Kategorie: Datenschutz & Drittlandtransfer

„[…] to closely assess whether this development affects the functioning of Commission Implementing Decision EU 2023/1795 […]“ Ein halber Satz in trockenem Amtsenglisch, und trotzdem sorgt er seit dem 3. August 2026 für Unruhe in Compliance-Abteilungen. Er stammt aus einem Brief des Europäischen Datenschutzausschusses (EDPB) vom 31. Juli 2026 an EU-Kommissar Michael McGrath, zuständig für Demokratie, Justiz, Rechtsstaatlichkeit und Verbraucherschutz, unterzeichnet von EDPB-Chefin Anu Talus. Übersetzt: Der EDPB bittet die Kommission, sorgfältig zu prüfen, ob ein aktuelles Ereignis das Funktionieren des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (DPF) beeinträchtigt.

Auslöser ist das Urteil des US Supreme Court in Sachen Trump v. Slaughter (Az. 25-332) vom 29. Juni 2026, das die 91 Jahre alte Präzedenzentscheidung Humphrey’s Executor kippt und die Unabhängigkeit der Federal Trade Commission (FTC) schwächt. Wir haben das Urteil selbst im Juli eingeordnet, einschließlich der ersten Reaktionen von noyb und den Wirtschaftsverbänden. Jetzt äußert sich erstmals eine europäische Datenschutz-Einrichtung offiziell und schriftlich dazu. Der Blick heute richtet sich nicht mehr auf das Urteil selbst, sondern auf die Frage, die Sie als Geschäftsführer oder IT-Verantwortlicher heute beantworten müssen: Was ändert sich für Unternehmen, die diese Woche über ihren Cloud- oder E-Mail-Anbieter entscheiden?

Was der EDPB schreibt, und was er ausdrücklich nicht schreibt

Der Brief ist eine Bitte um Prüfung und Informationsaustausch, keine Feststellung. Der EDPB stellt keine Ungültigkeit fest und fordert keine Aussetzung des DPF. Das mag auf den ersten Blick nach diplomatischer Zurückhaltung klingen, ist aber juristisch der entscheidende Unterschied.

Klartext, für alle ohne juristischen Hintergrund: Der Angemessenheitsbeschluss der EU-Kommission zum DPF (Durchführungsbeschluss EU 2023/1795) bleibt in Kraft, bis ihn entweder die EU-Kommission förmlich aufhebt oder der Europäische Gerichtshof (EuGH) ihn für nichtig erklärt. Beides ist derzeit nicht passiert. Ein Brief, auch von der obersten europäischen Datenschutz-Koordinierungsstelle, ändert daran nichts. Unternehmen, die unter dem DPF zertifiziert sind oder mit zertifizierten US-Anbietern arbeiten, übermitteln weiterhin auf rechtlich intakter Grundlage.

Das Original-PDF liegt auf der EDPB-Website. Der EDPB kann der Kommission nichts vorschreiben, er bittet. Und er bittet um zweierlei: die Wirkung des Urteils auf den Angemessenheitsbeschluss sorgfältig zu prüfen und ihn weiterhin zeitnah zu informieren. Ausdrücklich schreibt er, er würde entsprechende Maßnahmen begrüßen. Eine Aussetzung des DPF verlangt er nicht.

Unabhängig davon liegt die Gültigkeit des DPF bereits beim Europäischen Gerichtshof: Das Gericht der EU hatte die Klage des Abgeordneten Philippe Latombe am 3. September 2025 abgewiesen, das Rechtsmittel dagegen ist unter C-703/25 P anhängig. Ein Rechtsmittel hat keine aufschiebende Wirkung, auch das ändert am Fortbestand des Beschlusses vorerst nichts.

Die zweite Baustelle, über die kaum jemand spricht

Während der Blick auf Washington und Brüssel gerichtet ist, besteht im Hintergrund ein zweites, älteres Problem, das für die Angemessenheit des DPF mindestens genauso relevant ist wie das Slaughter-Urteil. Das Privacy and Civil Liberties Oversight Board (PCLOB), eine der wenigen unabhängigen Aufsichtsinstanzen für US-Geheimdienstprogramme, ist seit Januar 2025 und bis heute (Stand: August 2026) ohne beschlussfähiges Quorum. Der D.C. Circuit Court of Appeals setzte die vom District Court angeordnete Wiedereinsetzung der entlassenen Mitglieder am 1. Juli 2025 aus und lehnte am 18. Juli 2025 eine erneute Verhandlung vor dem gesamten Spruchkörper ab (LeBlanc v. PCLOB, Az. 25-5197). Damit blieb die Aufsichtslücke bestehen, und das Slaughter-Urteil vom Juni 2026 hat die dahinterstehende Rechtsfrage inzwischen zulasten der Behördenunabhängigkeit entschieden. Das Aufsichtsdefizit besteht fort, unabhängig davon, wie sich die FTC-Frage weiterentwickelt.

