Contact

US Supreme Court kippt FTC-Unabhängigkeit: Rechtsgrundlage des EU-US Data Privacy Framework weiter erschüttert

Der US Supreme Court hat am 29. Juni 2026 im Verfahren Trump v. Slaughter mit 6:3-Mehrheit entschieden, dass die gesetzlichen Abberufungsschutzregelungen für Kommissare der Federal Trade Commission (FTC) gegen die verfassungsmäßige Gewaltenteilung verstoßen. Die FTC ist damit keine unabhängige Behörde mehr, sondern der Weisungsbefugnis des US-Präsidenten unterworfen. Da die EU-Kommission die Unabhängigkeit der FTC als tragende Voraussetzung für den Angemessenheitsbeschluss zum EU-US Data Privacy Framework anführt, stellt sich erneut die Frage nach dessen Fortbestand. Für Unternehmen im DACH-Raum, die personenbezogene Daten in die USA übermitteln, entsteht dadurch zusätzlicher Prüfbedarf.
Background
Anlass des Verfahrens war die Entlassung der FTC-Kommissarin Rebecca Slaughter durch Präsident Trump im März 2025, ohne dass einer der im FTC Act vorgesehenen Gründe – Ineffizienz, Pflichtverletzung oder Amtsvergehen – vorlag. Slaughter klagte auf Wiedereinsetzung und berief sich auf die seit 1935 geltende Entscheidung Humphrey’s Executor v. United States, in der der Supreme Court die Unabhängigkeit der FTC von Weisungen des Präsidenten ausdrücklich bestätigt hatte. Der Supreme Court hob das Urteil der Vorinstanz nun auf und erklärte die Abberufungsschutzregelung für verfassungswidrig. Tragende Begründung ist die sogenannte „Unitary Executive Theory“: Die Exekutivgewalt liege ungeteilt beim Präsidenten, sodass Behörden, die exekutive Aufgaben wahrnehmen, dessen Kontrolle unterliegen müssen. Damit ist die frühere Trennlinie zwischen unabhängigen Regulierungsbehörden und dem Weisungsrecht des Präsidenten für die FTC aufgehoben. Die Entscheidung dürfte über die FTC hinaus Ausstrahlungswirkung auf weitere US-Behörden mit vergleichbaren Unabhängigkeitsregelungen entfalten.
Rechtliche und datenschutzrechtliche Einordnung (EU/DSGVO)
Nach EU-Recht ist die Unabhängigkeit der Aufsicht über personenbezogene Daten keine bloße Verwaltungsfrage, sondern primärrechtlich verankert – in Art. 16 Abs. 2 AEUV und Art. 8 Abs. 3 der EU-Grundrechtecharta. Drittstaaten müssen dieses Schutzniveau spiegeln, damit die EU-Kommission ihnen ein „angemessenes Datenschutzniveau“ bescheinigen kann. Im Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023, der das EU-US Data Privacy Framework trägt, wird die FTC durchgängig als unabhängige Aufsichts- und Durchsetzungsinstanz beschrieben. Nach dem Urteil des Supreme Court trifft diese Beschreibung jetzt aber faktisch nicht mehr zu.

