EU-US-Datenschutzrahmen löst 2023 den Privacy Shield ab

Am 10. Juli 2023 nahm die Europäische Kommission den Durchführungsbeschluss (EU) 2023/1795 an, der den USA ein angemessenes Schutzniveau für personenbezogene Daten unter dem EU-US-Datenschutzrahmen bescheinigt.^1,2 Mit einem solchen Angemessenheitsbeschluss dürfen personenbezogene Daten ohne weitere Genehmigung in das betreffende Drittland übermittelt werden.¹ Voraussetzung ist, dass die empfangende Organisation in den USA unter dem Datenschutzrahmen zertifiziert ist.⁵ Der Beschluss folgt auf Safe Harbor und den Privacy Shield, die der Gerichtshof der EU 2015 und 2020 für ungültig erklärt hatte.^3,4

Vorausgegangen war eine Executive Order der USA vom 7. Oktober 2022, die die Schutzvorkehrungen für die Arbeit der US-Nachrichtendienste verstärkte.¹ Eine Verordnung des US-Justizministers änderte dazu die Bestimmungen über Einrichtung und Arbeitsweise des Data Protection Review Court.¹ Beschwerden prüft zunächst ein Beauftragter, den der Direktor der nationalen Nachrichtendienste ernennt; gegen dessen Entscheidung können Betroffene den Data Protection Review Court anrufen, dessen mindestens sechs Richter der Justizminister ernennt.² Im Urteil Schrems II hatte der Gerichtshof die Ombudsperson des Privacy Shield nicht als unabhängiges Gericht gelten lassen, weil sie direkt der US-Exekutive berichtete und nicht verbindlich entscheiden konnte.² Die Organisation noyb um Max Schrems nannte den neuen Rahmen weitgehend eine Kopie des Privacy Shield und kündigte an, den Beschluss anzufechten.³

Der französische Abgeordnete Philippe Latombe beantragte am 6. September 2023 beim Gerichtshof der Europäischen Union, den Beschluss für nichtig zu erklären.⁶ Er machte geltend, der Data Protection Review Court sei nicht unabhängig, und die massenhafte Erhebung von Daten durch US-Nachrichtendienste ohne vorherige Genehmigung eines Gerichts oder einer unabhängigen Behörde sei rechtswidrig.¹ Das Gericht der EU wies die Klage am 3. September 2025 ab.^1,2 Es stellte fest, dass die USA am Tag des Beschlusses ein angemessenes Schutzniveau gewährleisteten;¹ die Kommission muss die Lage weiter überwachen und kann den Beschluss bei Änderungen aussetzen, ändern oder aufheben.⁶ Der European Law Blog hält dem Gericht vor, nicht berücksichtigt zu haben, dass dem Aufsichtsgremium PCLOB nach dem erzwungenen Ausscheiden der demokratischen Mitglieder unter Präsident Trump nur noch ein Mitglied angehört.² Latombe legte am 31. Oktober 2025 Rechtsmittel beim Gerichtshof ein (Rechtssache C-703/25 P).⁷