Datentransfers in die USA unter Druck – EDSA fordert Überprüfung des Data Privacy Framework

Blogartikel August: Datentransfers in die USA unter Druck – EDSA fordert Überprüfung des Data Privacy Framework

Die Entscheidung des US Supreme Court vom 29. Juni 2026 in der Rechtssache Trump v. Slaughter (Az. 25-332) und ihre datenschutzrechtlichen Implikationen haben wir in unserem Beitrag vom Juli 2026 ausführlich dargestellt. Kurz zusammengefasst: Mit der Aufgabe der seit 1935 geltenden Rechtsprechung aus Humphrey’s Executor v. United States ist der gesetzliche Abberufungsschutz für die Mitglieder der Federal Trade Commission (FTC) entfallen. Die Befugnisse der Behörde bleiben unberührt, ihre institutionelle Unabhängigkeit hingegen steht infrage.

Diese Entwicklung hat nun eine europäische Reaktion ausgelöst. Am 31. Juli 2026 hat sich die Vorsitzende des Europäischen Datenschutzausschusses (EDSA), Anu Talus, in einem veröffentlichten Schreiben an EU-Justizkommissar Michael McGrath gewandt. Der vorliegende Beitrag ordnet dieses Schreiben ein und orientiert sich dabei an Inhalt, Rechtsnatur und praktischer Tragweite.

Was der EDSA konkret vorträgt

Der EDSA knüpft an eine bereits im Juni geführte Aussprache mit dem Kommissar im Rahmen der Plenarsitzung an und trägt sodann einen konsequenten Gedankengang vor. Nach Art. 45 Abs. 2 lit. b DSGVO gehört das Bestehen und wirksame Funktionieren einer oder mehrerer unabhängiger Aufsichtsbehörden im Drittland zu den Schlüsselelementen, die bei der Beurteilung eines angemessenen Schutzniveaus zu berücksichtigen sind – sowohl mit Blick auf ein der Sache nach gleichwertiges Schutzniveau für betroffene Personen in der EU und dem Europäischen Wirtschaftsraum als auch mit Blick auf die Zusammenarbeit mit den Aufsichtsbehörden der Mitgliedstaaten.

Daran anknüpfend weist der EDSA darauf hin, dass die Kommission im Durchführungsbeschluss (EU) 2023/1795, der das bestehende DPF begründet hat, selbst ausdrücklich auf die Unabhängigkeit der US-Behörden abgestellt und in den Erwägungsgründen 58 bis 60 festgehalten hat, dass die fünf FTC-Kommissarinnen und -Kommissare nur wegen Ineffizienz, Pflichtverweigerung oder Fehlverhalten im Amt vom Präsidenten abberufen werden können. Genau diese Annahme trifft nach dem Urteil nicht mehr zu. Der EDSA bittet die Kommission daher, eingehend zu prüfen, ob die Entwicklung das Funktionieren des Beschlusses berührt, begrüßt „entsprechende Maßnahmen“ und bietet den fortlaufenden Informationsaustausch an.

Bemerkenswert ist dabei weniger, was der EDSA fordert, als was er gerade nicht fordert. Das Schreiben verlangt weder die Aussetzung noch die Aufhebung des Angemessenheitsbeschlusses, es setzt keine Frist und es enthält keine eigene Bewertung des Ergebnisses. Der Ton ist betont zurückhaltend. Der EDSA identifiziert eine Prämisse des Beschlusses, stellt fest, dass sie entfallen ist, und überlässt die Schlussfolgerung der Kommission.

Rechtsnatur des Schreibens

Für die Einordnung entscheidend ist, was das Schreiben formal nicht ist. Es ist keine Stellungnahme nach Art. 70 Abs. 1 lit. s DSGVO, mit der der EDSA die Kommission bei der Angemessenheitsbewertung beteiligt (eine solche hatte er zum DPF im Jahr 2023 abgegeben). Es ist auch kein verbindlicher Beschluss im Kohärenzverfahren nach Art. 65 DSGVO, keine Leitlinie und keine Empfehlung. Es handelt sich um ein Schreiben der Vorsitzenden, das rechtlich unverbindlich ist und keine unmittelbaren Rechtswirkungen gegenüber Unternehmen entfaltet.

Daraus folgt für die Praxis zunächst die Entwarnung: Der Angemessenheitsbeschluss gilt unverändert fort. Übermittlungen an DPF-gelistete Empfänger bleiben nach Art. 45 DSGVO zulässig, ohne dass zusätzliche Garantien erforderlich wären. Auch die nationalen Aufsichtsbehörden können daran nichts ändern: Nach der Rechtsprechung des EuGH seit Schrems I müssen sie zwar Beschwerden gegen Übermittlungen prüfen können, einen Angemessenheitsbeschluss für ungültig erklären kann jedoch allein der EuGH.

