Trump v. Slaughter und das Datenschutz-Kartenhaus – Teil 1: Worauf Ihre US-Datentransfers beruhen

Kaum ein Feld des Datenschutzrechts hat die Praxis in den vergangenen zehn Jahren so beschäftigt wie die Übermittlung personenbezogener Daten in die USA. Dieser erste Teil ordnet das Thema ein: Worum geht es bei einem „Datentransfer“ überhaupt, warum ist gerade der Weg über den Atlantik heikel, und welche Rechtsgrundlagen tragen die alltägliche Nutzung amerikanischer Dienstleister? Der zweite Teil widmet sich anschließend der jüngsten Entscheidung, die diese Grundlagen erneut ins Wanken bringt.

Was ein „Datentransfer“ wirklich bedeutet

Sobald personenbezogene Daten den Geltungsbereich der DSGVO verlassen und in ein Land außerhalb des Europäischen Wirtschaftsraums gelangen, spricht das Gesetz von einer Übermittlung in ein Drittland. Personenbezogen ist dabei nahezu jede Information, die sich einer natürlichen Person zuordnen lässt: der Name eines Kunden, die E-Mail-Adresse eines Bewerbers, die IP-Adresse eines Websitebesuchers, die Personalakte einer Mitarbeiterin.

Entscheidend und in der Praxis regelmäßig unterschätzt ist, dass dieser Transfer selten das Ergebnis einer bewussten Handlung ist. Niemand „verschickt“ die Daten aktiv über den Atlantik. Der Transfer geschieht im Hintergrund, sobald ein Dienst genutzt wird, dessen Server oder Muttergesellschaft in den USA sitzen. Die Daten liegen dann im tatsächlichen oder rechtlichen Zugriff eines US-Unternehmens, und genau das genügt, um die strengen Anforderungen der Art. 44 ff. DSGVO auszulösen.

Die alltägliche Nutzung amerikanischer Dienstleister

Wer sich vergegenwärtigt, welche Werkzeuge in einem durchschnittlichen Unternehmen im Einsatz sind, erkennt schnell, wie allgegenwärtig der Transfer ist. Im Bereich der Büro- und Cloud-Software dominieren Microsoft 365 mit Outlook, Teams und SharePoint sowie Google Workspace; als Infrastruktur laufen im Hintergrund häufig Amazon Web Services oder die Google Cloud. Wer seine Korrespondenz über Exchange Online abwickelt, übermittelt damit Absender, Empfänger und Inhalte an einen amerikanischen Anbieter.

Hinzu kommen Marketing- und Analysewerkzeuge. Google Analytics ist das klassische Beispiel: Schon der bloße Websitebesuch führt dazu, dass die IP-Adresse des Nutzers erfasst und weitergegeben wird. Ähnliches gilt für die Werbewerkzeuge von Meta, für Newsletter-Dienste wie Mailchimp oder für Kundenverwaltungssysteme wie Salesforce und HubSpot. Kollaborations- und Kommunikationsdienste wie Slack, Zoom und Dropbox reihen sich nahtlos ein, ebenso die stark wachsende Zahl KI-gestützter Anwendungen.

Die Konsequenz ist unbequem, aber eindeutig: Der transatlantische Datentransfer ist kein Spezialproblem international aufgestellter Konzerne, sondern betrifft praktisch jedes Unternehmen, das gängige digitale Werkzeuge nutzt.

Der eigentliche Konfliktpunkt: staatlicher Zugriff

Die DSGVO erlaubt eine Übermittlung in ein Drittland nur, wenn dort ein Datenschutzniveau herrscht, das dem europäischen der Sache nach gleichwertig ist. Bei den USA ist das seit jeher umstritten, und der Grund liegt nicht im Verhalten der Unternehmen selbst, sondern in den Befugnissen des Staates. Auf Grundlage von Vorschriften wie Section 702 des Foreign Intelligence Surveillance Act (FISA) und dem CLOUD Act können US-Behörden und Nachrichtendienste auf Daten zugreifen, die bei amerikanischen Unternehmen liegen. Dieser Zugriff reicht selbst dann, wenn die Server physisch in Europa stehen, solange der Anbieter dem US-Recht unterliegt. Ein betroffener EU-Bürger hat dagegen kaum wirksame Rechtsbehelfe.

Dieser Punkt zieht sich wie ein roter Faden durch die gesamte Rechtsprechung: Nicht die Datenverarbeitung durch das jeweilige Unternehmen ist der Stein des Anstoßes, sondern die Möglichkeit des staatlichen Zugriffs im Hintergrund, gegen die sich der Einzelne nicht zur Wehr setzen kann.

Die Rechtsgrundlagen, auf denen die Praxis ruht

Damit ein solcher Transfer rechtmäßig ist, benötigt das Unternehmen eine Grundlage im Sinne der Art. 44 ff. DSGVO. In der Praxis kommen im Wesentlichen zwei in Betracht. Die erste ist ein Angemessenheitsbeschluss der EU-Kommission. Auf dieser Ebene bewegt sich das 2023 in Kraft getretene EU-US Data Privacy Framework, unter dem sich amerikanische Unternehmen zertifizieren können; für zertifizierte Anbieter gilt der Transfer pauschal als zulässig. Die zweite Grundlage bilden die Standardvertragsklauseln, von der Kommission vorformulierte Vertragstexte, die das exportierende Unternehmen mit seinem US-Dienstleister schließt.

Beide Instrumente verbindet dieselbe Schwachstelle. Sie können die vertragliche und organisatorische Ebene absichern, sie ändern aber nichts an den Zugriffsbefugnissen des amerikanischen Staates. Bei den Standardvertragsklauseln tritt dies besonders deutlich zutage: Sie verlangen zusätzlich eine eigene Risikobewertung, das Transfer Impact Assessment, in dem begründet werden muss, warum der Transfer trotz der bestehenden Überwachungslage vertretbar ist. Diese Begründung stützte sich bislang wesentlich auf die Existenz unabhängiger Aufsichts- und Rechtsschutzmechanismen in den USA.

Zusammenfassung

Der transatlantische Datentransfer ist Alltag: Er geschieht bei nahezu jeder Nutzung amerikanischer Cloud-, Marketing- und Kommunikationsdienste, meist unbemerkt im Hintergrund. Rechtlich heikel ist er nicht wegen der Unternehmen, sondern wegen der weitreichenden Zugriffsbefugnisse des US-Staates, gegen die EU-Bürger kaum geschützt sind. Getragen wird die Praxis von zwei Grundlagen – dem Data Privacy Framework und den Standardvertragsklauseln –, die beide auf der Annahme funktionierender, unabhängiger Kontrolle in den USA beruhen. Warum genau diese Annahme zuletzt erschüttert wurde, ist Gegenstand des zweiten Teils.

Quellen:

Annika Schüller

Annika ist Rechtsreferendarin und vertieft im Rahmen eines LL.M.-Studiums der Rechtsinformatik ihre Kenntnisse im Bereich Legal Tech. Parallel zu ihrer Ausbildung arbeitet sie als Datenschutzbeauftragte in einem mittelständischen Unternehmen. Ihr fachlicher Schwerpunkt ist dabei von ihrem besonderen Interesse an den durch digitale Technologien geprägten Veränderungen des Rechts motiviert.