Der EuG hat die Klage des französischen Abgeordneten Philippe Latombe gegen den Angemessenheitsbeschluss zum Data Privacy Framework (DPF) zurückgewiesen. Der Kläger hatte beantragt, den transatlantischen Rahmen für Datentransfers zwischen der EU und den USA für nichtig zu erklären. Inhaltlich blieb die Klage ohne Erfolg – das Gericht stellte klar, dass die USA zum Zeitpunkt des Beschlusses ein angemessenes Datenschutzniveau gewährleisteten.
Interessant: Einzelklage ist zulässig
Besonders bemerkenswert ist, dass das Gericht die Klage nicht als offensichtlich unzulässig abgewiesen hat. Bislang war umstritten, ob eine natürliche Person überhaupt klagebefugt sei. Das Scheitern der Vorgänger des DPF war jeweils Folge von Vorlagefragen nationaler Gerichte an den EuGH. Auch Einzelpersonen können entsprechende Angemessenheitsbeschlüsse grds. direkt vor den europäischen Gerichten überprüfen lassen. Für die Zulässigkeit einer solchen Nichtigkeitsklage muss dem Kläger jedoch der Nachweis eines spezifischen Rechtsschutzbedürfnisses in Form einer unmittelbaren und tatsächlichen Betroffenheit durch das DPF gelingen.
Konkrete Streitpunkte der Klage
Die Klage zielte nicht auf eine umfassende Überprüfung des DPF insgesamt, sondern auf spezifische Aspekte:
- Der Kläger hielt den neu geschaffenen Data Protection Review Court (DPRC) in den USA nicht für unabhängig.
- Zudem kritisierte er die Sammelerhebung personenbezogener Daten durch US-Nachrichtendienste, die seiner Ansicht nach nicht ausreichend kontrolliert werde.
Das Gericht sah dies anders: Die Unabhängigkeit des DPRC sei durch institutionelle Garantien abgesichert, und auch die nachträgliche gerichtliche Kontrolle von Datenerhebungen genüge den Anforderungen, die der EuGH im Urteil Schrems II formuliert hatte.
Hintergrund: Kritik am DPF reißt nicht ab
Das Data Privacy Framework war im Juli 2023 als Nachfolger der zuvor vom EuGH aufgehobenen Regelungen („Safe Harbor“ und „Privacy Shield“) in Kraft getreten. Es sollte die rechtssichere Übermittlung personenbezogener Daten zwischen der EU und den USA gewährleisten, ist aber immer wieder in der Kritik. Zuletzt geriet es in die Schlagzeilen, als Mitglieder des DPRC entlassen wurden. Ein Gericht setzte sie jedoch wieder in ihre Ämter ein. Auch Datenschutzorganisationen äußern Zweifel, ob die zugesicherten Schutzstandards dauerhaft eingehalten werden.
Trotz dieser Kritik halten sowohl die Europäische Kommission als auch der Europäische Gerichtshof bislang am DPF fest.
Ausblick
Das Urteil zeigt: Materiell bleibt das DPF vorerst unangetastet, aber die Tür für Einzelklagen ist nicht grundsätzlich verschlossen. Damit ist klar, dass die weitere Zukunft des Rahmens nicht nur von politischen Institutionen, sondern auch von gerichtlichen Auseinandersetzungen einzelner Betroffener geprägt sein kann.
Hinweis
Der Volltext der Entscheidung ist noch nicht veröffentlicht. Auch könnte ein Rechtsmittel gegen die Entscheidung eingelegt werden.