Dazu kommt: Die Rechtsgrundlage für die Auslandsüberwachung nach Section 702 FISA lief in der Nacht zum 13. Juni 2026 formal aus, nachdem eine Verlängerung im Repräsentantenhaus am 11. Juni gescheitert war. Bestehende Zertifizierungen des Foreign Intelligence Surveillance Court gelten jedoch bis zu ihrem eigenen Ablauf weiter und wirken damit faktisch bis voraussichtlich März 2027 fort. Wer daraus eine sofortige Überwachungslücke ableitet, liegt falsch, ebenso wie jemand, der glaubt, die Frage sei damit vom Tisch.

Und der Fundamentsvergleich lässt sich beziffern: Nach Angaben von noyb verweist der Angemessenheitsbeschluss von 2023 an 259 Stellen auf die als unabhängig beschriebene FTC. Das ist kein Randargument, sondern die Statik, auf der das gesamte DPF-Gebäude ruht.

Compliance schützt Sie vor der Aufsichtsbehörde, nicht vor dem Zugriff

Hier kommt die Unterscheidung ins Spiel, die wir in unserer Audit-Praxis regelmäßig erklären müssen, weil sie so oft übersehen wird: Compliance ist nicht dasselbe wie Sicherheit.

Die 2. Vergabekammer des Bundes hat in ihrem Beschluss VK 2-114/22 vom 13. Februar 2023 entschieden, dass ein deutsches Tochterunternehmen eines US-Konzerns Sozialdaten verarbeiten darf, solange die Verarbeitung tatsächlich im Inland stattfindet. Ein abstraktes Zugriffsrisiko über die US-Muttergesellschaft reiche nicht aus, um dies zu untersagen. Bereits zwei Wochen zuvor, am 31. Januar 2023, hatte die Datenschutzkonferenz (DSK) dieselbe Linie gezogen: Das latente Risiko, dass eine Drittlands-Mutter ihre EU-Tochter zur Datenherausgabe anweisen könnte, begründet für sich genommen noch keine unzulässige Übermittlung nach Art. 44 DSGVO.

Damit ist die Sache aber nicht erledigt, und genau hier wird es für die Praxis unbequem. Dieselbe DSK schreibt in den folgenden Ziffern desselben Beschlusses, dass ebendieses Risiko dem Auftragsverarbeiter die Zuverlässigkeit nach Art. 28 Abs. 1 DSGVO nehmen kann. An die Zuverlässigkeitsprüfung seien dann besonders hohe Anforderungen zu stellen; bleiben Garantien aus, muss der Verantwortliche die Lücke durch technische und organisatorische Maßnahmen schließen und das auch nachweisen können.

Richtig gelesen heißt das: Diese Entscheidungen nehmen Ihnen das Argument, allein der US-Mutterkonzern mache die Verarbeitung unzulässig. Einen Freibrief gegenüber der Aufsichtsbehörde stellen sie nicht aus, und der Beschluss der Vergabekammer erging zudem in einem Vergabenachprüfungsverfahren und bindet niemanden außerhalb dieses Verfahrens. Sie sagen ebenso wenig darüber aus, ob ein verdeckter faktischer Zugriff über den US CLOUD Act oder FISA 702 tatsächlich stattfindet. Der Sachstand der Wissenschaftlichen Dienste des Deutschen Bundestages (WD 3-3000-105/23, Abschluss 19.01.2024) legt offen, wie weit diese Herausgabepflichten reichen: Maßgeblich ist, ob ein US-Unternehmen rechtlich oder tatsächlich Kontrolle über die Daten hat, unabhängig vom Serverstandort. Eine hundertprozentige EU-Tochter eines US-Konzerns kann darunterfallen. Der Sachstand selbst hält fest, dass die Kontrolle von mehreren Faktoren abhängt und im Einzelfall zu bestimmen ist.

