Washington liefert neuen Gesprächsstoff für alle, die Datentransfers in die USA mitunter auf dem Data Privacy Framework aufgebaut haben: Der Fall «Trump v. Slaughter» bringt dessen Fundament ins Wanken. Ein guter Moment, das Ganze nicht nur datenschutz-, sondern auch souveränitätspolitisch einzuordnen.
Von Anna Kuhn
Vor genau zwei Jahren haben wir unter dem Titel «Make Privacy Great Again!» das Data Privacy Framework (DPF) vorgestellt. Jenes Abkommen, das Datentransfers in die USA wieder vereinfacht ermöglichen soll. Wir haben damals allerdings auch gewarnt: Die beiden Vorgänger dieses Abkommens, Safe Harbor und Privacy Shield, wurden vom Europäischen Gerichtshof für ungültig erklärt. Nicht auszuschliessen, dass es dem DPF gleich ergeht.
Diesmal kommt der Stoss allerdings nicht aus Luxemburg, sondern direkt aus Washington. Das DPF wackelt wegen eines Entscheids des Supreme Court der USA mit einem Namen, der wie gemacht ist für Schlagzeilen: Trump v. Slaughter.
Der Fall: Wenn der Präsident aufräumt
Die Geschichte beginnt damit, dass Donald Trump 2025 zwei demokratische Mitglieder der Federal Trade Commission (FTC) kurzerhand entliess – darunter Commissioner Rebecca Kelly Slaughter. Das Problem: US-Gesetze schützen FTC-Kommissionsmitglieder eigentlich vor einer Entlassung ohne triftigen Grund («for cause»). Eine unliebsame politische Haltung reicht nicht.
Slaughter klagte und am 29. Juni 2026 fällte der Supreme Court das finale Urteil (108 Seiten Urteil gibt es hier). Das Ergebnis, mit 6 zu 3 Stimmen entlang der bekannten Parteilinien: Der Präsident darf FTC-Kommissionsmitglieder jederzeit und ohne besonderen Grund feuern. Damit wurde die bisherige Rechtsprechung im Fall Humphrey’s Executor – seit 1935 die verfassungsrechtliche Grundlage für die Unabhängigkeit von Behörden wie der FTC – aufgehoben. Eine der abweichenden Richterinnen, Ketanji Brown Jackson, warnte eindrücklich vor einem Präsidenten, der künftig Mitglieder von unabhängigen Kommissionen (z.B. Wissenschaftlerinnen oder Ökonomen) ersetzt mit «loyalists and people who don’t know anything about the agency’s expertise» (mehr Details liefert abc NEWS).
Starker Tobak für ein Gerichtsurteil. Aber was, fragt man sich zu Recht, hat das mit unserem Datenschutz zu tun?
Die FTC als Wachhund des Data Privacy Frameworks
Das EU-U.S. wie auch das Swiss-U.S. DPF steht und fällt damit, dass US-Unternehmen, die sich selbst zertifizieren, danach von einer unabhängigen Aufsichtsbehörde kontrolliert werden. Diese Rolle übernimmt die FTC. Sie spielt also nicht irgendeine Nebenfigur, sondern ist entscheidend für den Entscheid der EU-Kommission (und in der Folge des Schweizer Bundesrats), den USA überhaupt ein «angemessenes Schutzniveau» zu attestieren (Medienmitteilung des Bundesrats hier).
Max Schrems und seine Organisation «noyb» (kurz für: «none of your business») – ein Wiederholungstäter in Sachen Datenschutzabkommen-Versenkung (Safe Harbor 2015, Privacy Shield 2020) – rechnen vor, dass der EU-Angemessenheitsbeschluss an rund 259 Stellen auf genau diese FTC-Unabhängigkeit verweist. Nach Trump v. Slaughter ist diese Unabhängigkeit allerdings Geschichte.
noyb hat die EU-Kommission bereits am 30. Juni 2026 schriftlich aufgefordert, das DPF aufzuheben – mit dem fast schon konzilianten Wunsch nach einem «geordneten Ausstieg» statt einem erneuten harten Schnitt durch ein Gerichtsurteil (zum noyb-Schreiben). Bleibt die Kommission untätig, droht dann aber doch eine Klage vor dem Europäischen Gerichtshof (EuGH).
Auch der Europäische Datenschutzausschuss (EDPB) reagierte: Mit Brief vom 31. Juli 2026 forderte er die EU-Kommission auf, die Auswirkungen des Urteils «sorgfältig zu prüfen». EDPB-Chefin Anu Talus erinnerte daran, dass unabhängige Aufsichtsbehörden «eines der Schlüsselelemente» jeder Angemessenheitsprüfung seien. Es gibt zwar auch gelassenere Stimmen – etwa die ehemalige FTC-Datenschutzchefin Maneesha Mithal, die darauf hinweist, dass sich die FTC in der Praxis (noch) nicht von ihren Durchsetzungsversprechen zurückgezogen habe (mehr dazu hier). Aber «noch nicht» ist kein Begriff, auf den man sein Compliance-Programm bauen möchte.
