Trump v. Slaughter und die EU-US-Datentransfers: Warum das Data Privacy Framework nicht über Nacht fällt

Der US Supreme Court hat mit der Entscheidung Trump v. Slaughter vom 29. Juni 2026 die Unabhängigkeit der Federal Trade Commission (FTC) in ihrem Kern berührt. Weil die FTC im EU-US Data Privacy Framework (DPF) als Aufsichtsbehörde eine Rolle spielt, wird die Entscheidung teils als Ende des Angemessenheitsbeschlusses gedeutet. Dieser Beitrag ordnet ein, was der Supreme Court tatsächlich entschieden hat, welche Bedeutung das für die Angemessenheit hat und was Unternehmen jetzt beachten sollten.

Zusammenfassung

• Der US Supreme Court hat am 29. Juni 2026 in Trump v. Slaughter mit 6 zu 3 Stimmen entschieden, dass der gesetzliche Schutz der FTC-Kommissare vor einer Entlassung durch den Präsidenten gegen die Gewaltenteilung verstößt. Damit hat er die seit 1935 geltende Leitentscheidung Humphrey's Executor aufgegeben.
• Entschieden ist damit allein die Reichweite des präsidialen Entlassungsrechts. Die Neubesetzung der FTC bleibt an die Zustimmung des Senats gebunden. Aus einem erweiterten Entlassungsrecht folgt nicht, dass der Präsident die Behörde nach Belieben besetzen kann.
• Das DPF hat zwei Dimensionen. Die kommerzielle Aufsicht über zertifizierte Unternehmen, für die unter anderem die FTC zuständig ist, und den Rechtsschutz gegen staatlichen Datenzugriff durch Nachrichtendienste, der auf einer Executive Order und dem Data Protection Review Court beruht. Nur die erste Dimension berührt die FTC.
• Der eigentlich entscheidende Pfeiler der Angemessenheit, der Rechtsschutzmechanismus gegen Überwachung, wird von Trump v. Slaughter nach hier vertretener Auffassung nicht erschüttert. Die maßgebenden Beanstandungen aus Schrems I und Schrems II betrafen den staatlichen Datenzugriff, nicht die kommerzielle Aufsicht.
• Der Angemessenheitsbeschluss bleibt vorerst in Kraft. Die Europäische Kommission prüft, die Datenschutzorganisation NOYB fordert den Rückzug und bereitet eine Klage vor, einzelne Mitgliedstaaten wie Dänemark treiben ihre digitale Souveränität voran.
• Für die Praxis ändert sich unmittelbar nichts. Wer auf Standardvertragsklauseln nach Art. 46 DSGVO und ein sorgfältiges Transfer Impact Assessment setzt, steht robuster da als wer sich allein auf das DPF stützt.

1. Was der Supreme Court entschieden hat, und was nicht

Ausgangspunkt ist ein arbeitsrechtlicher Streit mit verfassungsrechtlichem Kern. Präsident Trump hatte im März 2025 die der demokratischen Seite zugerechneten FTC-Kommissarinnen und Kommissare entlassen, darunter Rebecca Slaughter. Die Begründung lautete nicht auf einen der gesetzlich vorgesehenen Entlassungsgründe wie Pflichtverletzung oder Amtsmissbrauch, sondern schlicht auf eine fehlende Übereinstimmung mit den Prioritäten der Regierung. Slaughter klagte gegen die Entlassung. Der Fall gelangte bis zum Supreme Court.

Die FTC gehört zu den sogenannten Independent Agencies. Diese Struktur stammt aus der Zeit des New Deal. Der Gedanke war, bestimmte Bundesbehörden mit fachlich unabhängigen Kommissaren zu besetzen, die über eine einzelne Amtszeit hinaus wirken und nicht bei jedem Regierungswechsel ausgetauscht werden. Bei der FTC hat sich eingespielt, dass die Mehrheitspartei drei und die Minderheitspartei zwei der fünf Kommissare stellt und jede Ernennung der Zustimmung des Senats bedarf. Der gesetzliche Schutz vor Entlassung, die Entlassung nur aus wichtigem Grund, sollte diese Unabhängigkeit sichern. Genau diesen Schutz hatte der Supreme Court 1935 in Humphrey's Executor (295 U.S. 602) für verfassungsgemäß erklärt.