Zwei Aussagen, beide belegt, beide wahr, und sie widersprechen sich nicht. Die Papierform kann sauber sein und die faktische Zugriffsmöglichkeit trotzdem bestehen bleiben. Wir haben dieses Zwei-Ebenen-Modell bereits ausführlicher beschrieben, es ist der Kern dessen, was Unternehmen heute falsch einschätzen.

Was sich abseits der Rechtsprechung bewegt hat

Nicht alles ist Rechtsprechung und Aufsichtsrecht. Seit dem 1. Juli 2026 ist in Deutschland das Vergabebeschleunigungsgesetz in Kraft (BGBl. 2026 I Nr. 137), das „digitale Souveränität“ ausdrücklich als Zuschlagskriterium bei öffentlichen Vergaben zulässt. Wer sich bislang gefragt hat, ob Hosting-Souveränität ein Nischenthema für Datenschutzbeauftragte ist oder ein Wettbewerbsfaktor: Der Gesetzgeber hat sich entschieden.

Passend dazu ein Detail, das in der öffentlichen Debatte selten auftaucht: Anton Carniaux, Leiter Public und Legal Affairs bei Microsoft France, wurde am 10. Juni 2025 vor einer Untersuchungskommission des französischen Senats unter Eid gefragt, ob er garantieren könne, dass Daten französischer Bürger niemals ohne französische Zustimmung an US-Behörden gelangen. Seine Antwort: Nein, das könne er nicht garantieren. Die EU Data Boundary, also die Zusage, Daten europäischer Kunden innerhalb der EU zu verarbeiten, regelt damit erkennbar die Datenresidenz; den Zugriff nach CLOUD Act oder FISA 702 löst sie nicht auf. Selbst der Anbieter, der die Residenz-Frage am prominentesten bewirbt, hat die Grenze seines eigenen Versprechens öffentlich eingeräumt.

Was heute konkret zu tun ist

Nichts von alledem verlangt einen Anbieterwechsel über Nacht. Es verlangt eine ehrliche Bestandsaufnahme: Welcher Ihrer Cloud- und E-Mail-Dienste hat eine US-Konzernmutter, unabhängig davon, wo der Server physisch steht? Auf welcher Rechtsgrundlage beruht der Transfer, DPF-Zertifizierung, Standardvertragsklauseln, oder beides? Und für welche Datenkategorien wäre eine Verschlüsselung ohne US-Schlüsselhoheit (Double-Key-Encryption, Customer-Key, BYOK) technisch machbar und wirtschaftlich sinnvoll?

Bei der ersten dieser Fragen setzt der Experto-Mundi-Web-Audit an: Er macht von außen sichtbar, welcher Hosting- und E-Mail-Anbieter für Ihre Domain tatsächlich im Hintergrund arbeitet und welche Konzernmutter dahintersteht. Das ist die Bestandsaufnahme, auf der die weitere rechtliche Bewertung dann aufsetzen kann. Fragen Sie uns nach einem Audit-Termin.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 13.08.2026.

Quellen (Abrufdatum: 06.08.2026)

• EDPB: Letter to Commissioner McGrath regarding the US Supreme Court judgment in Trump v. Slaughter, 31.07.2026 (veröffentlicht 03.08.2026), unterzeichnet Anu Talus, PDF: https://www.edpb.europa.eu/system/files/2026-08/edpb_letter_20260731_us_supremecourt_judgment_trump_v_slaughter_en.pdf
• US Supreme Court: Trump v. Slaughter, No. 25-332, Urteil vom 29.06.2026
• 2. Vergabekammer des Bundes: Beschluss VK 2-114/22 vom 13.02.2023
• Datenschutzkonferenz (DSK): Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 31.01.2023
• Deutscher Bundestag, Wissenschaftliche Dienste: „Herausgabepflichten von Daten und Informationen an US-amerikanische Sicherheitsbehörden“, WD 3-3000-105/23, Abschluss 19.01.2024
• D.C. Circuit Court of Appeals: LeBlanc v. PCLOB, Az. 25-5197, Aussetzung 01.07.2025, Ablehnung Rehearing en banc 18.07.2025
• noyb: Angaben zu 259 Verweisen auf die FTC-Unabhängigkeit im DPF-Angemessenheitsbeschluss 2023
• Vergabebeschleunigungsgesetz, in Kraft seit 01.07.2026
• Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.07.2023 (DPF-Angemessenheitsbeschluss)
• EuGH: anhängiges Verfahren Latombe, C-703/25 P

Am 29. Juni 2026 hat der US Supreme Court mit einer Entscheidung, die auf den ersten Blick wie ein rein amerikanisches Verfassungsthema wirkt, eine Frage neu aufgeworfen, die für deutsche Unternehmen mit US-Cloud-Diensten durchaus praktische Relevanz hat: Wie unabhängig ist die Aufsichtsbehörde, auf die sich die EU beim Datenschutz für Transfers in die USA verlässt?

