US-Urteil weckt neue Zweifel am transatlantischen Datentransfer

Das Urteil des Obersten Gerichtshofs der USA vom 29. Juni 2026 in der Rechtssache Trump v. Slaughter könnte Folgen bis nach Europa entfalten. Der US Supreme Court entschied, dass der Präsident Mitglieder der Federal Trade Commission (FTC) abberufen kann, und verwies das Verfahren an die Vorinstanz zurück. Damit verliert die gesetzlich abgesicherte Unabhängigkeit der FTC an Gewicht.

Nach Einschätzung von Michael Engelke, Datenschutzmanager und Berater für Datenschutz sowie KI-Compliance bei AirITSystems, berührt das Urteil eine wichtige Voraussetzung des EU-US Data Privacy Frameworks (DPF). Akuter Handlungsbedarf bestehe dennoch nicht: Der europäische Angemessenheitsbeschluss gilt weiterhin.

Warum die FTC für das DPF wichtig ist

Das DPF erlaubt die Übermittlung personenbezogener Daten aus der Europäischen Union an zertifizierte US-Unternehmen, ohne dass dafür eine zusätzliche Genehmigung erforderlich ist. Rechtsgrundlage ist der Angemessenheitsbeschluss der Europäischen Kommission nach Artikel 45 der Datenschutz-Grundverordnung (DSGVO). Er bescheinigt den USA für diese Transfers ein im Wesentlichen gleichwertiges Datenschutzniveau.

Zu den tragenden Elementen gehört die Durchsetzung der DPF-Grundsätze durch US-Behörden. Zertifizierte Unternehmen unterliegen unter anderem der Ermittlungs- und Sanktionsbefugnis der FTC. Die Kommission bewertete die vorhandenen Kontroll-, Beschwerde- und Rechtsschutzmechanismen bei ihrer Entscheidung von 2023 als ausreichend.

Wird die FTC stärker an Weisungen des Präsidenten gebunden, stellt sich aus europäischer Sicht die Frage, ob die geforderte unabhängige Aufsicht noch gewährleistet ist. Das Urteil hebt den Angemessenheitsbeschluss jedoch nicht automatisch auf.

DPF bleibt vorerst anwendbar

„Unternehmen sollten jetzt nicht in Aktionismus verfallen“, erklärt Engelke. Solange die EU-Kommission ihre Entscheidung nicht zurücknimmt oder der Gerichtshof der Europäischen Union (EuGH) sie für ungültig erklärt, bleibt das DPF eine nutzbare Rechtsgrundlage. EU-Organe und nationale Aufsichtsbehörden müssen einen Angemessenheitsbeschluss grundsätzlich anwenden, bis er aufgehoben oder gerichtlich für unwirksam erklärt wird.

Ein sofortiges Kündigen von Verträgen mit Microsoft, Amazon Web Services, Google, Salesforce oder anderen US-Anbietern wäre daher nicht erforderlich. Zugleich erinnert die Entwicklung an Safe Harbor und Privacy Shield. Beide Vorgängerregelungen wurden vom EuGH aufgehoben, ohne dass damit sämtliche Datenübermittlungen in die USA endeten. Unternehmen mussten anschließend jedoch häufiger auf Standardvertragsklauseln, Transfer Impact Assessments und ergänzende technische Schutzmaßnahmen zurückgreifen.

„Selbst wenn das DPF künftig wegfallen sollte, bedeutet das nicht das Ende der Nutzung von US-Cloud-Diensten“, betont Engelke. Allerdings steige dann der Prüfungs- und Dokumentationsaufwand.

Europäisches Verfahren läuft bereits

Unabhängig vom US-Urteil wird das DPF auch vor europäischen Gerichten überprüft. Das Gericht der Europäischen Union (EuG) wies die Klage des französischen Abgeordneten Philippe Latombe am 3. September 2025 ab. Seit dem 31. Oktober 2025 läuft unter dem Aktenzeichen C-703/25 P ein Rechtsmittel vor dem EuGH. Das Verfahren ist weiterhin anhängig.

Ob das Urteil aus Washington in diesem Verfahren eine Rolle spielen wird, ist offen. Es liefert jedoch ein neues Argument für die Frage, ob die institutionellen Garantien in den USA weiterhin den Annahmen entsprechen, auf denen der Angemessenheitsbeschluss beruht.

Was Unternehmen jetzt beachten sollten

• Keine vorschnellen Verträge kündigen
• Entwicklung des DPF beobachten
• Datenschutzdokumentation aktuell halten
• Cloud-Strategie und mögliche Alternativen bewerten
• Risikoanalysen regelmäßig überprüfen

Unternehmen sollten insbesondere erfassen, welche Daten auf Grundlage des DPF an welche zertifizierten Empfänger übertragen werden. Sinnvoll ist zudem zu prüfen, ob Standardvertragsklauseln, Verschlüsselung, Pseudonymisierung oder europäische Betriebsalternativen kurzfristig einsetzbar wären.

„Wer seine Cloud-Strategie frühzeitig überprüft und seine Datenschutzprozesse sauber dokumentiert, schafft die Grundlage, auch auf mögliche Änderungen des Rechtsrahmens flexibel reagieren zu können“, fasst Engelke zusammen. Das US-Urteil beendet das DPF nicht. Es erhöht aber die Wahrscheinlichkeit, dass dessen rechtliche und institutionelle Grundlagen erneut intensiv geprüft werden.