Mit Trump v. Slaughter hat der Supreme Court diese Linie aufgegeben. In der von Chief Justice Roberts verfassten Mehrheitsentscheidung heißt es, Art. II der US-Verfassung, der die vollziehende Gewalt beim Präsidenten verortet, verlange, dass der Präsident die ihm unterstellten Amtsträger der Exekutive auch entlassen könne. Ein gesetzlicher Entlassungsschutz für die FTC-Kommissare greife in diese Befugnis ein und sei deshalb verfassungswidrig. Die Entscheidung ist Ausdruck der Lehre vom einheitlichen Präsidialamt, wonach die Exekutive dem gewählten und politisch verantwortlichen Präsidenten zugeordnet bleiben muss.

Für die datenschutzrechtliche Einordnung sind zwei Präzisierungen wichtig. Erstens betrifft die Entscheidung allein das Entlassungsrecht. Sie sagt nichts darüber, dass der Präsident die Behörde nach Belieben mit eigenen Leuten besetzen könnte. Die Ernennung der Kommissare bleibt an die Zustimmung des Senats gebunden. Aktuell sind von den fünf Sitzen der FTC nur zwei besetzt, beide mit den Republikanern zuzurechnenden Kommissaren, und die Behörde bezeichnet sich weiterhin als voll arbeitsfähig. Zweitens hat der Supreme Court die Frage, ob auch die Amtsträger von Spruchkörpern und untergeordnete Amtsträger einen Entlassungsschutz genießen dürfen, ausdrücklich offengelassen und die dazu bestehenden Ausnahmen der bisherigen Rechtsprechung nicht angetastet. Auf diesen Punkt kommt es unten noch entscheidend an.

2. Das Data Privacy Framework und die Rolle der FTC

Die Europäische Kommission kann nach Art. 45 DSGVO feststellen, dass ein Drittland ein angemessenes Schutzniveau für personenbezogene Daten bietet. Liegt eine solche Angemessenheitsentscheidung vor, sind Datenübermittlungen dorthin ohne zusätzliche Garantien zulässig. Für die USA hat die Kommission dreimal einen solchen Beschluss gefasst. Die ersten beiden, Safe Harbor und das Privacy Shield, hat der Europäische Gerichtshof in den Verfahren Schrems I (C-362/14) und Schrems II (C-311/18) für ungültig erklärt. Der aktuelle, dritte Beschluss ist der Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework.

Bei der Beurteilung nach Art. 45 Abs. 2 DSGVO hat die Kommission auch die FTC gewürdigt und sie als unabhängige Aufsichtsbehörde eingeordnet. Um zu verstehen, was die aktuelle Entscheidung des Supreme Court für den Angemessenheitsbeschluss bedeutet, muss man eine Unterscheidung treffen, die in der Debatte oft untergeht. Der Angemessenheitsbeschluss ruht auf zwei getrennten Säulen.

Die erste Säule ist die kommerzielle Dimension. Sie betrifft die Pflichten der zertifizierten Unternehmen, die aus der EU Daten empfangen, und die Aufsicht über diese Pflichten in den USA. Für diese Aufsicht ist unter anderem die FTC zuständig, gestützt auf Section 5 des FTC Act. Daneben gibt es weitere Vollzugsbehörden, etwa das US-Verkehrsministerium für den Transportsektor.

Die zweite Säule ist der Zugriff staatlicher Stellen, insbesondere der Nachrichtendienste, auf übermittelte Daten. Hier geht es um die Begrenzung dieses Zugriffs und um den Rechtsschutz betroffener Personen aus der EU. Dieser Rechtsschutz beruht auf der Executive Order 14086 aus dem Jahr 2022 und einer Verordnung des US-Justizministeriums, die den Data Protection Review Court (DPRC) geschaffen haben. Genau diese zweite Säule stand in Schrems I und Schrems II im Mittelpunkt. Beide Urteile drehten sich um das US-Überwachungsrecht und die Wirksamkeit des Rechtsschutzes, nicht um die kommerzielle Aufsicht.

Diese Zweiteilung ist der Schlüssel für die weitere Bewertung. Trump v. Slaughter betrifft die FTC. Die FTC hatte aber nie eine Zuständigkeit für nationale Sicherheit oder nachrichtendienstliche Datenerhebung. Was immer die Entscheidung bewirkt, sie kann unmittelbar nur die kommerzielle Säule berühren.