Dieser Beitrag ordnet ein, was tatsächlich entschieden wurde, was das für das EU-US Data Privacy Framework (DPF) bedeuten könnte und was daraus praktisch folgt. Bewusst nüchtern, ohne Alarmismus, aber auch ohne Beschönigung.

Was ist am 29.06.2026 entschieden worden?

Im Fall Trump v. Slaughter (Az. 25-332) hat der US Supreme Court mit 6 zu 3 Stimmen entschieden, dass die gesetzliche Regelung, wonach Mitglieder der Federal Trade Commission (FTC, die zentrale US-Wettbewerbs- und Verbraucherschutzbehörde) nur „for cause“, also nur aus wichtigem Grund wie Pflichtverletzung oder Untätigkeit, entlassen werden dürfen, gegen die Gewaltenteilung (die verfassungsrechtliche Trennung von Legislative, Exekutive und Judikative) verstößt.

Damit hob das Gericht seine eigene, rund 91 Jahre alte Präzedenzentscheidung Humphrey’s Executor v. United States (1935) auf, die genau diesen Kündigungsschutz für Behördenmitglieder bislang für zulässig erklärt hatte.

Hintergrund des Falls: Präsident Trump hatte am 18. März 2025 die beiden demokratischen FTC-Commissioner Rebecca Slaughter und Alvaro Bedoya entlassen, mit der Begründung, ihr Verbleib im Amt sei „inconsistent with the Administration’s priorities“ (nicht vereinbar mit den Prioritäten der Regierung), nicht mit einem der gesetzlich vorgesehenen Gründe. Nach einem längeren Instanzenzug (Wiedereinsetzung durch ein District Court im Juli 2025, mehrere Aussetzungsentscheidungen, Verfahren vor dem DC Circuit, vorläufiger Stopp durch den Supreme Court im September 2025) bestätigte der Supreme Court nun im Ergebnis: Der Präsident darf FTC-Commissioner künftig ohne wichtigen Grund entlassen.

Klartext: Die FTC ist ab sofort de facto eine Behörde, deren Leitung jederzeit politisch ausgetauscht werden kann, so wie ein Ministerium. Das war seit 1935 bewusst anders geregelt, damit solche Aufsichtsbehörden unabhängig von der jeweiligen Regierung arbeiten können.

Warum das für Ihre US-Cloud-Nutzung überhaupt relevant ist

Auf den ersten Blick ein innenpolitisches US-Thema. Der Grund, warum es auch deutsche Geschäftsführer betrifft, liegt in einer Verbindung, die vielen nicht bewusst ist: Die FTC ist eine der zentralen Durchsetzungsbehörden hinter dem EU-US Data Privacy Framework (DPF), dem Angemessenheitsbeschluss der EU-Kommission vom Juli 2023 nach Art. 45 DSGVO, auf dessen Grundlage tausende Unternehmen personenbezogene Daten in die USA übermitteln, ohne für jeden Einzelfall zusätzliche Garantien (wie Standardvertragsklauseln, SCC) einholen zu müssen.

Die EU-Kommission hatte bei der Angemessenheitsprüfung unter anderem darauf abgestellt, dass die FTC als unabhängige Aufsichtsbehörde funktioniert, unabhängig von tagespolitischer Einflussnahme. Recherchen zeigen, dass die EU-Kommission in ihrem Angemessenheitsbeschluss mehrfach, nach Angaben der Datenschutzorganisation noyb 259-mal, auf die als unabhängig beschriebene FTC Bezug nimmt.

Annahme: Wenn FTC-Commissioner nun jederzeit ohne wichtigen Grund durch die Regierung entlassen werden können, sinkt die faktische Unabhängigkeit dieser Aufsichtsbehörde. Das ist keine Randnotiz, sondern rührt an einer der Grundannahmen, auf denen die Angemessenheit des DPF beruht.

