Der Österreicher Max Schrems will den Transfer von EU-Daten in die USA verhindern. Anlass ist ein umstrittenes Urteil des Supreme Court der USA

Max Schrems wirft der EU-Kommission schon lange vor, dass sie sich von den USA über den Tisch ziehen lässt Foto: dts Nachrichtenagentur/imago

Von Christian Rath

Der österreichische Datenschutzaktivist Max Schrems will verhindern, dass europäische Unternehmen weiter Daten in US-Clouds lagern und von US-Firmen verarbeiten lassen. Er kündigte eine Klage beim Europäischen Gerichtshof (EuGH) an. Und da Schrems schon mehrfach mit ähnlichen Klagen erfolgreich war, sollten sich EU-Unternehmen bereits jetzt Gedanken über Alternativen zum Datentransfer in die USA machen.

Viele Unternehmen übermitteln Daten von EU-Bürger:innen in die USA, um sie dort zu speichern oder zu verarbeiten. Dies ist aber nur dann zulässig, wenn in den USA ein „im wesentlichen gleichartiger“ Datenschutz besteht. Damit dies nicht in jedem Einzelfall organisiert werden muss, machen die USA generelle Zusagen zum Datenschutz. Wenn die EU-Kommission die Zusagen für angemessen hält, fasst sie einen entsprechenden Beschluss, meist mit wohlklingenden Namen wie „Safe Harbour“ oder „Privacy Shield“.

Max Schrems wirft der EU-Kommission aber schon lange vor, dass sie sich von den USA über den Tisch ziehen lässt, und klagt daher regelmäßig gegen die Angemessenheitsbeschlüsse der EU-Kommission. So erklärte der EuGH 2015 den „Safe Harbour“-Beschluss der EU-Kommission für nichtig und 2020 auch den „Privacy-Shield“-Beschluss. Der EuGH kritisierte jeweils, dass US-Geheimdienste auf Daten von EU-Bürger:innen zugreifen dürfen und diese keinen ausreichenden Rechtsschutz haben.

Derzeit gilt das Data Privacy Framework (DPF). Neu ist, dass die EU-Bürger:innen ein spezielles US-Gericht (Data Protection Review Court) anrufen können. Im Juli 2023 hat die EU-Kommission den Datenschutzrahmen der USA für „angemessen“ erklärt.

Supreme-Court-Urteil sorgt für Verwerfungen

Gegen diesen DPF will Schrems nun auch klagen. Er kritisiert, dass der DPF auch auf die Unabhängigkeit der US-Federal Trade Commission (FTC) verweise, die die Einhaltung des Frameworks auf US-Seite überprüfe und damit US-Datenschutzbehörde sei. Diese Unabhängigkeit der FTC sei nach einem Urteil des US-Supreme Court von Ende Juni aber Makulatur, weshalb das Data Privacy Framework nicht mehr der EU-rechtlichen Anforderung genüge, dass Datenschutzbehörden unabhängig sein müssen.

Mit einer Klage ist in den kommenden Wochen zu rechnen

Noyb

Tatsächlich hat der US-Supreme Court entschieden, dass es gar keine unabhängige US-Behörde mit Hoheitsgewalt geben dürfe. Alle Behörden müssten vom US-Präsidenten kontrolliert werden. Konkret hatte die ehemalige FTC-Kommissarin Rebecca Slaughter gegen ihre anlasslose Entlassung durch Donald Trump geklagt. Der US-Supreme Court gab Trump aber recht und entschied grundsätzlich, dass die FTC – anders als bisher angenommen – gar nicht unabhängig sein kann.

Schrems’ Datenschutzorganisation Noyb – eine Abkürzung für „none of your business“ – hat bereits Anfang Juli bei der EU-Kommission beantragt, das DPF-Abkommen aufzukündigen. Sollte die EU-Kommission darauf nicht reagieren, womit zu rechnen ist, könnte Schrems eine Untätigkeitsklage beim EuGH erheben. Mit einer Klage sei „in den kommenden Wochen“ zu rechnen, heißt es auf der Noyb-Webseite. Der Aachener Rechtsprofessor Alexander Golland verweist zudem auf ähnliche Probleme bei der US-Behörde Privacy and Civil Liberties Oversight Board. Diese habe für den Schutz der europäischen Daten gegen den Zugriff der US-Geheimdienste eine noch größere Bedeutung als die FTC. Wenn auch das Privacy and Civil Liberties Oversight Board nicht mehr als unabhängig gelte, sei das Data Privacy Framework in noch größerer Gefahr.