„[…] to closely assess whether this development affects the functioning of Commission Implementing Decision EU 2023/1795 […]“ Ein halber Satz in trockenem Amtsenglisch, und trotzdem sorgt er seit dem 3. August 2026 für Unruhe in Compliance-Abteilungen. Er stammt aus einem Brief des Europäischen Datenschutzausschusses (EDPB) vom 31. Juli 2026 an EU-Kommissar Michael McGrath, zuständig für Demokratie, Justiz, Rechtsstaatlichkeit und Verbraucherschutz, unterzeichnet von EDPB-Chefin Anu Talus. Übersetzt: Der EDPB bittet die Kommission, sorgfältig zu prüfen, ob ein aktuelles Ereignis das Funktionieren des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (DPF) beeinträchtigt.
Auslöser ist das Urteil des US Supreme Court in Sachen Trump v. Slaughter (Az. 25-332) vom 29. Juni 2026, das die 91 Jahre alte Präzedenzentscheidung Humphrey’s Executor kippt und die Unabhängigkeit der Federal Trade Commission (FTC) schwächt. Wir haben das Urteil selbst im Juli eingeordnet, einschließlich der ersten Reaktionen von noyb und den Wirtschaftsverbänden. Jetzt äußert sich erstmals eine europäische Datenschutz-Einrichtung offiziell und schriftlich dazu. Der Blick heute richtet sich nicht mehr auf das Urteil selbst, sondern auf die Frage, die Sie als Geschäftsführer oder IT-Verantwortlicher heute beantworten müssen: Was ändert sich für Unternehmen, die diese Woche über ihren Cloud- oder E-Mail-Anbieter entscheiden?
Was der EDPB schreibt, und was er ausdrücklich nicht schreibt
Der Brief ist eine Bitte um Prüfung und Informationsaustausch, keine Feststellung. Der EDPB stellt keine Ungültigkeit fest und fordert keine Aussetzung des DPF. Das mag auf den ersten Blick nach diplomatischer Zurückhaltung klingen, ist aber juristisch der entscheidende Unterschied.
Klartext, für alle ohne juristischen Hintergrund: Der Angemessenheitsbeschluss der EU-Kommission zum DPF (Durchführungsbeschluss EU 2023/1795) bleibt in Kraft, bis ihn entweder die EU-Kommission förmlich aufhebt oder der Europäische Gerichtshof (EuGH) ihn für nichtig erklärt. Beides ist derzeit nicht passiert. Ein Brief, auch von der obersten europäischen Datenschutz-Koordinierungsstelle, ändert daran nichts. Unternehmen, die unter dem DPF zertifiziert sind oder mit zertifizierten US-Anbietern arbeiten, übermitteln weiterhin auf rechtlich intakter Grundlage.
Das Original-PDF liegt auf der EDPB-Website. Der EDPB kann der Kommission nichts vorschreiben, er bittet. Und er bittet um zweierlei: die Wirkung des Urteils auf den Angemessenheitsbeschluss sorgfältig zu prüfen und ihn weiterhin zeitnah zu informieren. Ausdrücklich schreibt er, er würde entsprechende Maßnahmen begrüßen. Eine Aussetzung des DPF verlangt er nicht.
Unabhängig davon liegt die Gültigkeit des DPF bereits beim Europäischen Gerichtshof: Das Gericht der EU hatte die Klage des Abgeordneten Philippe Latombe am 3. September 2025 abgewiesen, das Rechtsmittel dagegen ist unter C-703/25 P anhängig. Ein Rechtsmittel hat keine aufschiebende Wirkung, auch das ändert am Fortbestand des Beschlusses vorerst nichts.
Die zweite Baustelle, über die kaum jemand spricht
Während der Blick auf Washington und Brüssel gerichtet ist, besteht im Hintergrund ein zweites, älteres Problem, das für die Angemessenheit des DPF mindestens genauso relevant ist wie das Slaughter-Urteil. Das Privacy and Civil Liberties Oversight Board (PCLOB), eine der wenigen unabhängigen Aufsichtsinstanzen für US-Geheimdienstprogramme, ist seit Januar 2025 und bis heute (Stand: August 2026) ohne beschlussfähiges Quorum. Der D.C. Circuit Court of Appeals setzte die vom District Court angeordnete Wiedereinsetzung der entlassenen Mitglieder am 1. Juli 2025 aus und lehnte am 18. Juli 2025 eine erneute Verhandlung vor dem gesamten Spruchkörper ab (LeBlanc v. PCLOB, Az. 25-5197). Damit blieb die Aufsichtslücke bestehen, und das Slaughter-Urteil vom Juni 2026 hat die dahinterstehende Rechtsfrage inzwischen zulasten der Behördenunabhängigkeit entschieden. Das Aufsichtsdefizit besteht fort, unabhängig davon, wie sich die FTC-Frage weiterentwickelt.
