheidung genau geht und warum diese möglicherweise größere Auswirkungen auf das Datenschutzrecht und die Datenübermittlungen haben könnte wollen wir in unserem heutigen Blog-Beitrag näher betrachten.
Worum geht es in der Entscheidung?
Der US-Präsident Donald Trump entließ im März 2025 die demokratische Kommissarin der Federal Trade Commission (FTC) Rebecca Kelly Slaughter. Im Wesentlichen adressierte das Verfahren die Frage, ob der gesetzliche Schutz der Kommissare der FTC vor einer grundlosen Entlassung mit dem verfassungsrechtlichen Gewaltenteilungsgrundsatz vereinbar ist.
Der Supreme Court entschied nun mit einer Mehrheit von 6:3, dass die gesetzliche Beschränkung der präsidialen Entlassungsbefugnis gegen die in der Verfassung verankerte Gewaltenteilung verstößt. Weiter übt die FTC eindeutig exekutive Gewalt aus. Sie vollzieht Bundesgesetze, erlässt verbindliche Verordnungen, führt Untersuchungen durch und erhebt Zivilklagen im Namen der Vereinigten Staaten. Aus diesem Grunde ist nach der Verfassung eine Kontrolle durch den Präsidenten und zugleich Chef der Exekutive, erforderlich. Der Knackpunkt der Entscheidung ist, dass die Abberufung von FTC-Kommissaren wie hier im Beispiel von Rebecca Kelly Slaughter nach Belieben des Präsidenten möglich ist und der FTC damit ihre institutionelle Unabhängigkeit entzieht.
Was hat das mit dem Datenschutzrecht zu tun?
Das Urteil hat nun auch Auswirkungen auf das Datenschutzrecht, vielmehr auf die Datenübermittlungen in die USA als datenschutzrechtliches Drittland. Hier kommt dann das Trans Atlantic Data Privacy Framework – kurz TADPF (offiziell DURCHFÜHRUNGSBESCHLUSS (EU) 2023/1795 DER KOMMISSION vom 10.7.2023 gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA) ins Spiel. Das TADPF ist ein Angemessenheitsbeschluss im Sinne des Art. 45 DS-GVO. In Kraft getreten ist das Framework am 10. Juli 2023 durch Annahme seitens der Europäischen Kommission.
Inhaltlich wird den USA durch das Framework ein im Vergleich zur Europäischen Union angemessenes Datenschutzniveau attestiert. Für datenschutzrechtlich Verantwortliche ergeben sich hierdurch erhebliche Erleichterungen z. B. im Rahmen des Einsatzes US-amerikanischer Dienstleister. US-Unternehmen können ihre Teilnahme am EU-U.S. Data Privacy Framework zertifizieren lassen, indem diese sich verpflichten, verschiedene datenschutzrechtliche Anforderungen einzuhalten. Die Zertifizierungsanträge werden durch das US-Handelsministerium bearbeitet. Dieses überwacht ebenfalls, ob die teilnehmenden Unternehmen die Zertifizierungsanforderungen weiterhin erfüllen. Eine Übersicht der gelisteten Unternehmen findet sich hier.
Zu den tragenden Säulen das Framework gehörte die Einrichtung eines unabhängigen und unparteiischen Rechtsbehelfsmechanismus, zu dem auch ein neues Datenschutzprüfungsgericht gehört, dass Beschwerden über den Zugriff der nationalen Sicherheitsbehörden der USA auf ihre Daten untersucht und entscheidet und kurz gesagt Datenschutzverpflichtungen der US-Unternehmen überwacht und durchsetzt. Genau diese Rolle begleitete bisher die FTC. In Erwägungsgrund 60 des Framework wird explizit ausgeführt „Die FTC ist eine unabhängige Behörde […]“ An eben jener Unabhängigkeit wird nun durch die Entscheidung zumindest mal kräftig gerüttelt.
Was bleibt für die Praxis?
Am Ende bleibt – wie so häufig – die Frage nach der Praxisrelevanz. Unmittelbare Auswirkungen sind zunächst wohl keine zu erwarten. Der einfache Grund liegt in der Tatsache, dass das Urteil des Supreme Court das TADPF nicht direkt zum Fall bringt. Die Rechtslage bleibt daher unverändert. Zumindest bis auf Weiteres.
Welchen weiteren Weg die transatlantischen Datenübermittlungen nehmen werden, wird die nahe Zukunft zeigen. Denkbar ist jedenfalls, dass die Kommission sich selbst mit der veränderten Rechtslage befassen wird und den Beschluss aufhebt. Außer Acht gelassen werden sollte auch nicht, dass eine gerichtliche Überprüfung des TADPF vor dem EuGH möglich ist und dieser den Angemessenheitsbeschluss für ungültig erklären kann, wie er bereits mit den Vorgängerbeschlüssen getan hatte.
Gesetzt dem Fall das Framework wird fallen, dann wären die Auswirkungen gleichwohl deutlich spürbarerer. Für datenschutzrechtlich Verantwortliche ergeben sich allerhand Aufgaben, denn für Drittlandübermittlungen in die USA verbleiben in den meisten Fällen nur die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c) DS-GVO. Klausel 14 der Standarddatenschutzklauseln gibt zudem vor, dass Unternehmen bestimmte Aspekte bei der Durchführung der Transferfolgenabschätzung berücksichtigen müssen. Hierzu gehören zum einen die besonderen Umstände der Übermittlung personenbezogener Daten. Zum anderen müssen die relevanten Rechtsvorschriften, Gepflogenheiten sowie die geltenden Beschränkungen und Garantien berücksichtigt werden.
Allerdings ist der Weg mit den Standardvertragsklauseln nicht in jedem Fall gangbar. Riskiert man beispielsweise einen Blick in § 80 Abs.2 SGB X so lautet es dort „einen genauen Überblick darüber zu haben, inwieweit personenbezogene Daten in die USA (und andere Länder außerhalb der Europäischen Union) übermittelt und cloudbasierte Anwendungen von Anbietern mit Sitz in diesen Ländern verwendet werden.“
Ein ganz ähnliches Bild zeichnet sich in § 393 Abs. SGB V ab: „Die Verarbeitung von Sozial- und Gesundheitsdaten im Wege des Cloud-Computing-Dienstes darf nur 1. im Inland, 2. in einem Mitgliedstaat der Europäischen Union oder 3. in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat erfolgen und sofern die datenverarbeitende Stelle über eine Niederlassung im Inland verfügt.“ Beide Normen zeigen schonungslos, dass betroffene verantwortliche Stellen mit einem Wegfall des TADPF als Angemessenheitsbeschluss vor weitaus größeren Aufgaben stünden.
Es empfiehlt sich daher bereits jetzt, einen genauen Überblick darüber zu haben, inwieweit personenbezogene Daten in die USA (und andere Länder außerhalb der Europäischen Union) übermittelt und cloudbasierte Anwendungen von Anbietern mit Sitz in diesen Ländern verwendet werden. Insbesondere für Übermittlungen im Rahmen von geschäftskritischen Prozessen sollten alternative Übermittlungsmechanismen geprüft und vorbereitet oder zumindest bereitgehalten werden.
Darüber hinaus empfiehlt sich stets eine Prüfung, ob mittels vergleichbarer Software-Alternativen mit Verarbeitungsort innerhalb der Europäischen Union derartige Datenübermittlungen für die Zukunft reduziert werden könnten.
In jedem Fall gilt die Augen und Ohren offen zu halten und die weitere Entwicklung in Sachen EU-US-Datentransfers zu beobachten. Wir werden sicherlich in unserem Blog weiter dazu berichten.
Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
