Experteneinschätzung: Droht das Aus für das Data Privacy Framework?
Langenhagen, 28.07.2026 (PresseBox) - Die Entscheidung des US Supreme Court in der Rechtssache Trump vs. Slaughter könnte erhebliche Auswirkungen auf den transatlantischen Datentransfer haben. Nach Einschätzung von Michael Engelke, Datenschutzmanager & Berater für Datenschutz und KI-Compliance bei AirITSystems stellt das Urteil eine zentrale Voraussetzung des Data Privacy Frameworks (DPF) infrage. Unternehmen sollten die Entwicklung aufmerksam verfolgen, akuter Handlungsbedarf besteht derzeit jedoch nicht.
Data Privacy Framework unter Druck: Was das aktuelle US-Urteil für Unternehmen bedeutet
Das Data Privacy Framework (DPF) bildet als Nachfolger von Safe Harbor und Privacy Shield die aktuelle Rechtsgrundlage für den transatlantischen Datentransfer zwischen EU und USA. Es ermöglicht Unternehmen, personenbezogene Daten rechtssicher an in den USA ansässige Dienstleister zu übermitteln. Für die Nutzung großer Cloud-Plattformen wie AWS, Google Cloud, Microsoft oder Salesforce ist das DPF damit ein zentraler Compliance-Baustein: Nur auf Basis dieser (bzw. gleichwertiger) Rechtsmechanismen dürfen Kundendaten dort gespeichert und verarbeitet werden. Die Entscheidung des US Supreme Court vom 29.06.2026 in der Rechtssache Trump vs. Slaughter (No. 25-332) wird potenziell dazu führen, dass das transatlantische Datentransferabkommen in naher Zukunft eine wesentliche Einschränkung erfahren könnte.
Aktuelle Rechtsprechung in den USA: Der Fall Trump vs. Slaughter
Voraussetzung für den rechtskonformen Datenaustausch zwischen den USA und der EU, ist der sog. Angemessenheitsbeschluss der EU-Kommission nach Art. 45 EU-DSGVO dar. Dieser setzt voraus, dass ein Drittland ein Datenschutzniveau gewährleistet, das dem der EU im Wesentlichen gleichwertig ist. Nach Art. 16 AEUV sowie Art. 8 Abs. 3 der EU-Grundrechtecharta muss die Einhaltung des Datenschutzes dabei von einer unabhängigen Behörde überwacht werden.
Die EU-Kommission stützt den Angemessenheitsbeschluss für die USA unter anderem auf die unabhängige Kontrollfunktion der Federal Trade Commission (FTC).
Genau diese Unabhängigkeit stellt der US Supreme Court im Urteil Trump vs. Slaughter infrage: Nach Auffassung des Gerichts ist die gesetzlich verankerte Unabhängigkeit der FTC verfassungswidrig, sodass der Präsident der USA ihr gegenüber weisungsbefugt ist. Damit könnte eine wesentliche Grundlage des Data Privacy Frameworks (DPF) entfallen.
Was bedeutet diese Entwicklung nun konkret?
„Unternehmen sollten jetzt nicht in Aktionismus verfallen", erklärt Michael Engelke. „Das Data Privacy Framework gilt weiterhin. Dennoch ist es sinnvoll, sich frühzeitig mit alternativen Szenarien auseinanderzusetzen." Der Angemessenheitsbeschluss für die USA in Form des DPF war seit seinem Inkrafttreten nicht unumstritten, gab aber allen Beteiligten das Gefühl von rechtlicher Sicherheit. Insofern war zu erwarten, dass dieses Szenario in nicht allzu ferner Zukunft am Horizont auftauchen könnte.
In der Vergangenheit gab es dieses Szenario bereits zweimal: bei Safe Harbour und bei Privacy Shield, den Vorgängern des Data Privacy Frameworks. Beide Male war der Wegfall des Angemessenheitsbeschlusses nicht das Ende des transatlantischen Datenaustauschs und auch ein dritter Wegfall des Angemessenheitsbeschlusses für die USA wird nicht das Ende bedeuten. „Selbst wenn das DPF künftig wegfallen sollte, bedeutet das nicht das Ende der Nutzung von US-Cloud-Diensten. Wie schon nach Safe Harbor und Privacy Shield wird es alternative Rechtsgrundlagen geben – allerdings mit höherem Dokumentationsaufwand." Nach Einschätzung von Engelke sollten Unternehmen die verbleibende Zeit nutzen, um ihre Datenschutzstrategie zu überprüfen und mögliche Alternativen frühzeitig zu bewerten.
Wichtig ist, dass übereilte Reaktionen auf dieses Urteil zu vermeiden sind. Ein überstürztes Kündigen sämtlicher Verträge mit Microsoft, AWS, Google, etc. oder ein ebenso überstürztes Abschalten der Server ist nicht erforderlich, da der Angemessenheitsbeschluss der EU-Kommission auch mit dem Urteil des Supreme Courts formal weiterhin Gültigkeit hat, bis die EU-Kommission ihn aufhebt oder der Europäische Gerichtshof (EuGH) diesen kippt.
Dies geschieht nicht in von heute auf morgen, die juristischen Zahnräder haben sich jedoch bereits angefangen zu drehen: Das Gericht der Europäischen Union (EuG) hat im September 2025 die Klage des französischen Abgeordneten Philippe Latombe gegen den Angemessenheitsbeschluss der EU-Kommission abgewiesen. Das entsprechende Rechtsmittel zum EuGH läuft seit Oktober 2025. Solche Verfahren dauern üblicherweise drei bis fünf Jahre. So lange hat man Zeit, um zu erwägen, ob es langfristig sinnvoller wäre EU-Dienste den etablierten US-Diensten vorzuziehen, wobei auch hier in die Erwägung mit einbezogen werden sollte, dass der EuGH in der Vergangenheit stets eine Risikoabwägung im Einzelfall und ergänzende Maßnahmen gefordert hat und kein Pauschalverbot ausgesprochen hat, welches in der Regel auch rechtswidrig wäre, da es unverhältnismäßig wäre.
Was Unternehmen jetzt beachten sollten:
- Keine vorschnellen Verträge kündigen.
- Entwicklung des Data Privacy Frameworks beobachten.
- Datenschutzdokumentation aktuell halten.
- Cloud-Strategie und mögliche Alternativen bewerten.
- Risikoanalyse regelmäßig überprüfen.
