# Datenschutzrahmen EU-USA

Der Datenschutzrahmen EU-USA (englisch EU-US Data Privacy Framework, DPF) ist eine informelle Vereinbarung zwischen der Europäischen Union und den Vereinigten Staaten von Amerika zum elektronischen Datenaustausch. Die Vereinbarung wird durch Rechtssetzung auf beiden Seiten umgesetzt, die die Reziprozität voraussetzt. Der Datenschutzrahmen trat im Juli 2023 in Kraft. Er soll durch Feststellung der Angemessenheit des Datenschutzniveaus in den Vereinigten Staaten – sofern sich die Unternehmen beim Handelsministerium der Vereinigten Staaten selbst zertifizierten – die Übermittlung personenbezogener Daten aus dem Europäischen Wirtschaftsraum in die Vereinigten Staaten legitimieren, ohne dass zusätzliche Datenschutzgarantien gewährt werden.
Der Datenschutzrahmen ersetzt die Rechtsakte der Kommission zum „Sicheren Hafen“, nachdem der Europäische Gerichtshof diese im Jahre 2015 für ungültig erklärte, und zum „EU-US-Datenschutzschild“, der 2020 für ungültig erklärt wurde.
Das EU-Parlament bezweifelte, dass die von Ursula von der Leyen erzielte neue Vereinbarung mit dem EU-Recht konform ist, da sie EU-Bürger nicht ausreichend vor der Massenüberwachung durch die USA schütze und grundlegende Menschenrechte in der EU nicht durchsetzt. Im Mai 2023 verabschiedete das EU-Parlament mit 306 Pro- gegen 27 Contra-Stimmen eine Resolution hierzu, die bisher ohne Konsequenz blieb. Die Nichtregierungsorganisation NOYB (European Center for Digital Rights) hat angekündigt, erneut zu versuchen, die Datenübermittlung vor dem Europäischen Gerichtshof außer Kraft zu setzen. Ob der Datenschutzrahmen einer Überprüfung durch den Europäischen Gerichtshof standhält, ist umstritten.

## Geschichte
### Safe-Harbor (Framework)

Mit dem am 1. Januar 2000 geschlossenen „Safe-Harbor-Abkommen“, das als Safe-Harbor Framework bekannt wurde (auf Deutsch: „sicherer Hafen“), sollte der elektronische Datenaustausch zwischen der Europäischen Union (EU) und den Vereinigten Staaten (USA) legitimiert werden. Angestrebt wurde, dass Unternehmen konform mit der europäischen Datenschutzrichtlinie persönliche Daten aus der Europäischen Union in die USA übermitteln können, um den Geschäftsverkehr mit den Vereinigten Staaten datenschutzrechtlich abzustimmen. Mit dem Safe-Harbor Abkommen einigten sich die USA mit der EU-Kommission auf sieben sogenannte Safe-Harbor-Principles und 15 FAQs, die als Leitlinien zur Umsetzung für die Datenexporteure und -empfänger gelten. Voraussetzung für die legitime Datenübertragung war, dass sich als US-amerikanische Unternehmen als Empfänger personenbezogener Daten aus Mitgliedstaaten der EU verpflichteten, diese Daten nach den vorgenannten Regelungen zu schützen. Dabei konnten die Unternehmen beim Beitritt zum Safe-Harbor-Abkommen selbst entscheiden, für welche Art der personenbezogenen Daten sie die Safe-Harbor-Principles anwenden – also auf welche persönlichen Daten sich die Prinzipien beziehen.

### Schrems I

Am 6. Oktober 2015 entschied der EuGH, dass die Entscheidung 2000/520/EG der Kommission (vom 26. Juli 2000 gem. der Richtlinie 95/46) über die Angemessenheit des von den Grundsätzen des "sicheren Hafens" und der FAQs (Leitlinien) gewährleisteten Schutzes ungültig ist. Ab diesem Zeitpunkt bestand Rechtssicherheit, dass eine Datenübermittlung aus der EU in die USA, die lediglich auf die Safe-Harbor-Entscheidung gestützt wurde, ab sofort untersagt ist.
Die Gründe dafür waren unter anderem, dass das Abkommen auf der Selbstzertifizierung US-amerikanischer Unternehmen unter das Safe Harbor-Framework gestützt war und die Einhaltung der Grundsätze desselben von Behörden in den USA nicht verlangt oder kontrolliert wurde. Auch wurde in der Entscheidung der EU-Kommission zu den Grenzen des Safe-Harbor-Abkommens festgelegt, dass US-Unternehmen US-amerikanischen gesetzlichen Verpflichtungen uneingeschränkt nachkommen müssen, auch wenn diese den Grundsätzen des Safe-Harbor-Abkommens entgegenstehen.
Deshalb war es unter dem Safe-Harbor-Abkommen zulässig, dass personenbezogene Daten aus der EU in die USA übermittelt wurden und dort ohne Vornahme einer Differenzierung, Ausnahme oder Beschränkung gespeichert wurden, ohne die Möglichkeit, das Zugreifen amerikanischer Behörden zu kontrollieren, einschränken oder verhindern zu können.
Weil die EU-Kommission im Angemessenheitsbeschluss zum Safe-Harbor-Abkommen keine Schlussfolgerung bezüglich der Auswirkungen der innerstaatlichen Gesetze in den USA auf die Angemessenheit des Schutzniveaus vornahm, erklärte der EuGH die Entscheidung der Kommission mit Verweis auf die in der Charta festgeschriebenen Grundsätze (Art. 7, Art. 47) im Ergebnis für ungültig.

