Microsoft 365, Salesforce, AWS, Google Cloud oder zahlreiche KI-Tools – für viele Unternehmen sind Datenübermittlungen in die USA schlicht unersetzbar. Entsprechend groß ist die Aufmerksamkeit nach der US Supreme Court Entscheidung vom 29. Juni 2026: In Sachen Trump v. Slaughter hat das höchste US-Gericht die Unabhängigkeit der Verbraucherschutzbehörde Federal Trade Commission (FTC) und damit eine der tragenden Säulen des EU-US Data Privacy Frameworks (DPF) erschüttert. In der Folge ist zu hinterfragen, ob und inwiefern dies zur Rechtswidrigkeit der US-Datenübertragung führen könnte und welche Abhilfemaßnahmen Unternehmen bereits jetzt ergreifen müssen.
Drittlandtransfer, Angemessenheitsbeschlüsse und Art. 46 DSGVO
Nach Art. 44 ff. DSGVO dürfen personenbezogene Daten in ein Nicht EU Land nur übermittelt werden, wenn dort ein im Wesentlichen gleichwertiges Schutzniveau besteht. Dies kann durch einen Angemessenheitsbeschluss der EU Kommission (Art. 45 DSGVO) oder durch geeignete Garantien nach Art. 46 DSGVO, etwa Standardvertragsklauseln (SCCs) oder Binding Corporate Rules (BCRs), erreicht werden. Unternehmen müssen Betroffene zudem über den Drittlandtransfer informieren (Art. 13, 14 DSGVO).
USA v. China & Co.: Rolle des Data Privacy Framework
Für die USA existiert seit 2023 ein Angemessenheitsbeschluss auf Basis des DPF. US Unternehmen können sich in eine Liste des US Handelsministeriums eintragen, wenn sie umfassende Datenschutzpflichten anerkennen. EU Unternehmen dürfen Daten dann an diese Empfänger übertragen. Für andere Staaten ohne Angemessenheitsbeschluss, z. B. China, bleiben dagegen nur Art. 46 Instrumente, nämlich individuelle Vertragsgestaltungen, verbunden mit Risikobewertungen und technischen Sicherungsmaßnahmen.
Trump v. Slaughter: Supreme Court kippt die Unabhängigkeit der FTC
Am 29. Juni 2026 entschied der US Supreme Court in Trump v. Slaughter (No. 25 332), dass der Präsident Kommissare der Federal Trade Commission (FTC) jederzeit ohne wichtigen Grund abberufen darf. Die FTC ist eine US‑Bundesbehörde für Wettbewerbs- und Verbraucherschutz, die im Datenschutzkontext als zentrale Aufsichtsinstanz auftritt, indem sie die Einhaltung datenschutzrechtlicher Verpflichtungen durch Unternehmen überwacht und sanktioniert und im Rahmen des EU‑US Data Privacy Framework eine tragende Rolle als unabhängige Kontrollbehörde spielt. Sie verliert nun ihre über fast 100 Jahre bestehende institutionelle Unabhängigkeit, da der Präsident durch freie Abberufung die parteipolitische Zusammensetzung und Stabilität der Behörde steuern kann. Demgegenüber haben europäische Datenschutzbehörden nach Art. 51 Abs. 1 DSGVO unabhängig zu sein.
Gefahr für das Data Privacy Framework – aber kein sofortiges Ende
Der Angemessenheitsbeschluss der EU Kommission stützt sich an zahlreichen Stellen explizit darauf, dass die FTC als unabhängige Behörde ausgestaltet ist. Mehrere Stimmen in der juristischen Medienberichterstattung kritisieren entsprechend, dass die FTC nun als dem Präsidenten weisungsabhängige Behörde ausgestaltet ist und befürchten die Rechtswidrigkeit des Data Privacy Framework und damit die Rechtswidrigkeit hierauf gestützter Datenverarbeitungsmaßnahmen.
Tatsächlich jedoch bleibt der Angemessenheitsbeschluss formal in Kraft, bis er von der EU Kommission aufgehoben oder vom EuGH für unwirksam erklärt wird. Laufende Transfers auf DPF Basis sind damit nicht automatisch unzulässig. Die Entwicklungen in diese Richtung müssen allerdings aufmerksam beobachtet werden; insbesondere nachdem bereits zwei Vorgängerregelung des DPF vom EuGH für unwirksam erklärt worden sind.
Unternehmerische Vorsorge
Unternehmen sollten die Lage weder dramatisieren noch ignorieren. Sobald Entwicklungen zulasten des DPF im Raume stehen, sollten Datentransfers in die USA, die allein auf das DPF gestützt sind, überprüfen werden. Alternativen wären individualvertragliche Standardvertragsklauseln oder BCRs, um das erforderliche gleichwertige Schutzniveau herzustellen und so einen Datentransfer zu rechtfertigen. Das würde die Handhabung grundsätzlich komplexer machen, während aktuell noch keine akute Gefahr droht.
Fazit
Das DPF ist rechtlich erschüttert worden, aber noch nicht gefallen. Durch Bedenken an der politischen Gestaltung US-amerikanischer Strukturen wird ein solches Abkommen nicht per se nichtig. Wer die Entwicklungen aufmerksam verfolgt und seine Transferinstrumente je nach erwartbaren Entwicklungen diversifiziert, reduziert Haftungsrisiken – und gewinnt Zeit, falls künftig doch noch Handlungsbedarf bestünde.