Was Beobachter dazu sagen, zwei Lesarten

Wichtig für eine seriöse Einordnung: Es gibt zwei unterschiedliche Reaktionen auf das Urteil, die beide angeführt werden sollten.

Die alarmierte Lesart: Die Datenschutzorganisation noyb (Max Schrems) erklärte am 29.06.2026, mit dem Urteil gebe es faktisch keine unabhängigen Aufsichtsbehörden mehr in den USA, und forderte die EU-Kommission auf, die Angemessenheitsentscheidung zum DPF geordnet aufzuheben. noyb kündigte zudem an, in den kommenden Wochen vor dem Gerichtshof der Europäischen Union (EuGH) gegen den Fortbestand des DPF vorzugehen. Auch die deutschen Wirtschaftsverbände BGA, DIHK und BDI warnten Anfang Juli 2026 vor wachsender Rechtsunsicherheit beim transatlantischen Datenverkehr.

Die vorsichtigere Lesart: Die International Association of Privacy Professionals (IAPP) ordnet das Urteil zurückhaltender ein: Der Supreme Court habe die Frage, ob die Unabhängigkeit der „Adjudicators“ beziehungsweise „Inferior Officers“, konkret des Data Protection Review Court (DPRC), der eigenen Rechtsschutzinstanz innerhalb des DPF-Mechanismus, betroffen ist, ausdrücklich offengelassen. Das DPF selbst ist damit nicht automatisch hinfällig; die tatsächliche Rechtsfolge für den Angemessenheitsbeschluss ist derzeit ungeklärt, nicht bereits negativ entschieden.

Einordnung: Beide Stimmen widersprechen sich nicht grundsätzlich, sie unterscheiden sich im Grad der Zuspitzung. Fest steht: Der Angemessenheitsbeschluss zum DPF ist zum jetzigen Zeitpunkt formal weiterhin in Kraft, Unternehmen, die unter dem DPF zertifiziert sind, dürfen weiterhin Daten übermitteln. Fest steht ebenfalls: Die EU-Kommission hat angekündigt zu prüfen, ob das Urteil Auswirkungen auf die Validität des DPF hat, und ein Verfahren vor dem EuGH ist von privater Seite bereits angekündigt. Wer schon einmal die Geschichte von Safe Harbor über Privacy Shield bis zum aktuellen DPF verfolgt hat (die sogenannte Schrems-II-Linie), erkennt hier ein bekanntes Muster: Ein US-Mechanismus wird von der EU-Kommission als angemessen anerkannt, gerät später wegen struktureller Fragen zur US-Aufsicht erneut unter juristischen Druck.

Das Zwei-Ebenen-Problem: Papierform und Realität sind nicht dasselbe

Bei ExpertoMundi arbeiten wir im Datenschutz-Audit regelmäßig mit einem Modell, das für die Einordnung dieses Urteils hilfreich ist, die Trennung zwischen zwei völlig unterschiedlichen Schutzebenen:

Ebene 1, Haftungsschutz (Papierform): Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO kombiniert mit Standardvertragsklauseln (SCC) oder einer DPF-Zertifizierung schützt in erster Linie den Verantwortlichen, also das Unternehmen, das den US-Dienst einsetzt, vor Bußgeldern und Abmahnungen. Es ist eine rechtlich-formale Absicherung der Vertragsbeziehung.

Ebene 2, Daten-Souveränität (Realität): Unabhängig von jeder Papierform bleibt die Tatsache bestehen, dass ein Unternehmen mit US-Konzernmutter der US-Jurisdiktion unterliegt. Über den US CLOUD Act oder § 702 FISA (Foreign Intelligence Surveillance Act, Rechtsgrundlage für die Erfassung von Kommunikation von Nicht-US-Personen außerhalb der USA durch US-Nachrichtendienste) kann US-Behörden faktisch Zugriff auf Daten gewährt werden, unabhängig davon, ob der Server physisch in Frankfurt steht oder ein AVV formal einwandfrei ist.

Das Slaughter-Urteil ändert an Ebene 2 rechtlich nichts. Es ist aber ein Erinnerungspunkt: Wenn selbst die Aufsichtsbehörde, die die Papierform (Ebene 1) tragen soll, politisch weniger unabhängig wird, verliert genau dieses Argument, „es ist doch vertraglich alles geregelt“, an Substanz. Die Papierform schützt den Verantwortlichen, sie schützt nicht automatisch die Daten selbst.

