Die rechtssichere Übermittlung personenbezogener Daten in die USA bleibt für viele Unternehmen ein sensibles Thema. Zwar stellt das seit über drei Jahren bestehende EU-US Data Privacy Framework (DPF) derzeit noch eine verlässliche Grundlage für die Datenübermittlung an zertifizierte US-Empfänger dar. Das Urteil des US Supreme Court in der Rechtssache Trump vs. Slaughter begründet nun aber Zweifel an der Unabhängigkeit amerikanischer Aufsichtsbehörden. Für Unternehmen stellt sich die Frage, ob sie weiter auf den Bestand des DPF vertrauen können – oder ob es sinnvoll ist, vorsorglich alternative Übermittlungsmechanismen zu implementieren.
Ausgangslage: Das DPF als Grundlage für Datentransfers in die USA
Mit dem DPF hat die Europäische Kommission am 10.07.2023 einen neuen Angemessenheitsbeschluss für Datenübermittlungen in die USA angenommen. Auf Grundlage des DPF können personenbezogene Daten an entsprechend zertifizierte US-Unternehmen übermittelt werden, ohne dass zusätzliche Garantien gemäß Art. 46 ff. Datenschutz-Grundverordnung (DSGVO) – wie etwa die Standardvertragsklauseln (Standard Contractual Clauses, SCC) – eingesetzt werden müssen. Das DPF stellt einen erneuten Versuch dar, einen unionsrechtskonformen Rahmen für Datenübermittlungen an Unternehmen in den USA zu schaffen, nachdem der Europäische Gerichtshof (EuGH) die vorherigen Angemessenheitsbeschlüsse in den Schrems-I- und Schrems-II-Urteilen für ungültig erklärte.
Als Grundlage für das DPF dient insbesondere die von US-Präsident Biden erlassene Executive Order 14086. Diese enthält Beschränkungen für den Zugriff von US-Nachrichtendiensten auf aus der EU übermittelte Daten und schafft einen neuen Rechtsschutzmechanismus für betroffene Personen. Damit reagierte die US-Regierung auf die zentralen Einwände des EuGH, die zur Aufhebung des Privacy Shield geführt hatten: die Reichweite nachrichtendienstlicher Zugriffsbefugnisse und das Fehlen eines wirksamen gerichtlichen Rechtsschutzes. Von der Trump-Administration wurde die Executive Order 14086 bislang weder aufgehoben noch verändert.
Für die Einhaltung der im DPF festgelegten Datenschutzgrundsätze spielen sowohl die Federal Trade Commission (FTC) als auch das Privacy and Civil Liberties Oversight Board (PCLOB) eine zentrale Rolle. Aufgabe der FTC ist es, die Einhaltung der Datenschutzpflichten durch US-Unternehmen zu überwachen und durchzusetzen. Das PCLOB ist ein Aufsichtsgremium, das seine gesetzliche Grundlage im Intelligence Reform and Terrorism Prevention Act von 2004 hat und 2007 durch den 9/11 Commission Act als unabhängige Behörde neu aufgestellt wurde; seit der Executive Order 14086 obliegt ihm unter anderem die Beaufsichtigung des Zugriffs der US-Nachrichtendienste auf aus der EU in die USA übermittelte Daten.
Trump vs. Slaughter – Ende der Entlassungsbeschränkung bei der FTC
Anlass für die Diskussion um den Bestand des Angemessenheitsbeschlusses ist das Urteil des US Supreme Court in der Rechtssache Trump vs. Slaughter. Gegenstand des Verfahrens war die Entlassung sämtlicher demokratischer FTC-Kommissare durch Präsident Trump im März 2025. Begründet wurde die Entlassung damit, dass die weitere Tätigkeit der demokratischen Kommissare im Widerspruch zu den Prioritäten der Trump-Administration stehe. Die demokratische Kommissarin Rebecca Kelly Slaughter klagte gegen ihre Entlassung und berief sich dabei auf den FTC Act aus dem Jahr 1914, der die Möglichkeit der Entlassung von FTC-Kommissaren auf bestimmte Gründe – „inefficiency, neglect of duty, or malfeasance in office“ – beschränkte.
Der Supreme Court hat diese bundesgesetzliche Beschränkung der Entlassungsbefugnis des Präsidenten mit Urteil vom 29.06.2026 für verfassungswidrig erklärt. Nach Auffassung des Gerichts folgt aus der US-Verfassung, dass die Exekutivgewalt beim Präsidenten gebündelt ist und von ihm wirksam kontrolliert werden können muss („unitary executive theory“). Dies umfasse auch die Befugnis, entsprechende Personalentscheidungen innerhalb der Exekutive selbst zu treffen. Da die FTC Exekutivgewalt ausübe, müsse der Präsident ihre Mitglieder grundsätzlich nach eigenem Ermessen und unabhängig vom Vorliegen eines wichtigen Grundes im Sinne des FTC Act entlassen können. Im Ergebnis hat der Supreme Court damit die Zulässigkeit der Entlassung von Slaughter bestätigt und zugleich einen grundlegenden Kurswechsel vollzogen. In seiner bisherigen Rechtsprechung (Humphrey’s Executor vs. United States) hatte das Gericht den gesetzlichen Entlassungsschutz für FTC-Kommissare noch als verfassungsgemäß angesehen.
