Das EU-US Data Privacy Framework sollte Unternehmen nach Jahren der Unsicherheit wieder eine verlässlichere Grundlage für Datenübermittlungen in die USA geben. Seit dem 10.07.2023 können personenbezogene Daten grundsätzlich an US-Unternehmen übermittelt werden, wenn diese nach dem Framework zertifiziert sind.
Mit der Entscheidung des U.S. Supreme Court vom 29.06.2026 in Trump v. Slaughter (Az. 25–332) ist diese Datenbrücke jedoch erneut unter Druck geraten. Das Urteil betrifft zwar unmittelbar die Entlassung von Mitgliedern der Federal Trade Commission, kurz FTC. Gerade diese Behörde spielt aber eine wichtige Rolle bei der Kontrolle von US-Unternehmen, die sich unter dem Data Privacy Framework zertifizieren lassen.
Für Webseitenbetreiber, Online-Shops, Agenturen und andere Unternehmen stellt sich deshalb die praktische Frage, ob US-Tools weiterhin genutzt werden dürfen und welche Vorbereitungen jetzt sinnvoll sind. Die wichtigste Antwort vorab: Das EU-US Data Privacy Framework gilt weiterhin. Trotzdem sollten bestehende Datentransfers überprüft und Alternativen vorbereitet werden.
Warum das EU-US Data Privacy Framework wichtig ist
Die DSGVO verlangt bei Übermittlungen personenbezogener Daten in ein Drittland besondere Sicherungen. Die USA gelten aus Sicht der EU nicht automatisch als sicherer Datenempfänger. Deshalb ist ein Angemessenheitsbeschluss nach Art. 45 DSGVO so bedeutsam: Er stellt fest, dass ein Drittland oder ein bestimmter Rahmen ein angemessenes Datenschutzniveau gewährleistet.
Für die USA besteht seit dem 10.07.2023 ein solcher Angemessenheitsbeschluss in Form des EU-US Data Privacy Framework. Er knüpft nicht pauschal an alle US-Unternehmen an. Er gilt nur für US-Organisationen, die am Framework teilnehmen und sich über ein Selbstzertifizierungsverfahren beim U.S. Department of Commerce zertifizieren lassen.
Für europäische Unternehmen bedeutet das eine erhebliche Erleichterung. Wird ein zertifizierter US-Dienstleister eingesetzt und ist die konkrete Datenübermittlung von der Zertifizierung umfasst, kann die Übermittlung grundsätzlich auf den Angemessenheitsbeschluss gestützt werden. Vor dem Data Privacy Framework mussten Unternehmen häufig Standardvertragsklauseln abschließen und zusätzlich ein Transfer Impact Assessment durchführen, also eine eigene Bewertung des Schutzniveaus im Empfängerland.
Der Hintergrund dieser strengen Anforderungen liegt in der Vorgeschichte. Frühere transatlantische Datenschutzregelungen wurden 2015 und 2020 vom Europäischen Gerichtshof für ungültig erklärt. Grund waren insbesondere Bedenken gegenüber Zugriffsmöglichkeiten von US-Behörden und fehlende ausreichende Rechtsschutzmöglichkeiten für betroffene Personen aus der EU. Das aktuelle Framework ist deshalb bereits der dritte Versuch, einen tragfähigen Rahmen für Datenflüsse zwischen EU und USA zu schaffen.
Was der U.S. Supreme Court in Trump v. Slaughter entschieden hat
Der U.S. Supreme Court hat am 29.06.2026 in Trump v. Slaughter (Az. 25–332) über die Entlassung hochrangiger Mitglieder der FTC entschieden. Nach der Faktenbasis ging es darum, ob der US-Präsident solche Mitglieder auch ohne die bislang gesetzlich vorgesehenen Entlassungsgründe abberufen darf.
Das Gericht entschied mit einer Mehrheit von 6 zu 3 Stimmen, dass die gesetzliche Beschränkung der präsidialen Entlassungsbefugnis gegen den verfassungsrechtlichen Gewaltenteilungsgrundsatz verstößt. Grundlage der Entscheidung ist die sogenannte Unitary Executive Theory. Danach muss der US-Präsident grundsätzlich Kontrolle über Bundesbehörden ausüben können, die Exekutivgewalt wahrnehmen.
Die FTC übt nach der in der Faktenbasis dargestellten Entscheidung exekutive Gewalt aus. Sie vollzieht Bundesgesetze, erlässt verbindliche Vorgaben, führt Untersuchungen durch und erhebt Zivilklagen im Namen der Vereinigten Staaten. Deshalb kann der Präsident nach dieser Entscheidung Mitglieder der FTC grundsätzlich auch ohne einen besonderen gesetzlichen Grund entlassen.
