Sign in Subscribe
GRC

Aufforderung der EDSA an die EU-Kommission: Was das FTC-Urteil für das Data Privacy Framework bedeutet

Aufforderung der EDSA an die EU-Kommission: Was das FTC-Urteil für das Data Privacy Framework bedeutet
Photo by Jason Dent / Unsplash

Der Europäische Datenschutzausschuss (EDSA) hat die EU-Kommission am 31. Juli 2026 formell aufgefordert, die Auswirkungen des US-Supreme-Court-Urteils Trump v. Slaughter auf den Angemessenheitsbeschluss für die USA zu prüfen. Der Ton des Schreibens ist diplomatisch, der Inhalt hat es in sich: Die Unabhängigkeit der Federal Trade Commission war eine tragende Annahme des EU-US Data Privacy Framework, und genau diese Annahme hat der Supreme Court kassiert.

Das Urteil

Am 29. Juni 2026 entschied der US Supreme Court in Trump v. Slaughter (No. 25-332), dass die gesetzlichen Kündigungsschranken für die Kommissare der FTC mit der Gewaltenteilung der US-Verfassung unvereinbar sind. Damit hob das Gericht Humphrey's Executor v. United States (1935) auf, das seit neun Jahrzehnten die Grundlage für unabhängige US-Bundesbehörden bildete.

Ausgangspunkt war die Abberufung der demokratischen FTC-Kommissarin Rebecca Kelly Slaughter durch Präsident Trump im März 2025. Slaughter berief sich auf den FTC Act von 1914, der eine Entlassung nur aus wichtigem Grund zulässt („inefficiency, neglect of duty, or malfeasance in office"). Der Supreme Court folgte der Unitary-Executive-Doktrin: Die FTC übe unzweifelhaft exekutive Gewalt aus und müsse daher der Aufsicht des Präsidenten unterstehen, einschließlich der Befugnis zur Abberufung.

Warum das den bestehenden Angemessenheitsbeschluss trifft

EDSA-Vorsitzende Anu Talus argumentiert in ihrem Schreiben an Justizkommissar Michael McGrath entlang von Art. 45 Abs. 2 lit. b DSGVO: Bestehen und wirksames Funktionieren unabhängiger Aufsichtsbehörden im Drittland gehören zu den Schlüsselelementen jeder Angemessenheitsprüfung. Sie sind Voraussetzung dafür, dass Betroffene im EWR praktisch ein im Wesentlichen gleichwertiges Schutzniveau erhalten und dass die Zusammenarbeit mit den mitgliedstaatlichen Aufsichtsbehörden funktioniert.

Der Durchführungsbeschluss (EU) 2023/1795 verweist in den Erwägungsgründen 58 bis 60 ausdrücklich auf die Unabhängigkeit der FTC und darauf, dass ihre fünf Kommissare nur aus wichtigem Grund abberufen werden können. Genau diese Passagen sind nach dem Urteil überholt. noyb hat gezählt, dass der Angemessenheitsbeschluss die FTC als unabhängige Aufsichtsinstanz mehr als 250 Mal in Bezug nimmt.

Dahinter steht ein struktureller Konflikt: Art. 16 Abs. 2 AEUV und Art. 8 Abs. 3 GRC verlangen für den Datenschutz eine Überwachung durch unabhängige Stellen. Die US-Verfassungsauslegung des Supreme Court verlangt das Gegenteil, nämlich präsidentielle Kontrolle über alle Exekutivorgane. Diese Unvereinbarkeit lässt sich auf Ebene des Angemessenheitsbeschlusses nicht ohne Weiteres reparieren.

Der EDSA formuliert konkret: Die Kommission möge eingehend prüfen, ob die Entwicklung das Funktionieren des Durchführungsbeschlusses (EU) 2023/1795 berührt, und den Ausschuss zeitnah weiter informieren.

Was jetzt gilt und was nicht

Rechtlich ändert sich vorerst nichts. Der Angemessenheitsbeschluss bleibt in Kraft, bis die Kommission ihn aussetzt, ändert oder aufhebt oder bis der EuGH ihn für ungültig erklärt. DPF-zertifizierte US-Organisationen dürfen weiterhin auf dieser Grundlage Daten empfangen.

