Trump v. Slaughter: US Supreme Court kippt FTC-Unabhängigkeit — was das jetzt für Ihre Datenübermittlungen in die USA bedeutet

Das Urteil: Was der Supreme Court entschieden hat

Am 29. Juni 2026 entschied der US Supreme Court in Trump v. Slaughter (No. 25-332) mit einer 6:3-Mehrheit entlang ideologischer Linien: Die Schutzklausel im FTC Act, die FTC-Kommissare nur bei nachgewiesenem Fehlverhalten — „inefficiency, neglect of duty, or malfeasance in office" — absetzbar macht, ist verfassungswidrig.

Der Ausgangspunkt: Präsident Trump hatte im März 2025 die demokratischen FTC-Kommissare Rebecca Slaughter und Alvaro Bedoya per Brief entlassen — ohne Angabe eines gesetzlichen Grundes. Die Begründung: ihre „Tätigkeit sei mit den Prioritäten der Trump-Regierung nicht vereinbar." Slaughter klagte. Das Bezirksgericht gab ihr recht. Der Supreme Court hob das Urteil auf.

Chief Justice Roberts schrieb die Mehrheitsmeinung und stützte sie auf die sog. „Unitary Executive Theory": Die Verfassung legt die gesamte exekutive Gewalt beim Präsidenten. Wer Aufgaben der Exekutive wahrnimmt, ist daher dem Präsidenten weisungsgebunden und von ihm abberufbar. Die FTC — die Regeln setzt, Verfahren führt und Sanktionen verhängt — übe zweifellos exekutive Gewalt aus und müsse deshalb der Kontrolle des Präsidenten unterliegen.

„The President may remove his subordinates at will. The FTC unquestionably exercises executive power, and must therefore be controlled by the Chief Executive."
— Chief Justice John Roberts, Mehrheitsmeinung

Damit wurde Humphrey's Executor v. United States (1935) — ein 91 Jahre alter Präzedenzfall, der die institutionelle Unabhängigkeit von Regulierungsbehörden wie der FTC verfassungsrechtlich abgesichert hatte — vollständig aufgehoben.

Wichtige Einschränkung: Am selben Tag entschied der Supreme Court in Trump v. Cook, dass die Mitglieder des Federal Reserve Board nicht ohne weiteres absetzbar sind — wegen der überragenden wirtschaftlichen Bedeutung der Fed. Die FTC hingegen genießt diesen Sonderstatus nicht.

Warum das DPF davon direkt betroffen ist

Das EU-US Data Privacy Framework beruht auf einem Adäquanzbeschluss der EU-Kommission aus dem Jahr 2023. Darin bescheinigt die Kommission, dass die USA ein im Wesentlichen gleichwertiges Datenschutzniveau bieten — und begründet das unter anderem mit der Unabhängigkeit der FTC als Durchsetzungsbehörde.

Die Zahlen sind eindeutig: noyb hat gezählt, dass die EU-Kommission in ihrem Adäquanzbeschluss die FTC 259-mal erwähnt. Die Unabhängigkeit der FTC ist nicht ein Randaspekt des DPF — sie ist eine seiner Kernbegründungen.

Dazu kommt: Auch das Privacy and Civil Liberties Oversight Board (PCLOB), das als unabhängiges Kontrollorgan für nachrichtendienstliche Tätigkeiten im DPF eine zentrale Rolle spielt, ist nach der Logik des Supreme Court ebenso politisch kontrollierbar. Trump hatte PCLOB-Mitglieder bereits Anfang 2025 entlassen. Nach Trump v. Slaughter wäre eine Klage dagegen aussichtslos.

Der EU-rechtliche Maßstab für Adäquanz verlangt ein „im Wesentlichen gleichwertiges" Schutzniveau — das schließt nach ständiger EuGH-Rechtsprechung (Schrems I, Schrems II) eine effektive und unabhängige Aufsicht ein. Genau diese Unabhängigkeit hat der Supreme Court für die FTC für verfassungswidrig erklärt.

Was die europäischen Datenschutzbehörden sagen

Schweden (IMY): Bereitschaft für den Wegfall des Adäquanzbeschlusses

Die schwedische Datenschutzbehörde IMY veröffentlichte am 3. Juli 2026 eine Stellungnahme. Generaldirektor Eric Leijonram formulierte dabei erstaunlich klartextorientiert:

„Es gibt noch einen gültigen Adäquanzbeschluss für die USA. In dieser Situation ist es jedoch wichtig, dass Organisationen informiert bleiben und vorbereitet sind für den Fall, dass der Adäquanzbeschluss künftig aufgehoben wird. Generell sollten Organisationen immer auf geänderte Bedingungen vorbereitet sein — und etwa in der Lage sein, ihre Daten von Anbietern zurückzuholen." — Eric Leijonram, Generaldirektor IMY (Übersetzung aus dem Schwedischen)

Die IMY nimmt am EDPB teil und hat die Analyse der Urteilsfolgen an den EDPB delegiert. Die IMY betont: Der EDPB hat wiederholt die Bedeutung unabhängiger Aufsichtsmechanismen als Voraussetzung für ein gleichwertiges Datenschutzniveau unterstrichen.

