Data Privacy Framework nach Trump v. Slaughter: was gilt jetzt

Am 29. Juni 2026 hat der Supreme Court der USA im Verfahren Trump v. Slaughter entschieden. Danach muss der Präsident die Mitglieder der Federal Trade Commission (FTC) nach eigenem Ermessen entlassen können. Das klingt nach US-Innenpolitik. Es betrifft aber unmittelbar die Regelung, auf die sich viele europäische Unternehmen verlassen, wenn sie Microsoft 365, Google Workspace oder einen US-amerikanischen KI-Dienst nutzen.

Was das Data Privacy Framework regelt

Nach der DSGVO dürfen personenbezogene Daten nur dann in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt werden, wenn das Schutzniveau dort dem europäischen im Wesentlichen gleichwertig ist. Für die Vereinigten Staaten hat die Europäische Kommission das im Juli 2023 festgestellt, und zwar für US-Unternehmen, die sich dem EU-US Data Privacy Framework (DPF) angeschlossen haben. Microsoft und Google haben das getan. Das DPF ist der Nachfolger des Privacy Shield, das der Gerichtshof der EU 2020 im Verfahren Schrems II für ungültig erklärt hat.

Eine der Säulen des DPF ist eine unabhängige Aufsicht in den USA. Die Kommission hat in ihrem Beschluss die FTC als diese unabhängige Aufsichtsbehörde benannt. Als Argument nannte sie ausdrücklich, dass die FTC-Mitglieder für sieben Jahre ernannt werden und nur aus bestimmten Gründen entlassen werden können.

Was das Urteil ändert

Genau diesen Kündigungsschutz hat der Supreme Court nun für verfassungswidrig erklärt. Die FTC ist damit strukturell nicht mehr unabhängig vom Präsidenten. Die europäischen Datenschutzbehörden, vereint im EDSA (Europäischer Datenschutzausschuss), haben die Europäische Kommission deshalb am 31. Juli 2026 gebeten zu prüfen, ob das DPF noch ausreichenden Schutz bietet.

Ist das DPF damit hinfällig?

Nein, formal nicht. Der Angemessenheitsbeschluss gilt, bis die Kommission ihn widerruft, aussetzt oder ändert, oder bis der Gerichtshof der EU ihn für ungültig erklärt. Übermittlungen an US-Unternehmen mit DPF-Zertifizierung sind heute also weiterhin auf dieser Grundlage zulässig.

Eine wichtige Grundlage ist jedoch weggefallen. Gegen das DPF läuft bereits ein Verfahren beim Gerichtshof der EU (das Rechtsmittel in der Sache Latombe), und das Urteil des Supreme Court liefert Kritikern ein neues Argument. Wer sich erinnert, wie schnell das Privacy Shield 2020 verschwand, weiß, dass eine solche Regelung von heute auf morgen wegfallen kann.

Was passiert, wenn das DPF wegfällt

Dann sind Übermittlungen in die USA nicht automatisch verboten, aber deutlich schwieriger. Unternehmen müssen dann auf Standardvertragsklauseln (SCC) zurückgreifen und für jeden Anbieter nachweisen, dass der Schutz in der Praxis wirkt. Dazu gehören zusätzliche Maßnahmen wie eine starke Verschlüsselung, deren Schlüssel der Anbieter nicht besitzt. Für gewöhnliche Cloud-Dienste wie E-Mail und Dateiablage, bei denen der Anbieter die Daten lesen muss, um sie zu verarbeiten, lässt sich das in der Praxis oft nicht umsetzen.

Was Sie jetzt tun können

1. Erfassen Sie, welche Dienste personenbezogene Daten in die USA übermitteln. Denken Sie nicht nur an E-Mail und Dateien, sondern auch an Chat, Videotelefonie, KI, Backups und Analysewerkzeuge.
2. Achten Sie nicht nur auf den Serverstandort. Ein Rechenzentrum eines US-Unternehmens in Frankfurt oder Amsterdam unterliegt weiterhin US-Recht, darunter dem US CLOUD Act.
3. Beginnen Sie mit dem, was sich leicht ersetzen lässt. Für E-Mail, Kalender, Dateien, Dokumente, Chat und Videokonferenzen gibt es inzwischen vollwertige europäische Alternativen.
4. Warten Sie nicht auf das nächste Urteil. Ein Wechsel im eigenen Tempo ist günstiger und ruhiger als ein erzwungener Umzug, wenn die Regelung plötzlich wegfällt.

Binadit Workspace bietet E-Mail, Kalender, Kontakte, Drive, Dokumente, Videokonferenzen und Chat auf Servern in den Niederlanden, von einem niederländischen Unternehmen ohne US-Muttergesellschaft. Es findet keine Übermittlung in die USA statt, das DPF spielt also keine Rolle. Sehen Sie, was Binadit Workspace enthält oder fordern Sie eine Demo an.

Quellen

• Supreme Court of the United States, Trump v. Slaughter, 29. Juni 2026: Urteil (PDF)
• Durchführungsbeschluss (EU) 2023/1795 der Europäischen Kommission zum EU-US Data Privacy Framework, Erwägungsgründe 58 bis 60: EUR-Lex
• Datenschutz-Grundverordnung, Artikel 44 bis 49: EUR-Lex
• Europäischer Datenschutzausschuss, Schreiben an die Europäische Kommission, 31. Juli 2026, sowie die EDSA-FAQ zum DPF

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Lassen Sie sich im Einzelfall von einer Juristin oder einem Juristen beraten.