Dazu kommt: Die Rechtsgrundlage für die Auslandsüberwachung nach Section 702 FISA lief in der Nacht zum 13. Juni 2026 formal aus, nachdem eine Verlängerung im Repräsentantenhaus am 11. Juni gescheitert war. Bestehende Zertifizierungen des Foreign Intelligence Surveillance Court gelten jedoch bis zu ihrem eigenen Ablauf weiter und wirken damit faktisch bis voraussichtlich März 2027 fort. Wer daraus eine sofortige Überwachungslücke ableitet, liegt falsch, ebenso wie jemand, der glaubt, die Frage sei damit vom Tisch.
Und der Fundamentsvergleich lässt sich beziffern: Nach Angaben von noyb verweist der Angemessenheitsbeschluss von 2023 an 259 Stellen auf die als unabhängig beschriebene FTC. Das ist kein Randargument, sondern die Statik, auf der das gesamte DPF-Gebäude ruht.
Compliance schützt Sie vor der Aufsichtsbehörde, nicht vor dem Zugriff
Hier kommt die Unterscheidung ins Spiel, die wir in unserer Audit-Praxis regelmäßig erklären müssen, weil sie so oft übersehen wird: Compliance ist nicht dasselbe wie Sicherheit.
Die 2. Vergabekammer des Bundes hat in ihrem Beschluss VK 2-114/22 vom 13. Februar 2023 entschieden, dass ein deutsches Tochterunternehmen eines US-Konzerns Sozialdaten verarbeiten darf, solange die Verarbeitung tatsächlich im Inland stattfindet. Ein abstraktes Zugriffsrisiko über die US-Muttergesellschaft reiche nicht aus, um dies zu untersagen. Bereits zwei Wochen zuvor, am 31. Januar 2023, hatte die Datenschutzkonferenz (DSK) dieselbe Linie gezogen: Das latente Risiko, dass eine Drittlands-Mutter ihre EU-Tochter zur Datenherausgabe anweisen könnte, begründet für sich genommen noch keine unzulässige Übermittlung nach Art. 44 DSGVO.
Damit ist die Sache aber nicht erledigt, und genau hier wird es für die Praxis unbequem. Dieselbe DSK schreibt in den folgenden Ziffern desselben Beschlusses, dass ebendieses Risiko dem Auftragsverarbeiter die Zuverlässigkeit nach Art. 28 Abs. 1 DSGVO nehmen kann. An die Zuverlässigkeitsprüfung seien dann besonders hohe Anforderungen zu stellen; bleiben Garantien aus, muss der Verantwortliche die Lücke durch technische und organisatorische Maßnahmen schließen und das auch nachweisen können.
Richtig gelesen heißt das: Diese Entscheidungen nehmen Ihnen das Argument, allein der US-Mutterkonzern mache die Verarbeitung unzulässig. Einen Freibrief gegenüber der Aufsichtsbehörde stellen sie nicht aus, und der Beschluss der Vergabekammer erging zudem in einem Vergabenachprüfungsverfahren und bindet niemanden außerhalb dieses Verfahrens. Sie sagen ebenso wenig darüber aus, ob ein verdeckter faktischer Zugriff über den US CLOUD Act oder FISA 702 tatsächlich stattfindet. Der Sachstand der Wissenschaftlichen Dienste des Deutschen Bundestages (WD 3-3000-105/23, Abschluss 19.01.2024) legt offen, wie weit diese Herausgabepflichten reichen: Maßgeblich ist, ob ein US-Unternehmen rechtlich oder tatsächlich Kontrolle über die Daten hat, unabhängig vom Serverstandort. Eine hundertprozentige EU-Tochter eines US-Konzerns kann darunterfallen. Der Sachstand selbst hält fest, dass die Kontrolle von mehreren Faktoren abhängt und im Einzelfall zu bestimmen ist.
