US-Datenschutz unter Druck: Wackelt das Data Privacy Framework? | HÄRTING Rechtsanwälte

Ein Urteil des US Supreme Court rüttelt an einer bislang wenig beachteten Säule des transatlantischen Datenschutzes: der Unabhängigkeit der Federal Trade Commission. Der EDPB fordert deshalb eine Überprüfung des EU-U.S. Data Privacy Framework. Für Unternehmen bedeutet das noch keinen Stopp von Datentransfers in die USA – wohl aber einen guten Grund, bestehende Transferstrukturen und einen möglichen Plan B jetzt zu überprüfen. Auch die Schweiz ist betroffen.

7. September 2026

Ein US-Urteil mit Folgen für europäische Daten

Auf den ersten Blick hat Trump v. Slaughter wenig mit europäischem Datenschutz zu tun. Der US Supreme Court entschied am 29. Juni 2026 über die Befugnis des US-Präsidenten, Mitglieder der Federal Trade Commission abzuberufen. Konkret ging es um FTC-Kommissarin Rebecca Slaughter, die ohne einen der gesetzlich vorgesehenen Abberufungsgründe aus dem Amt entfernt worden war. Der Supreme Court erklärte die gesetzliche Beschränkung der präsidialen Abberufungsmacht für unvereinbar mit der US-Verfassung. Die FTC übe umfangreiche Regelsetzungs-, Vollzugs- und Entscheidungsbefugnisse und damit Exekutivgewalt aus; ihre Mitglieder müssten deshalb der Kontrolle des Präsidenten unterstehen. Damit gab das Gericht die bislang auf Humphrey’s Executor v. United States aus dem Jahr 1935 beruhende besondere Abberufungssicherung der FTC-Kommissare auf.

Datenschutzrechtlich brisant wird das Urteil aufgrund einer Verbindung, die ausserhalb von Fachkreisen kaum sichtbar ist: Die FTC ist eine zentrale Durchsetzungsbehörde des EU-U.S. Data Privacy Framework (DPF). Genau deshalb wandte sich die Vorsitzende des EDPB, Anu Talus, am 31. Juli 2026 an die Europäische Kommission. Der EDPB verlangt keine sofortige Aufhebung des DPF, fordert die Kommission aber ausdrücklich auf, zu prüfen, ob Trump v. Slaughter die Funktionsweise des Angemessenheitsbeschlusses beeinträchtigt.

Warum die Unabhängigkeit der FTC so wichtig ist

Nach Art. 45 Abs. 2 lit. b DSGVO gehört das wirksame Funktionieren unabhängiger Aufsichtsbehörden zu den Kriterien, anhand derer die Europäische Kommission beurteilt, ob ein Drittstaat ein im Wesentlichen gleichwertiges Datenschutzniveau gewährleistet. Das Vorhandensein und die wirksamen Funktionsweisen unabhängiger Aufsichtsbehörden ist damit ein ausdrücklich in Art. 45 Abs. 2 lit. b DSGVO genanntes Kriterium der Angemessenheitsprüfung.

Besonders relevant ist, dass der Angemessenheitsbeschluss zum EU-U.S. DPF diese Frage ausdrücklich behandelt. In den Erwägungsgründen 58 bis 60 bezeichnet die Kommission die FTC als unabhängige Behörde und verweist dabei unter anderem darauf, dass ihre fünf Kommissare für sieben Jahre bestellt seien und vom Präsidenten nur wegen «inefficiency, neglect of duty, or malfeasance in office» abberufen werden könnten. Genau diese gesetzliche Abberufungssicherung hat der Supreme Court nun für verfassungswidrig erklärt.

Das bedeutet allerdings nicht automatisch, dass die FTC aus europäischer Sicht nun zwingend als «unabhängig» ausscheidet oder das DPF ungültig geworden ist. Die Angemessenheit wird anhand des Schutzniveaus des Gesamtsystems bewertet. Das Urteil beseitigt aber eine konkrete Garantie, auf die sich die Kommission bei ihrer ursprünglichen Beurteilung ausdrücklich gestützt hatte. Genau deshalb ist eine Neubewertung rechtlich erheblich.

Ist das EU-U.S. Data Privacy Framework jetzt unwirksam?

Nein. Das DPF ist durch das Urteil des US Supreme Court nicht automatisch ausser Kraft getreten. Auch das Schreiben des EDPB hebt den Angemessenheitsbeschluss nicht auf. Auf Grundlage des weiterhin geltenden Beschlusses können personenbezogene Daten grundsätzlich weiterhin an in den USA nach dem DPF zertifizierte Unternehmen übermittelt werden.

Die nächste entscheidende Frage liegt bei der Europäischen Kommission. Art. 45 Abs. 4 DSGVO verpflichtet sie, Entwicklungen in Drittstaaten, die einen Angemessenheitsbeschluss beeinflussen können, fortlaufend zu beobachten. Gelangt die Kommission zu dem Ergebnis, dass ein angemessenes Schutzniveau nicht mehr gewährleistet ist, hat sie den Angemessenheitsbeschluss nach Art. 45 Abs. 5 DSGVO im erforderlichen Umfang aufzuheben, zu ändern oder auszusetzen

Das DPF steht ohnehin bereits vor dem EuGH

Hinzu kommt eine zweite rechtliche Baustelle. Das Gericht der Europäischen Union wies im September 2025 die Klage von Philippe Latombe gegen den DPF-Angemessenheitsbeschluss ab und bestätigte, dass die USA zum Zeitpunkt des Erlasses des Beschlusses ein angemessenes Schutzniveau gewährleisteten. Gegen dieses Urteil wurde jedoch Rechtsmittel beim Europäischen Gerichtshof eingelegt; das Verfahren C-703/25 P ist weiterhin anhängig. Noch im Juni 2026 erging in diesem Verfahren eine Entscheidung über die Zulassung Microsofts als Streithelferin.

