Am 29. Juni 2026 hat der US Supreme Court mit einer Entscheidung, die auf den ersten Blick wie ein rein amerikanisches Verfassungsthema wirkt, eine Frage neu aufgeworfen, die für deutsche Unternehmen mit US-Cloud-Diensten durchaus praktische Relevanz hat: Wie unabhängig ist die Aufsichtsbehörde, auf die sich die EU beim Datenschutz für Transfers in die USA verlässt?
Dieser Beitrag ordnet ein, was tatsächlich entschieden wurde, was das für das EU-US Data Privacy Framework (DPF) bedeuten könnte und was daraus praktisch folgt. Bewusst nüchtern, ohne Alarmismus, aber auch ohne Beschönigung.
Was ist am 29.06.2026 entschieden worden?
Im Fall Trump v. Slaughter (Az. 25-332) hat der US Supreme Court mit 6 zu 3 Stimmen entschieden, dass die gesetzliche Regelung, wonach Mitglieder der Federal Trade Commission (FTC, die zentrale US-Wettbewerbs- und Verbraucherschutzbehörde) nur „for cause“, also nur aus wichtigem Grund wie Pflichtverletzung oder Untätigkeit, entlassen werden dürfen, gegen die Gewaltenteilung (die verfassungsrechtliche Trennung von Legislative, Exekutive und Judikative) verstößt.
Damit hob das Gericht seine eigene, rund 91 Jahre alte Präzedenzentscheidung Humphrey’s Executor v. United States (1935) auf, die genau diesen Kündigungsschutz für Behördenmitglieder bislang für zulässig erklärt hatte.
Hintergrund des Falls: Präsident Trump hatte am 18. März 2025 die beiden demokratischen FTC-Commissioner Rebecca Slaughter und Alvaro Bedoya entlassen, mit der Begründung, ihr Verbleib im Amt sei „inconsistent with the Administration’s priorities“ (nicht vereinbar mit den Prioritäten der Regierung), nicht mit einem der gesetzlich vorgesehenen Gründe. Nach einem längeren Instanzenzug (Wiedereinsetzung durch ein District Court im Juli 2025, mehrere Aussetzungsentscheidungen, Verfahren vor dem DC Circuit, vorläufiger Stopp durch den Supreme Court im September 2025) bestätigte der Supreme Court nun im Ergebnis: Der Präsident darf FTC-Commissioner künftig ohne wichtigen Grund entlassen.
Klartext: Die FTC ist ab sofort de facto eine Behörde, deren Leitung jederzeit politisch ausgetauscht werden kann, so wie ein Ministerium. Das war seit 1935 bewusst anders geregelt, damit solche Aufsichtsbehörden unabhängig von der jeweiligen Regierung arbeiten können.
Warum das für Ihre US-Cloud-Nutzung überhaupt relevant ist
Auf den ersten Blick ein innenpolitisches US-Thema. Der Grund, warum es auch deutsche Geschäftsführer betrifft, liegt in einer Verbindung, die vielen nicht bewusst ist: Die FTC ist eine der zentralen Durchsetzungsbehörden hinter dem EU-US Data Privacy Framework (DPF), dem Angemessenheitsbeschluss der EU-Kommission vom Juli 2023 nach Art. 45 DSGVO, auf dessen Grundlage tausende Unternehmen personenbezogene Daten in die USA übermitteln, ohne für jeden Einzelfall zusätzliche Garantien (wie Standardvertragsklauseln, SCC) einholen zu müssen.
Die EU-Kommission hatte bei der Angemessenheitsprüfung unter anderem darauf abgestellt, dass die FTC als unabhängige Aufsichtsbehörde funktioniert, unabhängig von tagespolitischer Einflussnahme. Recherchen zeigen, dass die EU-Kommission in ihrem Angemessenheitsbeschluss mehrfach, nach Angaben der Datenschutzorganisation noyb 259-mal, auf die als unabhängig beschriebene FTC Bezug nimmt.
Annahme: Wenn FTC-Commissioner nun jederzeit ohne wichtigen Grund durch die Regierung entlassen werden können, sinkt die faktische Unabhängigkeit dieser Aufsichtsbehörde. Das ist keine Randnotiz, sondern rührt an einer der Grundannahmen, auf denen die Angemessenheit des DPF beruht.