Zwei Aussagen, beide belegt, beide wahr, und sie widersprechen sich nicht. Die Papierform kann sauber sein und die faktische Zugriffsmöglichkeit trotzdem bestehen bleiben. Wir haben dieses Zwei-Ebenen-Modell bereits ausführlicher beschrieben, es ist der Kern dessen, was Unternehmen heute falsch einschätzen.
Was sich abseits der Rechtsprechung bewegt hat
Nicht alles ist Rechtsprechung und Aufsichtsrecht. Seit dem 1. Juli 2026 ist in Deutschland das Vergabebeschleunigungsgesetz in Kraft (BGBl. 2026 I Nr. 137), das „digitale Souveränität“ ausdrücklich als Zuschlagskriterium bei öffentlichen Vergaben zulässt. Wer sich bislang gefragt hat, ob Hosting-Souveränität ein Nischenthema für Datenschutzbeauftragte ist oder ein Wettbewerbsfaktor: Der Gesetzgeber hat sich entschieden.
Passend dazu ein Detail, das in der öffentlichen Debatte selten auftaucht: Anton Carniaux, Leiter Public und Legal Affairs bei Microsoft France, wurde am 10. Juni 2025 vor einer Untersuchungskommission des französischen Senats unter Eid gefragt, ob er garantieren könne, dass Daten französischer Bürger niemals ohne französische Zustimmung an US-Behörden gelangen. Seine Antwort: Nein, das könne er nicht garantieren. Die EU Data Boundary, also die Zusage, Daten europäischer Kunden innerhalb der EU zu verarbeiten, regelt damit erkennbar die Datenresidenz; den Zugriff nach CLOUD Act oder FISA 702 löst sie nicht auf. Selbst der Anbieter, der die Residenz-Frage am prominentesten bewirbt, hat die Grenze seines eigenen Versprechens öffentlich eingeräumt.
Was heute konkret zu tun ist
Nichts von alledem verlangt einen Anbieterwechsel über Nacht. Es verlangt eine ehrliche Bestandsaufnahme: Welcher Ihrer Cloud- und E-Mail-Dienste hat eine US-Konzernmutter, unabhängig davon, wo der Server physisch steht? Auf welcher Rechtsgrundlage beruht der Transfer, DPF-Zertifizierung, Standardvertragsklauseln, oder beides? Und für welche Datenkategorien wäre eine Verschlüsselung ohne US-Schlüsselhoheit (Double-Key-Encryption, Customer-Key, BYOK) technisch machbar und wirtschaftlich sinnvoll?
Bei der ersten dieser Fragen setzt der Experto-Mundi-Web-Audit an: Er macht von außen sichtbar, welcher Hosting- und E-Mail-Anbieter für Ihre Domain tatsächlich im Hintergrund arbeitet und welche Konzernmutter dahintersteht. Das ist die Bestandsaufnahme, auf der die weitere rechtliche Bewertung dann aufsetzen kann. Fragen Sie uns nach einem Audit-Termin.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 13.08.2026.
Quellen (Abrufdatum: 06.08.2026)
- EDPB: Letter to Commissioner McGrath regarding the US Supreme Court judgment in Trump v. Slaughter, 31.07.2026 (veröffentlicht 03.08.2026), unterzeichnet Anu Talus, PDF: https://www.edpb.europa.eu/system/files/2026-08/edpb_letter_20260731_us_supremecourt_judgment_trump_v_slaughter_en.pdf
- US Supreme Court: Trump v. Slaughter, No. 25-332, Urteil vom 29.06.2026
- 2. Vergabekammer des Bundes: Beschluss VK 2-114/22 vom 13.02.2023
- Datenschutzkonferenz (DSK): Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 31.01.2023
- Deutscher Bundestag, Wissenschaftliche Dienste: „Herausgabepflichten von Daten und Informationen an US-amerikanische Sicherheitsbehörden“, WD 3-3000-105/23, Abschluss 19.01.2024
- D.C. Circuit Court of Appeals: LeBlanc v. PCLOB, Az. 25-5197, Aussetzung 01.07.2025, Ablehnung Rehearing en banc 18.07.2025
- noyb: Angaben zu 259 Verweisen auf die FTC-Unabhängigkeit im DPF-Angemessenheitsbeschluss 2023
- Vergabebeschleunigungsgesetz, in Kraft seit 01.07.2026
- Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.07.2023 (DPF-Angemessenheitsbeschluss)
- EuGH: anhängiges Verfahren Latombe, C-703/25 P