Reaktionen der Kommission

Der Kommission steht ein breites Spektrum an Reaktionen offen. Am unteren Ende liegt der bloße Informationsaustausch mit dem EDSA und den US-Stellen; nach Art. 45 Abs. 6 DSGVO ist die Kommission ohnehin gehalten, Konsultationen mit dem Drittland aufzunehmen. Denkbar ist ferner, die im DPF-Beschluss vorgesehene periodische Überprüfung vorzuziehen und die institutionelle Frage dort zu adressieren. Erst am oberen Ende des Spektrums stehen Änderung, Aussetzung oder Aufhebung des Beschlusses.

Realistisch betrachtet ist ein kurzfristiges Eingreifen wenig wahrscheinlich. Eine Aussetzung hätte erhebliche wirtschaftliche und handelspolitische Folgen, und die Kommission hat in der Vergangenheit auch auf deutlichere Kritik – etwa des Europäischen Parlaments – zurückhaltend reagiert. Wahrscheinlicher ist ein Verfahren im Hintergrund. Das Risiko für Unternehmen liegt daher weniger in einer politischen Entscheidung der Kommission als in der gerichtlichen Kontrolle (insbesondere durch den EuGH), deren Dynamik das Urteil des Supreme Court verändern kann. Zur Bedeutung des anhängigen Verfahrens Latombe verweisen wir auf unseren Beitrag aus dem Juli.

Was Mandantinnen und Mandanten jetzt beachten sollten

Schritt 1: Identifizierung der betroffenen Verarbeitungstätigkeiten

Handlungsdruck im Sinne einer sofortigen Umstellung besteht derzeit nicht, wohl aber Anlass, die eigene Transferarchitektur vorsorglich krisenfest zu machen. Der erste Schritt ist eine Bestandsaufnahme: Unternehmen sollten anhand ihres Verzeichnisses von Verarbeitungstätigkeiten und ihrer Dienstleisterliste erfassen, welche Verarbeitungen tatsächlich Daten in die USA fließen lassen und auf welche Rechtsgrundlage diese Übermittlungen jeweils gestützt sind. Erfahrungsgemäß ist der Kreis der betroffenen Dienste größer als erwartet, weil auch Unterauftragsverarbeiter und Support- oder Wartungszugriffe aus den USA erfasst sind.

Schritt 2: Überprüfung, ob Verarbeitungstätigkeit überhaupt vom DPF erfasst ist

Der Angemessenheitsbeschluss ist empfängerbezogen, nicht länderbezogen

Dabei ist zu beachten, dass der Angemessenheitsbeschluss kein allgemeiner Länderbeschluss ist. Nach Art. 1 Abs. 1 des Durchführungsbeschlusses (EU) 2023/1795 gilt das angemessene Schutzniveau nur für Übermittlungen an Organisationen, die in der vom US-Handelsministerium geführten Data Privacy Framework List geführt werden. Das unterscheidet ihn strukturell von klassischen Angemessenheitsbeschlüssen etwa zur Schweiz, zu Japan oder zum Vereinigten Königreich. Maßgeblich ist mithin nicht, wohin die Daten fließen, sondern an wen. Wichtig ist dabei zu beachten, dass der Angemessenheitsbeschluss zum Zeitpunkt der jeweiligen Übermittlung bestehen muss. Da die US-Unternehmen sich jährlich neu zertifizieren müssen, obliegt es den verantwortlichen EU-Unternehmen regelmäßig zu überprüfen, ob ihre Vertragspartner noch zertifiziert sind.

Was vom DPF nie erfasst war

Über die schlichte Nichtzertifizierung hinaus gibt es Bereiche, die dem DPF von vornherein verschlossen sind. Die Selbstzertifizierung setzt voraus, dass die Organisation der Aufsicht der Federal Trade Commission oder des Department of Transportation unterliegt. Damit sind ganze Branchen strukturell ausgeschlossen: Banken und Kreditinstitute, Versicherungsunternehmen in weiten Teilen, Telekommunikationsanbieter mit Common-Carrier-Status sowie Non-Profit-Organisationen. Diese Lücke bestand bereits unter Safe Harbor und Privacy Shield und ist keine Folge der aktuellen Entwicklung. Für Übermittlungen an solche Empfänger waren immer schon Standardvertragsklauseln erforderlich. Luftfahrtunternehmen und Ticketagenturen sind demgegenüber über die Zuständigkeit des Department of Transportation zertifizierungsfähig.

Der Umfang der Zertifizierung: HR- und Non-HR-Daten

Selbst bei aktiv gelisteten Empfängern ist der sachliche Umfang zu prüfen. Jede Zertifizierung weist aus, ob sie HR-Daten, Non-HR-Daten oder beides erfasst. HR-Daten sind Daten über gegenwärtige oder ehemalige Beschäftigte, die im Kontext des Beschäftigungsverhältnisses erhoben und in die USA übermittelt werden. Der klassische Fall ist der Transfer von Arbeitnehmerdaten der europäischen Tochter an die US-Muttergesellschaft.