Was Beobachter dazu sagen, zwei Lesarten
Wichtig für eine seriöse Einordnung: Es gibt zwei unterschiedliche Reaktionen auf das Urteil, die beide angeführt werden sollten.
Die alarmierte Lesart: Die Datenschutzorganisation noyb (Max Schrems) erklärte am 29.06.2026, mit dem Urteil gebe es faktisch keine unabhängigen Aufsichtsbehörden mehr in den USA, und forderte die EU-Kommission auf, die Angemessenheitsentscheidung zum DPF geordnet aufzuheben. noyb kündigte zudem an, in den kommenden Wochen vor dem Gerichtshof der Europäischen Union (EuGH) gegen den Fortbestand des DPF vorzugehen. Auch die deutschen Wirtschaftsverbände BGA, DIHK und BDI warnten Anfang Juli 2026 vor wachsender Rechtsunsicherheit beim transatlantischen Datenverkehr.
Die vorsichtigere Lesart: Die International Association of Privacy Professionals (IAPP) ordnet das Urteil zurückhaltender ein: Der Supreme Court habe die Frage, ob die Unabhängigkeit der „Adjudicators“ beziehungsweise „Inferior Officers“, konkret des Data Protection Review Court (DPRC), der eigenen Rechtsschutzinstanz innerhalb des DPF-Mechanismus, betroffen ist, ausdrücklich offengelassen. Das DPF selbst ist damit nicht automatisch hinfällig; die tatsächliche Rechtsfolge für den Angemessenheitsbeschluss ist derzeit ungeklärt, nicht bereits negativ entschieden.
Einordnung: Beide Stimmen widersprechen sich nicht grundsätzlich, sie unterscheiden sich im Grad der Zuspitzung. Fest steht: Der Angemessenheitsbeschluss zum DPF ist zum jetzigen Zeitpunkt formal weiterhin in Kraft, Unternehmen, die unter dem DPF zertifiziert sind, dürfen weiterhin Daten übermitteln. Fest steht ebenfalls: Die EU-Kommission hat angekündigt zu prüfen, ob das Urteil Auswirkungen auf die Validität des DPF hat, und ein Verfahren vor dem EuGH ist von privater Seite bereits angekündigt. Wer schon einmal die Geschichte von Safe Harbor über Privacy Shield bis zum aktuellen DPF verfolgt hat (die sogenannte Schrems-II-Linie), erkennt hier ein bekanntes Muster: Ein US-Mechanismus wird von der EU-Kommission als angemessen anerkannt, gerät später wegen struktureller Fragen zur US-Aufsicht erneut unter juristischen Druck.
Das Zwei-Ebenen-Problem: Papierform und Realität sind nicht dasselbe
Bei ExpertoMundi arbeiten wir im Datenschutz-Audit regelmäßig mit einem Modell, das für die Einordnung dieses Urteils hilfreich ist, die Trennung zwischen zwei völlig unterschiedlichen Schutzebenen:
Ebene 1, Haftungsschutz (Papierform): Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO kombiniert mit Standardvertragsklauseln (SCC) oder einer DPF-Zertifizierung schützt in erster Linie den Verantwortlichen, also das Unternehmen, das den US-Dienst einsetzt, vor Bußgeldern und Abmahnungen. Es ist eine rechtlich-formale Absicherung der Vertragsbeziehung.
Ebene 2, Daten-Souveränität (Realität): Unabhängig von jeder Papierform bleibt die Tatsache bestehen, dass ein Unternehmen mit US-Konzernmutter der US-Jurisdiktion unterliegt. Über den US CLOUD Act oder § 702 FISA (Foreign Intelligence Surveillance Act, Rechtsgrundlage für die Erfassung von Kommunikation von Nicht-US-Personen außerhalb der USA durch US-Nachrichtendienste) kann US-Behörden faktisch Zugriff auf Daten gewährt werden, unabhängig davon, ob der Server physisch in Frankfurt steht oder ein AVV formal einwandfrei ist.
Das Slaughter-Urteil ändert an Ebene 2 rechtlich nichts. Es ist aber ein Erinnerungspunkt: Wenn selbst die Aufsichtsbehörde, die die Papierform (Ebene 1) tragen soll, politisch weniger unabhängig wird, verliert genau dieses Argument, „es ist doch vertraglich alles geregelt“, an Substanz. Die Papierform schützt den Verantwortlichen, sie schützt nicht automatisch die Daten selbst.
