Der DPF ist angezählt

RDi: Was hat der Supreme Court genau entschieden?

Schantz: Das Urteil (29.6. 2026 – 25/332, Anm. d. Red) ist eine Grundsatzentscheidung zur amerikanischen Gewaltenteilung: Präsident Trump durfte die Kommissarin der Federal Trade Commission (FTC), Rebecca Slaughter, ohne Grund entlassen. Der Kongress hatte vorgesehen, dass FTC-Mitglieder nur wegen Pflichtvernachlässigung, Unfähigkeit oder Amtsmissbrauchs entlassen werden dürfen. Nach Ansicht des Supreme Court verstößt dies gegen die US-Verfassung: Der Präsident vollziehe die Gesetze und müsse daher grundsätzlich Amtsträger entlassen können.

RDi: Worin liegt die Bedeutung des Urteils für die Datenübertragung in die USA?

Schantz: Das Urteil ist wegen der zentralen Stellung der FTC im EU-US Data Privacy Framework (DPF) bedeutsam. Der DPF ist Grundlage des Angemessenheitsbeschlusses der Kommission, der Übermittlungen an US-Unternehmen erlaubt, die sich zur Einhaltung seiner Grundsätze verpflichten. Diese Selbstverpflichtung muss eine unabhängige Behörde durchsetzen; das ergibt sich schon aus Art. 45 II Buchst. b DS-GVO. Zuständig ist meist die FTC. Der EuGH stellt hohe Anforderungen an die Unabhängigkeit, nicht nur an Aufsichtsbehörden in der EU: Auch die Ombudsperson des Privacy Shield, einem Rechtsschutzmechanismus gegen Überwachungsmaßnahmen, hielt er nicht für unabhängig, weil sie nicht durch besondere Garantien gegen Abberufung geschützt war. Zudem hat Präsident Trump die FTC mit einer Executive Order von 2025 an die „kurze Leine“ gelegt: Sie muss wesentliche Entscheidungen dem Weißen Haus vorlegen und der Rechtsauffassung des Präsidenten und des Attorney General folgen. Zusammen genommen ist die FTC damit wohl nicht mehr unabhängig.

RDi: Kurz nach seinem Amtsantritt hatte Trump auch die drei demokratischen Mitglieder des „Privacy and Civil Liberties Oversight Board (PCLOB)“ entlassen, einem Gremium, das eine zentrale Rolle für die Abwehr nachrichtendienstlicher Zugriffe spielt. Welche Rolle spielt das für den transatlantischen Datenverkehr?

Schantz: Nach ihrer Entlassung ist das PCLOB mangels Quorums beschlussunfähig und kann keine Berichte verabschieden. Diese sind für die Kommission eine wichtige Quelle, um zu beurteilen, ob die US-Regierung ihre Zusagen nach dem DPF einhält und ob der Rechtsschutz durch den Data Protection Review Court (DPRC) funktioniert. Ohne sie kann die Kommission ihrer Monitoringpflicht nur schwer nachkommen. 

RDi: Wie geht es mit dem DPF weiter?

Schantz: Der DPF bleibt in Kraft, bis die Kommission den Angemessenheitsbeschluss aussetzt oder aufhebt – oder der EuGH ihn für ungültig erklärt. Nach einer Entscheidung des EuGH hat die Kommission bei der Beurteilung der Angemessenheit kein politisches Ermessen. Sie muss daher handeln. Tut sie es nicht, können Rat, Europäisches Parlament oder ein Mitgliedstaat Untätigkeitsklage erheben. Zudem liegt dem EuGH das Rechtsmittel von Philippe Latombe gegen das Urteil des EuG (ZD 2026, 32) vor. Hält er die Klage für zulässig und bleibt bei seiner strengen Linie, spricht viel dafür, dass er den DPF aufhebt, weil die Befugnisse der US-Nachrichtendienste noch immer zu weit reichen und der Rechtsschutz dagegen unzureichend ist. So könnte Präsident Trump den DPRC mit einem Federstrich abschaffen, weil er auf keinem Gesetz beruht. Zudem erhält jeder Beschwerdeführer dieselbe formelhafte Antwort – wie in einem Roman von Kafka. Eine Klage einer betroffenen Person zum EuGH dauert Jahre. Schneller ginge es, wenn eine Aufsichtsbehörde nach § 21 BDSG das BVerwG anruft, das die Frage dem EuGH vorlegen muss.

RDi: Was können Unternehmen jetzt tun?

Schantz: Nicht in Panik geraten, aber vorsorgen. Geeignete Garantien wie Standardvertragsklauseln verlangen eine Übermittlungsfolgenabschätzung. Ein positives Ergebnis lässt sich angesichts der Befugnisse der US-Nachrichtendienste schwer begründen. Auch Verschlüsselung stößt an Grenzen, wenn Daten in den USA im Klartext verarbeitet werden sollen. Daher wird sich der Blick stärker auf eine Verarbeitung in der EU durch Anbieter richten müssen, die nicht zur Herausgabe an US-Behörden verpflichtet sind. Datenschutz, Resilienz und digitale Souveränität weisen in dieselbe Richtung. Das Urteil des Supreme Court kann diese Entwicklung beschleunigen. 

Interview: Susanne Reinemann