Der aktuelle Gerichtsfall „Trump v. Slaughter“ klingt zunächst nur nach amerikanischer Innenpolitik. Tatsächlich hat das Urteil weitreichende Folgen, die für europäische Unternehmen und Personen hochrelevant sind. Das Urteil stellt das Datenschutzniveau in den USA grundlegend in Frage, insbesondere den Datentransfer in die USA und die Stabilität des EU-U.S. Data Privacy Framework (DPF).
Was ist das DPF?
Das DPF ist ein Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023. Er erlaubt Datentransfers in die USA nach Art. 45 DSGVO ohne Zusatzgarantien. Die Angemessenheit stützt sich auf zwei Säulen: einer unabhängige Federal Trade Commission (FTC), die DPF-zertifizierte Unternehmen überwacht, sowie strengere Regeln für US-Geheimdienste und ein Rechtsbehelfssystem für EU-Betroffene. Vor dem Rechtsrahmen DPF hielten bereits zwei Vorgänger-Rechtsrahmen gerichtlichen Überprüfungen vor dem EuGH nicht stand und wurden gekippt: Safe Harbor (gekippt 06.10.2015, sog. "Schrems I") und Privacy Shield (gekippt 16.07.2020, sog. "Schrems II"). Beide Male bemängelte das Gericht die US-Überwachung und den fehlenden Rechtsschutz.
Der Fall und das Urteil
Rebecca Slaughter war die Kommissarin der Federal Trade Comission (FTC), einer Verbraucherschutz- und Wettbewerbsbehörde der USA. Präsident Trump entließ sie am 18.03.2025 aus rein politischen Gründen, ohne eine gesetzlich notwendige Begründung. Am 29. Juni 2026 entschied der Supreme Court mit 6:3 Stimmen, diese Kündigungsschutzbestimmung verstoße gegen die Gewaltenteilung. Denn der Präsident als alleiniger Chef der Exekutive dürfe Mitglieder unabhängiger Behörden der Exekutive „at-will" - jederzeit ohne besonderen Grund - entlassen.
Folgen für europäische Unternehmen
Die Angemessenheit des DPF beruht jedoch auf einer unabhängigen FTC. Kann der Präsident die FTC-Leitung frei austauschen, droht eine politisch steuerbare Durchsetzung, die dem Gedanken der Unabhängigkeit zuwider läuft. Auch die zweite Säule wackelt: Die Executive Order 14086 (07.10.2022) begrenzte die US-Überwachung und schuf den Rechtsbehelf, der das DPF erst ermöglichte. Im Januar 2025 entließ Trump 3 der 5 Mitglieder des PCLOB, dem Überwachungsgremium der oben genannten Executive Order. Um Beschlüsse zu fassen, ist jedoch ein Minimum von 3 Mitgliedern nötig, daher ist das Gremium seitdem handlungsunfähig. Dahinter steht dieselbe „at-will"-Logik, die der Supreme Court nun bestätigt. Damit sind beide DPF-Säulen zugleich geschwächt.
Sie stammen vom französischen Abgeordneten Philippe Latombe und vom Datenschutzaktivisten Max Schrems.
Der Latombe-Fall
Gegen das DPF formieren sich bereits zwei prominente Angriffe mit dem Ziel, es aufzuheben oder für ungültig erklären zu lassen. Der französische Abgeordnete Philippe Latombe ging mit einer Klage gegen den Angemessenheitsbeschluss vor. Das Gericht der europäischen Union (EuG) wies die Klage am 03.09.2025 mit der Begründung, die Kommision durfte 2023 von einem gleichwertigen Schutzniveau ausgehen, ab. Dieses Urteil erging vor dem Supreme-Court-Urteil und somit vor der Schwächung von FTC und PCLOB. Latombe legte am 31.10.2025 Rechtsmittel beim Europäischen Gerichtshof (EuGH) ein. Dieses Rechtsmittel wird voraussichtlich wenig Aussicht auf Erfolg haben, da der EuGH in dieser Instanz lediglich auf Rechtsfehler auf Seiten des EuG prüft und nicht Tatsachen neu bewertet. Solange kein Rechtsfehler nachgewiesen wird, bleibt es beim Urteil des EuG.
Wie wahrscheinlich fällt das DPF?
Ein sofortiges Kippen ist unwahrscheinlich, das mittelfristige Risiko steigt aber. Hier kommt Max Schrems ins Spiel: Der österreichische Jurist und Gründer der Nichtregierungsorganisation noyb brachte bereits die beiden Vorgänger Safe Harbor und Privacy Shield zu Fall (Schrems I und II). Ein „Schrems-III“ wäre durchaus möglich. Sollte das DPF fallen, verlieren EU-Unternehmen die Rechtsgrundlage nach Art. 45 DSGVO und Datentransfers in die USA werden ggf. rechtswidrig.
So dämpfen Sie das datenschutzrechtliche Risiko in Ihrem Unternehmen:
- Zusätzlich zu DPF auch Standardvertragsklauseln (SCCs) vereinbaren: Dabei handelt es sich um von der EU-Kommission vorformulierte Vertragstexte. Sie werden zwischen Ihrem Unternehmen und dem US-Empfänger vereinbart und verpflichten den Empfänger auf ein europäisches Datenschutzniveau. Fällt das DPF weg, greift dann automatisch diese zweite Rechtsgrundlage.
- Zusatzmaßnahmen zum Schutz der in den USA verarbeiteten Daten ergreifen, z. B. durch Verschlüsselung, Pseudonymisierung und Datenminimierung.
- Dienstleister und Tools mit Standort in EU/EWR bevorzugen.
Fazit
Das DPF bleibt vorerst gültig, doch „Trump v. Slaughter" schwächt beide Säulen des Abkommens zugleich. Ein Wegfall des DPF ist auf Grund der skizzierten Entwicklungen nicht ausgeschlossen. Bereiten Sie sich am besten jetzt schon auf die Aufhebung des DPF vor, um im Ernstfall nicht rechtswidrig beim Transfer von Daten in die USA zu handeln.
Gerne unterstützen wir Sie als Datenschutzbeauftragte dabei Ihre Dienstleisterumgebung datenschutzkonform und resilient zu gestalten. Kontaktieren Sie uns gerne unter info@sidit.de.