Gerade die zeitliche Formulierung des erstinstanzlichen Urteils ist jetzt bedeutsam: Eine gerichtliche Bestätigung der Angemessenheit im Zeitpunkt des Erlasses beantwortet nicht automatisch die Frage, ob spätere Änderungen des US-Rechts das Schutzniveau beeinflussen. Trump v. Slaughter schafft daher einen eigenständigen neuen Prüfungsgegenstand.

Auch das Swiss-U.S. Data Privacy Framework ist betroffen

Für Schweizer Unternehmen ist die Entwicklung keineswegs nur ein EU-Thema. Der Bundesrat erkannte 2024 für Übermittlungen an zertifizierte US-Unternehmen ein angemessenes Datenschutzniveau nach dem Swiss-U.S. DPF an. Auch nach schweizerischem Recht gehört das wirksame Funktionieren unabhängiger Datenschutzbehörden gemäss Art. 8 DSV ausdrücklich zu den Kriterien der Angemessenheitsprüfung.

Noch deutlicher wird die Parallele in der Angemessenheitsbeurteilung des Bundesamts für Justiz vom 30. April 2024. Dort wird ausdrücklich festgehalten, die FTC-Kommissare könnten während ihrer siebenjährigen Amtszeit «nur aus wichtigen Gründen» vom Präsidenten abberufen werden. Auf dieser Grundlage qualifizierte das Bundesamt FTC und Department of Transportation als unabhängige Kontrollbehörden mit hinreichenden Befugnissen und Kompetenzen.

Trump v. Slaughter verändert damit auch eine tatsächliche Prämisse der schweizerischen Beurteilung. Das EDPB-Schreiben selbst entfaltet in der Schweiz zwar keine unmittelbare Rechtswirkung. Die dahinterstehende Frage stellt sich jedoch nahezu identisch: Kann die FTC nach Wegfall der Abberufungssicherung weiterhin in einem für die Angemessenheitsprüfung ausreichenden Mass als unabhängige Kontrollbehörde angesehen werden?

Was Unternehmen jetzt tun sollten

Für CEOs, Legal Counsel, Datenschutzverantwortliche und CISOs besteht derzeit kein Anlass, sämtliche US-Datentransfers vorsorglich zu stoppen. Ebenso wenig wäre es sinnvoll, das DPF bereits als gescheitert zu behandeln. Die aktuelle Entwicklung sollte aber zum Anlass genommen werden, die eigene Abhängigkeit von einer einzelnen Transfergrundlage zu überprüfen.

Unternehmen sollten insbesondere ihre US-Datenflüsse und deren Rechtsgrundlagen aktuell dokumentiert halten, die DPF-Zertifizierung ihrer US-Empfänger regelmässig kontrollieren und vertraglich sicherstellen, dass Änderungen oder der Verlust einer Zertifizierung unverzüglich mitgeteilt werden. Bei geschäftskritischen Transfers empfiehlt sich zudem, bereits heute zu klären, ob Standardvertragsklauseln beziehungsweise – für die Schweiz – anerkannte Standarddatenschutzklauseln als alternative Transfergrundlage eingesetzt werden könnten. Eine solche Alternative sollte nicht nur auf dem Papier vorhanden sein: Falls das DPF tatsächlich ausgesetzt oder aufgehoben würde, müssten auch die dann geltende Rechtslage im Drittstaat und gegebenenfalls zusätzliche technische oder organisatorische Schutzmassnahmen neu beurteilt werden.

Besonders sensible oder umfangreiche Transfers verdienen dabei Priorität. Wo technisch und wirtschaftlich sinnvoll, können Datenminimierung, wirksame Verschlüsselung, Pseudonymisierung oder eine Verarbeitung innerhalb Europas das regulatorische Risiko zusätzlich reduzieren. Ziel sollte nicht sein, auf eine Entscheidung aus Brüssel oder Bern zu spekulieren, sondern die eigene Transferarchitektur so auszugestalten, dass ein Wechsel der Rechtsgrundlage operativ beherrschbar bleibt.

Fazit: Noch steht das Framework – seine Statik wird aber neu geprüft

Trump v. Slaughter hat das EU-U.S. Data Privacy Framework nicht zu Fall gebracht. Das Urteil trifft jedoch eine institutionelle Garantie, die sowohl die Europäische Kommission als auch das Schweizer Bundesamt für Justiz ausdrücklich in ihre Angemessenheitsbewertungen einbezogen hatten. Der EDPB hat deshalb zu Recht eine erneute Prüfung durch die Kommission angestossen.

Für Unternehmen lautet die wichtigste Botschaft daher: Das DPF kann derzeit weiter genutzt werden, darf aber nicht mit dauerhafter Rechtssicherheit verwechselt werden. Wer US-Datentransfers frühzeitig inventarisiert, alternative Transfermechanismen vorbereitet und die weitere Entwicklung in Brüssel, Luxemburg, Washington und Bern verfolgt, ist auf eine mögliche Änderung wesentlich besser vorbereitet als Unternehmen, die erst nach einer Aufhebung reagieren.

Quellen