3. Warum die Entscheidung die Angemessenheit nicht zwingend erschüttert

Aus hier vertretener Sicht spricht viel dafür, dass Trump v. Slaughter den tragenden Pfeiler der Angemessenheit unberührt lässt. Das lässt sich in drei Schritten begründen.

Erstens bleibt der nachrichtendienstliche Rechtsschutz bestehen. Die Unabhängigkeit des DPRC beruht nicht auf einem Gesetz des Kongresses, sondern auf einer Selbstbindung der Exekutive durch die Executive Order 14086 und die Verordnung des Justizministeriums. Nach gefestigter US-Rechtsprechung ist die Exekutive an die Regeln gebunden, die sie sich selbst gibt, solange diese in Kraft sind. Trump v. Slaughter hat allein die Befugnis des Kongresses beschnitten, den Präsidenten in seinem Entlassungsrecht zu beschränken. Zur Fähigkeit der Exekutive, sich selbst zu binden, sagt die Entscheidung nichts. Hinzu kommt, dass der Supreme Court die Frage nach dem Entlassungsschutz von Spruchkörpern ausdrücklich offengelassen und die Ausnahme für untergeordnete Amtsträger nicht angetastet hat. Die Richter des DPRC, die von einem Behördenleiter ernannt werden, eine eng umgrenzte Zuständigkeit haben und nur aus wichtigem Grund entfernt werden können, fallen gerade in diese offengelassene Kategorie. Die Entscheidung trifft sie nach dem Wortlaut nicht.

Zweitens ist auch für die kommerzielle Säule nicht ausgemacht, dass die FTC ihre für die Angemessenheit erforderliche Unabhängigkeit verloren hätte. Die Entscheidung stärkt das Entlassungsrecht des Präsidenten. Sie räumt ihm aber nicht das Recht ein, die Behörde allein zu besetzen. Am Erfordernis der Zustimmung des Senats ändert sich nichts. Ob die Unabhängigkeit im Sinne von Art. 45 Abs. 2 DSGVO dadurch wirklich entfällt, ist damit keineswegs gesagt. Man sollte auch nicht vergessen, dass der Präsident direkt gewählt ist. Irgendjemand muss am Ende bestimmen, wer eine solche Behörde leitet. Die alte, über Jahrzehnte geführte Diskussion, ob man Amtsträger einsetzen darf, die anschließend gar nicht mehr entfernt werden können, hat auch unter demokratischen Gesichtspunkten zwei Seiten.

Drittens verlangt Art. 45 Abs. 2 DSGVO ohnehin eine Gesamtwürdigung der Rechtslage im Empfängerstaat, nicht die isolierte Betrachtung eines einzelnen Punktes. Wer diese Gesamtschau anlegt, wird feststellen, dass sich der Datenschutz in den USA in den letzten Jahren erheblich fortentwickelt hat. Zahlreiche Bundesstaaten haben eigene Datenschutzgesetze erlassen. Kalifornien unterhält mit der California Privacy Protection Agency eine eigene, sehr aktive Datenschutzbehörde. Es gibt eine spürbare Durchsetzungspraxis mit Verfahren und Klagen. Von einem rechtsfreien Raum kann keine Rede sein. Aus meiner Sicht wird die Reichweite von Trump v. Slaughter für die Angemessenheit deshalb überzeichnet. Die Entscheidung beantwortet eine eng umgrenzte verfassungsrechtliche Frage zum Entlassungsrecht, nicht die Frage nach dem Schutzniveau insgesamt.

Aus alledem folgt eine oft übersehene Konsequenz. Selbst wenn der Angemessenheitsbeschluss eines Tages an der kommerziellen Aufsicht scheitern sollte, blieben die Übermittlungen über Standardvertragsklauseln nach Art. 46 DSGVO möglich. Diese haben nie von einer unabhängigen Aufsicht durch die FTC abgehängt. Ihre Wirksamkeit ruht auf den vertraglichen Zusagen des Datenimporteurs, der Aufsicht durch die Datenschutzbehörde des Exporteurs und der Pflicht, Übermittlungen bei fehlender Einhaltung auszusetzen. Was Schrems II für die Standardvertragsklauseln entscheidend gemacht hat, war der staatliche Datenzugriff, und dessen Schutzmechanismus bleibt von der Entscheidung unberührt.