Dementsprechend hat die Organisation noyb um Max Schrems der EU-Kommission bereits ein Schreiben zugestellt und fordert die geordnete Rücknahme des Angemessenheitsbeschlusses; eine Klage vor dem Europäischen Gerichtshof wird angekündigt. Rechtlich bleibt der Beschluss allerdings zunächst noch in Kraft. Der EuGH hat im Schrems-II-Urteil klargestellt, dass ein Angemessenheitsbeschluss so lange gilt, bis ihn die Kommission aufhebt oder der EuGH ihn für nichtig erklärt. Ebenfalls aus Schrems II ergibt sich jedoch die Pflicht der nationalen Aufsichtsbehörden, ein solches Urteil bei der Bewertung konkreter Datenübermittlungen zu berücksichtigen. Betroffen sind infolgedessen aber nicht nur Übermittlungen auf Basis des Angemessenheitsbeschlusses selbst: Auch Unternehmen, die Standardvertragsklauseln (SCC) oder Binding Corporate Rules (BCR) nutzen, müssen im Rahmen ihrer Transfer Impact Assessments regelmäßig auf die Unabhängigkeit US-amerikanischer Aufsichts- und Kontrollinstanzen – etwa PCLOB oder Data Protection Review Court – abstellen. Auch diese Bewertungsgrundlage ist durch das Urteil massiv erschüttert.
Risk Assessment for Organizations
Für Unternehmen im DACH-Raum folgen aus dem Urteil zwar keine unmittelbare Rechtswidrigkeit bestehender Datenübermittlungen, wohl aber eine belastbare Unsicherheit, die im Rahmen der Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO dokumentiert und bewertet werden muss. Wer sich bislang allein auf die Zertifizierung im Rahmen des Data Privacy Framework verlassen hat, sollte davon ausgehen, dass diese Übermittlungsgrundlage nochmals angreifbar geworden ist und wegzufallen droht – sei es durch eine Aufhebung durch die Kommission selbst oder durch eine spätere Nichtigerklärung durch den EuGH. Eine solche Entscheidung ist erfahrungsgemäß zwar nicht kurzfristig zu erwarten; noyb selbst rechnet mit zwei bis drei Jahren bis zu einer Entscheidung. Das bedeutet jedoch keine Entwarnung, sondern eine Übergangsphase, in der Aufsichtsbehörden zunehmend kritischer auf Datentransfers in die USA blicken dürften. Aber eben auch Unternehmen, die überwiegend auf SCC oder BCR setzen, sind ebenfalls betroffen, da ihre Transfer Impact Assessments auf denselben Prämissen zur behördlichen Unabhängigkeit beruhen, die nun durch das Urteil infrage gestellt sind. Besonders relevant ist dies für Unternehmen mit hoher Abhängigkeit von US-Hyperscalern in sensiblen Datenverarbeitungen, etwa im Personal-, Gesundheits- oder Finanzbereich.
Recommendations for Action
Unternehmen sollten in einem ersten Schritt ihre bestehenden internationalen Datentransfers inventarisieren und prüfen, auf welcher Rechtsgrundlage – Angemessenheitsbeschluss, SCC oder BCR – die jeweilige Übermittlung tatsächlich beruht. Bei SCC- und BCR-basierten Transfers empfiehlt sich eine Aktualisierung der Transfer Impact Assessments unter Berücksichtigung der aktuellen Entscheidung. Parallel dazu sollten die Verlautbarungen des Europäischen Datenschutzausschusses (EDSA) und der nationalen Aufsichtsbehörden in den kommenden Wochen beobachtet werden, da hieraus Hinweise auf die praktische Handhabung zu erwarten sind. Sinnvoll ist zudem, unabhängig vom aktuellen Anlass, eine grundsätzliche Abhängigkeitsanalyse von US-Cloud-Diensten vorzunehmen und mögliche Alternativen oder Übergangsszenarien vorzubereiten – nicht als sofortiger Wechsel, sondern als dokumentierter Plan B für den Fall, dass sich die Rechtslage kurzfristig ändert.
Fazit
Das Urteil selbst verändert die Rechtslage für Datenübermittlungen in die USA noch nicht unmittelbar. Es entzieht jedoch einer zentralen Prämisse des EU-US Data Privacy Framework die Grundlage und dürfte die ohnehin bestehende Diskussion um digitale Abhängigkeiten von US-Anbietern neu befeuern. Für Datenschutzbeauftragte und Geschäftsführung ist dies ein Anlass, die eigene Risikobewertung zu US-Datentransfers zu aktualisieren, bevor eine Entscheidung der Kommission oder des EuGH dies zwingend erforderlich macht.

Wenn Sie die eigene Transferstruktur und die aktuelle Risikolage im Detail einordnen lassen möchten, stehen wir Ihnen gerne beratend zur Seite:
Get in Touch now
Sources
US Supreme Court: Trump v. Slaughter, No. 25-332, Entscheidung vom 29.6.2026

noyb.eu: „US Supreme Court just blew up EU-US Data Transfers“, 29.6.2026

Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.7.2023 zum EU-US Data Privacy Framework

EuGH, Urteil vom 16.7.2020, C-311/18 (Schrems II)

Reuters: „US Supreme Court backs Trump’s firing of FTC member“, 29.6.2026

More news

Phishing via a legitimate Microsoft address: Power BI abuse and GDPR obligations for companies

Since January 2026, a sophisticated phishing campaign has been active in which attackers send deceptive emails using the legitimate Microsoft sender address no-reply-powerbi@microsoft.com . This is technically possible due to a legitimate feature of Microsoft Power BI: when creating a dashboard, any external email address can be added as a subscriber, and the content of the automatically sent notification can be freely configured.

Read more…