EuG zum EU-US Data Privacy Framework.

Philippe Latombe, ein französischer Staatsbürger und Mitglied der Nationalversammlung, hatte im Rahmen einer Nichtigkeitsklage gegen den Angemessenheitsbeschluss zum EU-US Data Privacy Framework geklagt. Er führte aus, dass das durch Executive Order 14086 und die Attorney General Regulation eingerichtete Data Protection Review Court (DPRC) kein zuvor durch ein Gesetz geschaffenes unabhängiges Gericht im Sinne von Art. 47 Abs. 2 GRC sei. Außerdeim greife die massenhafte Datenerhebung durch US-Geheimdienste stark in die Grundrechte auf Privatleben und Datenschutz ein. 

Das Gericht stellte klar, dass für die unionsrechtliche Prüfung nicht die formale Rechtsquelle entscheidend ist. Maßgeblich ist stattdessen, ob die maßgeblichen US-Vorschriften materielle Garantien der Unabhängigkeit, Unparteilichkeit und effektiven gerichtlichen Kontrolle bieten. Nach Analyse der Regeln zur Ernennung, Amtsführung und Abberufung der DPRC-Richter sowie der Verfahrensrechte kam es zum Ergebnis, dass die in Schrems II festgestellten Defizite behoben wurden und das DPRC im Wesentlichen gleichwertige Garantien bietet.

Im Bezug auf die geheimdienstliche Datenerhebung bekräftigte das Gericht, dass das Unionsrecht keine zwingende vorherige Genehmigungspflicht für Massenerhebungen vorsieht - zumindest, solange eine nachträgliche unabhängige Kontrolle, klare Rechtsgrundlagen sowie mehrschichtige Aufsichtsmechanismen bestehen. Diese sind in den USA durch E.O. 14086, das DPRC, das PCLOB, Generalinspekteure und die Aufsichtsausschüsse des Kongresses gewährleistet.

Die Kommission übte somit ihren Beurteilungsspielraum nach Art. 45 DSGVO ordnungsgemäß aus und verletzte weder Art. 7 noch Art. 8 oder Art. 47 GRC. Der Angemessenheitsbeschluss bleibt daher in vollem Umfang gültig.

Quellen