Was das praktisch bedeuten kann

Kein Grund zur Panik, aber ein guter Anlass für eine Bestandsaufnahme. Folgende Schritte lassen sich unabhängig vom weiteren Verfahrensausgang schon jetzt sinnvoll angehen:

• Bestandsaufnahme: Welche eingesetzten Cloud-/SaaS-Dienste haben eine US-Konzernmutter, auch wenn die Datenverarbeitung formal in der EU stattfindet? Ein vorhandener AVV allein beantwortet diese Frage nicht.
• Transfer-Grundlage prüfen: Auf welcher Rechtsgrundlage nach Art. 44 ff. DSGVO beruht der jeweilige Datentransfer, DPF-Zertifizierung, SCC, oder beides? Diese Information findet sich meist im AVV oder in der Datenschutzerklärung des Anbieters.
• Datenminimierung: Für besonders sensible Datenkategorien lohnt sich die Frage, ob überhaupt ein Transfer in die USA notwendig ist, oder ob eine EU-Alternative ohne US-Konzernmutter in der gesamten Kette (inklusive Sub-Unterauftragsverarbeiter) infrage kommt.
• TOM (Technische und organisatorische Maßnahmen nach Art. 32 DSGVO): Verschlüsselung, bei der der Schlüssel ausschließlich beim europäischen Unternehmen liegt (etwa Double-Key-Encryption oder Customer-Key/BYOK-Modelle), reduziert die praktische Zugriffsmöglichkeit über den CLOUD Act unabhängig vom Ausgang des DPF-Verfahrens.
• Entwicklung beobachten: Die angekündigte EuGH-Klage und eine mögliche Neubewertung durch die EU-Kommission können die Rechtslage in den kommenden Monaten verändern. Unternehmen mit umfangreicher US-Cloud-Nutzung können diese Entwicklung im Blick behalten, etwa über die Website der EU-Kommission zum Data Privacy Framework oder über Fachmedien.

Wichtig ist die Reihenfolge: Erst die eigene Bestandsaufnahme, dann die Bewertung, ob und wo Handlungsbedarf besteht. Nicht jeder Einsatz eines US-Dienstes ist automatisch ein Risiko, die Einzelfallprüfung entscheidet.

Fazit

Das Slaughter-Urteil ist zunächst eine US-verfassungsrechtliche Entscheidung über die Reichweite präsidialer Entlassungsbefugnisse. Seine Tragweite für europäische Unternehmen liegt in der strukturellen Verbindung zwischen FTC-Unabhängigkeit und dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Ob und wie sich das rechtlich auf den DPF-Fortbestand auswirkt, ist zum jetzigen Zeitpunkt (Stand 10.07.2026) offen und wird sowohl von der EU-Kommission als auch möglicherweise vom EuGH zu bewerten sein.

Für die eigene Praxis bleibt die bekannte Lehre aus der Schrems-II-Historie gültig: Wer sich ausschließlich auf die formale Papierlage verlässt, hat einen Baustein, aber nicht die vollständige Antwort auf die Frage, wie sicher die eigenen Daten in einer US-Cloud tatsächlich sind.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 10.07.2026.

Quellen (Abrufdatum: 10.07.2026)

• US Supreme Court: Trump v. Slaughter, No. 25-332, Urteil vom 29.06.2026, supremecourt.gov/opinions/25pdf/25-332_qn12.pdf
• SCOTUSblog: „Supreme Court allows Trump to fire FTC commissioner and overturns major restraint on presidential power“, 29.06.2026, scotusblog.com
• Congress.gov / Congressional Research Service: „Trump v. Slaughter and the Future of For-Cause Removal Protections“, CRS-Bericht LSB11448, congress.gov/crs-product/LSB11448
• noyb (None of Your Business): „US Supreme Court just blew up EU-US Data Transfers“, 29.06.2026, noyb.eu
• IAPP (International Association of Privacy Professionals): Einordnung Trump v. Slaughter und offene DPRC-Unabhängigkeitsfrage, 08.07.2026
• dpa-Meldung „Wirtschaftsverbände warnen vor Risiken für Datenverkehr mit USA“, 09.07.2026 (u. a. finanznachrichten.de, ad-hoc-news.de); DIHK-Chefjustiziar Stephan Wernicke