Die Unterscheidung hat einen materiellen Grund. Für Non-HR-Daten kann das zertifizierte Unternehmen einen privaten US-Streitbeilegungsmechanismus als unabhängige Beschwerdestelle wählen. Bei HR-Daten ist das ausgeschlossen: Das Unternehmen muss sich verpflichten, mit den zuständigen europäischen Datenschutzbehörden zusammenzuarbeiten, an deren Untersuchungen mitzuwirken und ihren Empfehlungen Folge zu leisten; zuständig ist das EU-DPA-Panel. Beschäftigte behalten damit ihre heimische Aufsichtsbehörde als Ansprechpartner. Hinzu kommt, dass die ergänzende Regelung Nr. 9 der DPF-Grundsätze die fortgeltende Anwendung des mitgliedstaatlichen Arbeitsrechts ausdrücklich vorschreibt. Damit bleiben Mitbestimmungsrechte, Betriebsvereinbarungen und § 26 BDSG unberührt.

Praktisch bedeutet das: Wer Konzern-HR-Systeme, globale Payroll-Lösungen, Recruiting-Plattformen oder Hinweisgebersysteme einsetzt, muss prüfen, ob die Zertifizierung des Empfängers HR-Daten überhaupt umfasst. Ist das nicht der Fall, ist die Übermittlung vom Angemessenheitsbeschluss nicht gedeckt, auch wenn das Unternehmen im Übrigen ordnungsgemäß gelistet ist. Dieser Punkt wird in der Praxis häufig übersehen.

Schritt 3: Vorbereitung eines Fallbacks

Für alle Verarbeitungen, die tatsächlich allein auf dem DPF beruhen, empfiehlt es sich, einen belastbaren Fallback vorzubereiten. In der Praxis sind das regelmäßig die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, flankiert von einem dokumentierten Transfer Impact Assessment und (wo erforderlich) zusätzlichen technischen Maßnahmen wie Verschlüsselung mit europäischem Schlüsselmanagement oder Pseudonymisierung. Ideal ist eine vertragliche Gestaltung, die die Standardvertragsklauseln bereits jetzt als reserve-Grundlage vereinbart, die automatisch greift, sobald der Angemessenheitsbeschluss entfällt. Viele große Anbieter sehen solche Kaskadenklauseln in ihren Datenschutz-Nachträgen bereits vor; ob dies im konkreten Vertrag der Fall ist, sollte geprüft und dokumentiert werden. Auf Art. 49 DSGVO (Ausnahmen für bestimmte Sonderfälle, z.B. für eine Übermittlung, die lebenswichtigen Interessen dient) sollte dagegen nicht geplant zurückgegriffen werden. Die dortigen Ausnahmen sind nach Auffassung der Aufsichtsbehörden eng auszulegen und für regelmäßige, wiederholte Übermittlungen ungeeignet.

Parallel lohnt ein Blick auf die Transparenzpflichten: Datenschutzhinweise nach Art. 13 und 14 DSGVO, Auftragsverarbeitungsverträge und interne Richtlinien benennen häufig das DPF als Transfergrundlage und wären im Fall einer Aufhebung anzupassen. Wer diese Stellen vorab identifiziert, kann später kurzfristig reagieren. Sinnvoll ist zudem, bei anstehenden Ausschreibungen und Vertragsverlängerungen die Frage der Datenlokalisierung aktiv zu adressieren und zu prüfen, ob EU-Regionen oder europäische Alternativen mit vertretbarem Aufwand verfügbar sind. Schließlich sollten Unternehmen die weitere Entwicklung beobachten und ihre Bewertung dokumentieren: Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt nicht, jedes Risiko auszuschließen, wohl aber, es erkannt und bewertet zu haben.

Fazit

Das Schreiben des EDSA vom 31. Juli 2026 ist zwar kein Rechtsakt, aber ein Signal für eine sich abzeichnende Trendwende. Es benennt eine Annahme, die die Kommission ihrem eigenen Angemessenheitsbeschluss zugrunde gelegt hat und die nach dem Urteil des Supreme Court nicht mehr trägt. Ob daraus Konsequenzen folgen, ist offen; kurzfristig ist mit einer Aussetzung des DPF nicht zu rechnen.

Für Unternehmen bleibt es damit bei einer Einschätzung, die sich seit Schrems II nicht geändert hat: Das DPF ist nutzbar, aber es sollte nicht als alleinige und dauerhaft gesicherte Transfergrundlage behandelt werden. Wer seine Datenflüsse kennt, vertragliche Rückfallpositionen geschaffen hat und seine Bewertung dokumentiert, ist im Fall der Fälle handlungsfähig; unabhängig davon, wie die Kommission auf das Schreiben reagiert.

Gerne unterstützen wir Sie bei der Bestandsaufnahme Ihrer Drittlandsübermittlungen, bei der Prüfung und Anpassung Ihrer Verträge sowie bei der Erstellung eines belastbaren Transfer Impact Assessments. Sprechen Sie uns an.