Auch ist die Bewertung des Urteils fachlich nicht einhellig. Die Kritik trifft primär die kommerzielle Säule des DPF, also die Durchsetzung der Privacy-Prinzipien durch die FTC. Für den zweiten Strang, die Beschränkungen des behördlichen Zugriffs nach Executive Order 14086 samt Data Protection Review Court, wird teils argumentiert, dass Trump v. Slaughter nichts an der bereits geprüften Rechtsschutzarchitektur ändert. Die Executive Order 14086 ist unverändert in Kraft. Die EFDPO weist darauf hin, dass die Kommission bei Erlass des DPF ein ganzes Bündel rechtlicher, institutioneller und prozeduraler Garantien bewertet hat und der FTC-Status nur eine davon war.

Offen und aus DSB-Sicht heikler ist die Übertragbarkeit auf das Privacy and Civil Liberties Oversight Board (PCLOB), das im Rechtsschutzmechanismus eine tragende Rolle spielt und dessen demokratische Mitglieder ebenfalls abberufen wurden. Sollte die Logik des Urteils auch dort greifen, wäre die zweite Säule des DPF betroffen.

Auch der Zeithorizont spricht gegen schnelle Klärung: Der Fall Latombe wurde vom EuG 2025 abgewiesen, ein Rechtsmittelverfahren beim EuGH sowie neue Verfahren aus dem Aktivistenumfeld würden realistisch erst 2029 oder 2030 entschieden. Die turnusmäßige Überprüfung des DPF durch die Kommission ist für Ende 2027 angesetzt.

Praktische Konsequenzen für Datenschutzbeauftragte

Wer Drittlandtransfers ausschließlich auf den Angemessenheitsbeschluss stützt und kein dokumentiertes Ausweichszenario hat, hat ein Rechenschaftsproblem nach Art. 5 Abs. 2 DSGVO. Sinnvolle Schritte in den nächsten Wochen:

  • Bestandsaufnahme: Welche Verarbeitungstätigkeiten stützen sich im Verzeichnis nach Art. 30 tatsächlich auf das DPF, und bei welchen Auftragsverarbeitern ist die DPF-Zertifizierung die einzige Transfergrundlage?
  • Vertragsprüfung: Enthalten die Auftragsverarbeitungsverträge eine automatische Rückfalloption auf Standardvertragsklauseln, oder müsste nachverhandelt werden?
  • Transfer Impact Assessments aktualisieren, insbesondere dort, wo die Bewertung auf der Unabhängigkeit von FTC, PCLOB oder DPRC aufbaut. Bei einem Wegfall des DPF tragen die zusätzlichen Maßnahmen nach Art. 46 die gesamte Last.
  • Verschlüsselung und Schlüsselhoheit realistisch bewerten. Der CLOUD Act greift unabhängig vom Speicherort, Serverstandort EU allein ist keine Maßnahme.
  • Beobachtungsposition festlegen: Reaktion der Kommission auf das EDSA-Schreiben, mögliche Verfahren nach Abschnitt 7 des Angemessenheitsbeschlusses, Entwicklungen rund um das PCLOB.

Einordnung

Es ist das dritte Mal binnen elf Jahren, dass die Grundlage transatlantischer Datentransfers ins Wanken gerät. Safe Harbor fiel 2015, der Privacy Shield 2020, und beim DPF ist der Auslöser diesmal kein europäisches Gericht, sondern eine innerstaatliche US-Verfassungsentscheidung, auf die die EU keinen Einfluss hat. Das ist der eigentliche Befund: Ein Angemessenheitsbeschluss, der auf präsidiale Anordnungen und die institutionelle Ausgestaltung fremder Behörden gebaut ist, bleibt strukturell fragil.

Für Organisationen, die Datenschutz nicht nur als Compliance-Übung betreiben, verschiebt das die Kosten-Nutzen-Rechnung bei der Auswahl von Dienstleistern spürbar. Die Frage, welche Verarbeitungen tatsächlich einen Transfer in die USA erfordern und welche auch europäisch abbildbar wären, gehört unabhängig vom Ausgang dieser Diskussion auf die Tagesordnung.

Quellen

Read next