US-Justizurteil: Die Unabhängigkeit der EU-FTC als Datenüberwachungsbehörde in Frage gestellt

Ein Kartenhaus droht zum Einsturz: Der US-Justizurteil und die Unabhängigkeit der EU-FTC

Ein politisch und rechtlich bedeutsames Urteil des Obersten Gerichtshofs der USA hat die konservative Mehrheit der Richter die Unabhängigkeit der Federal Trade Commission (FTC) für die EU als Datenüberwachungsbehörde in Frage gestellt. Dieses Urteil hat nach einer rein innenpolitischen Debatte über die Machtfülle des US-Präsidenten eine neue Dimension bekommen, die sich bei näherer Betrachtung als Sprengsatz für die europäische Digitalwirtschaft entpuppt.

Die Unitary Executive Theory und die Unabhängigkeit der FTC

Die Entscheidung der Richter folgt der so genannten „Unitary Executive Theory“. Diese radikale Verfassungsauslegung besagt, dass der US-Präsident alle Bundesbehörden in der Hand hat. Der Oberste Gerichtshof hat alle gesetzlichen Regelungen, die Behörden vor dem direkten Durchgriff des Weißen Hauses schützen, für unzulässig erklärt. Dies bedeutet, dass die vermeintliche Unabhängigkeit der FTC, die lange Zeit das rechtliche Fundament für den Datenverkehr zwischen der EU und den USA war, nun in Frage gestellt wird.

Das EU-US-Datenschutzabkommen und die FTC

Hintergrund des aktuellen Konflikts ist die sogenannte „Unitary Executive Theory“. Seit dem Jahr 2000 stützt sich die EU-Kommission bei ihren Abkommen zum Datenexport mit den USA maßgeblich auf die FTC als kontrollierendes Organ. Das Problem dabei ist struktureller Natur: Das EU-Vertragsrecht und die Grundrechtecharta schreiben vor, dass die Überwachung des Datenschutzes durch unabhängige Behörden erfolgen muss. Da Drittstaaten ein „im Wesentlichen gleichwertiges“ Datenschutzniveau zu garantieren haben, galt diese Pflicht zur Unabhängigkeit auch für die US-Aufsicht.

Der Brüsseler Urteil und die EU-Kommission

Im aktuellen Angemessenheitsbeschluss der EU, dem heftig umstrittenen EU-US Data Privacy Framework von 2023, beruft sich die EU-Kommission sage und schreibe 259 Mal auf die Kontrollfunktion der FTC. Mit dem neuen Urteil untersteht diese Behörde jetzt jedoch prinzipiell direkt den politischen Weisungen des US-Präsidenten. Die mühsam konstruierte Argumentation, die USA böten unabhängige Aufsicht, dürfte damit über Nacht hinfällig geworden sein.

Die Reaktion von Datenschutzorganisationen

Max Schrems, Gründer der Datenschutzorganisation Noyb, sieht die Brüsseler Regierungsinstitution damit in der Pflicht. Da es in den USA schlicht keine unabhängigen Behörden mehr gebe, hat Noyb die Kommission formell aufgefordert, die Angemessenheitsentscheidung für die USA in einem geordneten Prozess aufzuheben. Sie habe unter dem Druck der Wirtschaft ein rechtliches Luftschloss gebaut, das nun in sich zusammenfalle. Es sei an der Zeit, Verantwortung zu übernehmen und einen koordinierten Ausstieg der europäischen Wirtschaft aus der US-Cloud-Infrastruktur einzuleiten. Schrems hat bereits zweimal vor dem Europäischen Gerichtshof (EuGH) Übereinkünfte zum EU-US-Datentransfer zu Fall gebracht.

Grenzen der praktischen Auswirkungen

Die juristische Tragweite des Urteils ist noch nicht ganz absehbar. Seine praktischen Auswirkungen gelten aber nicht als unbegrenzt. Zwar hat sich die faktische Basis des EU-Beschlusses offenbar aufgelöst. Formal bleibt das Abkommen aber so lange in Kraft, bis die EU-Kommission es selbst widerruft oder der schon mit dem Rahmenwerk beschäftigte EuGH es für nichtig erklärt. Firmen, die sich auf die Übereinkunft stützen, drohen also keine sofortigen Strafen.

Ferner betrifft die Datenschutzgrundverordnung (DSGVO) ausschließlich personenbezogene Daten. Rein geschäftliche oder nicht-personenbezogene Informationen dürfen weiter ungehindert fließen. Auch absolut notwendige Datenübermittlungen, etwa für eine Hotelbuchung im Ausland, bleiben über die Ausnahmeregelungen des Artikels 49 der DSGVO legal. Verboten ist indes das systematische und strukturelle Auslagern europäischer Datenbestände an US-Anbieter ohne zwingenden Grund.

Alternativen und Risiken

Allerdings hängen auch Firmen in der Luft, die das Rahmenabkommen umgehen und auf alternative Instrumente wie Standardvertragsklauseln (SCCs) oder verbindliche Unternehmensregeln (BCRs) setzen. Diese Instrumente verlangen von Unternehmen eine interne Risikoanalyse. In diesen Folgenabschätzungen wird regelmäßig auf US-Prüfinstanzen wie den „Data Protection Review Court“ verwiesen. Doch dieses von der Biden-Regierung ins Leben gerufene Gremium ist kein echtes Gericht, sondern eine Behörde innerhalb des US-Justizministeriums. Ihre Unabhängigkeit beruht nur auf einer präsidialen Exekutivverordnung.

Schlussfolgerungen

Nach der Logik des Obersten Gerichtshofs ist die Unabhängigkeit der EU-FTC als Datenüberwachungsbehörde in Frage gestellt. Dieses Urteil hat nach einer rein innenpolitischen Debatte über die Machtfülle des US-Präsidenten eine neue Dimension bekommen, die sich bei näherer Betrachtung als Sprengsatz für den transatlantischen Datenschutzrahmen entpuppt. Die Richter haben alle gesetzlichen Regelungen, die Behörden vor dem direkten Durchgriff des Weißen Hauses schützen, für unzulässig erklärt. Dies bedeutet, dass die vermeintliche Unabhängigkeit der EU-FTC, die lange Zeit das rechtliche Fundament für den Datenverkehr zwischen der EU und den USA war, nun in Frage gestellt wird. Die Richter haben alle gesetzlichen Regelungen, die Behörden vor dem direkten Durchgriff des Weißen Hauses schützen, für unzulässig erklärt. Dies bedeutet, dass die vermeintliche Unabhängigkeit der EU-FTC, die lange Zeit das rechtliche Fundament für den Datenverkehr zwischen der EU und den USA war, nun in Frage gestellt wird.