Die europäische Datenschutzwelt hat das schon einmal erlebt. Sogar zweimal. Beide Male brach der Mechanismus, der es Unternehmen erlaubte, personenbezogene Daten von der EU in die USA zu übertragen, unter einem Urteil des Gerichtshofs der Europäischen Union zusammen — Safe Harbor in Schrems I (2015), Privacy Shield in Schrems II (2020). Der aktuelle Mechanismus, der Datenschutzrahmen EU-USA (Data Privacy Framework, DPF), 2023 verabschiedet, wurde gezielt so gebaut, dass er diese Geschichte übersteht. Ein Urteil des US Supreme Court in diesem Sommer hat die Frage neu aufgeworfen, ob er das kann.

Was tatsächlich passiert ist

Am 29. Juni 2026 entschied der Supreme Court mit 6:3 Stimmen in der Sache Trump v. Slaughter, dass der „for-cause"-Kündigungsschutz für FTC-Kommissare gegen die Gewaltenteilung verstößt, und hob damit Humphrey's Executor auf — einen fast 90 Jahre alten Präzedenzfall, der die Unabhängigkeit der Behörde seit 1935 geschützt hatte. In der Praxis kann der Präsident FTC-Kommissare nun nach Belieben entlassen, statt nur aus dokumentiertem Grund.

Der Fall begann, als die Regierung FTC-Kommissarin Rebecca Kelly Slaughter im März 2025 ohne Angabe einer gesetzlichen Grundlage entließ. Ein unteres Gericht erklärte die Entlassung zunächst für rechtswidrig; der Supreme Court, in einem Urteil von Chief Justice Roberts, stellte sich auf die Seite der Regierung.

Das liest sich wie eine US-verwaltungsrechtliche Geschichte ohne offensichtlichen EU-Bezug. Ist es aber nicht. Die Unabhängigkeit der FTC ist eine der spezifischen Garantien, auf die sich die Europäische Kommission stützte, als sie 2023 den Angemessenheitsbeschluss zum DPF erließ — das Rechtsinstrument, das es Tausenden Unternehmen erlaubt, personenbezogene Daten ohne zusätzliche vertragliche Garantien von der EU in die USA zu übertragen. Eine juristische Analyse dieses Beschlusses zählt 259 einzelne Verweise auf die FTC-Unabhängigkeit als Begründung dafür, dass die USA einen „im Wesentlichen gleichwertigen" Schutz wie die DSGVO böten.

Warum das gerade den DPF trifft

Die rechtliche Architektur des DPF beruht auf der Annahme, dass US-Vollzugsbehörden — allen voran die FTC — unabhängig genug von politischem Druck agieren, um zu kontrollieren, wie amerikanische Unternehmen mit personenbezogenen Daten von EU-Bürgern umgehen, mit wirksamen Rechtsbehelfen für EU-Bürger bei Missbrauch dieser Daten. Eine FTC, deren Kommissare vom Präsidenten nach Belieben entlassen werden können, ist auf dem Papier eine grundlegend andere Institution als jene, die die Kommission 2023 bewertete.

Das Urteil erklärt den DPF nicht von sich aus für ungültig — Angemessenheitsbeschlüsse lösen sich nicht automatisch auf. Aber es liefert Datenschutzaktivisten eine konkrete, dokumentierte Tatsachenänderung, auf die sie verweisen können: Eine tragende Säule des Angemessenheitsbeschlusses von 2023 gilt so, wie sie niedergeschrieben wurde, nicht mehr.

Die Kommission hat die FTC-Unabhängigkeit nicht nur beiläufig einmal oder zweimal erwähnt — sie hat 259 einzelne Verweise darauf in die Begründung eingebaut. Das ist keine Fußnote, die Regulierungsbehörden still umdeuten können; das ist das Fundament.

noyb hat bereits reagiert

Das ist für Datenschutzaktivisten kein Thema, das man irgendwann später angeht. Bereits am 30. Juni 2026 — einen Tag nach dem Urteil — schickte Max Schrems' Organisation noyb ein förmliches Schreiben an die Europäische Kommission und forderte einen geordneten Rückzug vom DPF-Angemessenheitsbeschluss, wobei sie den Rahmen als „rechtliches Kartenhaus" bezeichnete. noyb hat die kommende rechtliche Herausforderung ausdrücklich als „Schrems III" bezeichnet — dieselbe Organisation, die hinter beiden vorherigen Aufhebungen steht.

Das ist ein deutlich schnellerer Start als bei den beiden vorherigen Runden. Wenn sich das Muster von hier aus fortsetzt, dürfte eine Beschwerde zunächst eine nationale Datenschutzbehörde durchlaufen und voraussichtlich als Vorabentscheidungsersuchen an den EuGH gehen — derselbe Weg, der zu Schrems I und II führte.

