Ein Urteil des Obersten Gerichtshofs der USA stellt das Abkommen für transatlantische Datentransfers infrage. Der Supreme Court entschied, dass der Präsident Mitglieder der Federal Trade Commission grundsätzlich entlassen darf. Genau deren politische Unabhängigkeit hatte die EU-Kommission 2023 jedoch als wichtige Garantie für den Schutz europäischer Daten anerkannt.
Der Europäische Datenschutzausschuss hat die EU-Kommission aufgefordert, die Folgen des US-Urteils für das EU-US Data Privacy Framework zu prüfen. In einem Schreiben vom 31. Juli weist das Gremium darauf hin, dass eine unabhängige Datenschutzaufsicht zu den zentralen Voraussetzungen für die Anerkennung eines angemessenen Schutzniveaus in einem Drittstaat gehört.
Das Framework erlaubt es europäischen Unternehmen, personenbezogene Daten vergleichsweise unkompliziert an zertifizierte Anbieter in den USA zu übertragen. Dazu können etwa Kunden-, Beschäftigten- oder Nutzerdaten gehören, die von amerikanischen Cloud-, Software- oder Plattformunternehmen verarbeitet werden.
Das Urteil handelt nicht von Datenschutz
Ausgangspunkt ist kein Verfahren über europäische Daten, Geheimdienste oder die Datenschutz-Grundverordnung.
US-Präsident Donald Trump hatte die demokratische FTC-Kommissarin Rebecca Kelly Slaughter entlassen. Nach dem bislang geltenden Recht konnten Mitglieder der Behörde nur aus bestimmten Gründen wie Pflichtvernachlässigung, Unfähigkeit oder Amtsmissbrauch abberufen werden.
Der Supreme Court entschied am 29. Juni mit einer Mehrheit von sechs zu drei, dass diese Beschränkung verfassungswidrig ist. Die FTC verfüge über weitreichende Regelsetzungs-, Ermittlungs- und Sanktionsbefugnisse und übe damit Exekutivgewalt aus. Ihre Mitglieder müssten deshalb der Kontrolle des Präsidenten unterstehen – einschließlich seines Rechts, sie zu entlassen.
Das Urteil betrifft damit zunächst die Machtverteilung innerhalb des amerikanischen Staates. Seine Nebenwirkung reicht jedoch bis zum europäischen Datenschutz.
Die EU hat sich ausdrücklich auf eine unabhängige FTC verlassen
Die Federal Trade Commission überwacht unter anderem, ob amerikanische Unternehmen ihre Zusagen aus dem Data Privacy Framework einhalten. Sie kann irreführende Datenschutzversprechen untersuchen, Verstöße verfolgen und gerichtliche oder behördliche Anordnungen durchsetzen.
In ihrem Angemessenheitsbeschluss von 2023 bezeichnete die EU-Kommission die beteiligten amerikanischen Behörden ausdrücklich als unabhängig. Sie verwies dabei auch darauf, dass die fünf FTC-Kommissare nicht nach politischem Belieben, sondern nur aus gesetzlich festgelegten Gründen entlassen werden könnten.
Genau diese Absicherung existiert nach dem Urteil nicht mehr.
Der Europäische Datenschutzausschuss fragt deshalb nicht nur, ob sich die Zusammensetzung einer amerikanischen Behörde verändert hat. Er stellt infrage, ob eine zentrale Annahme, auf der die europäische Genehmigung beruht, noch mit der Rechtslage übereinstimmt.
Der Datentransfer wird nicht automatisch illegal
Für Unternehmen ist zunächst entscheidend: Das Data Privacy Framework gilt weiterhin.
Weder der Supreme Court noch der Europäische Datenschutzausschuss können den Angemessenheitsbeschluss der EU-Kommission automatisch aufheben. Der Ausschuss hat eine Prüfung verlangt, aber noch nicht festgestellt, dass das amerikanische Schutzniveau unzureichend ist.
Europäische Unternehmen dürfen daher weiterhin Daten auf Grundlage des Frameworks an amerikanische Empfänger übermitteln, sofern diese auf der offiziellen Liste zertifizierter Organisationen stehen und die konkrete Datenverarbeitung von der Zertifizierung erfasst wird.
