Am 3. September 2025 wies das Gericht der Europäischen Union die Klage in der Rechtssache T-553/23 | Latombe v Commission ab, die sich gegen den Angemessenheitsbeschluss richtete, der die Übermittlung personenbezogener Daten zwischen der EU und den Vereinigten Staaten ermöglicht. Mit diesem Urteil wird bestätigt, dass die USA seit Annahme des Beschlusses ein angemessenes Schutzniveau für aus der EU übermittelte personenbezogene Daten gewährleisten.
Hintergrund
Der EU–US-Datentransferrahmen, der von der Europäischen Kommission am 10. Juli 2023 eingerichtet wurde, sollte die rechtlichen Unsicherheiten nach dem Schrems-II-Urteil beseitigen, mit dem frühere Angemessenheitsbeschlüsse aufgrund von Bedenken hinsichtlich der Überwachungspraktiken in den USA für ungültig erklärt wurden. Als Reaktion darauf erließ die US-Regierung im Oktober 2022 eine Executive Order zur Stärkung der Datenschutzgarantien, insbesondere in Bezug auf den Zugang von Nachrichtendiensten zu personenbezogenen Daten. Ergänzt wurde dies durch eine Verordnung des Generalstaatsanwalts, mit der die Bestimmungen zur Einrichtung und Arbeitsweise des Data Protection Review Court (DPRC) geändert wurden.
Entscheidung des Gerichts
Philippe Latombe, ein französischer Abgeordneter, focht den Angemessenheitsbeschluss an und argumentierte, dass der DPRC nicht unabhängig sei und die Praktiken der Massendatenerhebung durch US-Geheimdienste unzureichend reguliert würden. Das Gericht wies beide Rügen zurück.
-
Unabhängigkeit des DPRC: Das Gericht stellte fest, dass die Struktur des DPRC, einschließlich der Ernennungs- und Entlassungsverfahren für Richter, ausreichende Garantien zur Sicherung der Unabhängigkeit von der Exekutive enthalte.
-
Massendatenerhebung: Das Gericht stellte fest, dass nach US-Recht nachrichtendienstliche Aktivitäten einer nachträglichen richterlichen Überprüfung unterliegen und damit den in Schrems II festgelegten Anforderungen entsprechen.
Folglich bestätigte das Gericht den Angemessenheitsbeschluss der Kommission und bekräftigte, dass die USA ein angemessenes Schutzniveau für aus der EU übermittelte personenbezogene Daten gewährleisten.
Auswirkungen auf Unternehmen
Dieses Urteil hat erhebliche Folgen für Unternehmen, die transatlantische Datenströme nutzen:
-
Rechtssicherheit: Unternehmen können sich vorerst weiterhin auf den Beschluss stützen, um personenbezogene Daten im Rahmen der Vorgaben des Data Transfer Frameworks (DTF) in die USA zu übermitteln.
-
Laufende Compliance: Die Kommission ist verpflichtet, die Anwendung des Rechtsrahmens fortlaufend zu überwachen. Sollten sich Änderungen im US-Recht ergeben, die den Datenschutz betreffen, kann die Kommission den Angemessenheitsbeschluss aussetzen, ändern oder aufheben.
-
Prozessrisiken: Auch wenn das Gericht den Angemessenheitsbeschluss bestätigt hat, bleibt die Möglichkeit weiterer rechtlicher Anfechtungen bestehen. Unternehmen sollten potenzielle Entwicklungen aufmerksam verfolgen und ihre Datenübertragungspraktiken gegebenenfalls anpassen.
Fazit
Die Entscheidung des Gerichts verschafft Unternehmen, die am EU–US-Datentransfer beteiligt sind, ein gewisses Maß an Stabilität. Angesichts der dynamischen Natur des Datenschutzrechts ist jedoch kontinuierliche Wachsamkeit erforderlich. Unternehmen sollten rechtliche Entwicklungen aufmerksam beobachten und sicherstellen, dass ihre Datenübertragungsmechanismen sowohl mit EU- als auch mit US-Vorschriften im Einklang stehen.
