EU-US Data Privacy Framework auf der Kippe: Was ein US-Urteil für Datentransfers bedeutet

Ein Urteil des US Supreme Court stellt die Unabhängigkeit der US-Aufsichtsbehörde FTC infrage und rüttelt damit am rechtlichen Fundament des EU-US Data Privacy Framework, auf das sich tausende Unternehmen beim Datentransfer in die USA stützen.

Was hat der US Supreme Court entschieden?

Der US Supreme Court hat am 29. Juni 2026 in der Sache Trump v. Slaughter ein Urteil gefällt. Das Gericht erklärt gesetzliche Regelungen für verfassungswidrig, die Bundesbehörden wie die Federal Trade Commission (FTC) vor dem direkten Durchgriff des Präsidenten schützen. Grundlage der Entscheidung ist die sogenannte Unitary Executive Theory. Diese Verfassungsauslegung verlangt, dass der US-Präsident uneingeschränkte Kontrolle über alle Bundesbehörden hat. Der Präsident kann FTC-Kommissare damit jederzeit entlassen. Die FTC verliert dadurch ihre Unabhängigkeit.

Auf den ersten Blick betrifft das nur die US-Innenpolitik. Für die europäische Datenschutzpraxis hat das Urteil aber erhebliche Sprengkraft.

Warum betrifft das US-Urteil den Datentransfer nach Europa?

Die EU-Kommission stützt sich seit dem Jahr 2000 auf die FTC als unabhängige Kontrollinstanz für den Datenschutz in den USA. Das aktuelle EU-US Data Privacy Framework aus dem Jahr 2023 verweist ganze 259 Mal auf die Unabhängigkeit der FTC. Diese Unabhängigkeit begründet einen wesentlichen Teil des sogenannten Angemessenheitsbeschlusses nach Art. 45 DSGVO. Ohne unabhängige Aufsicht fehlt der EU-Kommission die Grundlage, mit der sie US-Unternehmen ein angemessenes Datenschutzniveau bescheinigt hat.

Art. 16 Abs. 2 AEUV und Art. 8 Abs. 3 der EU-Grundrechtecharta verlangen eine unabhängige Datenschutzaufsicht. Das gilt ausdrücklich auch für Drittländer wie die USA. Genau dieser Pfeiler wankt jetzt.

Gerät hierdurch auch der Data Protection Review Court ins Wanken?

Der Data Protection Review Court (DPRC) soll EU-Bürgern Rechtsschutz gegen den Zugriff US-amerikanischer Geheimdienste bieten. Der Name klingt nach einem echten Gericht. Tatsächlich handelt es sich um eine Behörde im US-Justizministerium. Ihre Unabhängigkeit beruht nur auf einer präsidialen Exekutivverordnung von 2022, nicht auf einem Gesetz. Die US-Regierung kann diese Verordnung nach der Logik des Supreme-Court-Urteils jederzeit ändern oder aufheben.

Verschärfend kommt hinzu: Bereits im Januar 2025 wurden drei Mitglieder des zuständigen Kontrollgremiums PCLOB entlassen. Die Funktionsfähigkeit dieses Gremiums steht deshalb ebenfalls in Frage. Das Gericht der Europäischen Union (EuG) beschäftigt sich mit genau diesen Fragen bereits im sogenannten Latombe-Verfahren, dem Microsoft inzwischen als Streithelfer beigetreten ist.

Was bedeutet das für Standardvertragsklauseln und Binding Corporate Rules?

Unternehmen, die statt des Data Privacy Framework Standardvertragsklauseln (SCC) oder Binding Corporate Rules (BCR) nutzen, sind ebenfalls betroffen. Beide Instrumente verlangen ein eigenes Transfer Impact Assessment (TIA). Diese Risikoanalysen berufen sich regelmäßig auf den DPRC als wirksamen Rechtsschutzmechanismus. Verliert der DPRC seine Unabhängigkeit, verliert auch dieser Verweis seine Tragfähigkeit.