Damit wurde ein über Jahrzehnte tragendes Rechtsprinzip zur Unabhängigkeit bestimmter US-Bundesbehörden erheblich geschwächt. In der Faktenbasis wird dies als Aufhebung beziehungsweise Verdrängung des Grundsatzes aus Humphrey's Executor aus dem Jahr 1935 beschrieben. Für das Datenschutzrecht der EU ist entscheidend: Die FTC galt im Angemessenheitsbeschluss gerade als unabhängige Kontroll- und Durchsetzungsinstanz.
Warum die FTC für den Datentransfer so bedeutend ist
Die FTC ist keine Datenschutzaufsichtsbehörde nach europäischem Vorbild. Sie ist in den USA vor allem eine Wettbewerbs- und Verbraucherschutzbehörde. Sie kann aber gegen Unternehmen vorgehen, die Verbraucher täuschen, unfaire Geschäftspraktiken anwenden oder öffentlich abgegebene Datenschutzversprechen nicht einhalten.
Genau an dieser Stelle greift das Data Privacy Framework. US-Unternehmen, die sich zertifizieren lassen, verpflichten sich zur Einhaltung bestimmter Datenschutzgrundsätze. Verstößt ein Unternehmen gegen diese Verpflichtungen, kann dies nach der Faktenbasis als unfaire oder irreführende Geschäftspraxis verfolgt werden. Die FTC ist damit eine zentrale Durchsetzungsbehörde für die kommerzielle Seite des Frameworks.
Die Europäische Kommission hat ihre Angemessenheitsentscheidung maßgeblich auf diese Kontrollfunktion gestützt. In der Faktenbasis wird ausdrücklich darauf hingewiesen, dass die Kommission im Durchführungsbeschluss (EU) 2023/1795 mehrfach auf die FTC als unabhängige Behörde Bezug nimmt. Erwägungsgrund 60 beschreibt die FTC als unabhängige Behörde.
Nach Art. 16 Abs. 2 AEUV und Art. 8 Abs. 3 der EU-Grundrechtecharta muss die Einhaltung datenschutzrechtlicher Vorgaben durch eine unabhängige Stelle kontrolliert werden. Diese Anforderung prägt auch die Bewertung, ob ein Drittland ein im Wesentlichen gleichwertiges Datenschutzniveau bietet. Wird die Unabhängigkeit einer zentralen US-Durchsetzungsbehörde geschwächt, stellt sich daher die Frage, ob die tatsächlichen Grundlagen des Angemessenheitsbeschlusses noch unverändert tragen.
Gilt das EU-US Data Privacy Framework weiter?
Rechtlich bleibt die Lage zunächst eindeutig: Das EU-US Data Privacy Framework ist weiterhin in Kraft. Weder hat die Europäische Kommission den Angemessenheitsbeschluss aufgehoben, noch hat der Europäische Gerichtshof das Framework für nichtig erklärt.
Das Urteil des U.S. Supreme Court hebt den europäischen Angemessenheitsbeschluss nicht automatisch auf. Es verändert auch nicht unmittelbar die Verpflichtungen zertifizierter US-Unternehmen. Unternehmen dürfen sich daher derzeit weiterhin auf das Framework stützen, wenn der jeweilige US-Empfänger zertifiziert ist und die konkrete Verarbeitung von dieser Zertifizierung umfasst wird.
Die Unsicherheit liegt in der Zukunft. Eine Datenschutzorganisation hat die EU-Kommission nach der Faktenbasis bereits aufgefordert, den Angemessenheitsbeschluss zu überprüfen beziehungsweise zurückzunehmen. Außerdem wurde angekündigt, gerichtlich gegen das Framework vorzugehen. Solche Verfahren können längere Zeit dauern. Die Faktenbasis nennt Erfahrungswerte von mehreren Jahren.
Hinzu kommt, dass das Gericht der Europäischen Union am 3. September 2025 eine Individualnichtigkeitsklage gegen das Data Privacy Framework abgewiesen und damit die weitere Geltung des Frameworks bestätigt hat. Nach der Faktenbasis bleibt die rechtliche und politische Debatte dennoch offen, weil spätere Entwicklungen in den USA die Bewertung der Aufsichts- und Rechtsschutzmechanismen beeinflussen können.
Standardvertragsklauseln und Transfer Impact Assessment
Unternehmen sollten die Diskussion nicht nur dann verfolgen, wenn sie Datenübermittlungen unmittelbar auf das Data Privacy Framework stützen. Auch Standardvertragsklauseln, häufig SCC genannt, und Binding Corporate Rules können betroffen sein.
Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO waren vor Inkrafttreten des Data Privacy Frameworks für viele Datentransfers in die USA die wichtigste Grundlage. Sie werden regelmäßig mit einem Transfer Impact Assessment verbunden. In einem solchen Assessment bewertet das Unternehmen, ob das Recht und die Praxis im Empfängerland ein ausreichendes Schutzniveau ermöglichen oder ob zusätzliche Maßnahmen notwendig sind.
Nach der Faktenbasis stützen sich viele dieser Bewertungen auch auf US-amerikanische Kontroll- und Rechtsschutzmechanismen. Dazu zählen insbesondere der Data Protection Review Court und das Privacy and Civil Liberties Oversight Board. Die Diskussion nach Trump v. Slaughter betrifft deshalb nicht nur die FTC. Sie wirft allgemein die Frage auf, wie belastbar Schutzmechanismen sind, die innerhalb der US-Exekutive angesiedelt sind oder auf präsidialen Vorgaben beruhen.
Für Unternehmen folgt daraus kein sofortiges Verbot bestehender Übermittlungen. Es spricht aber viel dafür, vorhandene Transfer Impact Assessments auf Aktualität zu prüfen. Wenn ein Assessment ausdrücklich auf die Unabhängigkeit bestimmter US-Stellen abstellt, sollte dokumentiert werden, ob diese Annahmen nach der neuen Entscheidung noch tragfähig sind.
Webseitenbetreiber und US-Tools
Viele Unternehmen setzen US-Tools für Webseiten, Tracking, Analyse, Marketing, Kommunikation oder Cloud-Leistungen ein. Das Data Privacy Framework erleichtert den Einsatz solcher Dienste nur unter bestimmten Voraussetzungen.
Entscheidend ist zunächst, ob der jeweilige US-Dienstleister zertifiziert ist. Dabei kommt es nicht auf den Namen des einzelnen Tools an, sondern auf den Dienstanbieter beziehungsweise die Organisation, die das Tool bereitstellt. Die Zertifizierung muss außerdem die konkrete Datenübermittlung erfassen. Ist dies nicht der Fall, bleibt es grundsätzlich bei zusätzlichen geeigneten Garantien wie Standardvertragsklauseln und einem Transfer Impact Assessment.
Wichtig ist außerdem die Trennung zwischen Drittlandtransfer und Einwilligung. Das Data Privacy Framework ersetzt nicht die Einwilligung für Tracking- oder Marketing-Tools, wenn eine solche nach den einschlägigen Regeln erforderlich ist. Bei typischen Analyse- oder Werbetools müssen Nutzer weiterhin über ein Cookie-Consent-Tool entscheiden können, ob sie der entsprechenden Verarbeitung zustimmen.
Unternehmen sollten daher nicht nur auf die DPF-Zertifizierung schauen. Sie müssen auch Datenschutzerklärung, Cookie-Banner, Auftragsverarbeitungsverträge, eingesetzte Unterauftragnehmer und die tatsächlichen Datenflüsse prüfen. Gerade nach Trump v. Slaughter ist eine saubere Dokumentation wichtig, weil die Stabilität des transatlantischen Datenschutzrahmens erneut angegriffen wird.
Folgen für die Praxis
Für KMU, Solo-Selbständige und Webseitenbetreiber besteht derzeit kein akuter Handlungszwang, sämtliche US-Dienste abzuschalten. Das EU-US Data Privacy Framework gilt weiter. Wer zertifizierte US-Anbieter nutzt und die weiteren datenschutzrechtlichen Anforderungen einhält, kann sich grundsätzlich weiterhin auf den Angemessenheitsbeschluss stützen.
Gleichzeitig wäre es riskant, die Entwicklung zu ignorieren. Unternehmen sollten erfassen, welche personenbezogenen Daten in die USA übertragen werden und welche Anbieter daran beteiligt sind. Dabei geht es nicht nur um offensichtliche Tools auf der Webseite, sondern auch um Cloud-Dienste, Kommunikationslösungen, CRM-Systeme, Newsletter-Dienste, Analyse-Tools und eingebundene Unterauftragnehmer.
Bestehende Datenschutzhinweise sollten darauf überprüft werden, ob sie die genutzten US-Dienstleister und die jeweilige Übermittlungsgrundlage zutreffend beschreiben. Werden Daten auf Grundlage des Data Privacy Frameworks übertragen, sollte dokumentiert sein, dass der Empfänger zertifiziert ist und dass die konkrete Verarbeitung erfasst wird.
