IT/Datenschutz

EuG: Data Privacy Framework ist weiterhin gültig

Hintergrund der Entscheidung:

Der französische Parlamentsabgeordnete Philippe Latombe reichte im September 2023 beim Gerichtshof der Europäischen Union (EuG) einen Eilantrag ein, um den Angemessenheitsbeschluss – sog. EU‑US Data Privacy Framework (DPF) – für ungültig zu erklären. Ein Angemessenheitsbeschluss ist ein Beschluss der Europäischen Kommission, der feststellt, dass ein Drittland oder eine internationale Organisation ein mit dem europäischen Datenschutzrecht vergleichbares Datenschutzniveau bietet. 

Begründet wurde die Klage mit der mangelnden Vereinbarkeit des DPF mit der EU‑Grundrechtecharta und der Abwesenheit eines unabhängigen Rechtsverfahrens. Außerdem sei die Praxis der US-Nachrichtendienste, ohne vorherige Genehmigung eines Richters oder einer unabhängigen Verwaltungsbehörde Sammelerhebungen personenbezogener Daten im Transit aus der Union vorzunehmen, nicht hinreichend klar und präzise geregelt und daher rechtswidrig. „Transit“ bei Datenübertragungen bezeichnet die Phase, in der digitale Informationen über ein Netzwerk von einem System oder Gerät zu einem anderen übertragen werden, zum Beispiel per Internet, E-Mail oder über andere Kommunikationskanäle.

Am 12. Oktober 2023 wies das Gericht den Antrag wegen fehlender Dringlichkeit ab.Am 20. Januar 2025 entließ die Trump‑Administration drei demokratisch ernannte Mitglieder des Data Protection Review Court (DPRC).

Die Hauptaufgabe des DPRC ist die Überprüfung von Beschwerden europäischer Bürger über den Zugriff US-amerikanischer Nachrichtendienste auf ihre personenbezogenen Daten im Rahmen des EU-U.S. Data Privacy Framework. Das DPRC fungiert als zweite Instanz in einem zweistufigen Beschwerdeverfahren und entscheidet über die Angemessenheit der Maßnahmen und die Einhaltung des geltenden US-Rechts, um einen effektiven Rechtsschutz für EU-Bürger zu gewährleisten.

Der Gerichtshof der Europäischen Union wies nun mit Urteil vom 03.09.2025 in der Rechtssache T-553/23 die Klage des französische Parlamentsabgeordneten Philippe Latombe auf Nichtigerklärung des Data Privacy Framework ab. Das Gericht bestätigte, dass die USA ein mit dem europäischen Datenschutzrecht vergleichbares Datenschutzniveau haben.

Was hat das Gericht entschieden?

• Der Data Protection Review Court (DPRC) erfüllt die Anforderungen an die Unabhängigkeit.
• Die Sammelerhebung personenbezogener Daten bedarf keine vorherige behördliche Genehmigung; eine nachträgliche gerichtliche Überprüfbarkeit ist ausreichend.

Pressemitteilung: https://curia.europa.eu/jcms/upload/docs/application/pdf/2025-09/cp250106de.pdf (Der Volltext des Urteils wurde in deutscher Sprache noch nicht veröffentlicht)

Fazit: Durch die Abweisung der Klage bleibt das EU‑US Data Privacy Framework gültig. Europäische Unternehmen können weiterhin personenbezogene Daten rechtssicher an Unternehmen übermitteln, die auf der offiziellen Liste zum EU-U.S. DPF mit einer als „aktiv“ („active“) gekennzeichnete Zertifizierung aufgeführt sind.