Praxisbeispiel: Ein deutsches Unternehmen nutzt Microsoft 365 und stützt die Datenübermittlung auf SCC mit zusätzlichen technischen und organisatorischen Maßnahmen. Das TIA verweist zur Begründung eines angemessenen Schutzniveaus auf den DPRC. Nach dem aktuellen Urteil muss das Unternehmen genau diese Passage neu bewerten, denn die Rechtsgrundlage für den Verweis ist brüchig geworden.

Gilt das Data Privacy Framework jetzt sofort nicht mehr?

Nein, denn der Angemessenheitsbeschluss der EU-Kommission bleibt formal in Kraft. Er gilt so lange weiter, bis die Kommission ihn selbst zurückzieht oder der Europäische Gerichtshof ihn für nichtig erklärt. Das US-Urteil hat für laufende Datentransfers deshalb vorerst keine unmittelbare Rechtsfolge. Die langfristigen Konsequenzen können aber erheblich sein.

Wie reagieren Max Schrems und noyb?

Max Schrems und seine Organisation noyb kündigen bereits eine Klage gegen das Data Privacy Framework an. In einem Schreiben an die EU-Kommission fordert noyb den Widerruf des Angemessenheitsbeschlusses und einen geordneten Ausstieg aus US-Cloud-Diensten. Schrems argumentiert, die EU-Verträge verlangten zwingend eine unabhängige Datenschutzaufsicht, auch mit Blick auf Drittländer. Daran könne die EU-Kommission ohne einstimmige Vertragsänderung der Mitgliedstaaten wenig ändern.

Es wäre nicht das erste Mal, dass ein von Schrems angestoßenes Verfahren ein transatlantisches Datenschutzabkommen zu Fall bringt. Sowohl Safe Harbor im Jahr 2015 als auch der Privacy Shield im Jahr 2020 scheiterten am Ende vor dem EuGH.

Was sind mögliche Szenarien für die kommenden Monate?

Erstens ein geordneter Rückzug: Die EU-Kommission hebt den Angemessenheitsbeschluss selbst auf und gewährt Unternehmen eine Übergangsfrist. Zweitens der gerichtliche Weg: noyb reicht Klage ein, der EuGH entscheidet realistisch erst in zwei bis drei Jahren, und bis dahin bleibt der Beschluss formal gültig. Drittens ein politisches Arrangement: EU und USA verhandeln einen neuen Rahmen, diesmal mit echter gesetzlicher Absicherung im US-Kongress statt eines bloßen Präsidialerlasses.

Was sollten Unternehmen jetzt konkret tun?

Akuter Handlungsdruck besteht nicht. Ein proaktives Vorgehen lohnt sich trotzdem. Unternehmen sollten zunächst ihre Datentransfers inventarisieren und prüfen, welche Verarbeitung auf dem Data Privacy Framework beruht und welche auf SCC oder BCR. Anschließend lohnt sich eine Aktualisierung der Transfer Impact Assessments, besonders dort, wo sie sich auf den DPRC als Rechtsschutzmechanismus berufen.

Unternehmen mit zentralen Cloud-Abhängigkeiten, etwa bei Microsoft, AWS oder Google, sollten zusätzlich Exit-Szenarien durchdenken. Wichtig ist außerdem, die weiteren Entwicklungen aktiv zu verfolgen, insbesondere eine mögliche Stellungnahme der EU-Kommission und den Fortgang der noyb-Klage. Voreilige, unkoordinierte Anbieterwechsel schaffen dagegen oft neue Risiken, statt bestehende zu lösen.

Fazit

Das Urteil in Trump v. Slaughter zeigt, wie fragil das rechtliche Konstrukt ist, auf dem der transatlantische Datenverkehr seit Jahren balanciert. Drei Anläufe, Safe Harbor, Privacy Shield und das Data Privacy Framework kämpfen bislang alle mit demselben strukturellen Problem: der fehlenden gesetzlich dauerhaft verankerten Unabhängigkeit der US-Aufsichtsinstanzen. Für Unternehmen heißt das: kein Grund zur Panik, aber ein klarer Anlass, die eigene Datentransfer-Compliance jetzt zu überprüfen.