Der realistische Zeitrahmen

Hier geht nichts schnell, selbst mit noyb bereits vor der Tür der Kommission. Juristische Beobachter, die den Fall verfolgen, halten Ende 2026 für das frühestmögliche Datum eines EuGH-Urteils, mit 2027 als der wahrscheinlicheren Arbeitsannahme. Der DPF verschwindet nicht in diesem Quartal und wahrscheinlich auch nicht in diesem Jahr.

259
So oft die FTC-Unabhängigkeit im DPF-Angemessenheitsbeschluss zitiert wird
6:3
Abstimmung des Supreme Court zur Aufhebung des Kündigungsschutzes der FTC
2023
Jahr, in dem der Datenschutzrahmen EU-USA verabschiedet wurde
2027
Frühestes realistisches Jahr für ein EuGH-Urteil, falls sich die Geschichte wiederholt

Dennoch ist „nicht in diesem Quartal" ein schlechter Grund zu warten. Beide vorherigen Aufhebungen kamen abrupt, sobald der EuGH tatsächlich entschied, und Organisationen, die ihre gesamte Transfer-Compliance um den jeweils aktuellen Mechanismus herum aufgebaut hatten, standen plötzlich ohne Plan da. Die Lehre, die das institutionelle Gedächtnis inzwischen liefern sollte: Bauen Sie den Ausweichplan, bevor Sie ihn brauchen — nicht danach.

Was jetzt zu tun ist

Wenn Sie personenbezogene Daten unter dem DPF von der EU in die USA übertragen, ist das ein Moment, um den Ausweichplan zu stärken — nicht, um die Hauptleitung herauszureißen.

  1. Geben Sie Ihre SCC nicht auf. Wenn Sie bereits Standardvertragsklauseln (SCC) zusätzlich zur DPF-Zertifizierung einsetzen — der „Gürtel-und-Hosenträger"-Ansatz, den mehrere Aufsichtsbehörden empfohlen haben —, machen Sie damit weiter. Organisationen, die bereits SCC im Einsatz haben, sind bei einer Annullierung des DPF weit weniger betroffen; Organisationen, die sich allein auf die DPF-Zertifizierung verlassen, steht ein deutlich schwierigerer Übergang bevor.
  2. Halten Sie Ihre Transfer Impact Assessments (TIA) aktuell. Wenn Sie neben SCC auch TIAs durchführen, nehmen Sie dieses Urteil zum Anlass, sie jetzt zu überarbeiten, statt abzuwarten, bis eine EuGH-Entscheidung Sie dazu zwingt. Wenn Sie noch keinen TIA-Prozess haben, ist das die Lücke, die zuerst zu schließen ist — dieselbe Logik, die für den Aufbau eines DSFA-Prozesses, bevor Sie ihn brauchen, gilt, gilt auch hier.
  3. Achten Sie auf die erste Beschwerde auf Behördenebene. Das eigentliche Signal, schneller zu handeln, ist eine konkrete Beschwerde bei einer EU-Datenschutzbehörde, die sich ausdrücklich auf Trump v. Slaughter beruft. Das ist der Moment, in dem dies von „zu beobachtendem Risiko" zu „laufendem Rechtsverfahren" wird. Angesichts des Schreibens von noyb könnte dieser Schritt plausibel innerhalb der nächsten Monate erfolgen.
  4. Verlagern Sie Ihre Infrastruktur nicht in Panik. Es gibt keinen Hinweis darauf, dass der DPF rechtlich tot ist, und Datenflüsse reaktiv aufgrund eines einzelnen US-Gerichtsurteils zu verlagern, wäre verfrüht und teuer. Reparieren Sie den Ausweichplan; reißen Sie den Hauptweg noch nicht heraus.

Stellt man das neben alles andere, was sich dieses Jahr im europäischen Datenschutz bewegt — die nun über die DSGVO gelegten Hochrisiko-Pflichten der KI-Verordnung, den Streit um den Digital Omnibus zur Einengung der Definition personenbezogener Daten, die koordinierte Transparenz-Vollzugskampagne des EDSA für 2026 —, fügt sich das in ein größeres Muster: Die rechtlichen Grundlagen, die als gefestigt galten, werden gleichzeitig an mehreren Fronten neu verhandelt, aus Brüssel und aus Washington. Wenn Sie nicht sicher sind, ob der Übertragungsmechanismus Ihrer Organisation einen echten Ausweichplan dahinter hat, lohnt sich diese Antwort, bevor eine Beschwerde sie erzwingt. Kostenlose Beratung mit GDPRGard buchen →

Quellen

Auch lesenswert:

⚠️ Dieser Artikel dient nur der Information und stellt keine Rechtsberatung dar. Bei komplexen Compliance-Situationen wenden Sie sich an eine qualifizierte Datenschutzfachkraft. DSGVO- und EU-AI-Act-Anforderungen unterliegen laufender behördlicher Auslegung — prüfen Sie aktuelle Pflichten mit Ihrer Rechtsberatung.