Die EU-Kommission veröffentlichte am 13. Dezember 2022 den Entwurf für eine Angemessenheitsentscheidung für das EU-U.S. Data Privacy Framework veröffentlicht. Dieses soll das Privacy Shield ersetzen, welches von Europäischen Gerichtshof (EuGH) im Sommer 2020 für ungültig erklärt wurde. Ein solcher Beschluss würde die Übermittlung personenbezogener Daten aus der EU bzw. dem EWR in die USA ohne weitere Transferwerkzeuge wie Standardvertragsklauseln und den darin geforderten Transfer Impact Assessments ermöglichen.
Das EU-U.S. Data Privacy Framework
Der Beschlussentwurf ist die Antwort auf den von US-Präsident Joe Biden im Oktober 2022 unterzeichneten Executive Order zur US-Überwachung. Mit diesem Executive Order sollen die vorherigen Urteile zu den transatlantischen Angemessenheitsbeschlüssen umgesetzt werden. Die neue US-Durchführungsverordnung sieht vor, den Zugang von US-Geheimdiensten zu beschränken und den Zugang zu Rechtsmitteln zu gewährleisten.
Dies ist der dritte Versuch, den transatlantischen Datentransfer zu fördern, und er wird zweifellos wieder vor rechtlichen Herausforderungen stehen. Das vorherige Privacy Shield wurde vom EuGH in seiner Schrems II-Entscheidung für ungültig erklärt, weil die US-Überwachung einen unverhältnismäßigen Zugriff auf europäische Massendaten hat. Außerdem wies der EuGH darauf hin, dass die US-Rechtsprechung keinen angemessenen Zugang zu Rechtsmitteln vorsieht.
Unsere Einschätzung des Angemessenheitsbeschlusses
Auf den ersten Blick könnte man den Eindruck gewinnen, dass die amerikanische Durchführungsverordnung sowohl den Grundsatz der Verhältnismäßigkeit als auch den geforderten Rechtsbehelf berücksichtigt. Bei näherer Betrachtung wird jedoch deutlich, dass die Durchführungsverordnung tatsächlich an beiden Anforderungen scheitert.
Obwohl die US-Regierung zugestimmt hat, dass die Überwachungsmaßnahmen ihrer Nachrichtendienste „verhältnismäßig” und auf das „notwendigste“ beschränkt werden sollten – zwei Grundprinzipien des EU-Rechts –, gibt es kaum Anzeichen dafür, dass sich die Massenüberwachung in den USA in der Praxis ändern wird. Dies liegt daran, dass die Rechtssysteme und -praktiken der USA und der EU bei der Bewertung der rechtlichen Bedeutung der „Verhältnismäßigkeit” erheblich voneinander abweichen. Während sich die EU- und die US-Regierung über die Verwendung des Begriffs „verhältnismäßig” in der Executive Order einig waren, haben sie es vernachlässigt sich auf dieselbe rechtliche Bedeutung zu einigen. Nur wenn der Begriff eine tatsächliche europäische Bedeutung hätte, würden die USA auch tatsächlich ihre Massenüberwachungssysteme grundlegend einschränken.
In Bezug auf den Grundsatz des Rechtsbehelfs ist das eingerichtete US Data Protection Review Court eher ein Äquivalent zu einem Ombudsmann als ein echtes Gericht. Es ist mehr als fraglich wie die neu eingerichtete Beschwerdestelle dem in der EU-Charta geforderten Gericht entsprechen soll.
In einem nächsten Schritt werden der Europäische Datenschutzausschuss (EDSA) und ein Ausschuss der EU-Mitgliedstaaten den Angemessenheitsbeschluss prüfen. Dabei ist jedoch zu beachten, dass ihre Stellungnahmen für die EU-Kommission nicht bindend sind. Sobald der Angemessenheitsbeschluss veröffentlicht ist, können sich europäische Unternehmen bei der Übermittlung von Daten in die USA auf ihn berufen.
Wir werden den Entscheidungsentwurf in den nächsten Tagen im Detail analysieren. Aber es steht wohl außer Zweifel, dass es eine neue Diskussion vor dem EuGH geben wird, sobald die Angemessenheitsentscheidung vorliegt.
