Am 29. Juni 2026 hat der Oberste Gerichtshof der Vereinigten Staaten in der Rechtssache Trump v. Slaughter (No. 25-332) entschieden, dass die gesetzlich verankerte Unabhängigkeit der Federal Trade Commission (FTC) verfassungswidrig ist. Das Urteil wirft datenschutzrechtliche Fragen auf, die auch Unternehmen in der EU betreffen könnten, da die FTC seit dem Jahr 2000 eine zentrale Rolle in den transatlantischen Datentransferabkommen gespielt hat.
Hintergrund: Das EU-US Data Privacy Framework
Die Übermittlung personenbezogener Daten aus der EU in Drittstaaten ist nach der DSGVO nur unter bestimmten Voraussetzungen zulässig. Eine dieser Voraussetzungen ist ein sog. Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO, mit dem festgestellt wird, dass ein Drittland ein im Wesentlichen gleichwertiges Datenschutzniveau bietet. Für die USA liegt ein solcher Beschluss seit dem 10. Juli 2023 in Form des EU-US Data Privacy Framework (EU-US DPF) vor. Es ist der dritte Versuch der Kommission nach dem Scheitern von Safe Harbor (2015) und Privacy Shield (2020) vor dem Europäischen Gerichtshof (EuGH) eine rechtssichere Grundlage für den transatlantischen Datenfluss zu schaffen.
Eine der wesentlichen Anforderungen des EU-Rechts an Angemessenheitsbeschlüsse ergibt sich aus Art. 16 AEUV sowie Art. 8 Abs. 3 der EU-Grundrechtecharta: Die Überwachung des Datenschutzes muss durch eine unabhängige Behörde erfolgen. Da Drittstaaten ein im Wesentlichen gleichwertiges Schutzniveau gewährleisten müssen, gilt dieses Unabhängigkeitserfordernis auch für die Aufsicht in den USA. Die Kommission stützt sich im aktuellen Angemessenheitsbeschluss in großem Umfang auf die Kontrollfunktion der FTC.
Das Urteil: „Unitary Executive Theory“
Anlass für das Verfahren war die Entlassung zweier demokratischer FTC-Kommissare durch Präsident Trump zu Beginn seiner zweiten Amtszeit im Jahr 2025, ohne dass die gesetzlich vorgesehenen Gründe, wie Dienstvergehen oder Pflichtverletzungen, vorlagen. Während die Vorinstanzen diese Entlassungen noch als rechtswidrig beurteilten, sah der Supreme Court dies anders und gab der Klage der Regierung statt. Das Gericht folgte dabei der sog. „Unitary Executive Theory“, nach der der US-Präsident die vollständige Kontrolle über alle Exekutivbehörden besitzen muss. Gesetzliche Regelungen, die einzelne Behörden vor einem direkten Durchgriff des Präsidenten schützen, seien demnach verfassungswidrig. Mit diesem Urteil vollzog der Supreme Court eine Abkehr von seiner bisherigen, nahezu ein Jahrhundert alten Rechtsprechung zum Schutz unabhängiger Aufsichtsbehörden.
Mögliche Folgen für den Angemessenheitsbeschluss
Da die Kommission ihre Angemessenheitsentscheidung maßgeblich auf die Unabhängigkeit der FTC gestützt hat, stellt sich nun die Frage, ob diese Grundlage noch trägt. Nach Einschätzung der Datenschutzorganisation noyb wäre die Voraussetzung der unabhängigen Aufsicht durch die FTC mit dem Urteil entfallen, was die Rechtmäßigkeit des Angemessenheitsbeschlusses infrage stellen könnte. noyb hat die EU-Kommission in einem formellen Schreiben aufgefordert, den Beschluss zu überprüfen und ggf. aufzuheben. Darüber hinaus kündigte noyb an, in den kommenden Wochen eine Klage vor dem EuGH einzureichen, die auf eine Annullierung des Beschlusses abzielt. Ein solches Verfahren dauert erfahrungsgemäß zwei bis drei Jahre.
Zu beachten ist, dass der Angemessenheitsbeschluss formal weiterhin in Kraft bleibt, solange die Kommission ihn nicht selbst widerruft oder der EuGH ihn für nichtig erklärt. Unmittelbare Rechtsfolgen für Unternehmen, die sich auf das Framework stützen, ergeben sich daraus derzeit nicht.
Auch SCCs und BCRs könnten betroffen sein
Nicht nur Unternehmen, die sich direkt auf das EU-US DPF berufen, sollten die Entwicklung verfolgen. Auch Organisationen, die Standardvertragsklauseln (SCCs) oder verbindliche interne Datenschutzvorschriften (BCRs) als Übertragungsinstrument nutzen, sind verpflichtet, regelmäßig eine Datentransfer-Folgenabschätzung (TIA) durchzuführen. In diesen Abschätzungen wird üblicherweise auf US-amerikanische Kontrollinstanzen wie den sog. „Data Protection Review Court“ verwiesen. Dieses von der Biden-Administration eingerichtete Gremium ist allerdings keine eigenständige Gerichtsinstanz, sondern eine Behörde innerhalb des US-Justizministeriums, deren Unabhängigkeit auf einer präsidialen Exekutivverordnung beruht. Nach der Logik des aktuellen Supreme Court-Urteils könnte auch diese Grundlage als nicht hinreichend unabhängig eingestuft werden. Unternehmen, die ihre TIAs auf solche Instanzen stützen, sollten diese daher einer erneuten Prüfung unterziehen.
Was gilt weiterhin?
Die DSGVO regelt ausschließlich die Übermittlung personenbezogener Daten. Nicht-personenbezogene Daten können unabhängig von der beschriebenen Entwicklung weiter frei übermittelt werden. Zudem erlaubt Art. 49 DSGVO im Einzelfall notwendige Übermittlungen in Drittländer, etwa im Rahmen einer Vertragserfüllung oder eines zwingend erforderlichen Geschäftsvorgangs. Diese Ausnahmeregelungen decken jedoch keine strukturelle und dauerhaft angelegte Auslagerung von Datenverarbeitungsprozessen an US-Anbieter ohne zwingende Notwendigkeit ab.
Empfehlung für die Praxis
Angesichts der bestehenden Unsicherheit empfiehlt es sich für Verantwortliche und Datenschutzbeauftragte, die weitere Entwicklung auf EU-Kommissions- und EuGH-Ebene aufmerksam zu beobachten sowie bestehende TIAs auf ihre Aktualität hin zu überprüfen. Eine abschließende rechtliche Bewertung der Situation ist zum jetzigen Zeitpunkt nicht möglich.
Keine Kommentare