2026-07-10 | Datenschutzrecht

Data Privacy Framework: Schrems kündigt Klage an

Viele Unternehmen speichern Kundendaten in US-Clouds oder lassen sie von US-Dienstleistern verarbeiten. Eine wichtige Rechtsgrundlage hierfür ist derzeit das EU-US Data Privacy Framework (DPF) – das aktuelle Datenschutzabkommen zwischen der EU und den USA. Doch dieses Fundament wackelt. Der österreichische Datenschutzaktivist Max Schrems kündigt eine Klage an. Sein Ziel: Der Europäische Gerichtshof (EuGH) soll den Datentransfer in die USA stoppen. Auslöser ist ein Urteil des US-Supreme Court von Ende Juni 2026. Für Unternehmen, die personenbezogene Daten in die USA übermitteln, kann das erhebliche Folgen haben.

Was ist das Data Privacy Framework?

Grundsätzlich verbietet die EU, personenbezogene Daten in Länder außerhalb der EU zu übermitteln. Der Grund: In diesen sogenannten Drittländern soll der europäische Datenschutz nicht einfach umgangen werden können. Eine Übermittlung ist nur erlaubt, wenn dort ein Datenschutzniveau besteht, das dem europäischen im Wesentlichen gleichwertig ist.

Damit nicht jedes Unternehmen den US-Datenschutz einzeln bewerten muss, kann die EU-Kommission einen sogenannten Angemessenheitsbeschluss fassen. Damit stellt sie fest, dass ein Land ein ausreichendes Schutzniveau bietet. Genau das hat die Kommission am 10. Juli 2023 für die USA getan (Durchführungsbeschluss (EU) 2023/1795, auf Grundlage von Art. 45 DSGVO).

Das Data Privacy Framework funktioniert über eine Selbstzertifizierung: US-Unternehmen verpflichten sich freiwillig auf bestimmte Datenschutzregeln. Ob sie diese einhalten, überwacht auf US-Seite vor allem die Federal Trade Commission (FTC) – eine Behörde, die bisher als unabhängig galt.

Warum will Max Schrems gegen das Data Privacy Framework klagen?

Der Kern des Streits ist die Unabhängigkeit der Aufsicht. Nach europäischem Recht muss eine Datenschutzbehörde unabhängig sein. Diese Anforderung ergibt sich aus Art. 16 Abs. 2 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) und aus Art. 8 Abs. 3 der EU-Grundrechtecharta. Für einen Angemessenheitsbeschluss muss das Drittland insgesamt ein der Sache nach gleichwertiges Schutzniveau gewährleisten. Nach Auffassung von noyb gehört hierzu auch eine wirksam unabhängige Datenschutzaufsicht; ob das Urteil diese Voraussetzung im Rahmen des DPF entfallen lässt, dürfte Gegenstand der weiteren unionsrechtlichen Prüfung sein.

Schrems und seine Datenschutzorganisation noyb (kurz für none of your business) argumentieren: Das gesamte Abkommen stützt sich auf die FTC als unabhängige Aufsicht. Wenn diese Unabhängigkeit wegfällt, fehlt eine zentrale Voraussetzung für den Angemessenheitsbeschluss.

Welche Rolle spielt das Supreme-Court-Urteil?

Am 29. Juni 2026 entschied der US-Supreme Court in der Rechtssache Trump v. Slaughter (Az. 25-332) mit 6 zu 3 Stimmen: Der US-Präsident darf Mitglieder der FTC jederzeit und ohne besonderen Grund entlassen. Das Gericht kippte damit ein fast 90 Jahre altes Grundsatzurteil (Humphrey's Executor, 1935), das die Unabhängigkeit solcher Behörden geschützt hatte.

Anlass war die Klage der früheren FTC-Kommissarin Rebecca Slaughter gegen ihre Entlassung durch Präsident Trump. Für Schrems ist die Folge eindeutig: Wenn die FTC dem Präsidenten untersteht, ist sie keine unabhängige Behörde mehr – und das Data Privacy Framework verliert seine Grundlage. Nach Angaben von noyb stützt sich der EU-Beschluss an 259 Stellen auf die Aufsicht durch die FTC. Unabhängige Behörden titeln etwas vorsichtiger mit „mehr als 250-mal“.

Was bedeutet eine Untätigkeitsklage vor dem EuGH?

Am 30. Juni 2026 hat noyb die EU-Kommission schriftlich aufgefordert, das Data Privacy Framework in einem geordneten Verfahren aufzuheben. Reagiert die Kommission darauf nicht, plant Schrems (laut noyb) eine sogenannte Untätigkeitsklage vor dem EuGH.

Eine Untätigkeitsklage (geregelt in Art. 265 AEUV) richtet sich nicht gegen eine falsche Entscheidung, sondern gegen das Ausbleiben einer Entscheidung. Vereinfacht gesagt: Bleibt eine EU-Institution untätig, obwohl sie handeln müsste, kann dies gerichtlich überprüft werden. Nach eigenen Angaben will noyb die Klage in den kommenden Wochen einreichen – Stand 10.07.2026 – Die laufenden Entwicklungen müssen weiter beobachtet werden.

