US-Urteil Trump v. Slaughter: Das EU-US Data Privacy Framework wackelt

Was ist Trump v. Slaughter — und warum trifft es deutsche Unternehmen?

Das Urteil Trump v. Slaughter ist ein US-verfassungsrechtlicher Grundsatzentscheid, der die sogenannte Unitary Executive Theory festschreibt: Der Präsident der Vereinigten Staaten hat danach die uneingeschränkte Kontrolle über alle Bundesbehörden. Gesetzliche Regelungen, die Kommissare unabhängiger Behörden wie der FTC vor politisch motivierten Entlassungen schützen, sind verfassungswidrig. Das ist keine Trump-spezifische Entscheidung — der Grundsatz gilt unabhängig vom jeweiligen Präsidenten und lässt sich nicht per Exekutivorder rückgängig machen.

Der Haken für Deutschland liegt darin, dass die EU-Kommission beim Abschluss des Data Privacy Frameworks im Jahr 2023 die Unabhängigkeit der FTC als Kernargument für ein angemessenes Datenschutzniveau in den USA gewertet hat. Im Angemessenheitsbeschluss 2Kontaktmöglichkeitwird diese Unabhängigkeit 259 Mal explizit zitiert. Fällt dieses Argument, bricht ein wesentlicher Pfeiler der Begründung weg, die den transatlantischen Datentransfer überhaupt erst erlaubt.

Der Vorgang betrifft nicht nur das DPF-Hauptgerüst. Auch der eigens geschaffene Data Protection Review Court (DPRC) — das Gremium, das EU-Bürgerinnen und -Bürgern Rechtsschutz gegen US-Nachrichtendienstezugriffe ermöglichen soll — steht zur Disposition. Bereits seit Januar 2025 war das Privacy and Civil Liberties Oversight Board (PCLOB) nach politisch motivierten Entlassungen nicht mehr beschlussfähig. Das Supreme-Court-Urteil setzt nun einen weiteren, verfassungsrechtlich verankerten Baustein dieser Entwicklung.

Die Datenschutzorganisation noyb um Max Schrems hat daraufhin die EU-Kommission in einem offiziellen Schreiben aufgefordert, den Angemessenheitsbeschluss zu widerrufen, und eine Klage vor dem EuGH angekündigt. Bis eine endgültige EuGH-Entscheidung vorliegt, rechnen Experten mit zwei bis drei Jahren. In dieser Zwischenzeit befinden sich deutsche Unternehmen in einer Zone erhöhter Rechtsunsicherheit.

Schrems I, II und jetzt III? Der Weg zu einer strukturellen Dauerkrise

Der transatlantische Datentransfer hat bereits zwei EuGH-Urteile überlebt — und beide Male mussten deutsche Unternehmen kurzfristig handeln. Das Safe-Harbour-Abkommen fiel 2015 durch Schrems I, das Privacy Shield durch EuGH, C-311/18 (Schrems II, Urteil vom 16. Juli 2020). Der EuGH stellte dabei fest, dass US-Überwachungsprogramme nicht auf das erforderliche Maß beschränkt sind und EU-Bürgerinnen und -Bürgern keine wirksamen Rechtsbehelfe gegen den Zugriff durch US-Behörden zur Verfügung stehen.

Das DPF von 2023 war strukturell eine Weiterentwicklung der gescheiterten Vorgänger und versuchte, die EuGH-Kritikpunkte durch institutionelle Reformen — darunter die Einrichtung des DPRC und die FTC-Aufsichtsfunktion — zu adressieren. Mit dem Supreme-Court-Urteil bricht nun die institutionelle Basis weg, bevor noyb überhaupt klagen musste. Der Unterschied zu früher: Die Unitary Executive Theory ist ein verfassungsrechtlich verankerter Grundsatz. Selbst unter einer anderen US-Regierung ließe sich die FTC-Unabhängigkeit nicht per Exekutivorder wiederherstellen — dafür bräuchte es ein neues Bundesgesetz oder eine Kehrtwende des Supreme Courts.

Das Gericht der Europäischen Union (EuG) hatte noch im September 2025 die Rechtmäßigkeit des DPF-Angemessenheitsbeschlusses bestätigt, dabei aber ausdrücklich festgehalten, dass die EU-Kommission bei grundlegenden Änderungen des US-Rechtsrahmens eingreifen kann — bis hin zur Aussetzung oder Aufhebung. Genau diese grundlegende Änderung ist mit dem Supreme-Court-Urteil eingetreten. Das strukturelle Problem bleibt dasselbe wie seit Jahren: Das europäische Datenschutzverständnis und die US-amerikanischen Sicherheitsgesetze (FISA, CLOUD Act) sind fundamental unvereinbar.

