Supreme Court-Urteil gefährdet EU-US- Data Privacy Framework
Der US Supreme Court hat mit seiner Entscheidung in Trump v. Slaughter, No. 25-332 (2026) die Unabhängigkeit der Federal Trade Commission (FTC) faktisch beendet. Diese war jedoch Voraussetzung des transatlantischen Datenabkommen (EU-U.S.-Data Privacy Framework) zwischen der EU und den USA.
Die Entscheidung-Trump v. Slaughter
Am 29. Juni 2026 urteilte der US Supreme Court, dass unabhängige Behörden („Independent Agencies“) ihren Status der Unabhängigkeit vom Präsidenten weitgehend verloren haben, sofern sie exekutive Aufgaben wahrnehmen. Das Gericht entschied mit konservativer Mehrheit, dass die gesetzlichen Bestimmungen, die den Präsidenten daran hinderten, Kommissare der Federal Trade Commission (FTC) ohne triftigen Grund („for cause“) zu entlassen, gegen die in der Verfassung verankerte Gewaltenteilung verstoßen.
Das Urteil folgt der „Unitary Executive Theory“, wonach der US-Präsident die Kontrolle über alle US-Behörden haben muss. Damit sind alle US-Gesetze, die Behörden Unabhängigkeit verleihen, faktisch verfassungswidrig.
Das Problem für EU-US-Datentransfers
Die EU stützt sich seit dem Jahr 2000 auf die „unabhängige“ FTC als Aufsichtsbehörde für transatlantische Datenschutzabkommen. Im aktuellen Angemessenheitsbeschluss für personenbezogene Daten nach dem EU-US Data Privacy Framework (EU-US DPF) von 2023 verweist die Europäische Kommission vielfach auf die unabhängige FTC als zentrale „Datenschutzbehörde“ – ergänzt durch das U.S. Department of Transportation (DOT) für den Luftverkehrssektor. Genau diese Unabhängigkeit beider Behörden war wesentliche Voraussetzung für den Angemessenheitsbeschluss der EU-Kommission.
EU-Recht verlangt Unabhängigkeit
Drittländer müssen über ein angemessenes Datenschutzniveau verfügen, damit personenbezogene Daten rechtskonform dorthin übermittelt werden dürfen. Eine unabhängige Aufsicht ist hier unabdingbar (Artikel 16(2) AEUV, Artikel 8(3) der Grundrechtecharta). Mit dem Wegfall der Unabhängigkeit der FTC ist diese zentrale Voraussetzung für die USA nicht mehr erfüllt. Die gesamte Struktur des EU-US Data Privacy Framework steht damit auf dem Prüfstand.
Forderung nach Aufhebung des EU-US DPF
Max Schrems von der NGO noyb hat die EU-Kommission bereits in einem offenen Brief vom 30.06.2026 aufgefordert, das EU-US-Datenabkommen ordnungsgemäß aufzuheben. Schrems betont: „Da es in den USA keine unabhängigen Behörden mehr gibt, fordern wir die Kommission auf, die Angemessenheitsentscheidung für die USA in einem geordneten Prozess aufzuheben.“
Was bedeutet das für Unternehmen?
Auch diese Entscheidung zeigt wieder, wie wichtig europäische digitale Souveränität ist. Das EU-US DPF stand von Anfang an in der Kritik – nicht zuletzt, weil zentrale Garantien, insbesondere zu Überwachungsbeschränkungen und Rechtsschutz, lediglich auf der Executive Order des früheren US-Präsidenten Joe Biden basieren. Diese kann jederzeit durch den amtierenden Präsidenten aufgehoben werden. Durch die Entscheidung des US Supreme Courts muss Donald Trump die Executive Order jedoch gar nicht ändern – er erhält durch das Urteil automatisch vollständige Kontrolle über die vormals „unabhängige“ FTC.
Solange der Angemessenheitsbeschluss zum EU-US DPF nicht offiziell aufgehoben ist, besteht – zumindest rein formell – bei einer Datenübermittlung in die USA weiterhin ein angemessenes Datenschutzniveau. Unternehmen sind jedoch gut beraten, hier Vorsorge zu treffen, da künftig mit weiteren Rechtsunsicherheiten in diesem Zusammenhang gerechnet werden kann.
Diese Entwicklung sollte daher unbedingt im Auge behalten werden. Insbesondere sollte geprüft werden, ob bzw. welche weiteren Maßnahmen im Hinblick auf die Rechtsprechung des Europäischen Gerichtshofs erforderlich sind, um auch im Fall der Aufhebung des Angemessenheitsbeschlusses zum EU-US DPF weiterhin ein angemessenes Datenschutzniveau aufrechterhalten zu können. Sofern möglich sollten alternative Lösungen zumindest geprüft werden (z.B. EU-basierte Dienstleister oder getrennte Datenverarbeitung).
Autorin
Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig. Außerdem ist die zertifizierte KI-Compliance-Beauftragte.
Vereinbaren Sie jetzt Ihren Beratungstermin! https://varyfy.de/kontakt/