Wichtig für die Einordnung: Der Angemessenheitsbeschluss bleibt zunächst formal in Kraft. Er gilt so lange, bis entweder die Kommission ihn aufhebt oder der EuGH ihn für nichtig erklärt. Noyb geht nach eigener Einschätzung davon aus, dass eine endgültige gerichtliche Entscheidung etwa zwei bis drei Jahre dauern könnte. Die tatsächliche Verfahrensdauer lässt sich jedoch nicht verlässlich vorhersagen. Eine unmittelbare Rechtsänderung tritt durch die Klageankündigung also nicht ein.

Hatte Schrems mit solchen Klagen schon Erfolg?

Ja – gleich zweimal. Beide Vorgängerabkommen wurden nach seinen Klagen vom EuGH gekippt.

Im Urteil Schrems I erklärte der EuGH am 6. Oktober 2015 das Abkommen Safe Harbour für ungültig (Rechtssache C-362/14). Im Urteil Schrems II folgte am 16. Juli 2020 das Aus für das Nachfolgeabkommen Privacy Shield (Rechtssache C-311/18). In beiden Fällen kritisierte das Gericht vor allem den weitreichenden Zugriff von US-Geheimdiensten auf europäische Daten und den fehlenden Rechtsschutz für Betroffene. Diese Vorgeschichte ist ein Grund, warum die aktuelle Klageankündigung ernst genommen wird.

Welche Folgen hat das für Unternehmen?

Für Unternehmen entsteht Unsicherheit – auch wenn der Datentransfer in die USA aktuell noch auf gültiger Grundlage steht. Wer heute auf das Data Privacy Framework vertraut, sollte die Entwicklung genau beobachten.

Betroffen sind womöglich nicht nur Unternehmen, die sich direkt auf das Abkommen stützen. Wer Daten über Standardvertragsklauseln (SCC) oder verbindliche Unternehmensregeln (BCR) übermittelt, muss vorab eine Risikoabschätzung durchführen. Diese verweist häufig ebenfalls auf US-Stellen, deren Unabhängigkeit nun infrage steht. Auch solche Übermittlungen können daher betroffen sein.

Nicht jeder Datenfluss ist gefährdet: Die Datenschutz-Grundverordnung erfasst nur personenbezogene Daten. Rein technische oder anonyme Daten dürfen weiter frei fließen. Zudem erlaubt Art. 49 DSGVO einzelne, zwingend notwendige Übermittlungen. Diese Ausnahme deckt aber kein dauerhaftes, strukturelles Auslagern von Daten in die USA ab.

Was sollten Unternehmen jetzt tun?

Panik ist nicht angebracht, Vorbereitung schon. Diese Schritte sind sinnvoll:

1. Verschaffen Sie sich einen Überblick, welche personenbezogenen Daten überhaupt in die USA fließen und an welche Dienstleister.
2. Prüfen Sie, auf welcher Rechtsgrundlage die Übermittlung erfolgt und ob der Empfänger aktiv zertifiziert ist.
3. Prüfen Sie europäische oder datenschutzfreundlichere Alternativen. Eine bloße Speicherung in einer EU-Region genügt allerdings nicht automatisch: Zu untersuchen sind auch Fernzugriffe, Supportleistungen, Konzernstrukturen und sonstige Zugriffsmöglichkeiten aus Drittländern.
4. Aktualisieren Sie bestehende Risikoabschätzungen.
5. Verfolgen Sie die weitere Entwicklung, insbesondere die Reaktion der EU-Kommission.

Gerade beim Datentransfer in die USA lohnt sich eine frühzeitige rechtliche Einordnung. So lassen sich teure Umstellungen unter Zeitdruck vermeiden.

SBS Legal Rechtsanwälte – Kanzlei für Datenschutzrecht

Das Data Privacy Framework steht auf dem Prüfstand – und mit ihm die Rechtsgrundlage vieler alltäglicher Datentransfers. Ob Cloud-Nutzung, Software-Dienstleister oder Marketing-Tools: Wer personenbezogene Daten in die USA übermittelt, sollte seine Verträge und Prozesse jetzt rechtssicher aufstellen. Unsere Anwältinnen und Anwälte im Datenschutzrecht analysieren Ihre Datenflüsse, bewerten Risiken und entwickeln praxistaugliche Lösungen.

Haben Sie Fragen zum Data Privacy Framework?

Kontaktieren Sie uns bei Fragen zum Datentransfer in die USA und zum Data Privacy Framework. Wir beraten Sie klar, verständlich und lösungsorientiert.

Der Erstkontakt zu SBS Legal ist kostenlos.

Zurück zur Blog-Übersicht