Nach Slaughter v. Trump: Warum „kein direkter Einfluss" für Datenschutzbeauftragte zu wenig ist

Die EFDPO hat gemeinsam mit dem BvD ein Panel zur Frage veranstaltet, was das US-Höchstgerichtsurteil Slaughter v. Trump für transatlantische Datentransfers bedeutet. Am Podium: Tim Wybitul (Partner, Latham & Watkins, Frankfurt), Michael Will (Präsident des Bayerischen Landesamts für Datenschutzaufsicht) und Prof. Kenneth Propp (Georgetown University, Washington). Moderiert hat Dr. Christoph Bausewein (CrowdStrike, für die EFDPO).

Die Kernbotschaft war einhellig: Ruhe bewahren, der Angemessenheitsbeschluss steht, arbeiten wie bisher. Für die tägliche Praxis von Datenschutzbeauftragten ist diese Antwort allerdings unvollständig. Wer die Diskussion genau verfolgt hat, hat auch die Bruchlinien bemerkt.

Was das Urteil entschieden hat

Präsident Trump hatte Anfang seiner zweiten Amtszeit die beiden demokratischen Commissioners der Federal Trade Commission entlassen. Das FTC-Statut sieht eine Abberufung nur aus wichtigem Grund vor, die Betroffenen klagten. Der Supreme Court hat diesen Kündigungsschutz nun für unvereinbar mit der Gewaltenteilung erklärt: Nach der Doktrin der unitary executive muss der Präsident Commissioners jederzeit und ohne Begründung entlassen können. Die FTC arbeitet derzeit mit zwei republikanischen Commissioners und ohne jede Gegenstimme in ihren Beratungen.

Propp ordnete das als Verfassungsurteil ein, dessen unmittelbare Wirkung auf die FTC beschränkt ist, dessen Logik aber weiter reicht. Ein Parallelverfahren zum Privacy and Civil Liberties Oversight Board (PCLOB), dessen demokratische Mitglieder ebenfalls entlassen wurden, war bis zur Entscheidung ausgesetzt und läuft nun wieder. In Washington erwartet man, dass das Gericht auch in diesem Fall der Slaughter-Linie folgt.

Die formale Lage: Der Angemessenheitsbeschluss gilt

Michael Will hat den aufsichtsbehördlichen Ausgangspunkt klar markiert: Es gibt weiterhin einen Angemessenheitsbeschluss, und die Aufsichtsbehörden sind daran gebunden. Zurücknehmen kann ihn nur die Kommission, für ungültig erklären nur der EuGH. Der EDSA hat die Kommission vor der Sommerpause formell um Analyse ersucht, Justizkommissar McGrath war im Juli in Washington, Expertengespräche sollen im Herbst folgen.

Wybitul ergänzte die Dogmatik: Nach Art. 45 Abs. 2 lit. b DSGVO ist das Bestehen wirksam arbeitender unabhängiger Aufsichtsbehörden nur einer von mehreren Gesichtspunkten, und nach Abs. 3 entscheidet die Kommission. Der Maßstab ist Angemessenheit, nicht Identität. Auch die Unabhängigkeit europäischer Aufsichtsbehörden sei faktisch begrenzt, etwa über die Budgethoheit der Mitgliedstaaten, und über die fehlende richterliche Kontrolle deutscher Nachrichtendienste werde ebenfalls gerade diskutiert.

Der Satz, den man nicht überhören sollte

Bei aller Beruhigung hat Michael Will eine Feststellung getroffen, die es in sich hat: Mit Blick auf die FTC nach Slaughter würde er nicht mehr sagen, dass dort das Unabhängigkeitsverständnis der DSGVO erfüllt sei. Die DSGVO und alle übrigen Angemessenheitsbeschlüsse verlangen einen wichtigen Grund für die vorzeitige Beendigung eines Mandats, und genau diesen Grund gibt es nach diesem Urteil nicht mehr.