Ein typisches Praxisszenario: Ein Softwareunternehmen aus dem Münchner Umland nutzt für CRM, Cloud-Speicher und Videokonferenzen ausschließlich US-Dienste. Die Verarbeitungsverzeichnisse nach Art. 30 DSGVO sind gepflegt, ein Auftragsverarbeitungsvertrag mit jedem Anbieter besteht — aber das Transfer Impact Assessment stützt sich auf den Angemessenheitsbeschluss 2Kontaktmöglichkeit. Fällt dieser, ist die Rechtsgrundlage für jeden dieser Transfers sofort angreifbar, ohne dass das Unternehmen irgendetwas falsch gemacht hätte. Genau in dieser Lage befinden sich derzeit tausende KMU in Deutschland.

Was das Urteil konkret für deutsche KMU und Startups bedeutet

Das DPF gilt formal weiter. Ein Wegfall des Angemessenheitsbeschlusses bedeutet nicht, dass jeder Datentransfer in die USA sofort unzulässig wird. Entscheidend ist: Die Sorgfaltspflichten steigen bereits jetzt. Transfer Impact Assessments, die auf der Unabhängigkeit der FTC beruhen, sind nach dem Urteil rechtlich angreifbar. Datenschutzbehörden in Deutschland könnten Datentransfers als unzulässig einstufen und Bußgelder verhängen.

Für Unternehmen bedeutet das konkret drei Risiko-Ebenen. Erstens: Bußgelder nach Art. 83 DSGVO von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Zweitens: Haftungsansprüche betroffener Personen nach Art. 82 DSGVO — der BGH hat in der Rechtssache VI ZR 10/24 klargestellt, dass der Verlust der Kontrolle über personenbezogene Daten bereits einen immateriellen Schaden begründen kann. Drittens: Reputationsrisiken gegenüber Geschäftspartnern und Kunden, insbesondere wenn Verträge Datenschutz-Compliance-Klauseln enthalten.

Besonders betroffen sind Unternehmen, die personenbezogene Daten ihrer Mitarbeitenden oder Kunden in US-Cloud-Systemen verarbeiten: HR-Software (Lohnabrechnung, Personalakten), CRM-Systeme, Marketing-Automatisierung, kollaborative Tools. Auch Sub-Auftragsverarbeiter sind zu berücksichtigen — wer einen deutschen IT-Dienstleister nutzt, der seinerseits AWS oder Azure einsetzt, ist indirekt betroffen. Die DSGVO macht den Verantwortlichen dafür haftbar, nicht den Dienstleister.

Der US CLOUD Act ist ein weiteres strukturelles Problem, das unabhängig vom DPF besteht: Er erlaubt US-Behörden den Zugriff auf Daten, selbst wenn diese physisch auf Servern innerhalb der EU liegen. Dieses Risiko bleibt bestehen, egal welches transatlantische Datenschutzabkommen gilt. Unternehmen, die kritische Daten auf europäischen Servern hosten, haben zumindest beim DPF-Wegfall eine stärkere Verhandlungsposition — aber keinen vollständigen Schutz vor dem CLOUD Act.

Welche DSGVO-Pflichten gelten bei Drittlandtransfers — und was droht bei Verstößen?

Personenbezogene Daten dürfen in Drittländer außerhalb der EU nur übermittelt werden, wenn das DSGVO-Schutzniveau nicht untergraben wird. Das ergibt sich aus Art. 44 DSGVO als übergreifendem Grundsatz. Für Transfers in die USA stehen im Wesentlichen drei Rechtswege offen: erstens der Angemessenheitsbeschluss nach Art. 45 DSGVO (aktuell das DPF), zweitens geeignete Garantien wie SCCs nach Art. 46 Abs. 2 DSGVO oder BCRs nach Art. 47 DSGVO, und drittens Ausnahmetatbestände nach Art. 49 DSGVO, die aber eng ausgelegt werden und für regelmäßige Massentransfers nicht taugen.

Verstöße gegen die Drittlandtransfer-Regeln zählen zu den schwerwiegenden Datenschutzverstößen und können nach Art. 83 Abs. 2 DSGVO mit Bußgeldern von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden — je nachdem, welcher Betrag höher ist. Deutsche Datenschutzbehörden haben bereits nach Schrems II koordiniert Drittlandtransfers in Unternehmen geprüft und unzulässige Übermittlungen beanstandet. Mit der neuen Rechtslage ist ein erneuter Prüfzyklus wahrscheinlich.

