Weil die zuständige US-Behörde in Zukunft direkt Trump untersteht, sieht der österreichische Datenschutzaktivist Max Schrems die EU-Kommission dazu gezwungen, das derzeitige Abkommen zum Datentransfer aufzukündigen.

Ein Urteil aus Washington könnte für Brüssel zum handfesten Problem werden. Der Oberste Gerichtshof der USA hat am Montag in der Rechtssache „Trump gegen Slaughter” entschieden, dass die US-Handelsaufsicht FTC nicht länger unabhängig agieren darf. Der österreichische Datenschützer Max Schrems sieht damit das Fundament des US-EU-Datenschutzabkommens zerstört und fordert die EU-Kommission zur Aufhebung des Deals auf.

Basis des Datenschutzes fällt weg

Die Federal Trade Commission (FTC) ist seit dem Jahr 2000 jene Behörde, auf die sich die EU verlässt, wenn es um den Schutz personenbezogener Daten von Europäerinnen und Europäern in den USA geht. Die Idee dahinter: Eine unabhängige Aufsichtsbehörde soll sicherstellen, dass US-Konzerne mit EU-Daten nicht machen, was sie wollen.

Im aktuellen „EU-US Data Privacy Framework” von 2023 argumentiert die Europäische Kommission ganze 259 Mal mit eben dieser Unabhängigkeit der FTC. Jetzt ist sie weg.

Trump hat das letzte Wort

Mit der Entscheidung der konservativen Mehrheit am Supreme Court gilt: Der US-Präsident hat das Sagen über alle Bundesbehörden. Auch über jene, die eigentlich als unabhängig gelten sollten. Die sogenannte „Unitary Executive Theory” wurde damit höchstrichterlich abgesegnet. Im Klartext: Donald Trump kann der FTC ab sofort vorschreiben, was sie zu tun und zu lassen hat.

Datenschutzaktivist Max Schrems, Gründer der NGO „noyb“, zieht die logische Konsequenz: „Da es in den USA keine unabhängigen Behörden mehr gibt, fordern wir die Kommission auf, die Angemessenheitsentscheidung für die USA in einem geordneten Prozess abzuwickeln.“ Sprich: Die Gültigkeit des Deals aufzuheben.  

EU-Recht lässt keine Wahl

Das Problem für Brüssel: Die EU-Verträge über die Verwendung von Daten europäischer Bürgerinnen und Bürger in den USA schreiben eine unabhängige Datenschutzaufsicht in den USA zwingend vor. Schrems verweist darauf, dass selbst die EU-Kommission daran nichts ändern könnte: „Entscheidend ist, dass der verfassungsrechtliche Rahmen der EU eine unabhängige Aufsicht vorschreibt. Die einzige Möglichkeit, dies zu ändern, wäre ein einstimmiger Beschluss aller EU-Mitgliedstaaten zur Änderung der EU-Verträge.“

Ganz so einfach, wie es klingt, ist die Sache rechtlich aber nicht. Der Angemessenheitsbeschluss der Kommission bleibt formal so lange in Kraft, bis ihn entweder die Kommission selbst zurückzieht oder der Europäische Gerichtshof ihn kippt. Unmittelbare rechtliche Folgen hat das US-Urteil also vorerst nicht. Es wäre jedoch nicht das erste Mal, dass die EU-Kommission wegen Max Schrems aktiv werden muss. Der Europäische Gerichtshof (EuGH) hat wegen der Beschwerden von Schrems bereits zweimal die Rechtmäßigkeit der Datenverarbeitung in den USA bestritten – zuletzt im Juli 2020.

Betroffen sind nur personenbezogene Daten. Nicht-personenbezogene Daten dürfen weiter frei fließen. Die Datenschutzgrundverordnung der EU (DSGVO) erlaubt außerdem nach wie vor unbedingt notwendige Datenübermittlungen in Drittländer, beispielsweise für eine Hotelbuchung. Der massenhafte Datentransfer von der EU in die USA ist von der DSGVO grundsätzlich aber nicht gedeckt.

„noyb“ schickt Brief, Klage folgt

Schrems‘ Datenschutzorganisation „noyb“ hat die Kommission in einem offiziellen Schreiben aufgefordert, das Abkommen aufzulösen. Schrems wird deutlich: „Selbst nach der Logik der Europäischen Kommission ist die Grundlage für jegliches EU-US-Datenabkommen hinfällig. Wir fordern die Kommission auf, einen geordneten Ausstieg aus der US-Cloud einzuleiten – was nicht einfach, aber leider unvermeidbar ist. Die Kommission hat unter dem Druck der Industrie ein rechtliches Kartenhaus errichtet – nun, da dieses offensichtlich zusammenbricht, muss sie Verantwortung übernehmen.“

Parallel dazu kündigt die Organisation eine Klage an. Weil die USA Druck auf die EU-Kommission ausüben wird, soll damit dem EuGH erneut die Möglichkeit gegeben werden, das Abkommen für nichtig zu erklären – so wie er es schon zweimal getan hat. Bis zu einer endgültigen Entscheidung dürften aber wieder zwei bis drei Jahre vergehen.

Titelbild: APA-Images / APA / HANS PUNZ, https://pixabay.com/photos/data-amount-of-data-word-2723105/