Am 29. Juni 2026 entschied der US Supreme Court im Verfahren Trump v. Slaughter mit sechs zu drei Stimmen: Der US-Präsident darf Mitglieder der Federal Trade Commission (FTC) ohne besonderen Grund entlassen. Damit verliert die FTC ihre politische Unabhängigkeit — und genau auf diese Unabhängigkeit hatte die EU-Kommission im EU-US Data Privacy Framework (DPF) ganze 259 Mal verwiesen.
Für deutsche KMU ist das kein abstrakt-politisches Problem. Microsoft 365, Google Workspace, AWS, Salesforce, Zoom — fast jede betriebliche IT-Infrastruktur stützt sich auf US-Dienste, die heute auf Basis des DPF genutzt werden. Fällt der Angemessenheitsbeschluss, drohen Datentransfers als unzulässig eingestuft zu werden, Datenschutzbehörden können Bußgelder verhängen und noyb hat eine Klage vor dem EuGH bereits angekündigt.
Die Lage ist ernst, aber nicht hoffnungslos: Das DPF gilt formal noch. Wer jetzt handelt, sichert seine Rechtsgrundlagen und verschafft sich Zeit. Wer wartet, riskiert, nach einem möglichen Schrems-III-Urteil erneut unvorbereitet dazustehen — wie viele Unternehmen bereits nach Schrems II im Jahr 2020.
Was ist Trump v. Slaughter — und warum trifft es deutsche Unternehmen?
Das Urteil Trump v. Slaughter ist ein US-verfassungsrechtlicher Grundsatzentscheid, der die sogenannte Unitary Executive Theory festschreibt: Der Präsident der Vereinigten Staaten hat danach die uneingeschränkte Kontrolle über alle Bundesbehörden. Gesetzliche Regelungen, die Kommissare unabhängiger Behörden wie der FTC vor politisch motivierten Entlassungen schützen, sind verfassungswidrig. Das ist keine Trump-spezifische Entscheidung — der Grundsatz gilt unabhängig vom jeweiligen Präsidenten und lässt sich nicht per Exekutivorder rückgängig machen.
Der Haken für Deutschland liegt darin, dass die EU-Kommission beim Abschluss des Data Privacy Frameworks im Jahr 2023 die Unabhängigkeit der FTC als Kernargument für ein angemessenes Datenschutzniveau in den USA gewertet hat. Im Angemessenheitsbeschluss 2Kontaktmöglichkeitwird diese Unabhängigkeit 259 Mal explizit zitiert. Fällt dieses Argument, bricht ein wesentlicher Pfeiler der Begründung weg, die den transatlantischen Datentransfer überhaupt erst erlaubt.
Der Vorgang betrifft nicht nur das DPF-Hauptgerüst. Auch der eigens geschaffene Data Protection Review Court (DPRC) — das Gremium, das EU-Bürgerinnen und -Bürgern Rechtsschutz gegen US-Nachrichtendienstezugriffe ermöglichen soll — steht zur Disposition. Bereits seit Januar 2025 war das Privacy and Civil Liberties Oversight Board (PCLOB) nach politisch motivierten Entlassungen nicht mehr beschlussfähig. Das Supreme-Court-Urteil setzt nun einen weiteren, verfassungsrechtlich verankerten Baustein dieser Entwicklung.
Die Datenschutzorganisation noyb um Max Schrems hat daraufhin die EU-Kommission in einem offiziellen Schreiben aufgefordert, den Angemessenheitsbeschluss zu widerrufen, und eine Klage vor dem EuGH angekündigt. Bis eine endgültige EuGH-Entscheidung vorliegt, rechnen Experten mit zwei bis drei Jahren. In dieser Zwischenzeit befinden sich deutsche Unternehmen in einer Zone erhöhter Rechtsunsicherheit.
Schrems I, II und jetzt III? Der Weg zu einer strukturellen Dauerkrise
Der transatlantische Datentransfer hat bereits zwei EuGH-Urteile überlebt — und beide Male mussten deutsche Unternehmen kurzfristig handeln. Das Safe-Harbour-Abkommen fiel 2015 durch Schrems I, das Privacy Shield durch EuGH, C-311/18 (Schrems II, Urteil vom 16. Juli 2020). Der EuGH stellte dabei fest, dass US-Überwachungsprogramme nicht auf das erforderliche Maß beschränkt sind und EU-Bürgerinnen und -Bürgern keine wirksamen Rechtsbehelfe gegen den Zugriff durch US-Behörden zur Verfügung stehen.