### EU-US Privacy Shield

Am 12. Juli 2016 handelten die EU-Kommission und die Vereinigten Staaten einen neuen Rechtsrahmen zur Übermittlung personenbezogener Daten aus der EU in die USA zu gewerblichen Zwecken aus – mit dem EU-US Privacy Shield (auch „Datenschutzschild“ oder „Privacy Shield“). Damit sollten die Bedenken, die der EuGH mit dem Urteil „Schrems I“ 2015 aufzeigte, berücksichtigt werden, um die elektronische Übermittlung personenbezogener Daten zwischen EU und USA zu legitimieren. Auch das Privacy Shield beruhte auf einer Selbstzertifizierung. Um dem Abkommen beizutreten, mussten sich teilnehmende US-Unternehmen zur Wahrung der Privacy Shield Principles verpflichten und den US-amerikanischen Behörden – allen voran dem Department of Commerce (US-Handelsministerium) – unterordnen, welches befugt war, die Unternehmen auf Einhaltung der Privacy Principles zu überprüfen. Unternehmen, die dem Abkommen beitraten und die Regelungen verletzten, würden aus der Liste teilnehmender Firmen entfernt und müssten alle gespeicherten persünenbezogenen Daten löschen oder die entsprechenden Unterlagen aushändigen.
Das Inkrafttreten des EU-US Privacy Shields wurde von gewerblichen Branchen in der EU und den USA befürwortet, ließ aber gleichzeitig die kritischen Stimmen bezüglich des Datenschutzniveaus EU-USA nicht verstummen. Insbesondere einige europäische Verbraucherverbände – unter anderem der Europäische Verbraucherverband (BEUC) – und politische Entscheidungsträger in der EU hielten die Neuregelung für unzureichend.

### Schrems II

Am 16. Juli 2020 erklärte der EuGH den Durchführungsbeschluss zum Privacy Shield für unwirksam. In seinem Urteil stellte der Europäische Gerichtshof erneut klar, dass personenbezogene Daten von EU-Bürgern nur dann an Drittländer übermittelt werden dürfen, sofern sie in dem Drittland einen gleichwertigen Schutz wie in der EU genießen.
Dies hat der EuGH im Fall des EU-US-Privacy Shields verneint. Denn der Beschluss ermöglichte weiterhin, dass US-Behörden fast uneingeschränkten Zugang zu personenbezogenen Daten von EU-Bürgern auf Servern in den USA haben. Der EuGH stellte fest, dass der Privacy-Shield-Beschluss 2016/1250 genauso wie sein Vorgänger, die Safe-Harbor-Entscheidung 2000/520, Eingriffe in die Grundrechte von Personen ermöglicht, deren personenbezogene Daten in die USA übermittelt werden und damit den „Erfordernissen der nationalen Sicherheit, des öffentlichen Interesses und der Einhaltung des amerikanischen Rechts Vorrang eingeräumt wird“.
Der EuGH erklärte den Durchführungsbeschluss über die Angemessenheit des EU-US Privacy Shields der Europäischen Kommission für ungültig, so dass ein legitimer Transfer personenbezogener Daten in die USA erneut nicht gegeben war.

## Grundsätze der Datenübermittlung EU–USA

Jede Übermittlung personenbezogener Daten aus der EU in ein Drittland erfordert gemäß der Datenschutzgrundverordnung, dass das Drittland die Grundsätze der DSGVO befolgt und ein angemessenes Datenschutzniveau gewährleistet oder der für die Daten Verantwortliche (Datenexporteur) die Einhaltung des Datenschutzes garantiert. Angemessen ist das Schutzniveau des Drittlandes nur, wenn es dem Schutzniveau in der EU zumindest entspricht. Dann kann die Europäische Kommission dies durch einen Angemessenheitsbeschluss festlegen, der es ermöglicht, dass für die Datenübermittlung in das Drittland keine weitere Schutzmaßnahme durch geeignete Garantien getroffen werden muss. Wenn ein Drittland einem Angemessenheitsbeschluss unterliegt, müssen also keine zusätzlichen Maßnahmen ergriffen werden, um den Schutz der personenbezogenen Daten zu gewährleisten.
Unternehmen, die personenbezogene Daten zwischen der EU und den USA übertrugen, stützten sich wegen der Verwerfung des Privacy Shield-Beschlusses zumeist auf von der Kommission zur Verfügung gestellte Standardvertragsklauseln und führten zusätzlich zum Beispiel Transfer Impact Assessments (TIA) (Bewertung des Schutzniveaus für Datenübermittlung) durch, um geeignete Garantien für die Wahrung des Datenschutzes zu gewährleisten. Selbst dann befand sich die Datenübermittlung in die USA in einer rechtlichen Grauzone.

