EuG-Entscheidung zum EU-US-Datentransfer

Am gestrigen Tage hat das erstinstanzliche Gericht der Europäischen Union, der EuG, mit Urteil vom 03.09.2025, T-553/23 die Klage gegen die aktuelle Vereinbarung für den transatlantischen Datentransfer zwischen EU und USA abgewiesen. Er bestätigte damit, dass zum Zeitpunkt des Erlasses des Angemessenheitsbeschlusses der EU-Kommission am 10. Juli 2023 von einem angemessenen Datenschutzniveau in den USA ausgegangen werden durfte. Damit bleibt das transatlantische Datenabkommen vorerst in Kraft.

Hintergrund

Der Europäische Gerichtshof (EuGH) hat mit seinen Entscheidungen „Schrems I“ (Urteil vom 06.10.2015, C-362/14) und „Schrems II“ (Urteil vom 16. Juli 2020, C-311/18) früheren Angemessenheitsbeschlüssen der EU-Kommission eine Absage erteilt, insbesondere wegen weitreichender Befugnisse der US-Nachrichtendienste. Dies führte zu erheblicher Rechtsunsicherheit im transatlantischen Datenverkehr.

Nach Schrems II haben die USA 2022 Maßnahmen zur Regulierung der Überwachung eingeführt. Insbesondere wurde der Data Protection Review Court (DPRC) durch eine Executive Order des früheren US-Präsidenten Joe Biden erschaffen, um europäischen Bürgern zu ermöglichen, den Zugriff US-amerikanischer Nachrichtendienste auf ihre personenbezogenen Daten in den USA zu überprüfen. Auf dieser Grundlage erging 2023 der aktuelle Angemessenheitsbeschluss durch die EU-Kommission.

Sachverhalt

Gegen diesen Angemessenheitsbeschluss der EU-Kommission wandte sich ein französischer Staatsbürger, der regelmäßig Internetplattformen verwendet, die personenbezogene Daten in die USA übermitteln. Der neu gegründete DPRC sei weder unparteiisch noch unabhängig, sondern der US-Exekutive unterstellt. Auch die Praxis der US-Nachrichtendienste, ohne vorherige Genehmigung eines Richters oder einer unabhängigen Verwaltungsbehörde massenhaft personenbezogene Daten im Transit aus der EU zu erheben, sei nicht ausreichend klar und präzise und daher rechtswidrig.

Entscheidung

Das EuG hat nunmehr klargestellt, dass der DPRC strukturell ausreichend unabhängig ist und dass massenhafte Datenerhebungen in der Praxis nachträglich überprüft werden können. So werden die Richter vom Generalstaatsanwalt ernannt, nachdem sie die gleichen Kriterien wie Bundesrichter erfüllt haben und über einschlägige juristische Erfahrung verfügen. Die Richter sind keine Bediensteten der Exekutive zum Zeitpunkt ihrer Ernennung oder in den zwei Jahren davor. Die Entscheidungen der DPRC sind endgültig und für alle Nachrichtendienste und die US-Regierung bindend.

Zudem erklärte der EuG, dass die EU-Kommission verpflichtet ist, die Anwendung des rechtlichen Rahmens, auf dem der Beschluss basiert, kontinuierlich zu überwachen. Bei Änderungen in den US-Regularien kann die Kommission gegebenenfalls beschließen, den angefochtenen Beschluss auszusetzen, zu ändern oder aufzuheben oder seinen Geltungsbereich zu beschränken.

Praxistipp

Aktuell können Datentransfers aus der EU in die USA weiterhin unter dem bestehenden Angemessenheitsbeschluss der EU-Kommission erfolgen. Da jedoch aktuell noch Rechtsmittel gegen das Urteil des EuG möglich sind, sollten Sie die weitere Entwicklung im Auge behalten.

Ihre Ansprechpartner in unserem Büro  zum EU-US-Datentransfer sind:

Rechtsanwalt und Fachanwalt für IT-Recht Stefan Ansgar Strewe

Rechtsanwältin und Fachanwältin für IT-Recht sowie für Urheber- und Medienrecht Heike Nikolov

Rechtsanwältin Anne Graurock

Wirtschaftsjuristin im Bereich Datenschutz & Compliance Aleksandra Friemel, LL.M.