Formell gilt das Framework – faktisch ist die Party vorbei
Die nüchterne Wahrheit mit Stand heute: Weder das EU-U.S. noch das Swiss-U.S. DPF wurden aufgehoben. Rechtlich gilt beides unverändert weiter. Aber die Risikolage hat sich spürbar verschoben. Bereits in zwei bis drei Jahren könnte ein neues EuGH-Urteil zum EU-U.S. DPF vorliegen. Bis dahin bewegen sich alle, die auf das DPF setzen, in einer Grauzone: formell sauber, faktisch mit einem Damoklesschwert über dem Kopf, das schon zweimal heruntergesaust ist.
Die nüchterne Wahrheit mit Stand heute: Weder das EU-U.S. noch das Swiss-U.S. DPF wurden aufgehoben. Rechtlich gilt beides unverändert weiter. Aber die Risikolage hat sich spürbar verschoben. Bereits in zwei bis drei Jahren könnte ein neues EuGH-Urteil zum EU-U.S. DPF vorliegen. Bis dahin bewegen sich alle, die auf das DPF setzen, in einer Grauzone: formell sauber, faktisch mit einem Damoklesschwert über dem Kopf, das schon zweimal heruntergesaust ist.
Der öffentliche Sektor: Vorsicht ist doppelt geboten
Für öffentliche Organe ist in diesem Moment der Rechtsunsicherheit besondere Vorsicht geboten. Bei der Auslagerung von Personendaten an US-amerikanische Unternehmen werden in der Praxis meist auch die Standarddatenschutzklauseln der EU-Kommission (SCC) vereinbart, die grds. auch als gesetzlich vorgesehene Grundlage für Datentransfers in Staaten ohne äquivalentes Datenschutzniveau – so z.B. die USA – dienen. Dies jedoch mit dem Vorbehalt, dass für Datentransfers aus der Schweiz die Anpassungen des EDÖB erforderlich sind (Achtung: im kantonalen Recht gilt nicht derselbe Mechanismus!). Weiter verlangen die SCC, dass die Datenexporteure zusätzliche Risikoanalysen durchführen müssen (sog. «Transfer Impact Assessment», kurz TIA), um zu prüfen, ob die Rechtslage oder Praxis im Emfpängerstaat die Schutzgarantien der Standarddatenschutzklauseln untergraben können. Die Klauseln basieren also auf einem risikobasierten Ansatz, dessen Gültigkeit für den öffentlichen Sektor zumindest umstritten ist.
Aus diesem Grund war in der Praxis oft der Tenor, sich doppelt zu schützen und nebst den SCC auch auf das DPF abzustellen. Zudem ist die FTC und ihre Funktionsweise ebenfalls Teil des TIA beim Abschluss der SCC. Hier beisst sich die Katze also in den Schwanz und es lässt sich nicht schönreden, dass Datentransfers in die USA durch öffentliche Organe aktuell mit viel Rechtsunsicherheit verbunden sind.
Es kann sich daher lohnen, bereits jetzt folgende Schritte zu unternehmen:
- Ein Inventar aller Datentransfers in die USA, die sich auf das DPF stützen, erstellen.
- Bestehende Verträge auf Auffanglösungen hin überprüfen.
- Die Entwicklungen in Brüssel, in der Schweiz und in Washington verfolgen (und dazu unseren Newsletter PUBLIC SECTOR DETECTOR lesen :-))
- Eine Strategie zum Thema digitale Souveränität diskutieren und entwickeln (mehr dazu im nächsten Abschnitt)
Die grössere Frage: digitale Souveränität
Nebst dem Datenschutz hat der Fall Trump v. Slaughter sodann eine andere Dimension: Die Diskussion um die digitale Souveränität erhält vor dem Hintergrund des Gerichtsentscheids nochmals ein neues Gewicht. Der Fall zeigt auch, dass die Stossrichtung der Bundesverwaltung in diesem Thema wohl die richtige ist: Nachdem die Bundeskanzlei die «Weisung für die digitale Souveränität in der Bundesverwaltung» verabschiedet hat, gibt es mit dem Projekt BOSS nun auch bereits einen ersten Anwendungsfall. Konkret läuft derzeit ein Proof of Concept für eine Open-Source-Büroautomation in der Bundesverwaltung (siehe u.a bei Inside IT.)
Die Erfahrung zeigt, dass sich ein wachsames Auge in Sachen Datentransfers in die USA lohnt. Auch ist die aktuelle Rechtsunsicherheit ein weiterer Grund dafür, das Thema der digitalen Souveränität weiter zu verfolgen. Auch aus Erfahrung wagen wir sodann die Prognose, dass wir über beide Themen an dieser Stelle wohl nicht zum letzten Mal geschrieben haben.
Blogposts direkt in die Inbox erhalten? HIER können Sie sich für unseren Newsletter anmelden.
Bild: Yasmin Dwiputri auf Better Images of AI