### Durchführungsrechtsakt: Angemessenheitsbeschluss

Aufgrund von Angemessenheitsbeschlüssen können personenbezogene Daten legitim aus dem Europäischen Wirtschaftsraum (EWR), zu dem die 27 EU-Mitgliedstaaten, Norwegen, Island und Liechtenstein gehören, in Drittländer übermittelt werden, ohne dass dies weiterer Maßnahmen oder Genehmigungen bedarf.
Es liegt in der Zuständigkeit der EU-Kommission, auf Grundlage von Art. 45 der EU-Verordnung 2016/679 zu entscheiden, ob ein Drittland außerhalb der EU ein angemessenes Datenschutzniveau gewährleistet. Für einen Angemessenheitsbeschluss bedarf es unter anderem eines Vorschlags der EU-Kommission, einer Stellungnahme des EDSA (Europäischer Datenschutzausschuss) und einer Zustimmung der Vertreter der EU-Länder.

## Regelungen des EU-US Data Privacy Framework

Als Nachfolger des EU-US Privacy Shield trat am 10. Juli 2023 das EU-US Data Privacy Framework in Kraft, als die Europäische Kommission den Angemessenheitsbeschluss für den neuen Datenschutzrahmen EU-USA annahm. Demnach können die USA ein im Vergleich zur EU angemessenes Schutzniveau für personenbezogene Daten sicherstellen. Dieses richtet sich an alle Unternehmen, die am neuen Datenschutzrahmen zwischen EU und USA teilnehmen. Eine Zertifizierung und die Teilnahme nach dem DPF können US-Unternehmen bescheinigen, wenn sie sich verpflichten, detaillierte Datenschutzpflichten einzuhalten.
Um die vom EuGH im Schrems-I-Urteil aufgezeigten Einwände zu berücksichtigen, fügte die „Executive Order on Enhancing Safeguards for United States Signals Intelligence Activities“ des US-Präsidenten als Grundlage des Angemessenheitsbeschlusses weitere Garantien hinzu. US-Nachrichtendienste sollen nur noch auf personenbezogene Daten aus der EU zugreifen, wenn dies notwendig und verhältnismäßig ist. EU-Bürgern sollen weitere Rechte gegenüber US-Unternehmen (Datenempfängern) eingeräumt werden, um den Zugang zu ihren Daten, die Löschung oder Berichtigung unrichtiger oder unrechtmäßiger Daten durchzusetzen und dafür Rechtsbehelfe offenhalten, unter anderem durch eine Schiedsstelle sowie unentgeltliche und unabhängig Streitbeilegungsmechanismen.
Die Anträge US-amerikanischer Unternehmen werden vom Handelsministerium der Vereinigten Staaten verwaltet und dahingehend überwacht, dass die zertifizierten Unternehmen die Anforderungen nach Abschluss der Zertifizierung weiterhin erfüllen. Dazu gehört eine jährliche Re-Zertifizierung jedes teilnehmenden US-Unternehmens. Die Liste der DPF-zertifizierten Unternehmen ist auf der Seite des Data Privacy Frameworks veröffentlicht.
Eine der ersten Verfügungen, die Donald Trump als 47. Präsident der U.S.A. unmittelbar nach seinem Amtsantritt am 20. Januar 2025 unterzeichnete, besagt, dass jede Entscheidung seines Vorgängers zur nationalen Sicherheit (auch zu EU-US-Datentransfers) geprüft wird und bereits nach 45 Tagen widerrufen werden kann.

## Kritik

Auch der transatlantische Datenschutzrahmen von 2023 zog herbe Kritik vom Europäischen Parlament nach sich, da US-Geheimdienste weiterhin weitreichend Zugriff auf personenbezogene Daten von EU-Bürgern haben. Der Jurist Max Schrems, der als Kläger beider Verfahren „Schrems I und II“ die Vorgänger des Data Privacy Frameworks zu Fall brachte, kündigte an, gegen den aktuellen Nachfolger zu klagen, so dass auch die Gültigkeit des EU-US Data Privacy Framework vor dem EuGH entschieden wird.