US-Urteil bringt Europas Fundament für transatlantischen Datentransfer ins Wanken
Ein Urteil des US Supreme Court zu Entlassungsrechten des Präsidenten trifft Europa an empfindlicher Stelle: beim EU-US Data Privacy Framework. Die Entscheidung zeigt, warum Datensouveränität nicht am Serverstandort endet.
Das Urteil in der Rechtssache Trump vs. Slaughter wirkt auf den ersten Blick wie ein inneramerikanischer Streit über Verwaltungsrecht. Tatsächlich könnte es die Grundlage transatlantischer Datenübermittlungen erschüttern. Am 29. Juni 2026 entschied der US Supreme Court mit 6:3 Stimmen, dass der US-Präsident hochrangige Beamte unabhängiger Bundesbehörden wie der Federal Trade Commission (FTC) jederzeit und ohne Angabe von Gründen entlassen darf. Damit hob das Gericht den gesetzlichen Kündigungsschutz für FTC-Kommissare auf und kippte das 91 Jahre alte Präzedenzurteil Humphrey’s Executor v. United States.
Für europäische Unternehmen ist das mehr als eine juristische Fußnote. Die FTC gilt im EU-US Data Privacy Framework (DPF) als zentrale Kontrollinstanz für zertifizierte US-Unternehmen. Wenn diese Behörde politisch stärker steuerbar wird, stellt sich die Frage, ob der im DPF vorausgesetzte unabhängige Vollzug noch tragfähig ist. Genau darauf zielen inzwischen auch neue rechtliche Bewertungen und erwartete Klagen gegen den Datentransferrahmen.
Vom Behördenstreit zum Datenschutzrisiko
Auslöser war die Entlassung der demokratisch ernannten FTC-Kommissarin Rebecca Kelly Slaughter durch Donald Trump zu Beginn seiner zweiten Amtszeit. Slaughter klagte, ein Bezirksgericht gab ihr zunächst recht, die Regierung zog vor den Supreme Court. Die Kernpunkte der Entscheidung sind weitreichend:
- Sieg für die „Unitary Executive Theory“: Die konservative Mehrheit folgte der Auffassung, dass die US-Verfassung dem Präsidenten Kontrolle über die gesamte exekutive Gewalt überträgt.
- Keine Beschränkung durch den Kongress: Chief Justice John Roberts betonte, dass Amtsträger mit exekutiver Macht dem Präsidenten rechenschaftspflichtig sein müssten.
- Scharfe Gegenmeinung: Die Richterinnen Sonia Sotomayor, Elena Kagan und Ketanji Brown Jackson warnten laut SCOTUSblog vor einer Machtverschiebung, die unabhängige Behörden in parteipolitische Instrumente verwandeln könne.
Warum das DPF verletzlich wird
Das DPF beruht auf der Annahme, dass US-Stellen Datenschutzpflichten verlässlich und unabhängig durchsetzen. Genau diese Annahme gerät nun ins Wanken. Die Organisation noyb argumentiert bereits, der Supreme Court habe den EU-US-Datentransfer faktisch beschädigt; auch juristische Analysen sehen neue Angriffsflächen für Verfahren vor dem Europäischen Gerichtshof (EuGH).
Mark Raun Moritzen, Vice President Strategy and Corporate Development bei Omada Identity, bringt die politische Dimension auf den Punkt: „Das Urteil erwähnt mit keinem Wort den Datenschutz. Und das, obwohl es den Datenverkehr zwischen EU und USA stärker verändern könnte als jede Datenschutzregulierung der letzten Jahre.“ Seine zentrale Warnung lautet: „Politische Vereinbarungen sind kein Ersatz für strukturellen Rechtsschutz.“
Souveränität reicht weiter als der Speicherort
Die Folgen des Urteils reichen weit über Datenschutzfragen hinaus. Mit dem gekippten Kündigungsschutz verliert nicht nur die FTC an institutioneller Distanz zur Regierung. Auch Behörden wie NLRB, EEOC, SEC oder FCC stehen künftig unter dem Vorzeichen politischer Austauschbarkeit. Was in Washington als Machtfrage zwischen Präsident und Behörden verhandelt wird, trifft Europa an einer empfindlichen Stelle: bei der Annahme, dass US-Kontrollinstanzen unabhängig genug sind, um europäische Datenschutzversprechen abzusichern.
Für den EU-US-Datentransfer ist das brisant. Die FTC bleibt zwar formal zuständig, doch ihr Status als verlässliche, unabhängige Aufsicht ist beschädigt. Damit wird das DPF nicht automatisch hinfällig, aber angreifbarer. Genau an dieser Stelle beginnt für regulierte Organisationen in Europa das eigentliche Problem: Europäische Rechenzentren allein schaffen noch keine Souveränität, wenn Anbieter, Betrieb, Support, Updates oder Rechtsdurchsetzung weiterhin in US-Strukturen eingebettet sind.
Moritzen formuliert den Kern des Risikos unmissverständlich: „Solange der Softwareanbieter oder Infrastrukturbetreiber amerikanisch ist, bleibt ein Risiko bestehen.“ Das Urteil ist deshalb kein isolierter Paukenschlag, sondern das nächste Signal in einer langen Reihe fragiler transatlantischer Datenschutzkonstruktionen. Nach Safe Harbor, Privacy Shield und nun den neuen Zweifeln am DPF wird deutlich: Politisch verhandelte Garantien bleiben verwundbar, wenn ihnen kein belastbarer struktureller Schutz folgt.
Wer Datensouveränität ernst nimmt, darf sie deshalb nicht auf den Speicherort verkürzen. Entscheidend ist die gesamte Kette: Infrastruktur, Identitäten, Betrieb, Verschlüsselung, Verträge, Rechtsraum und Exit-Strategien. Erst wenn alle diese Ebenen zusammenpassen, wird aus Datenhaltung in Europa echte digitale Selbstbestimmung.
„Indem die FTC ihre Unabhängigkeit verliert, fällt der bisherige Durchsetzungsmechanismus weg, auf dem das gesamte EU-US Data Privacy Framework beruht“, so Mark Raun Moritzen, Vice President, Strategy and Corporate Development bei Omada Identity.
Newsletter Abonnieren
Abonnieren Sie jetzt IT-SICHERHEIT News und erhalten Sie alle 14 Tage aktuelle News, Fachbeiträge, exklusive Einladungen zu kostenlosen Webinaren und hilfreiche Downloads.