Zusätzlich zur Bußgeldhaftung besteht eine zivilrechtliche Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO. Der BGH hat in der Rechtssache VI ZR 10/24 entschieden, dass bereits der Kontrollverlust über personenbezogene Daten infolge eines Datenschutzverstoßes einen immateriellen Schaden begründen kann — ein Nachweis konkreter Folgeschäden ist nicht zwingend erforderlich. Das erhöht das Klagerisiko für Verantwortliche erheblich, insbesondere bei Datenpannen oder nachgewiesenen unzulässigen Transfers.

Aufsichtsbehörden haben nach Art. 58 DSGVO die Befugnis, Datentransfers auszusetzen oder zu verbieten, wenn sie der Auffassung sind, dass SCCs im Zielland nicht eingehalten werden oder werden können. Das ist keine theoretische Drohkulisse: Nach Schrems II haben einzelne Landesdatenschutzbehörden genau das getan, etwa beim Einsatz von Google Analytics. Geschäftsführer sollten wissen, dass eine solche Untersagungsverfügung den laufenden Betrieb unmittelbar treffen kann — von der ausgesetzten HR-Software bis zum gesperrten CRM.

So sichern Sie Ihre Position: konkreter Maßnahmenplan für KMU

Priorität eins ist die Risikoinventur. Beauftragen Sie intern oder extern eine vollständige Übersicht aller Datentransfers in die USA: Welcher Dienst, welche Datenkategorien, welche Rechtsgrundlage, welcher Anbieter als Sub-Auftragsverarbeiter. Das Ergebnis gehört ins Verarbeitungsverzeichnis nach Art. 30 DSGVO und ist Pflicht — unabhängig von der aktuellen Krise. Wer das noch nicht hat, setzt sich dem Risiko aus, im Prüffall einer Datenschutzbehörde ohne Grundlage dazustehen.

Priorität zwei ist der SCC-Abschluss. Prüfen Sie für jeden US-Dienstleister, ob bereits aktuell gültige Standardvertragsklauseln (SCCs in der Fassung der EU-Kommission von 2021) vereinbart sind. Falls nicht: Fordern Sie diese beim Anbieter an oder schließen Sie sie nach. Für Auftragsverarbeitungsverträge ist das ohnehin nach Art. 28 DSGVO Pflicht. Gleichzeitig muss für jeden Transfer ein Transfer Impact Assessment erstellt oder aktualisiert werden — die bisherigen TIAs, die auf der FTC-Unabhängigkeit beruhen, sind nach dem Supreme-Court-Urteil überarbeitungsbedürftig.

Priorität drei ist die technische Härtung. Ende-zu-Ende-Verschlüsselung mit unternehmenseigener Schlüsselverwaltung (Bring Your Own Key, BYOK) ist die effektivste technische Maßnahme gegen den Zugriff durch US-Behörden. Organisatorische und vertragliche Zusicherungen eines US-Anbieters allein reichen nach der Schrems-II-Rechtsprechung des EuGH, C-311/18 nicht aus. Wer BYOK nicht bei seinem Hauptanbieter umsetzen kann, sollte prüfen, ob kritische Datenkategorien in europäische Systeme migriert werden können.

Priorität vier ist die Notfallplanung. Identifizieren Sie für jeden kritischen US-Dienst einen europäischen Alternativanbieter — nicht, um sofort zu wechseln, sondern um im Fall eines DPF-Wegfalls handlungsfähig zu sein. Unternehmen, die 2020 nach Schrems II hektisch reagieren mussten, wissen: Ein ungeplanter Cloud-Wechsel kostet ein Vielfaches mehr als eine vorbereitete Migration. Lassen Sie Ihren aktuellen Datenschutz-Status anwaltlich prüfen und dokumentieren Sie die getroffenen Maßnahmen — das mildert im Bußgeldverfahren die Sanktion nach Art. 83 Abs. 2 lit. d DSGVO (Kooperationsbereitschaft und Schadensminimierung).

Fazit

Das Supreme-Court-Urteil Trump v. Slaughter ist kein Endpunkt, sondern ein weiterer Eskalationsschritt in einem strukturellen Konflikt zwischen europäischem Datenschutzrecht und US-amerikanischer Überwachungsgesetzgebung. Dieser Konflikt ist seit Schrems I im Jahr 2015 ungelöst. Was Geschäftsführer und IT-Verantwortliche jetzt brauchen, ist keine Panik, sondern eine strukturierte Reaktion: Bestandsaufnahme, SCC-Abschluss, TIA-Aktualisierung und technische Härtung. Wer das jetzt angeht, ist für einen möglichen Schrems-III-Fall vorbereitet — und reduziert sein Bußgeld- und Haftungsrisiko bereits heute.

— Er ersetzt keine individuelle Rechtsberatung — bei konkreten Fragen zu Ihrer Datenschutz-Compliance und dem Umgang mit US-Datentransfers wenden Sie sich an einen auf IT- und Datenschutzrecht spezialisierten Rechtsanwalt.