Trump vs. EU-US Data Privacy Framework?

Aktuell häufen sich die News über Trumps Amtseinführung und auch über die ersten Gesetze, die er verabschiedet hat. Neben vielen anderen gravierenden und bedenklichen Folgen für die USA, könnten diese aber auch wesentliche Auswirkungen auf das EU-US Data Privacy Framework haben und somit auch europäische Unternehmen stark betreffen.

Wie die New York Times am 22. Januar berichtete, haben drei Mitglieder des aus fünf Personen bestehenden „Privacy and Civil Liberties Oversight Board“ (einer Behörde, die eine Wächterstellung einnehmen soll und Amerikanerinnen und Amerikaner vor Missbrauch durch Überwachungsbehörden schützen soll) haben diese Woche Briefe erhalten, in denen sie aufgefordert wurden, bis Donnerstag zurückzutreten oder sich auf ihre Entlassung vorzubereiten. 

Es ist noch nicht klar, ob Trump plant, dann neue Mitglieder zu benennen oder diese Stellen unbesetzt zu lassen. Letzteres hätte zur Folge, dass das Privacy and Civil Liberties Oversight Board faktisch stillgelegt wäre. Dies könnte ein Puzzelteil sein, welches das EU-US Data Privacy Framework, dem Angemessenheitsbeschluss für die Datenübertragung in die USA, bröckeln lassen könnte. 

Es war schon ein Hauptargument, das den Vorgängerbeschluss zum EU-US Data Privacy Framework – nämlich das EU-US Privacy Shield - zu Fall brachte, dass die US amerikanischen Sicherheitsbehörden zu umfangreiche Zugriffsrechte hätten und nahezu ohne hinreichenden Grund oder individuelle gerichtliche Genehmigungen auf alle bei US-amerikanischen Unternehmen gespeicherten Daten zugreifen konnten. 

Allerdings wird die Angelegenheit mit dem Privacy and Civil Liberties Oversight Board nicht die letzte Maßnahme von Trump sein, die den Datenschutz in den USA betrifft. In einer der ersten von Trump unterzeichneten Executive Orders beschließt er nämlich,  dass alle nationalen Sicherheitsentscheidungen von Joe Biden (einschließlich der relevanten Entscheidungen, auf denen das EU-US Data Privacy Framework beruht) innerhalb von 45 Tagen überprüft und möglicherweise verworfen werden sollen. Dies könnte zur Folge haben, dass weitere zentrale Bestandteile, auf die das EU-US Data Privacy Framework gestützt ist, wegfallen könnten. 

Praxishinweis:

Fakt ist, dass das EU-US Data Privacy Framework nicht automatisch durch die bisherigen Handlungen von Trump außer Kraft gesetzt wird. Es liegt beim EuGH festzustellen, ob das Data Privacy Framework ein angemessenes Schutzniveau für einen Datentransfer aus Europa bietet. Für diese Bewertung kommt es aber durchaus darauf an, wie Trump den Schutz der personenbezogenen Daten und die Zugriffe der US-Amerikanischen Sicherheitsbehörden auf diese ausgestaltet. 

Der Datenschützer Max Schrems hat bereits seinen Unmut über die Veränderungen und das Verhalten von Trump kundgetan. Es ist also nicht unrealistisch, dass es zu einer Schrems III Entscheidung des EuGH kommen kann. Dies würde allerdings nicht von jetzt auf gleich passieren, sondern wird vermutlich noch einige Monate dauern. 

Sollte das EU-US Data Privacy Framework für unwirksam erklärt werden, bedeutet das für Unternehmen in Europa, dass sie den Datentransfer beim Einsatz von Tools von Amazon, Google Microsoft und Co. nicht mehr auf den Angemessenheitsbeschluss stützen können. Der Abschluss von EU US Standardvertragsklauseln und die Vereinbarung von zusätzlichen Sicherheitsmaßnahmen wird dann wieder eine zentrale Rolle spielen. Es ist also zu empfehlen, die aktuellen Entwicklungen im Blick zu behalten. Natürlich halten wir Sie auch entsprechend auf dem Laufenden.