Nutzen Unternehmen Standardvertragsklauseln, sollten sie vorhandene Transfer Impact Assessments aktualisieren. Besonders wichtig ist dies, wenn die Bewertung auf die Unabhängigkeit der FTC oder anderer US-Kontrollmechanismen Bezug nimmt. Bereits vereinbarte Standardvertragsklauseln sollten nicht vorschnell entfernt werden. Sie können als zusätzliche vertragliche Absicherung sinnvoll bleiben.
Bei besonders sensiblen oder geschäftskritischen Verarbeitungen sollten Unternehmen prüfen, ob europäische oder datenschutzfreundlichere Alternativen in Betracht kommen. Das ist keine Pflicht zum sofortigen Anbieterwechsel. Es ist aber ein sinnvoller Bestandteil eines Notfallplans, falls das Framework später aufgehoben oder vom Europäischen Gerichtshof für ungültig erklärt werden sollte.
Häufige Fragen
Ist das EU-US Data Privacy Framework nach Trump v. Slaughter ungültig?
Nein. Das Framework gilt weiterhin, solange die Europäische Kommission den Angemessenheitsbeschluss nicht aufhebt oder der Europäische Gerichtshof ihn nicht für nichtig erklärt.
Dürfen Unternehmen weiterhin Daten an zertifizierte US-Anbieter übermitteln?
Grundsätzlich ja. Voraussetzung ist, dass der US-Anbieter nach dem Data Privacy Framework zertifiziert ist und die konkrete Datenübermittlung von dieser Zertifizierung erfasst wird.
Muss ich trotz Data Privacy Framework weiterhin eine Cookie-Einwilligung einholen?
Ja, wenn das eingesetzte Tool eine Einwilligung erfordert. Das Data Privacy Framework betrifft den Drittlandtransfer in die USA. Es ersetzt nicht die Einwilligung für Tracking-, Analyse- oder Marketing-Tools.
Sind Standardvertragsklauseln jetzt wieder zwingend?
Bei zertifizierten US-Empfängern kann die Übermittlung derzeit grundsätzlich auf den Angemessenheitsbeschluss gestützt werden. Fehlt eine Zertifizierung oder ist die konkrete Übermittlung nicht erfasst, bleiben Standardvertragsklauseln und ein Transfer Impact Assessment regelmäßig relevant.
Was sollte ich als Webseitenbetreiber jetzt zuerst prüfen?
Prüfen Sie, welche US-Dienste auf Ihrer Webseite eingesetzt werden, ob die jeweiligen Anbieter zertifiziert sind und ob Datenschutzerklärung, Cookie-Banner und Dokumentation die tatsächlichen Datenflüsse korrekt abbilden.
Fazit
Trump v. Slaughter ist kein Datenschutzurteil im engeren Sinn. Die Entscheidung des U.S. Supreme Court vom 29.06.2026 (Az. 25–332) betrifft die präsidentielle Entlassungsbefugnis gegenüber Mitgliedern der FTC. Dennoch berührt sie einen zentralen Baustein des transatlantischen Datenschutzes, weil die FTC im EU-US Data Privacy Framework als wichtige Kontroll- und Durchsetzungsinstanz erscheint.
Für Unternehmen ändert sich kurzfristig nichts daran, dass das Data Privacy Framework weiter gilt. Die rechtliche Grundlage ist aber politisch und juristisch angreifbarer geworden. Wer US-Dienste nutzt, sollte Datenflüsse, Zertifizierungen, Standardvertragsklauseln und Transfer Impact Assessments jetzt sorgfältig prüfen und dokumentieren.
Die wichtigste praktische Linie lautet daher: Keine Panik, aber auch kein Wegsehen. Unternehmen, die ihre US-Transfers kennen und alternative Handlungsoptionen vorbereitet haben, können deutlich besser reagieren, falls sich die Rechtslage erneut ändert.
Was sollten Sie tun?
Nutzen Sie US-Tools auf Ihrer Webseite, in Ihrem Online-Marketing oder in Ihrer Cloud-Infrastruktur? LEGAL SMART prüft für Sie, welche Datenübermittlungen betroffen sind, ob die genutzten Anbieter unter das Data Privacy Framework fallen und ob Ihre Datenschutzerklärung, Cookie-Einwilligungen und Transferdokumentation noch zusammenpassen.
Wenn Sie unsicher sind, ob Ihre bestehenden US-Datentransfers rechtlich belastbar dokumentiert sind, können Sie eine unverbindliche Ersteinschätzung anfragen. So schaffen Sie Klarheit, bevor eine mögliche Änderung der Rechtslage akuten Handlungsdruck erzeugt.
Dieser Beitrag gibt den Stand zum Zeitpunkt der Veröffentlichung wieder und ersetzt keine individuelle Rechtsberatung.