Ein aktuelles Urteil des US Supreme Court könnte weitreichende Folgen für den transatlantischen Datenschutz haben. Im Verfahren Slaughter v. Trump entschieden die Richter, dass Mitglieder der Federal Trade Commission (FTC) grundsätzlich auch ohne einen gesetzlich vorgesehenen Entlassungsgrund vom Präsidenten abberufen werden können. Damit stellt das Gericht die bisherige Unabhängigkeit der FTC infrage.
Diese Entscheidung ist auch aus europäischer Sicht von erheblicher Bedeutung. Die Europäische Kommission stützt das EU-US Data Privacy Framework unter anderem auf die Annahme, dass die FTC als unabhängige Aufsichts- und Durchsetzungsbehörde für Datenschutzverstöße agiert. Nach europäischem Recht ist die Unabhängigkeit der Datenschutzaufsicht jedoch eine wesentliche Voraussetzung für ein angemessenes Datenschutzniveau.
Welche Auswirkungen hat das auf das EU-US Data Privacy Framework?
Rechtlich bleibt das Data Privacy Framework zunächst unverändert bestehen. Der Angemessenheitsbeschluss der Europäischen Kommission gilt weiterhin, bis er entweder von der Kommission selbst aufgehoben oder vom Europäischen Gerichtshof (EuGH) für unwirksam erklärt wird. Unternehmen können sich daher derzeit weiterhin auf das Data Privacy Framework stützen.
Dennoch ist die Entscheidung des Supreme Court nicht ohne Bedeutung. Sie entzieht einer zentralen Annahme des Angemessenheitsbeschlusses die tatsächliche Grundlage und dürfte die Diskussion über die langfristige Stabilität des Frameworks erneut anheizen. Es bleibt abzuwarten, ob und wie die Europäische Kommission auf die veränderte Situation in den USA reagiert.
Was bedeutet das für Standardvertragsklauseln (SCCs)?
Auch Unternehmen, die Datenübermittlungen in die USA auf Standardvertragsklauseln stützen, sollten die Entwicklung aufmerksam verfolgen. Die dänische Datenschutzbehörde weist darauf hin, dass Verantwortliche ihre Länderbewertung im Rahmen des Transfer Impact Assessments (TIA) überprüfen sollten. Insbesondere sollte bewertet werden, ob die Voraussetzungen für eine unabhängige behördliche Kontrolle im Empfängerland weiterhin erfüllt sind.
Zudem empfiehlt die Behörde, bestehende Ausstiegsstrategien zu überprüfen und gegebenenfalls weiterzuentwickeln, um auf mögliche regulatorische Änderungen vorbereitet zu sein.
Europäische Souveränität gewinnt an Bedeutung
Die aktuelle Entwicklung zeigt einmal mehr, dass internationale Datentransfers erheblichen rechtlichen Veränderungen unterliegen können. Für viele Unternehmen rücken daher europäische Cloud- und Hosting-Lösungen zunehmend in den Fokus – insbesondere bei der Verarbeitung sensibler Daten.
Neben datenschutzrechtlichen Anforderungen rücken Aspekte der European Sovereignty stärker in den Fokus. Ziel ist es, kritische Daten und digitale Infrastrukturen innerhalb Europas zu betreiben und Abhängigkeiten von außereuropäischen Rechtsordnungen zu reduzieren.
Für Unternehmen bedeutet dies, dass neben der rechtlichen Absicherung internationaler Datentransfers auch strategische Fragen der digitalen Souveränität stärker in den Mittelpunkt rücken. Europäische Hosting-Modelle und datenschutzkonforme Cloud-Lösungen werden damit nicht nur zu einer Compliance-Frage, sondern zunehmend zu einem Wettbewerbsvorteil.