Dänemark (Datatilsynet): Transfer Impact Assessment jetzt aktualisieren

Die dänische Datenschutzbehörde Datatilsynet geht einen konkreteren Schritt und richtete sich am 1. Juli 2026 direkt an die verantwortlichen Stellen. Die Kernbotschaft ist klar und enthält eine unmittelbare Handlungsaufforderung:

• Der Adäquanzbeschluss gilt formal fort — solange ihn weder die EU-Kommission zurückzieht noch der EuGH aufhebt.
• Das Urteil des Supreme Court kann aber auch Übermittlungen auf anderen Rechtsgrundlagen betreffen — insbesondere Standardvertragsklauseln (SCCs).
• Verantwortliche Stellen sollten ihre Länderbeurteilung in der Transfer Impact Assessment (TIA) jetzt neu überprüfen — insbesondere hinsichtlich der Frage, ob die Voraussetzungen für eine unabhängige Behördenprüfung unter den gewählten Übermittlungsvoraussetzungen noch gegeben sind.
• Dies sei außerdem eine gute Gelegenheit, die eigenen Exit-Strategien zu überprüfen — für den Fall, dass ein Rückzug aus US-Diensten notwendig werden sollte.

EDPB: Analyse läuft — aber er hat sich früher klar positioniert

Der Europäische Datenschutzausschuss (EDPB) hat nach dem Urteil die Analyse aufgenommen und ist in engem Kontakt mit der EU-Kommission. Ein formelles Statement steht noch aus.

Relevant ist aber, was der EDPB bereits zuvor festgestellt hat: In früheren Stellungnahmen hat er betont, dass die Unabhängigkeit von Aufsichtsmechanismen eine tragende Voraussetzung für ein im Wesentlichen gleichwertiges Schutzniveau ist. Diese Position wird durch das Urteil nicht gestärkt.

Parallel hat noyb (Max Schrems) der EU-Kommission bereits eine formale Aufforderung zur geordneten Rücknahme des Adäquanzbeschlusses zugestellt und eine Klage vor dem EuGH angekündigt. Sollte es zu einem Schrems-III-Urteil kommen, würden Unternehmen, die keine aktualisierte TIA und keine Notfallplanung vorweisen können, unmittelbar im Fokus stehen.

Was bedeutet das konkret — für jede Rechtsgrundlage

Übermittlung auf Basis des EU-US Data Privacy Framework (DPF)

Das DPF ist formal weiter anwendbar. Es gibt keinen unmittelbaren Verbotstatbestand. Der Adäquanzbeschluss besteht fort, bis er zurückgezogen oder durch den EuGH aufgehoben wird.

Was sich ändert: Das Risiko eines Wegfalls ist erheblich gestiegen. Wer das DPF als Rechtsgrundlage nutzt, sollte das Szenario eines abrupten Wegfalls — wie nach Schrems I und Schrems II — ernst nehmen und einen Notfallplan haben. Konkret: Was passiert mit Ihren Daten bei AWS, Google Cloud, Microsoft Azure, Salesforce, HubSpot, wenn morgen früh kein DPF mehr gilt?

Standardvertragsklauseln (SCCs)

Dieser Punkt wird häufig unterschätzt: Der Datatilsynet weist ausdrücklich darauf hin, dass das Urteil auch SCC-basierte Transfers betreffen kann.

Warum? Weil Standardvertragsklauseln allein nicht ausreichen — sie müssen durch eine Transfer Impact Assessment (TIA) ergänzt werden, die das Schutzniveau im Empfängerland bewertet. Ein zentrales Element dieser Bewertung für die USA war bislang: Es gibt effektive Aufsicht durch unabhängige Behörden (FTC, PCLOB). Genau diese Prämisse ist durch das Supreme Court-Urteil erschüttert.

Eine TIA, die noch auf der FTC-Unabhängigkeit beruht, ist inhaltlich überholt. Das ist kein formales Argument — das ist eine inhaltliche Fehlbewertung des Empfängerlands, die bei einer Aufsichtsbehörde nicht standhalten wird.

Binding Corporate Rules (BCRs)

BCRs sind stärker auf die eigene Unternehmensorganisation zugeschnitten — aber auch hier fließt die Bewertung des nationalen Rechtsrahmens ein. BCRs, die Transfers in die USA abdecken, sollten ebenfalls auf die Aktualität ihrer Risikobewertung geprüft werden.