Das DPF von 2023 war strukturell eine Weiterentwicklung der gescheiterten Vorgänger und versuchte, die EuGH-Kritikpunkte durch institutionelle Reformen — darunter die Einrichtung des DPRC und die FTC-Aufsichtsfunktion — zu adressieren. Mit dem Supreme-Court-Urteil bricht nun die institutionelle Basis weg, bevor noyb überhaupt klagen musste. Der Unterschied zu früher: Die Unitary Executive Theory ist ein verfassungsrechtlich verankerter Grundsatz. Selbst unter einer anderen US-Regierung ließe sich die FTC-Unabhängigkeit nicht per Exekutivorder wiederherstellen — dafür bräuchte es ein neues Bundesgesetz oder eine Kehrtwende des Supreme Courts.
Das Gericht der Europäischen Union (EuG) hatte noch im September 2025 die Rechtmäßigkeit des DPF-Angemessenheitsbeschlusses bestätigt, dabei aber ausdrücklich festgehalten, dass die EU-Kommission bei grundlegenden Änderungen des US-Rechtsrahmens eingreifen kann — bis hin zur Aussetzung oder Aufhebung. Genau diese grundlegende Änderung ist mit dem Supreme-Court-Urteil eingetreten. Das strukturelle Problem bleibt dasselbe wie seit Jahren: Das europäische Datenschutzverständnis und die US-amerikanischen Sicherheitsgesetze (FISA, CLOUD Act) sind fundamental unvereinbar.
Ein typisches Praxisszenario: Ein Softwareunternehmen aus dem Münchner Umland nutzt für CRM, Cloud-Speicher und Videokonferenzen ausschließlich US-Dienste. Die Verarbeitungsverzeichnisse nach Art. 30 DSGVO sind gepflegt, ein Auftragsverarbeitungsvertrag mit jedem Anbieter besteht — aber das Transfer Impact Assessment stützt sich auf den Angemessenheitsbeschluss 2Kontaktmöglichkeit. Fällt dieser, ist die Rechtsgrundlage für jeden dieser Transfers sofort angreifbar, ohne dass das Unternehmen irgendetwas falsch gemacht hätte. Genau in dieser Lage befinden sich derzeit tausende KMU in Deutschland.
Praxis-Tipp
Der US Supreme Court hat am 29. Juni 2026 die Unabhängigkeit der FTC für verfassungswidrig erklärt und damit die zentrale Stütze des EU-US Data Privacy Frameworks beseitigt, auf die der Angemessenheitsbeschluss 259-mal verweist.
Was das Urteil konkret für deutsche KMU und Startups bedeutet
Das DPF gilt formal weiter. Ein Wegfall des Angemessenheitsbeschlusses bedeutet nicht, dass jeder Datentransfer in die USA sofort unzulässig wird. Entscheidend ist: Die Sorgfaltspflichten steigen bereits jetzt. Transfer Impact Assessments, die auf der Unabhängigkeit der FTC beruhen, sind nach dem Urteil rechtlich angreifbar. Datenschutzbehörden in Deutschland könnten Datentransfers als unzulässig einstufen und Bußgelder verhängen.
Für Unternehmen bedeutet das konkret drei Risiko-Ebenen. Erstens: Bußgelder nach Art. 83 DSGVO von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Zweitens: Haftungsansprüche betroffener Personen nach Art. 82 DSGVO — der BGH hat in der Rechtssache VI ZR 10/24 klargestellt, dass der Verlust der Kontrolle über personenbezogene Daten bereits einen immateriellen Schaden begründen kann. Drittens: Reputationsrisiken gegenüber Geschäftspartnern und Kunden, insbesondere wenn Verträge Datenschutz-Compliance-Klauseln enthalten.
Besonders betroffen sind Unternehmen, die personenbezogene Daten ihrer Mitarbeitenden oder Kunden in US-Cloud-Systemen verarbeiten: HR-Software (Lohnabrechnung, Personalakten), CRM-Systeme, Marketing-Automatisierung, kollaborative Tools. Auch Sub-Auftragsverarbeiter sind zu berücksichtigen — wer einen deutschen IT-Dienstleister nutzt, der seinerseits AWS oder Azure einsetzt, ist indirekt betroffen. Die DSGVO macht den Verantwortlichen dafür haftbar, nicht den Dienstleister.
Der US CLOUD Act ist ein weiteres strukturelles Problem, das unabhängig vom DPF besteht: Er erlaubt US-Behörden den Zugriff auf Daten, selbst wenn diese physisch auf Servern innerhalb der EU liegen. Dieses Risiko bleibt bestehen, egal welches transatlantische Datenschutzabkommen gilt. Unternehmen, die kritische Daten auf europäischen Servern hosten, haben zumindest beim DPF-Wegfall eine stärkere Verhandlungsposition — aber keinen vollständigen Schutz vor dem CLOUD Act.
Wichtig zu wissen
Das DPF bleibt formal in Kraft, aber die Sorgfaltspflichten für europäische Unternehmen steigen sofort — Transfer Impact Assessments, die auf einer unabhängigen FTC beruhen, sind rechtlich angreifbar.