Propp hat denselben Konflikt aus US-Sicht beschrieben: Art. 52 DSGVO verlangt völlige Unabhängigkeit und Freiheit von direkter wie indirekter Einflussnahme, die Unabhängigkeit der FTC ist im Angemessenheitsbeschluss ausdrücklich gewürdigt, und ein Szenario, in dem der Präsident auf eine FTC-Entscheidung einwirkt, ist heute vorstellbar. Er hielt einen förmlichen Verfassungskonflikt für konstruierbar, verwies aber darauf, dass dieser in einen massiven transatlantischen Wirtschaftskonflikt ohne erkennbare Lösung führen würde.

Damit steht ein bemerkenswertes Ergebnis im Raum: Eine tragende Annahme des Angemessenheitsbeschlusses trifft nach Einschätzung eines deutschen Aufsichtsbehördenleiters nicht mehr zu, und dennoch soll sich für die Praxis nichts ändern. Das ist juristisch vertretbar, weil der Beschluss bis zu seiner Aufhebung gilt. Es ist aber kein Argument, das ein DSB in seiner Dokumentation nach Art. 5 Abs. 2 DSGVO unbesehen übernehmen sollte.

Was Slaughter nicht berührt, und wie fest das steht

Der Data Privacy Review Court (DPRC) bleibt nach Ansicht des Panels unberührt. Propp begründete das damit, dass Slaughter eine Regelung des Kongresses geprüft hat, während der DPRC vollständig durch Executive Order und eine Verordnung des Attorney General geschaffen wurde. Die Richter sind Angehörige der Exekutive, ihr Abberufungsschutz beruht auf eben dieser Verordnung. Das Urteil erklärt zudem die Nixon-Entscheidung aus der Watergate-Ära ausdrücklich für weiterhin gültig und trifft keine Aussage über Exekutivrichter.

Aus DSB-Sicht ist das eine dünne Absicherung. Der Abberufungsschutz der DPRC-Richter hängt an einer Verordnung, die derselbe Attorney General jederzeit ändern könnte. Dass dies ein formaler und nicht leichtfertig gegangener Schritt wäre, ist eine politische Einschätzung, keine Rechtsgarantie. Michael Will hat selbst eingeräumt, dass die Situation der DPRC-Mitglieder, anders als Slaughter, sehr wohl unmittelbare Auswirkungen auf Transfer Impact Assessments hätte. Das anhängige PCLOB-Verfahren betrifft ein Gremium, das im Aufsichtsgefüge des DPF eine Rolle spielt. Dieses Thema sollte man weiter beobachten.

Die zweite Verteidigungslinie ruht auf demselben Fundament

Alle drei Panelisten waren sich einig, dass Standardvertragsklauseln und BCR von Slaughter nicht betroffen sind, weil das Urteil nur den zivilrechtlichen, kommerziellen Teil des Angemessenheitsbeschlusses berührt und nicht den behördlichen Datenzugriff oder den Rechtsschutz. Wybitul verwies auf die Beratungspraxis, SCC und TIA laufend aktuell zu halten und sich nie allein auf das DPF zu stützen.

Der Haken liegt in Wills eigener Begründung: Das TIA könne sich weiterhin vollständig auf die Analyse der Kommission zum behördlichen Zugriff und zum Rechtsschutz stützen. Genau diese Analyse steht aber gerade unter Überprüfung. Die vermeintlich unabhängige zweite Verteidigungslinie speist sich also aus derselben Quelle wie die erste. Wer sein TIA ausschließlich auf Erwägungsgründe des Angemessenheitsbeschlusses stützt, hat keine zweite Linie, sondern eine Kopie der ersten.