Ausnahmen nach Art. 49 DSGVO

Art. 49 DSGVO erlaubt Einzelfallübermittlungen in Drittstaaten ohne Adäquanzbeschluss — z.B. für die Erfüllung eines Vertrags mit dem Betroffenen oder für lebenswichtige Interessen. Diese Ausnahmen sind eng gefasst und erlauben kein strukturelles Offshore von EU-Daten. Sie sind kein Ersatz für ein tragfähiges Übermittlungskonzept.

Die nüchterne Einschätzung: Was hat sich wirklich verändert?

Es gibt zwei Positionen, die derzeit im Markt kursieren — und beide sind in ihrer Reinform falsch.

Position A: „Das DPF ist tot, alle USA-Transfers sind rechtswidrig." Das ist falsch. Der Adäquanzbeschluss existiert. Er ist formell wirksam. Solange weder die Kommission ihn zurückzieht noch der EuGH ihn aufhebt, sind DPF-basierte Transfers rechtlich zulässig.

Position B: „Das Urteil betrifft uns nicht, wir machen weiter wie bisher." Das ist ebenfalls falsch — und gefährlicher, weil es suggeriert, es gebe nichts zu tun.

Die nüchterne Wahrheit liegt dazwischen: Das Urteil hat eine strukturelle Inkongruenz zwischen US-Verfassungsrecht und den Anforderungen des EU-Datenschutzrechts an ein äquivalentes Schutzniveau geschaffen. Diese Inkongruenz wird früher oder später durch EU-Institutionen adressiert werden — durch Rücknahme des Adäquanzbeschlusses, durch ein EuGH-Urteil oder durch eine verhandelte Nachfolgelösung. Wer für dieses Szenario heute keine Vorkehrungen trifft, handelt fahrlässig.

Was Sie jetzt konkret tun sollten

Die folgenden Schritte sind keine theoretischen Empfehlungen — sie sind das, was der Datatilsynet und die IMY implizit oder explizit fordern:

1. Datenmapping: Wo fließen USA-Daten?

Erstellen oder aktualisieren Sie Ihr Verarbeitungsverzeichnis unter dem Gesichtspunkt: Welche Verarbeitungen übermitteln personenbezogene Daten in die USA? Welcher Dienstleister? Welche Rechtsgrundlage? Das ist die Basis für alle weiteren Schritte.

2. TIA aktualisieren

Überprüfen Sie jede Transfer Impact Assessment für USA-Transfers. Kernfrage: Stützt sich Ihre TIA auf die Unabhängigkeit der FTC oder des PCLOB? Falls ja: Diese Annahme ist durch das Supreme Court-Urteil hinfällig und muss neu bewertet werden. Eine neue TIA muss die veränderte Rechtslage — fehlende verfassungsrechtliche Garantie der FTC-Unabhängigkeit, PCLOB-Risiko — realistisch abbilden.

3. Exit-Strategie entwickeln

Was passiert, wenn das DPF fällt? Haben Sie technisch die Möglichkeit, Daten von US-Dienstleistern zurückzuholen? Gibt es EU-basierte Alternativen für Ihre kritischen Dienste (Cloud, E-Mail, CRM, Analytics)? Das ist keine Übung in Panikmache — das ist seriöse Notfallplanung, die der IMY-Generaldirektor explizit einfordert.

4. Verträge mit US-Auftragsverarbeitern überprüfen

Enthält Ihr Auftragsverarbeitungsvertrag (AVV) mit US-Dienstleistern eine Klausel zur Reaktion auf einen Wegfall der Rechtsgrundlage? Können Sie auf Abruf auf ein EU-Datacenter wechseln? Haben Sie ein Recht auf Datenlöschung nach Vertragsende?

5. Dokumentieren

Halten Sie in Ihrer internen Compliance-Dokumentation fest, dass Sie das Urteil zur Kenntnis genommen, es bewertet und auf Basis dieser Bewertung Maßnahmen ergriffen haben. Das ist Art. 5 Abs. 2 DSGVO — Rechenschaftspflicht in der Praxis.

Meine Einschätzung

Das Urteil des US Supreme Court in Trump v. Slaughter ist kein Paukenschlag, der sofortige Handlungspflichten auslöst — aber es ist auch kein Anlass zur Entspannung. Es ist ein weiteres Kapitel in einer langen Geschichte transatlantischer Datenschutzspannungen, die mit Safe Harbor begann, über Privacy Shield führte und nun beim DPF angelangt ist.

Die Geschichte lehrt: Wer jedes Mal wartet, bis das EuGH-Urteil gesprochen hat, steht hinterher unter erheblichem Druck und hat keine Zeit mehr, geordnet zu reagieren. Die Behörden — IMY, Datatilsynet, und perspektivisch der EDPB — machen jetzt deutlich, dass sie von Unternehmen Vorausplanung erwarten, nicht Abwarten.

Das DPF ist heute gültig. Ob es in zwei Jahren noch gilt, ist ungewiss — und diese Ungewissheit muss in Ihrer Compliance-Dokumentation und Ihrer TIA abgebildet sein.