Ein Urteil des US Supreme Court sorgt seit Kurzem für Diskussionen unter Datenschutzrechtlern und Cloud-Anbietern, in deutschen Unternehmen ist es bislang kaum ein Thema. Am 29. Juni 2026 entschied das Gericht im Fall Trump v. Slaughter, dass die verfassungsrechtlich abgesicherte Unabhängigkeit der Federal Trade Commission (FTC) nicht haltbar ist. Was zunächst wie eine amerikanische Debatte über die Befugnisse des Präsidenten wirkt, trifft tatsächlich einen tragenden Pfeiler des transatlantischen Datentransfers.
Wie es zu dem Urteil kam
Anlass war die Entlassung der beiden demokratischen FTC-Kommissare Rebecca Slaughter und Alvaro Bedoya durch Trump zu Beginn seiner zweiten Amtszeit 2025. Trump feuerte beide ohne Angabe der gesetzlich vorgeschriebenen Gründe wie Dienstvergehen oder Pflichtverletzung, weil ihre Arbeit nicht den Prioritäten seiner Regierung entsprach. Slaughter klagte dagegen und bekam vor den Vorinstanzen recht, die ihre Entlassung als rechtswidrig einstuften. (Quelle: heise online)
Vor dem Supreme Court ging es im Kern um einen mehr als 90 Jahre alten Präzedenzfall: Humphrey’s Executor v. United States aus dem Jahr 1935, der Kommissare unabhängiger Behörden bislang vor einer Entlassung ohne wichtigen Grund schützte. Der Supreme Court vollzog hier eine Kehrtwende gegenüber den Vorinstanzen und verwarf seine eigene, fast ein Jahrhundert alte Rechtsprechung zum Schutz unabhängiger Aufsichtsbehörden. Mit sechs zu drei Stimmen hob das Gericht den Kündigungsschutz auf. Die Begründung der Mehrheit: Wer Exekutivgewalt im Namen des Präsidenten ausübt, muss auch von ihm entlassen werden können. (Quelle: heise online)
Warum das für Europa relevant ist
Die FTC spielt im EU-US Data Privacy Framework (DPF) von 2023 eine zentrale Rolle. Rechtlich beruht das DPF auf einem sogenannten Angemessenheitsbeschluss der EU-Kommission, der US-Unternehmen unter bestimmten Voraussetzungen ein angemessenes Datenschutzniveau bescheinigt und damit den Datentransfer aus Europa erlaubt. Die FTC soll dabei sicherstellen, dass sich die zertifizierten US-Unternehmen an ihre Datenschutzzusagen halten. Der Angemessenheitsbeschluss verweist laut heise online 259 Mal auf die FTC als unabhängige Kontrollinstanz. (Quelle: heise online)
Sowohl die EU-Verträge als auch die Grundrechtecharta verlangen, dass eine solche Kontrolle unabhängig erfolgt, auch in Drittstaaten. Mit der Slaughter-Entscheidung entfällt genau diese Unabhängigkeit. Andere im Beschluss erwähnte Stellen, etwa das US-Verkehrsministerium oder private Schlichtungsmechanismen, bieten keinen vergleichbaren Ersatz.
Was das konkret bedeutet
Automatisch unwirksam wird der Angemessenheitsbeschluss dadurch nicht. Erst wenn die EU-Kommission ihn aufhebt oder der Europäische Gerichtshof ihn kippt, entstehen unmittelbare rechtliche Folgen. Die Datenschutzorganisation Noyb um Max Schrems fordert die Kommission bereits jetzt auf, das Abkommen aufzulösen, es wäre nach Safe Harbor und Privacy Shield bereits das dritte gekippte Abkommen dieser Art. Eine entsprechende Klage dürfte nach bisheriger Erfahrung zwei bis drei Jahre bis zur Entscheidung benötigen. (Quelle: heise online)
Unternehmen, die den Datentransfer über Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften absichern, sind von der Entwicklung unmittelbarer betroffen als solche, die sich allein auf das DPF stützen. In beiden Fällen gilt aber: Wer sein Transferinventar kennt und dokumentiert, auf welcher Grundlage welche Daten in die USA fließen, ist auf eine mögliche Aufhebung besser vorbereitet als jene, die abwarten.
Unerlaubte Zugriffe sind keine Seltenheit
Wie real das Risiko eines politisch erzwungenen Zugriffsverlusts ist, zeigte sich bereits im Februar 2025. Nach US-Sanktionen gegen den Internationalen Strafgerichtshof (IStGH) wurde der Microsoft-E-Mail-Zugang von Chefankläger Karim Khan gesperrt. Khan wich daraufhin auf den Schweizer Anbieter Proton aus. (Quelle: Wirtschaftswoche online) Unabhängig davon, wie man zu Khan als Person steht, zeigt der Fall, dass ein US-Anbieter den digitalen Zugang einer Institution kappen kann, sobald politische Sanktionen greifen (siehe auch unseren Beitrag „Die Angst vor dem Kill-Switch“).
Genau dieses Szenario beschäftigt seither auch europäische Unternehmen und Behörden, die ihre Abhängigkeit von US-Cloud-Diensten überdenken. Denn selbst wenn das Data Privacy Framework bestehen bleibt, stellt sich für Unternehmen eine grundsätzliche Frage: Reicht ein Rechenzentrum in Deutschland überhaupt aus, um die Kontrolle über die eigenen Daten zu behalten? Genau dieser Frage widmen wir uns in unserem Beitrag „Datenresidenz ist nicht Datensouveränität“.