Latombe: Das Panel setzt auf ein Formalurteil

Eine mündliche Verhandlung war zum Zeitpunkt des Panels noch nicht angesetzt, wird aber in den kommenden Wochen erwartet. Propp hielt fest, dass es ernsthafte Fragen zur Klagebefugnis gibt und der Gerichtshof in einer Nichtigkeitsklage spätere Entwicklungen wie Slaughter eigentlich nicht berücksichtigen darf. Rein rechtlich müsste die Klage daher scheitern.

Wybitul erwartet ein Urteil ohne klare Kriterien dafür, wann Transfers zulässig sind und wann nicht, und kritisierte, dass der EuGH Art. 1 Abs. 1 DSGVO stark betone, die Abwägungsdimension des Art. 1 Abs. 3 hingegen kaum je erwähne.

Will war der Einzige, der die offene Flanke direkt benannt hat: Art. 44 Satz 2 DSGVO, wonach das Schutzniveau der DSGVO durch Kapitel V nicht untergraben werden darf, könnte dem EuGH die Tür zu einer breiteren Würdigung öffnen. Dahinter steht eine Frage, die seit Schrems I unbeantwortet ist: Kann ein Zertifizierungsschema in einem Drittstaat überhaupt tragfähige Datenschutzgarantien begründen? Genau an dieser Stelle ist die Durchsetzungsrolle der FTC am stärksten und die Slaughter-Entscheidung am relevantesten. Will hielt zudem für möglich, dass der EuGH den Aufsichtsbehörden und der Kommission Hausaufgaben aufträgt und den Handlungsspielraum verengt.

Eine Compliance-Strategie, die darauf baut, dass der EuGH aus formalen Gründen nicht in der Sache entscheidet, ist keine Strategie.

Digitale Souveränität: der eigentliche Dissens

Der einzige offene Meinungsunterschied betraf die digitale Souveränität. Will bestand auf strikter Trennung: Souveränität ist kein Konzept der DSGVO, die DSGVO ist kein Datenlokalisierungsrecht, und er sehe die Aufsichtsbehörden nicht in der Rolle, Lokalisierungsanforderungen durchzusetzen. Wollte man solche allgemein einführen, brauche es eine neue politische Entscheidung, derzeit unter dem Kürzel CADA diskutiert.

Propp widersprach: Er würde gern glauben, dass die DSGVO-Fragen von der politischen Ebene getrennt seien, halte das aber schlicht nicht für zutreffend. Die Stellungnahme des EDSB zum Cloud and AI Development Act prüfe Lokalisierungsanforderungen ausdrücklich am Maßstab der DSGVO. Dazu komme eine Eskalationsspirale: US-Maßnahmen werden in Europa als Souveränitätsangriff wahrgenommen, europäische Gesetzgebung wird in Washington als diskriminierend gelesen.

Wybitul steuerte bei, dass die Digitalrechtsakte untereinander nicht harmonisiert sind und die Standardformel, wonach andere Rechtsakte unberührt bleiben, ein Märchen sei.

Bemerkenswert war Wills Umkehrschluss: Gerade weil Slaughter für Datentransfers vielleicht nur zweitrangig ist, befeuert es die Debatte über Abhängigkeiten europäischer Unternehmen von US-Diensten. Das ist die ehrlichste Aussage des Abends.

Der blinde Fleck des Panels

Wybitul stellte die Frage, ob irgendein Mandant Transfers in die USA tatsächlich einstellen könnte, und beantwortete sie mit einem klaren Nein: Zoom würde nicht laufen, Microsoft-Rechner nicht, Apple-Geräte nicht. Am Ende laufe alles auf risikobasierte Managemententscheidungen hinaus (Anmerkung des Autors: Es gibt schon längst nennenswerte souveräne europäische Lösungen mit denen jedenfalls kleine und mittelständige Organisationen schon längst produktiv arbeiten können. Wir planen dazu einen Event im Herbst)

„Wir können nicht anders" ist keine Rechtsgrundlage nach Kapitel V. Wenn die faktische Unmöglichkeit des Ausstiegs das tragende Argument für die Zulässigkeit des Transfers wird, dann ist genau das der Befund, der die Souveränitätsdebatte begründet, die das Panel mehrheitlich aus dem Datenschutzrecht heraushalten wollte.

