top of page
Suche

USA-Datentransfers: Das Data Privacy Framework nach dem Latombe-Urteil

Autorenbild: BGfD Bayreuther Ges. für Datenschutz mbH
BGfD Bayreuther Ges. für Datenschutz mbH
vor 18 Stunden
3 Min. Lesezeit

Bayreuth, 09.11.2026 – Ob Microsoft 365, Videokonferenz-Tools oder Cloudspeicher: Viele Unternehmen und Praxen in Oberfranken übermitteln täglich personenbezogene Daten an Anbieter mit Sitz in den USA. Rechtliche Grundlage dafür ist in vielen Fällen das EU-U.S. Data Privacy Framework (DPF). Nach dem Scheitern der Vorgängerregelungen Safe Harbor und Privacy Shield vor dem EuGH stellt sich die Frage, wie belastbar diese Grundlage ist.


Was das Data Privacy Framework regelt

Mit dem Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 hat die Europäische Kommission festgestellt, dass die USA für zertifizierte Unternehmen ein angemessenes Datenschutzniveau gewährleisten. Grundlage sind Zusagen der US-Regierung, insbesondere eine Beschränkung der Geheimdienstzugriffe auf das Notwendige und Verhältnismäßige sowie ein neues Rechtsschutzverfahren für Personen aus der EU. Teil dieses Verfahrens ist der Data Protection Review Court (DPRC).

Wichtig für die Praxis: Der Beschluss gilt nur für Übermittlungen an US-Unternehmen, die sich unter dem DPF zertifiziert haben. Ob ein Anbieter zertifiziert ist, lässt sich in der offiziellen Liste unter dataprivacyframework.gov prüfen.


Das Urteil des EuG in der Rechtssache Latombe

Der französische Abgeordnete Philippe Latombe hatte gegen den Angemessenheitsbeschluss geklagt. Das Gericht der Europäischen Union (EuG) hat die Klage mit Urteil vom 03.09.2025 abgewiesen (EuG, Urt. v. 03.09.2025 – T-553/23). Nach Auffassung des Gerichts ist der DPRC hinreichend unabhängig. Auch die massenhafte Erhebung von Daten durch US-Geheimdienste stellt den Beschluss nicht in Frage: Eine vorherige Genehmigung durch eine unabhängige Stelle ist nach dem EuG nicht zwingend, es genügt eine nachträgliche gerichtliche Kontrolle.


Das Rechtsmittel beim EuGH ist anhängig

Latombe hat am 31.10.2025 Rechtsmittel zum EuGH eingelegt (Rechtssache C-703/25 P). Er stützt es auf vier Rechtsmittelgründe, unter anderem darauf, dass der DPRC kein zuvor durch Gesetz errichtetes Gericht sei. Eine Entscheidung des EuGH liegt nach unserem Kenntnisstand noch nicht vor, ein Termin ist nicht bekannt. Hebt der EuGH das Urteil auf, könnte er den Angemessenheitsbeschluss selbst für nichtig erklären oder die Sache an das EuG zurückverweisen.

Daneben bleibt die politische Entwicklung in den USA ein Risikofaktor. Das DPF beruht im Kern auf einer Präsidialverordnung und auf Aufsichtsstrukturen, deren Arbeitsfähigkeit seit 2025 kritisch diskutiert wird. Die Kommission überprüft das DPF regelmäßig. Ihren ersten Bericht hat sie am 09.10.2024 vorgelegt, die nächste Überprüfung ist nach drei Jahren vorgesehen.


Was das für Microsoft 365 und andere US-Dienste bedeutet

Bis zu einer anderslautenden Entscheidung bleibt der Angemessenheitsbeschluss wirksam. Unternehmen dürfen Daten an zertifizierte US-Anbieter übermitteln, ohne zusätzliche Garantien wie Standardvertragsklauseln vereinbaren zu müssen. Darauf haben auch die deutschen Aufsichtsbehörden in ihren Anwendungshinweisen vom 04.09.2023 hingewiesen.

Die Erfahrung mit dem Privacy Shield zeigt aber, wie schnell sich die Lage ändern kann: Der EuGH hat ihn mit sofortiger Wirkung für ungültig erklärt (EuGH, Urt. v. 16.07.2020 – C-311/18, Schrems II). Unternehmen, die allein auf das DPF setzen, stünden in einem solchen Fall ohne tragfähige Grundlage da. Viele große Anbieter haben Standardvertragsklauseln deshalb ohnehin in ihre Auftragsverarbeitungsverträge aufgenommen. Das ist eine sinnvolle Rückfallebene, auch wenn diese Klauseln nach Schrems II eine eigene Bewertung der Rechtslage im Empfängerland erfordern.


Was Unternehmen jetzt tun sollten

  1. US-Dienste erfassen: Listen Sie alle Dienste auf, bei denen Daten in die USA fließen. Denken Sie auch an Unterauftragsverarbeiter, etwa bei Newsletter-, Support- oder Analysetools.

  2. Zertifizierung prüfen: Kontrollieren Sie, ob der jeweilige Empfänger in der DPF-Liste aktiv zertifiziert ist, und dokumentieren Sie die Prüfung.

  3. Rückfallebene sichern: Achten Sie darauf, dass Ihre Verträge Standardvertragsklauseln als Alternative enthalten, und halten Sie eine kurze Bewertung der Übermittlungsrisiken bereit.

  4. Datenschutzhinweise und Verzeichnis aktualisieren: Geben Sie die Rechtsgrundlage der Übermittlung korrekt an, also Art. 45 DSGVO in Verbindung mit dem Angemessenheitsbeschluss.

  5. Ausstiegsszenario durchdenken: Prüfen Sie für besonders sensible Daten, etwa Patientendaten, ob Speicherorte in der EU oder europäische Alternativen in Betracht kommen.


Wir beobachten das Verfahren vor dem EuGH und unterstützen Sie gern dabei, Ihre Datenübermittlungen in die USA rechtssicher zu dokumentieren.


Quellen


 
 
 

Kommentare

bottom of page