Immer wieder fragen mich Mandantinnen und Mandanten, ob sie personenbezogene Daten ihrer Kunden oder Beschäftigten in die USA übermitteln dürfen – etwa im Rahmen von Cloud-Diensten oder internationalen Konzernstrukturen. Die Antwort hängt maßgeblich davon ab, ob ein sogenannter Angemessenheitsbeschluss der EU-Kommission besteht.
Nach dem Scheitern von Safe Harbor und dem Privacy Shield (Stichwort Schrems I und Schrems II) war die Verunsicherung groß. Seit Juli 2023 gilt nun das neue EU-US Data Privacy Framework. Doch auch dieses stand von Beginn an unter rechtlichem Beschuss – unter anderem durch eine Klage des französischen Abgeordneten Philippe Latombe.
Diese Klage hat das Gericht der Europäischen Union am 3. September 2025 abgewiesen. Damit bleibt der neue Angemessenheitsbeschluss in Kraft.
Worum ging es in dem Verfahren?
Der Kläger hielt das neue Datenschutzabkommen für unzureichend. Vor allem kritisierte er:
-
Die angeblich fehlende Unabhängigkeit der neuen Datenschutzbeschwerdestelle in den USA („Data Protection Review Court“ – DPRC),
-
und die fortbestehende Möglichkeit der US-Geheimdienste, Daten in großem Umfang zu erheben – ohne vorherige richterliche Genehmigung.
Mit seiner Klage wollte er erreichen, dass der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Durchführungsbeschluss 2023/1795) für nichtig erklärt wird.
Das Gericht hat die Klage vollständig abgewiesen.
Was hat das Gericht entschieden?
In seinem Urteil stellt das Gericht klar:
-
Der neue Rechtsschutzmechanismus (DPRC) genügt den Anforderungen an eine unabhängige und unparteiische Kontrolle.
-
Auch wenn das Gericht vom US-Generalstaatsanwalt ernannt wird, ist seine Arbeit durch gesetzliche Schutzmechanismen gegen unzulässige Einflussnahme abgesichert.
-
Die US-Geheimdienste dürfen Daten weiterhin in bestimmten Fällen in größerem Umfang erheben, allerdings unterliegen sie jetzt nachträglicher gerichtlicher Kontrolle – und genau das sei nach der Rechtsprechung des EuGH (Schrems II) ausreichend.
Was bedeutet das für Unternehmen?
Aus Sicht der Praxis ist das Urteil vor allem eins: Rechtssicherheit.
Für mich als Berater bedeutet das konkret:
-
Unternehmen, die personenbezogene Daten auf Basis des EU-US Data Privacy Framework in die USA übermitteln, dürfen dies weiterhin tun – ohne zusätzliche Standardvertragsklauseln oder Einzelfallprüfungen.
-
Voraussetzung ist, dass der US-Datenempfänger (z. B. ein Cloudanbieter oder Dienstleister) zertifiziert ist nach dem neuen Framework.
-
Die Liste zertifizierter Unternehmen wird vom US-Handelsministerium geführt – und sollte im Rahmen der DSGVO-Dokumentation überprüft werden.
Und was bedeutet das für Betroffene?
Betroffene Personen haben unter dem neuen Abkommen ein Beschwerderecht, das über mehrere Stufen bis hin zum DPRC führt. Der EuG hat nun bestätigt, dass dieser Mechanismus ausreichenden Rechtsschutz bietet, um dem europäischen Datenschutzniveau gerecht zu werden.
Dennoch bleibt Vorsicht angebracht: Die Kritik an der US-Überwachungspraxis ist nicht verstummt. Und es ist nicht ausgeschlossen, dass auch dieses Abkommen – wie seine Vorgänger – eines Tages vor dem Europäischen Gerichtshof (EuGH) scheitert. Bis dahin gilt jedoch: Das Abkommen ist gültig und anwendbar.
Mein Fazit
Ich sehe in dem Urteil eine wichtige Stabilisierung der internationalen Datenübermittlung. Unternehmen haben nun eine rechtssichere Grundlage für Datentransfers in die USA – jedenfalls so lange, wie der aktuelle Angemessenheitsbeschluss besteht.
Gleichzeitig sollten Datenschutzbeauftragte und Verantwortliche in Unternehmen nicht nachlassen, die Grundsätze der Datenminimierung und Zweckbindung ernst zu nehmen – gerade im internationalen Kontext.
Ich unterstütze Unternehmen dabei, internationale Datentransfers rechtssicher zu gestalten – sei es durch Beratung zum Privacy Framework, zur Zertifizierung von US-Dienstleistern oder zur Nutzung alternativer Übermittlungsinstrumente.