Übertragbarkeit des Urteils auf das PCLOB
Die Entscheidung in der Sache Trump v. Slaughter betrifft unmittelbar nur die FTC. Ihre Tragweite dürfte jedoch über diesen Einzelfall hinausgehen. Eine Übertragung der vom Supreme Court entwickelten Maßstäbe auf das PCLOB, dessen demokratische Mitglieder Präsident Trump ebenfalls entlassen hat, liegt nahe. Die Rechtmäßigkeit dieser Entlassungen wird weiterhin gerichtlich überprüft. Nachdem die erste Instanz sie als rechtswidrig eingestuft hatte, wurde das Berufungsverfahren im Hinblick auf das anhängige Verfahren Trump vs. Slaughter zunächst zurückgestellt; eine zweitinstanzliche Entscheidung steht bislang aus.
Keine unmittelbare Unwirksamkeit des Angemessenheitsbeschlusses
Das Urteil des US Supreme Court wirft die Frage auf, ob die FTC ihre Rolle als unabhängige Aufsichts- und Durchsetzungsbehörde im Rahmen des DPF weiterhin in der bislang angenommenen Weise wahrnehmen kann. Damit gewinnt auch die Frage an Bedeutung, wie belastbar der Angemessenheitsbeschluss der Kommission für die USA ist.
Die Existenz und die wirksame Funktionsweise unabhängiger Aufsichtsbehörden sind zwar ein relevanter Gesichtspunkt, aber nicht das alleinige Bewertungskriterium für den Angemessenheitsbeschluss. Artikel 45 Abs. 2 DSGVO enthält einen umfassenden Katalog von Kriterien, die in ihrer Gesamtheit in die Angemessenheitsbewertung einzubeziehen sind. Eine eingeschränkte Unabhängigkeit der amerikanischen Aufsichtsbehörden ist außerdem kein Fall, in dem die Kommission nach den Regelungen in Abschnitt 7 des aktuellen Angemessenheitsbeschlusses für die USA zwingend ein Verfahren zur Aussetzung, Aufhebung oder Änderung des Beschlusses einzuleiten hat.
Hinzu kommt, dass die gesetzlichen Zuständigkeiten der FTC sowie ihre Existenz als Bundesbehörde durch das Urteil des Supreme Court nicht berührt wurden. Insbesondere können neue FTC-Kommissare auch künftig nur nach den Regeln der Verfassung ernannt werden, was die Bestätigung neuer Kandidaten durch den US-Senat einschließt. Der Präsident hat damit nicht die Möglichkeit erhalten, die Zusammensetzung der FTC ohne Mitwirkung des Kongresses nach eigenem Ermessen zu verändern (vgl. Spies, USA: Trump v. Slaughter und das EU-US-DPF – Mehr Aufregung als Rechtsänderung, MMR-Aktuell 2026, 01338). Zudem ist die Executive Order 14086, die die vom EuGH im Schrems-II-Urteil ausgeführten Defizite nach Ansicht der Kommission behoben und den Erlass des DPF ermöglicht hat, weiterhin in Kraft.
Dass sich der EuGH früher oder später erneut mit dem Datenschutzniveau in den USA befassen wird, ist zu erwarten – auch mit Blick auf das anhängige Rechtsmittelverfahren Latombe/Kommission. Das Gericht der Europäischen Union (EuG) hat dort grundsätzlich ein angemessenes Schutzniveau in den USA bejaht. Gegen diese Entscheidung hat Latombe am 31.12.2025 Rechtsmittel beim EuGH eingelegt. In den Rechtsmittelgründen wird allerdings nicht ausdrücklich die fehlende Unabhängigkeit von Aufsichtsbehörden moniert, sondern die Einordnung des Data Protection Review Court (DPRC) als unabhängige und unparteiliche Rechtsschutzinstanz. Gleichwohl könnte der EuGH das Verfahren zum Anlass nehmen, die Tragfähigkeit der für das DPF maßgeblichen Schutz- und Kontrollmechanismen erneut zu prüfen.
Fazit und Handlungsempfehlungen für Unternehmen
Das Urteil des US Supreme Court führt derzeit nicht zu einem Wegfall des EU-US Data Privacy Framework. Der Angemessenheitsbeschluss der EU-Kommission gilt weiterhin und bildet die Grundlage für Datenübermittlungen an entsprechend zertifizierte US-Unternehmen, solange er nicht durch sie ausgesetzt, geändert oder aufgehoben wird oder der EuGH ihn für ungültig erklärt. Gleichwohl zeigen die Entwicklungen, dass das DPF sowohl rechtlich als auch politisch angreifbar bleibt. Eine Übertragung der Rechtsprechung aus Trump vs. Slaughter auf das PCLOB könnte die Diskussion über das Datenschutzniveau in den USA erneut verschärfen. Unternehmen sollten sich deshalb nicht allein auf den Fortbestand des DPF verlassen, sondern mittelfristig prüfen, ob bewährte Alternativen wie die Standardvertragsklauseln die verlässlichere Grundlage bieten. Wer eine Alternative vorbereitet hat, vermeidet kurzfristigen Handlungsbedarf, falls der Angemessenheitsbeschluss aufgehoben wird.
Zugleich sollten die weiteren Entwicklungen in den USA und in Europa aufmerksam verfolgt werden – insbesondere die noch ausstehende zweitinstanzliche Entscheidung zur Rechtmäßigkeit der Entlassung der demokratischen PCLOB-Mitglieder sowie etwaige Veränderungen in der Aufsichts- und Durchsetzungspraxis der FTC.