Als Rechtsanwalt und Datenschutzbeauftragter begleitet Dr. Marc Maisch Unternehmen genau bei solchen Fragen. Maisch.law Rechtsanwälte berät seit Jahren zu IT-Recht, Künstlicher Intelligenz, Datenschutz und Cybercrime und unterstützt Mandanten dabei, ihre internationalen Datentransfers rechtssicher aufzustellen und auf neue Entwicklungen wie das aktuelle US-Urteil vorbereitet zu reagieren.

FAQ:

Was hat der US Supreme Court in der Sache Trump v. Slaughter entschieden?

Der US Supreme Court hat am 29. Juni 2026 entschieden, dass gesetzliche Schutzmechanismen für Bundesbehörden wie die Federal Trade Commission verfassungswidrig sind. Der US-Präsident kann Mitglieder solcher Behörden künftig frei entlassen. Grundlage ist die Unitary Executive Theory, wonach der Präsident uneingeschränkte Kontrolle über alle Bundesbehörden haben muss. Damit verliert die FTC ihre bisherige Unabhängigkeit.

Ist das EU-US Data Privacy Framework jetzt ungültig?

Nein, das Data Privacy Framework gilt weiterhin als gültiger Angemessenheitsbeschluss nach Art. 45 DSGVO. Es bleibt so lange in Kraft, bis die EU-Kommission es selbst zurückzieht oder der Europäische Gerichtshof es für nichtig erklärt. Aktuell liegt keine solche Entscheidung vor. Unternehmen können das Framework für Datentransfers in die USA also weiterhin nutzen.

Was bedeutet das Urteil für Unternehmen, die Standardvertragsklauseln nutzen?

Unternehmen mit Standardvertragsklauseln oder Binding Corporate Rules sollten ihre Transfer Impact Assessments überprüfen. Diese Risikoanalysen verweisen häufig auf den Data Protection Review Court als wirksamen Rechtsschutzmechanismus in den USA. Da dessen Unabhängigkeit ebenfalls auf einer angreifbaren Exekutivverordnung beruht, verliert dieser Verweis an Tragfähigkeit und die Risikobewertung sollte entsprechend angepasst werden.

Wie lange dauert ein Verfahren vor dem Europäischen Gerichtshof zu diesem Thema?

Ein Verfahren vor dem Europäischen Gerichtshof dauert erfahrungsgemäß zwei bis drei Jahre. Die von noyb angekündigte Klage gegen das Data Privacy Framework wird deshalb nicht kurzfristig entschieden. Bis zu einer endgültigen Entscheidung bleibt der Angemessenheitsbeschluss formal gültig. Unternehmen agieren in dieser Zeit jedoch in erhöhter Rechtsunsicherheit.

Was sollten Unternehmen jetzt konkret tun?

Unternehmen sollten zunächst alle Datentransfers in die USA inventarisieren und die zugrunde liegende Rechtsgrundlage prüfen. Anschließend empfiehlt sich eine Aktualisierung bestehender Transfer Impact Assessments. Zusätzlich lohnt sich die Entwicklung von Exit-Szenarien für zentrale Cloud-Dienste. Überstürzte Anbieterwechsel ohne rechtliche Prüfung sind dagegen nicht empfehlenswert und schaffen oft neue Risiken.

Kann eine Aufsichtsbehörde wegen dieses Urteils schon jetzt Bußgelder wegen Datentransfers in die USA verhängen?

Nein, allein wegen des US-Urteils drohen aktuell keine Bußgelder. Der Angemessenheitsbeschluss gilt formal fort und Unternehmen, die sich darauf oder auf wirksame Standardvertragsklauseln stützen, handeln weiterhin rechtmäßig. Aufsichtsbehörden könnten Bußgelder erst verhängen, wenn die EU-Kommission den Beschluss aufhebt oder der EuGH ihn kippt und Unternehmen danach unverändert weiter Daten übermitteln.

Fragen zu Ihren internationalen Datentransfers?

Sie übermitteln personenbezogene Daten in die USA und sind unsicher, ob Ihre Verträge und Risikoanalysen noch tragfähig sind? Melden Sie sich gerne über die Internetseite von Maisch.law Rechtsanwälte. Dr. Marc Maisch und sein Team beraten Sie zu Datenschutz, internationalen Datentransfers und allen Fragen rund um IT-Recht und Cybercrime.