Ein neues Kapitel in der transatlantischen Datenschutzgeschichte bahnt sich an – und es könnte unruhiger werden als gedacht. Der EU-U.S. Data Privacy Framework (DPF), im Sommer 2023 als Nachfolger von Privacy Shield eingeführt, steht erneut auf dem Prüfstand. Grund sind aktuelle politische Entwicklungen in den USA, die Zweifel an der Unabhängigkeit von Datenschutzaufsicht und Rechtsschutzmechanismen wecken.
Politische Eingriffe bedrohen Unabhängigkeit der Kontrollinstanzen
Zentrale Kritikpunkte kommen nicht aus Europa, sondern aus dem politischen Zentrum der USA: Mit dem geplanten Rauswurf demokratischer Mitglieder aus der Privacy and Civil Liberties Oversight Board (PCLOB) sowie personellen Umbrüchen im neu geschaffenen Data Protection Review Court wächst in Europa die Sorge, dass der Rechtsschutz für EU-Bürger bei US-Geheimdienstüberwachungen geschwächt wird.
Und genau dieser Punkt war ein entscheidender Baustein für das neue Angemessenheitsurteil der EU-Kommission. Es stellt sich also die Frage: Bleibt der DPF unter diesen Umständen rechtlich tragfähig – oder droht ein „Schrems III“?
EU-Kommission bleibt (noch) gelassen
Michael McGrath, EU-Kommissar für Justiz und Rechtsstaatlichkeit, gab sich in einem Webinar des Center for Strategic and International Studies betont optimistisch: Die Kommission sei „verpflichtet, das Data Privacy Framework vollständig umzusetzen und durchzusetzen“. Auch die wirtschaftlichen Interessen – rund eine Billion Dollar Handelsvolumen jährlich – sprechen für Kontinuität.
Gleichzeitig kündigte McGrath aber an, dass man die US-Entwicklungen genau beobachten werde. Dass politische Einflüsse auf unabhängige Datenschutzstrukturen in Washington langfristig ohne Folgen bleiben, ist jedoch fraglich – vor allem angesichts früherer Entscheidungen des EuGH zur Unverhältnismäßigkeit der US-Überwachungsgesetze (siehe Schrems I und II).
Kleine DSGVO-Reform in Sicht: Erleichterung für KMU?
Neben dem transatlantischen Datenschutzdialog steht auch die DSGVO selbst auf der europäischen Agenda. McGrath ließ durchblicken, dass im Rahmen eines künftigen „Omnibus“-Pakets insbesondere die Pflichten zur Dokumentation und Aufzeichnung für kleine und mittlere Unternehmen mit weniger als 500 Beschäftigten überprüft werden könnten.
Die Botschaft: Weniger Bürokratie – ohne die Grundprinzipien der DSGVO infrage zu stellen. Ob daraus ein echter „Befreiungsschlag“ für KMU wird, bleibt abzuwarten. Immerhin: Der politische Wille zu differenzierteren Regelungen ist erkennbar.
Was bedeutet das für Unternehmen?
Unternehmen, die personenbezogene Daten in die USA übermitteln oder dort Dienstleister einsetzen, sollten die Entwicklungen sehr genau verfolgen. Auch wenn das Data Privacy Framework aktuell formal gültig ist, kann sich seine rechtliche Grundlage schneller verändern als gedacht.
Jetzt ist es wichtig:
- Bestehende Datenübermittlungen überprüfen: Ist die DPF-Zertifizierung des US-Partners noch aktuell?
- Alternativen bereit halten: Standardvertragsklauseln (SCCs) sollten weiterhin als „Plan B“ bestehen bleiben.
- Risikobewertungen dokumentieren: Gerade in sensiblen Branchen sollte die Risikoabwägung bei Drittstaatentransfers regelmäßig aktualisiert werden.
- KMU sollten mögliche DSGVO-Erleichterungen im Blick behalten: Wer weniger als 500 Mitarbeitende hat, könnte künftig von reduzierten Nachweispflichten profitieren.
Fazit
Die datenschutzrechtliche Lage in transatlantischer Hinsicht bleibt angespannt. Zwar bemühen sich beide Seiten um Stabilität, doch der Datenschutz kennt keine wirtschaftliche Rücksichtnahme – das hat der EuGH bereits mehrfach klargestellt.
Für Unternehmen bedeutet das: Wachsam bleiben, Prozesse sauber dokumentieren und im Zweifel Alternativen zum Data Privacy Framework bereithalten. Denn eines ist klar: Die nächste datenschutzrechtliche Zäsur könnte schon vor der Tür stehen.