Was das praktisch bedeuten kann
Kein Grund zur Panik, aber ein guter Anlass für eine Bestandsaufnahme. Folgende Schritte lassen sich unabhängig vom weiteren Verfahrensausgang schon jetzt sinnvoll angehen:
- Bestandsaufnahme: Welche eingesetzten Cloud-/SaaS-Dienste haben eine US-Konzernmutter, auch wenn die Datenverarbeitung formal in der EU stattfindet? Ein vorhandener AVV allein beantwortet diese Frage nicht.
- Transfer-Grundlage prüfen: Auf welcher Rechtsgrundlage nach Art. 44 ff. DSGVO beruht der jeweilige Datentransfer, DPF-Zertifizierung, SCC, oder beides? Diese Information findet sich meist im AVV oder in der Datenschutzerklärung des Anbieters.
- Datenminimierung: Für besonders sensible Datenkategorien lohnt sich die Frage, ob überhaupt ein Transfer in die USA notwendig ist, oder ob eine EU-Alternative ohne US-Konzernmutter in der gesamten Kette (inklusive Sub-Unterauftragsverarbeiter) infrage kommt.
- TOM (Technische und organisatorische Maßnahmen nach Art. 32 DSGVO): Verschlüsselung, bei der der Schlüssel ausschließlich beim europäischen Unternehmen liegt (etwa Double-Key-Encryption oder Customer-Key/BYOK-Modelle), reduziert die praktische Zugriffsmöglichkeit über den CLOUD Act unabhängig vom Ausgang des DPF-Verfahrens.
- Entwicklung beobachten: Die angekündigte EuGH-Klage und eine mögliche Neubewertung durch die EU-Kommission können die Rechtslage in den kommenden Monaten verändern. Unternehmen mit umfangreicher US-Cloud-Nutzung können diese Entwicklung im Blick behalten, etwa über die Website der EU-Kommission zum Data Privacy Framework oder über Fachmedien.
Wichtig ist die Reihenfolge: Erst die eigene Bestandsaufnahme, dann die Bewertung, ob und wo Handlungsbedarf besteht. Nicht jeder Einsatz eines US-Dienstes ist automatisch ein Risiko, die Einzelfallprüfung entscheidet.
Fazit
Das Slaughter-Urteil ist zunächst eine US-verfassungsrechtliche Entscheidung über die Reichweite präsidialer Entlassungsbefugnisse. Seine Tragweite für europäische Unternehmen liegt in der strukturellen Verbindung zwischen FTC-Unabhängigkeit und dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Ob und wie sich das rechtlich auf den DPF-Fortbestand auswirkt, ist zum jetzigen Zeitpunkt (Stand 10.07.2026) offen und wird sowohl von der EU-Kommission als auch möglicherweise vom EuGH zu bewerten sein.
Für die eigene Praxis bleibt die bekannte Lehre aus der Schrems-II-Historie gültig: Wer sich ausschließlich auf die formale Papierlage verlässt, hat einen Baustein, aber nicht die vollständige Antwort auf die Frage, wie sicher die eigenen Daten in einer US-Cloud tatsächlich sind.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 10.07.2026.
Quellen (Abrufdatum: 10.07.2026)
- US Supreme Court: Trump v. Slaughter, No. 25-332, Urteil vom 29.06.2026, supremecourt.gov/opinions/25pdf/25-332_qn12.pdf
- SCOTUSblog: „Supreme Court allows Trump to fire FTC commissioner and overturns major restraint on presidential power“, 29.06.2026, scotusblog.com
- Congress.gov / Congressional Research Service: „Trump v. Slaughter and the Future of For-Cause Removal Protections“, CRS-Bericht LSB11448, congress.gov/crs-product/LSB11448
- noyb (None of Your Business): „US Supreme Court just blew up EU-US Data Transfers“, 29.06.2026, noyb.eu
- IAPP (International Association of Privacy Professionals): Einordnung Trump v. Slaughter und offene DPRC-Unabhängigkeitsfrage, 08.07.2026
- dpa-Meldung „Wirtschaftsverbände warnen vor Risiken für Datenverkehr mit USA“, 09.07.2026 (u. a. finanznachrichten.de, ad-hoc-news.de); DIHK-Chefjustiziar Stephan Wernicke