Der Data Protection Review Court (deutsch Gericht zur Datenschutzüberprüfung, Abk. DPRC) ist eine im Oktober 2022 durch eine Executive Order des US-Präsidenten Joe Biden geschaffene Institution im Rahmen des Datenschutzrahmen EU-USA (EU–U.S. Data Privacy Framework). Das Gremium dient als zweite Ebene eines zweistufigen Rechtsbehelfsmechanismus, der es europäischen Bürgern ermöglichen soll, Beschwerden über den Zugriff US-amerikanischer Nachrichtendienste auf ihre personenbezogenen Daten in den Vereinigten Staaten (USA) prüfen zu lassen.^[1]

Das Data Protection Review Court ist kein Gericht im klassisch-justiziellen Sinne, sondern eine vom Justizministerium der Vereinigten Staaten administrativ angesiedelte Instanz.^[2]

Im Juli 2020 erklärte der Europäische Gerichtshof (EuGH) mit dem sogenannten Schrems II-Urteil das bestehende Privacy-Shield-Abkommen zwischen der EU und den USA für ungültig. Hauptgründe waren die umfangreichen Befugnisse US-amerikanischer Nachrichtendienste zum Massendatenzugriff und das Fehlen wirksamer Rechtsbehelfe für EU-Bürger gegen solche Überwachungsmaßnahmen. Bereits 2015 war der Vorgänger Safe Harbor aus ähnlichen Gründen gekippt worden.

Die Europäische Kommission und die US-Regierung nahmen daraufhin diplomatische Verhandlungen auf. Im März 2022 kündigten EU-Kommissionspräsidentin Ursula von der Leyen und Präsident Biden das EU–U.S. Data Privacy Framework als dritten Datenschutz-Pakt an. Als Umsetzung dieser Vereinbarung erließ Präsident Biden am 7. Oktober 2022 die Executive Order 14086 („Enhancing Safeguards for United States Signals Intelligence Activities“), die neue verbindliche Datenschutzauflagen für US-Nachrichtendienste festschreibt. Am selben Tag erließ Justizminister Merrick Garland eine Verordnung, die unter anderem das Data Protection Review Court als unabhängige Prüfinstanz einsetzte.

Das DPRC wird personell von mindestens sechs Richtern besetzt, die vom US-Justizminister in Absprache mit dem Handelsministerium der Vereinigten Staaten, dem Direktor der nationalen Nachrichtendienste und dem Privacy and Civil Liberties Oversight Board (PCLOB) ernannt werden. Die Verfahrensweise des DPRC orientiert sich an geheimdienstlichen Kontrollinstanzen: Beschwerden werden in geheimen Verfahren behandelt (classified proceedings), da oft vertrauliche Informationen über nachrichtendienstliche Operationen berührt sind. Die europäische Beschwerdeführerin oder der Beschwerdeführer tritt nicht persönlich vor dem DPRC auf, sondern wird in jedem Verfahren durch einen unabhängigen Sonderanwalt (Special Advocate) vertreten, der vom Justizminister aus einem zuvor ernannten Pool ausgewählt wird.^[3] Der Pool muss aus mindestens 2 Personen bestehen.^[4]

Europäische Datenschützer bezeichnen die Konstruktion als rechtlich fragil: Da das DPRC lediglich durch eine präsidiale Anordnung und eine nachgeordnete Behördenvorschrift geschaffen wurde, könnte es von einem zukünftigen US-Präsidenten oder US-Justizminister jederzeit mit einfachem Beschluss abgeändert oder abgeschafft werden.^[5] Das Europäische Parlament wies in einer Entschließung im Mai 2023 auf die fehlende institutionelle Unabhängigkeit hin.^[6]

Darüber hinaus wird die praktische Wirksamkeit des Rechtsbehelfsverfahrens hinterfragt. Kritiker betonen, dass europäische Bürger kaum feststellen können, ob sie vom US-Geheimdienst überwacht wurden, und daher nur in den seltensten Fällen überhaupt eine Beschwerde einlegen werden. Selbst im Falle einer Beschwerde bleibt der Prozess für die Betroffenen intransparent: Die Verfahren finden unter Ausschluss der Öffentlichkeit statt und die Entscheidungen des DPRC werden weder den Beschwerdeführern selbst noch den betroffenen US-Behörden in voller Form mitgeteilt.^[7]