Transatlantische Datentransfers erneut unter Druck: Was das US Supreme Court-Urteil für das EU-US Data Privacy Framework bedeutet

I. Hintergrund

Mit dem DPF wollte die EU-Kommission den transatlantischen Datentransfer nach den Schrems I und Schrems II-Urteilen des EuGH wieder auf eine tragfähige Grundlage stellen. Der am 10. Juli 2023 angenommene Angemessenheitsbeschluss beruht dabei maßgeblich auf der zuvor von US-Präsident Biden erlassenen Executive Order 14086. Diese sieht Beschränkungen im Bereich des Zugriffs der US-Nachrichtendienste auf die aus der EU in die USA übermittelten Daten vor und schafft einen neuen Rechtsschutzmechanismus für betroffene Personen. Hervorgehoben hat der EuGH, dass wirksamer Rechtsschutz vor einem unabhängigen Gericht möglich sein muss. Damit adressiert die Executive Order die zentralen Kritikpunkte aus dem Schrems II-Urteil, die den EuGH zur Aufhebung des vorherigen Angemessenheitsbeschlusses (Privacy Shield) veranlasst haben. Insbesondere wurde das Privacy and Civil Liberties Oversight Board eingesetzt, um die Rechtmäßigkeit nachrichtendienstlicher Zugriffe zu überprüfen. Bislang hat die Trump-Administration die Executive Order 14086 weder aufgehoben noch verändert. 

Ausgangspunkt der aktuellen Diskussion ist das Urteil des US Supreme Court vom 29. Juni 2026 in der Rechtssache Trump vs. Slaughter. Gegenstand des Verfahrens war die im März 2025 durch US-Präsident Trump veranlasste Entlassung sämtlicher demokratischer Kommissare der FTC mit der Begründung, ihre weitere Tätigkeit stehe im Widerspruch zu den Prioritäten seiner Administration. Für den Angemessenheitsbeschluss ist die FTC insoweit relevant, da die FTC in den USA die Einhaltung der Datenschutzpflichten durch Unternehmen überwacht und durchsetzt. Die demokratische FTC-Kommissarin Rebecca Kelly Slaughter erhob daraufhin Klage und berief sich auf den FTC Act aus dem Jahr 1914, wonach eine Entlassung von Kommissaren durch den Präsidenten nur aus bestimmten Gründen („inefficiency“, „neglect of duty“, „malfeasance in office“) zulässig ist. 

Im Kontext des EU-Rechts ist das Urteil insbesondere auch deswegen relevant, da der Angemessenheitsbeschluss eine unabhängige Datenschutzaufsicht voraussetzt und diese Grundvoraussetzung für die Anerkennung eines insgesamt gleichwertigen Datenschutzniveaus ist. So stützt sich die EU-Kommission in ihrem Beschluss maßgeblich auf die FTC als unabhängigen Akteur, der in den USA die Einhaltung von Datenschutz- und Verbraucherschutzpflichten durch Unternehmen überwacht und durchsetzt. Das Urteil in der Rechtssache Trump vs. Slaughter berührt jedoch genau diese institutionelle Unabhängigkeit. Denn sobald die Hürden für eine präsidiale Entlassung abgesenkt oder abgeschafft werden, träfe dies die im Angemessenheitsbeschluss vorausgesetzte unabhängige Durchsetzungsrolle der FTC und damit eine tragende Säule des Angemessenheitsbeschlusses.

II. Urteil des US Supreme Court 

Der US Supreme Court entschied nun, dass die im FTC Act enthaltene bundesgesetzliche Beschränkung bezüglich der Abberufung von FTC-Kommissaren verfassungswidrig sei. Zur Begründung stellte das Gericht darauf ab, dass die amerikanische Verfassung dem Präsidenten die uneingeschränkte Kontrolle über die gesamte Exekutive zuweise. Da die FTC in ihrer heutigen Form Exekutivgewalt ausübe, müsse der Präsident die Möglichkeit haben, die FTC zu kontrollieren und ihre Kommissare nach eigenem Ermessen zu entlassen – unabhängig davon, ob ein wichtiger Grund i.S.d. FTC Act vorliegt oder nicht. Mit dieser Entscheidung hat der US Supreme Court seine bisherige Rechtsprechung aus Humphrey’s Executor v. United States aufgegeben, wonach die im FTC Act vorgesehene Beschränkung der Befugnis des Präsidenten zur Entlassung von FTC-Kommissaren ausdrücklich als verfassungsgemäß eingeordnet wurde. Im Ergebnis bestätigte der US Supreme Court mit seinem Urteil vom 29. Juni damit die Zulässigkeit der Entlassung der demokratischen Kommissare der FTC durch den US-Präsidenten. 