4. Reaktionen und laufende Verfahren

Die Reaktionen fielen unterschiedlich aus. Die Europäische Kommission hat angekündigt, mögliche Auswirkungen der Entscheidung auf die Gültigkeit des DPF im Detail zu prüfen, und darauf hingewiesen, dass sie wie bei allen Angemessenheitsentscheidungen laufend beobachtet, ob ein hohes Schutzniveau gewährleistet ist. Der Angemessenheitsbeschluss bleibt in Kraft, und zertifizierte Organisationen können sich weiter darauf berufen.

Deutlich schärfer äußerte sich die von Max Schrems geführte Organisation NOYB. Sie hat die Kommission mit einem Schreiben aufgefordert, einen geordneten Rückzug aus dem DPF einzuleiten, und angekündigt, den Beschluss erneut vor dem Europäischen Gerichtshof anzugreifen. Argumentiert wird, das DPF beziehe sich in großem Umfang auf die FTC als unabhängige Aufsichtsbehörde, sodass mit deren Unabhängigkeit die Grundlage der Angemessenheit entfalle. Dieser Position steht die oben entwickelte Unterscheidung zwischen kommerzieller Aufsicht und nachrichtendienstlichem Rechtsschutz entgegen. Dass NOYB die Gelegenheit ergreift, ist wenig überraschend, denn die grundlegende Kritik am US-System besteht seit Jahren fort.

Bemerkenswert ist auch die Entwicklung in einzelnen Mitgliedstaaten. Dänemark treibt seine digitale Souveränität voran und arbeitet in der öffentlichen Verwaltung daran, Abhängigkeiten von US-Anbietern zu verringern, unter anderem durch die Ablösung verbreiteter US-Software. Diese Bewegung ist Teil eines größeren europäischen Trends hin zu souveränen Cloud-Lösungen, auch wenn ein vollständiger Rückzug von den großen US-Anbietern auf absehbare Zeit unrealistisch bleibt.

Schließlich läuft bereits ein Verfahren, das man als Schrems-3-Konstellation bezeichnen kann, auch wenn es nicht von Schrems ausgeht. Der französische Abgeordnete Philippe Latombe hat den Angemessenheitsbeschluss unmittelbar angegriffen. Das Gericht der Europäischen Union hat die Klage mit Urteil vom 3. September 2025 (Rechtssache T-553/23) abgewiesen und den Beschluss auf Grundlage der Sach- und Rechtslage zum Zeitpunkt seines Erlasses bestätigt. Das Gericht hat unter anderem die Unabhängigkeit des DPRC und die Garantien gegen eine massenhafte Datenerhebung geprüft und für ausreichend befunden. Gegen das Urteil ist ein Rechtsmittel möglich. Wann und wie der Europäische Gerichtshof entscheiden wird, ist offen.

5. Was Unternehmen jetzt tun sollten

Für die Praxis lautet die zentrale Botschaft, dass sich unmittelbar nichts ändert. Der Angemessenheitsbeschluss gilt, Übermittlungen unter dem DPF bleiben rechtmäßig. Gleichwohl empfiehlt es sich, die eigene Transferstruktur zu überprüfen und robuster aufzustellen.

Wer sich nicht allein auf das DPF stützt, sondern Übermittlungen auf Standardvertragsklauseln nach Art. 46 DSGVO gründet, ist ohnehin verpflichtet, ein Transfer Impact Assessment durchzuführen und dabei die Rechtslage im Empfängerstaat zu würdigen. Genau in diese Prüfung gehört die aktuelle Entscheidung. Sinnvoll ist, die oben beschriebene Unterscheidung zwischen kommerzieller Aufsicht und nachrichtendienstlichem Rechtsschutz aufzunehmen, die klarstellende Funktion der FTC einzuordnen und zu dokumentieren, dass die Unabhängigkeit der Aufsicht nach hier vertretener Auffassung nicht entfallen ist. In die Gesamtwürdigung gehört auch die Beobachtung, was ein US-Empfänger in der Praxis tut. Wer etwa auf seiner Webseite Angaben macht, die den Grundsätzen des DPF widersprechen, riskiert nicht nur ein Verfahren der FTC, sondern je nach Konstellation auch Verfahren einzelstaatlicher Behörden oder der Attorneys General wegen verbraucherschutzwidrigen Verhaltens.