Kritisch anzumerken ist außerdem der Umgang mit der Gegenposition. noyb und die Kritiker des DPF kamen ausschließlich als rhetorische Figur vor, teils mit dem Hinweis, die Kritik sei politisch motiviert oder komme von Anbietern, die TIA-Dienstleistungen verkaufen wollen. Das ist ein Argument über Motive, kein Argument in der Sache.

Ein Panel aus Kanzlei, Aufsichtsbehörde und transatlantischem Think Tank hat naturgemäß ein gemeinsames Interesse an funktionierenden Datenflüssen. Diese Perspektive ist legitim und war sachlich fundiert. Sie ersetzt aber nicht die Gegenprobe.

Was das für die Praxis bedeutet

Kurzfristig ändert sich rechtlich nichts, und Aktionismus ist fehl am Platz. Sinnvoll sind aus unserer Sicht diese Schritte:

• Die DPF-Zertifizierungen der eigenen Dienstleister prüfen und dokumentieren, für welche Transfers das DPF tatsächlich die tragende Grundlage ist und wo bereits SCC oder BCR danebenstehen. Wer beides parallel hat, ist deutlich entspannter.
• Transfer Impact Assessments nicht nur formal aktualisieren, sondern die Herleitung prüfen. Ein TIA, das die Erwägungsgründe des Angemessenheitsbeschlusses referenziert, hat keine eigenständige Substanz. Die Feststellungen zum behördlichen Zugriff, zum DPRC und zum Rechtsschutz gehören mit eigener Bewertung und mit Stand versehen dokumentiert.
• Die Entwicklung beim DPRC und beim PCLOB-Verfahren aufnehmen, nicht nur Slaughter. Dort liegt das Risiko, das ein TIA tatsächlich treffen würde.
• Für die eigene Dokumentation festhalten, dass die Unabhängigkeit der FTC nach Einschätzung von Aufsichtsseite fraglich geworden ist, der Angemessenheitsbeschluss aber fortgilt und bindend bleibt. Diese Differenz gehört benannt, nicht geglättet.
• Abhängigkeiten von US-Anbietern getrennt vom Transferrecht bewerten, als Verfügbarkeits- und Konzentrationsrisiko nach Art. 32 DSGVO und, wo einschlägig, nach NIS2 oder DORA. Diese Bewertung ist unabhängig davon fällig, wie Latombe ausgeht.

Termine im Blick aus Sicht des Podiums

Für Herbst sind Expertengespräche zwischen Brüssel und Washington angekündigt. Für den kommenden Sommer ist die gemeinsame Überprüfung des Data Privacy Framework angesetzt, wobei es Stimmen gibt, die eine Vorverlegung fordern. Ein Latombe-Urteil wird binnen Jahresfrist erwartet. Wybitul rechnet mit einer Zunahme zivilrechtlicher Streitigkeiten und einer routinierteren Bußgeldpraxis der Aufsichtsbehörden.

Michael Will schloss mit einem Appell, die Ebenen sauber zu trennen: Angemessenheit ist nicht digitale Souveränität, Slaughter ist nicht Rechtsschutz. Und man solle weniger auf LinkedIn-Gerüchte hören. Dem ist zuzustimmen. Nur sollte die saubere Trennung nicht dazu führen, dass am Ende keine der Ebenen jemanden zuständig findet.

Der Verein österreichischer betrieblicher und behördlicher Datenschutzbeauftragter ist Mitglied der European Federation of Data Protection Officers (EFDPO). Die mit Whisper lokal auf dem Rechner des Autors erfasste und mit Mistral Vibe erstellte Zusammenfassung beruht auf der Teilnahme am Webinar und gibt die Aussagen der Panelisten sinngemäß wieder.