Es liegt nahe, dass die in dem Urteil ausgeführten Grundsätze auch auf das Privacy and Civil Liberties Oversight Board („PCLOB“) zu übertragen sein werden. Dessen demokratische Mitglieder wurden ebenfalls durch Präsident Trump entlassen. Das PCLOB ist ein bereits im Jahr 2004 eingerichtetes Aufsichtsgremium, dem seit der von Präsident Biden erlassenen Executive Order 14086 auch die Aufgabe zukommt, Zugriffe der US-Nachrichtendienste auf aus der EU in die USA übermittelte Daten zu beaufsichtigen. Das PCLOB betrifft daher einen zentralen Baustein des DPF. Die Entlassungen der demokratischen Mitglieder des PCLOB wurden in erster Instanz als rechtwidrig eingestuft. Die zweite Instanz hat seine Entscheidung jedoch zunächst zurückgestellt, um das Urteil in der Rechtssache Trump vs. Slaughter abzuwarten. Eine Übertragung der Rechtsprechung des US Supreme Court auf das PCLOB dürfte davon abhängen, ob auch der PCLOB durch das Gericht als Exekutivorgan eingeordnet wird. Die Entscheidung bleibt insoweit abzuwarten. 

III. Auswirkungen auf den Bestand des Angemessenheitsbeschlusses 

Da das Urteil des US Supreme Court die Unabhängigkeit der FTC letztlich aufhebt, stellt sich zwangsläufig die Frage, wie sich die Entscheidung auf den Bestand des Angemessenheitsbeschlusses auswirkt. Festzuhalten ist, dass es sich bei der Existenz und der wirksamen Funktionsweise unabhängiger Aufsichtsbehörden um eine der zentralen Prämissen handelt, auf die die Kommission die Annahme der Angemessenheit des Datenschutzniveaus in den USA gestützt hat (Vgl. Art. 45 Abs. 2 lit. b) DSGVO). 

Gleichzeitig ist die Executive Order 14086, welche die vom EuGH im Schrems II-Urteil ausgeführten Defizite nach Ansicht der Kommission behoben und den Erlass des DPF überhaupt erst ermöglicht hat, weiterhin in Kraft. Bei dem Wegfall der Unabhängigkeit der amerikanischen Aufsichtsbehörden handelt es sich außerdem nicht um einen Fall, bei dem die Kommission nach den Regelungen in Abschnitt 7 des aktuellen Angemessenheitsbeschlusses für die USA zwingend ein Verfahren zur Aussetzung, Aufhebung oder Änderung des Beschlusses einzuleiten hat. Dennoch spricht vieles dafür, dass sich der EuGH früher oder später erneut mit der Frage befassen wird, ob in den USA ein angemessenes Datenschutzniveau existiert. Wie sich der EuGH im Falle einer erneuten Klage diesbezüglich positioniert, dürfte auch davon abhängen, ob das Urteil des US Supreme Court in der Rechtssache Trump vs. Slaughter auf den PCLOB übertragen wird. Abzuwarten bleibt auch, ob sich der EuGH bereits in dem anhängigen Rechtsmittelverfahren in der Rechtssache Latombe gegen die Kommission mit den Auswirkungen der mangelnden Unabhängigkeit der FTC auf den Angemessenheitsbeschluss befassen wird. In erster Instanz hatte das EuG die Nichtigkeitsklage des französischen Abgeordneten gegen den Angemessenheitsbeschluss abgewiesen. Die gegen die Entscheidung des EuG beim EuGH anhängige Berufung richtet sich ausweislich der Berufungsgründe allerdings nicht ausdrücklich gegen die fehlende Unabhängigkeit von Aufsichtsbehörden, sondern gegen die Einordnung des Data Protection Review Court („DPRC“) als unabhängige und unparteiliche Rechtsschutzinstanz.

IV. Fazit und Ausblick

Für die Praxis bedeutet die Entscheidung des US Supreme Court zunächst vor allem eines: mehr Rechtsunsicherheit, aber keinen unmittelbaren Wegfall des DPF. Der Angemessenheitsbeschluss der EU-Kommission gilt weiterhin und bildet die Grundlage für Datenübermittlungen an entsprechend zertifizierte US-Unternehmen, solange er nicht durch die EU-Kommission ausgesetzt, geändert oder aufgehoben bzw. durch den EuGH für ungültig erklärt wird. Gleichwohl zeigen die aktuellen Entwicklungen, dass der Angemessenheitsbeschluss politisch und rechtlich fragil ist. Für Unternehmen empfiehlt es sich daher zu überprüfen, ob für den Fall eines Wegfalls des DPF belastbare Ausweichmechanismen bestehen. Insoweit könnten Standardvertragsklauseln bei Datenübermittlungen in die USA künftig wieder eine zentrale Rolle spielen – ähnlich wie bereits nach den Schrems I und II-Urteilen. Es bietet sich daher auch an, bereits bestehende Transfer Impact Assessments aktuell zu halten. In jedem Fall sollte im weiteren Verlauf beobachtet werden, welche Reaktion die EU-Kommission auf das Urteil des US Supreme Court zeigt, wie die weitere Rechtsprechung zum PCLOB ausfällt und ob neue Verfahren, die den Bestand des Angemessenheitsbeschlusses betreffen, vor den europäischen Gerichten eingeleitet werden.