Neben den Standardvertragsklauseln bestehen weitere Übermittlungswege. In Betracht kommen die Ausnahmen des Art. 49 DSGVO, verbindliche interne Datenschutzvorschriften und, als zusätzliche Verteidigungslinie, eine Zertifizierung als Transfermechanismus. Keiner dieser Wege ist ein Allheilmittel, aber sie erweitern den Spielraum, falls das DPF eines Tages entfällt.

Schließlich lohnt ein nüchterner Blick auf die eigene Abhängigkeit. Die Debatte um Angemessenheitsbeschlüsse ist stark handels- und wirtschaftspolitisch geprägt. Aus meiner Sicht sollte man deshalb nicht nur die rechtliche, sondern auch die politische Entwicklung des transatlantischen Verhältnisses mitverfolgen. Unternehmen, die tief im US-Ökosystem stehen, haben ein anderes Risikoprofil als solche, die diese Abhängigkeit nicht in gleichem Maße haben. Für Letztere kann es sinnvoll sein, zumindest einen Plan B auszuarbeiten oder Alternativen zu prüfen, damit ein etwaiger Schock durch ein künftiges Urteil des Europäischen Gerichtshofs überschaubar bleibt. Die Erfahrung mit dem Privacy Shield zeigt, dass selbst nach einem Urteil des Gerichtshofs der Datenfluss nicht von heute auf morgen abgestellt wird. Man wird Übergangslösungen suchen, und die politische Komponente wird erneut eine Rolle spielen.

FAQ

Ist das Data Privacy Framework nach Trump v. Slaughter noch gültig? Ja. Der Durchführungsbeschluss (EU) 2023/1795 bleibt in Kraft. Zertifizierte Unternehmen können sich weiterhin darauf berufen, solange die Europäische Kommission oder der Europäische Gerichtshof nichts anderes entscheiden.

Müssen wir unsere US-Datentransfers jetzt stoppen? Nein. Es besteht kein akuter Handlungszwang. Sinnvoll ist, die bestehende Transferstruktur zu prüfen, die Transfer Impact Assessments zu aktualisieren und die weitere Entwicklung zu beobachten.

Hat der Supreme Court entschieden, dass die FTC nicht mehr unabhängig ist? Nein. Entschieden ist allein, dass der gesetzliche Schutz der Kommissare vor einer Entlassung durch den Präsidenten verfassungswidrig ist. Die Ernennung neuer Kommissare bleibt an die Zustimmung des Senats gebunden. Ob die für die Angemessenheit erforderliche Unabhängigkeit dadurch entfällt, ist offen und nach hier vertretener Auffassung nicht zwingend.

Welche Rolle spielt die FTC im DPF überhaupt? Die FTC ist eine der Aufsichtsbehörden für die kommerzielle Säule, also für die Einhaltung der DPF-Grundsätze durch zertifizierte Unternehmen. Für den Rechtsschutz gegen den Zugriff der Nachrichtendienste, der in Schrems I und Schrems II im Mittelpunkt stand, ist sie nicht zuständig. Dieser Rechtsschutz beruht auf der Executive Order 14086 und dem Data Protection Review Court.

Was passiert, wenn das DPF später doch für ungültig erklärt wird? Dann bleiben andere Übermittlungswege. Standardvertragsklauseln nach Art. 46 DSGVO hängen nicht von der FTC ab und stützen sich auf den nachrichtendienstlichen Rechtsschutz, den das Gericht der Europäischen Union in der Sache Latombe bestätigt hat. Daneben kommen die Ausnahmen des Art. 49 DSGVO, verbindliche interne Datenschutzvorschriften und eine Zertifizierung in Betracht.

Sollten wir Alternativen zu US-Anbietern prüfen? Das hängt vom Risikoprofil ab. Wer stark von US-Diensten abhängt, sollte zumindest analysieren, welche Abhängigkeiten bestehen und welche Alternativen praktisch in Frage kämen, damit ein etwaiges künftiges Urteil des Europäischen Gerichtshofs nicht unvorbereitet trifft.