Auch Unternehmen, die andere Übertragungsinstrumente wie Standardvertragsklauseln oder verbindliche interne Datenschutzregeln nutzen, sind nicht unmittelbar von einem Wegfall des Frameworks betroffen. Allerdings müssen auch solche Instrumente ein in der Praxis ausreichendes Schutzniveau gewährleisten.
Von einem sofortigen Stopp transatlantischer Datenströme kann deshalb keine Rede sein.
Die FTC ist wichtig – aber nicht das gesamte Abkommen
Das Framework besteht aus mehreren Säulen.
Die FTC ist vor allem für die Durchsetzung der kommerziellen Datenschutzversprechen zertifizierter Unternehmen zuständig. Davon getrennt ist die Frage, unter welchen Bedingungen amerikanische Nachrichtendienste auf Daten zugreifen dürfen.
Für Beschwerden gegen eine solche staatliche Überwachung wurde der Data Protection Review Court geschaffen. Das Gericht der Europäischen Union bestätigte noch im September 2025, dass dessen damalige Ausgestaltung ausreichende Garantien für Unabhängigkeit und Kontrolle bot. Es wies deshalb eine Klage gegen das Data Privacy Framework ab.
Das neue US-Urteil hebt diesen Rechtsbehelfsmechanismus nicht unmittelbar auf. Es beschädigt jedoch eine andere ausdrücklich geprüfte Voraussetzung: die unabhängige Durchsetzung der Regeln gegenüber amerikanischen Unternehmen.
Das Abkommen ist damit nicht automatisch zusammengebrochen. Eine seiner tragenden Annahmen hat aber einen erheblichen Riss bekommen.
Schon zwei Vorgänger scheiterten vor Gericht
Der Konflikt ist für Unternehmen nicht neu.
Der Europäische Gerichtshof erklärte 2015 zunächst die Safe-Harbor-Regelung für ungültig. 2020 folgte das Privacy Shield. In beiden Fällen kamen die Richter zu dem Ergebnis, dass der Schutz europäischer Daten in den USA nicht ausreichend dem europäischen Grundrechtsniveau entsprach – insbesondere wegen weitreichender Zugriffsmöglichkeiten amerikanischer Nachrichtendienste und unzureichender Rechtsbehelfe.
Das 2023 eingeführte Data Privacy Framework ist damit bereits der dritte Versuch, verlässliche Regeln für den transatlantischen Datenverkehr zu schaffen.
Im September 2025 bestand es seine erste gerichtliche Prüfung. Das Gericht bewertete dabei allerdings die Rechtslage zum Zeitpunkt des Kommissionsbeschlusses von 2023. Das jetzige Supreme-Court-Urteil ist eine neue Entwicklung, die damals noch nicht berücksichtigt werden konnte.
Für Unternehmen beginnt noch kein Notbetrieb – aber Vorsorge
Eine vorsorgliche Abkehr von sämtlichen amerikanischen Dienstleistern wäre derzeit weder rechtlich erforderlich noch in vielen Unternehmen kurzfristig realistisch.
Unklug wäre es aber ebenso, allein auf den dauerhaften Bestand des Frameworks zu vertrauen.
Unternehmen sollten wissen, welche Anbieter und Datenverarbeitungen tatsächlich darauf gestützt werden, ob die Zertifizierungen noch gültig sind und welche vertraglichen Alternativen bei einer Änderung des Angemessenheitsbeschlusses aktiviert werden könnten. Besonders relevant ist das für Cloudsysteme, Personalsoftware, Analysewerkzeuge, Kundenmanagement und KI-Dienste.
Das ist keine Reaktion auf einen bereits eingetretenen Rechtsbruch, sondern Risikovorsorge. Nach dem Ende des Privacy Shield mussten zahlreiche Unternehmen ihre Verträge und Transferbewertungen unter großem Zeitdruck neu ordnen. Ein drittes abruptes Erwachen wäre schwer zu entschuldigen.
Stefanie S. Klief
