{"id":349420,"date":"2026-09-09T10:25:22","date_gmt":"2026-09-09T08:25:22","guid":{"rendered":"https:\/\/publicsector.ch\/?p=349420"},"modified":"2026-09-09T10:25:22","modified_gmt":"2026-09-09T08:25:22","slug":"trump-v-slaughter-mit-folgen-fuer-datenschutz-und-digitale-souveraenitaet","status":"publish","type":"post","link":"https:\/\/publicsector.ch\/en\/trump-v-slaughter-mit-folgen-fuer-datenschutz-und-digitale-souveraenitaet\/","title":{"rendered":"\u00abTrump v. Slaughter\u00bb mit Folgen f\u00fcr Datenschutz und digitale Souver\u00e4nit\u00e4t"},"content":{"rendered":"

Washington liefert neuen Gespr\u00e4chsstoff f\u00fcr alle, die Datentransfers in die USA mitunter auf dem Data Privacy Framework aufgebaut haben: Der Fall \u00abTrump v. Slaughter\u00bb bringt dessen Fundament ins Wanken. Ein guter Moment, das Ganze nicht nur datenschutz-, sondern auch souver\u00e4nit\u00e4tspolitisch einzuordnen.<\/strong><\/p>\n

Von Anna Kuhn<\/strong><\/p>\n

Vor genau zwei Jahren haben wir unter dem Titel \u00abMake Privacy Great Again!\u00bb<\/a> das Data Privacy Framework (DPF) vorgestellt. Jenes Abkommen, das Datentransfers in die USA wieder vereinfacht erm\u00f6glichen soll. Wir haben damals allerdings auch gewarnt: Die beiden Vorg\u00e4nger dieses Abkommens, Safe Harbor und Privacy Shield, wurden vom Europ\u00e4ischen Gerichtshof f\u00fcr ung\u00fcltig erkl\u00e4rt. Nicht auszuschliessen, dass es dem DPF gleich ergeht.<\/p>\n

Diesmal kommt der Stoss allerdings nicht aus Luxemburg, sondern direkt aus Washington. Das DPF wackelt wegen eines Entscheids des Supreme Court der USA mit einem Namen, der wie gemacht ist f\u00fcr Schlagzeilen: Trump v. Slaughter.<\/p>\n

 <\/p>\n

Der Fall: Wenn der Pr\u00e4sident aufr\u00e4umt<\/h4>\n

Die Geschichte beginnt damit, dass Donald Trump 2025 zwei demokratische Mitglieder der Federal Trade Commission (FTC) kurzerhand entliess \u2013 darunter Commissioner Rebecca Kelly Slaughter. Das Problem: US-Gesetze sch\u00fctzen FTC-Kommissionsmitglieder eigentlich vor einer Entlassung ohne triftigen Grund (\u00abfor cause\u00bb). Eine unliebsame politische Haltung reicht nicht.<\/p>\n

Slaughter klagte und am 29. Juni 2026 f\u00e4llte der Supreme Court das finale Urteil (108 Seiten Urteil gibt es hier<\/a>). Das Ergebnis, mit 6 zu 3 Stimmen entlang der bekannten Parteilinien: Der Pr\u00e4sident darf FTC-Kommissionsmitglieder jederzeit und ohne besonderen Grund feuern. Damit wurde die bisherige Rechtsprechung im Fall Humphrey’s Executor \u2013 seit 1935 die verfassungsrechtliche Grundlage f\u00fcr die Unabh\u00e4ngigkeit von Beh\u00f6rden wie der FTC \u2013 aufgehoben. Eine der abweichenden Richterinnen, Ketanji Brown Jackson, warnte eindr\u00fccklich vor einem Pr\u00e4sidenten, der k\u00fcnftig Mitglieder von unabh\u00e4ngigen Kommissionen (z.B. Wissenschaftlerinnen oder \u00d6konomen) ersetzt mit \u00abloyalists and people who don\u2019t know anything about the agency\u2019s expertise\u00bb (mehr Details liefert abc NEWS)<\/a>.<\/p>\n

Starker Tobak f\u00fcr ein Gerichtsurteil. Aber was, fragt man sich zu Recht, hat das mit unserem Datenschutz zu tun?<\/p>\n

 <\/p>\n

Die FTC als Wachhund des Data Privacy Frameworks<\/h4>\n

Das EU-U.S. wie auch das Swiss-U.S. DPF steht und f\u00e4llt damit, dass US-Unternehmen, die sich selbst zertifizieren, danach von einer unabh\u00e4ngigen Aufsichtsbeh\u00f6rde kontrolliert werden. Diese Rolle \u00fcbernimmt die FTC. Sie spielt also nicht irgendeine Nebenfigur, sondern ist entscheidend f\u00fcr den Entscheid der EU-Kommission (und in der Folge des Schweizer Bundesrats), den USA \u00fcberhaupt ein \u00abangemessenes Schutzniveau\u00bb zu attestieren (Medienmitteilung des Bundesrats hier<\/a>).<\/p>\n

Max Schrems und seine Organisation \u00abnoyb\u00bb (kurz f\u00fcr: \u00abnone of your business\u00bb) \u2013 ein Wiederholungst\u00e4ter in Sachen Datenschutzabkommen-Versenkung (Safe Harbor 2015, Privacy Shield 2020) \u2013 rechnen vor, dass der EU-Angemessenheitsbeschluss an rund 259 Stellen auf genau diese FTC-Unabh\u00e4ngigkeit verweist. Nach Trump v. Slaughter ist diese Unabh\u00e4ngigkeit allerdings Geschichte.<\/p>\n

noyb hat die EU-Kommission bereits am 30. Juni 2026 schriftlich aufgefordert, das DPF aufzuheben \u2013 mit dem fast schon konzilianten Wunsch nach einem \u00abgeordneten Ausstieg\u00bb statt einem erneuten harten Schnitt durch ein Gerichtsurteil (zum noyb-Schreiben<\/a>). Bleibt die Kommission unt\u00e4tig, droht dann aber doch eine Klage vor dem Europ\u00e4ischen Gerichtshof (EuGH).<\/p>\n

Auch der Europ\u00e4ische Datenschutzausschuss (EDPB) reagierte: Mit Brief vom 31. Juli 2026 forderte er die EU-Kommission auf, die Auswirkungen des Urteils \u00absorgf\u00e4ltig zu pr\u00fcfen\u00bb. EDPB-Chefin Anu Talus erinnerte daran, dass unabh\u00e4ngige Aufsichtsbeh\u00f6rden \u00abeines der Schl\u00fcsselelemente\u00bb jeder Angemessenheitspr\u00fcfung seien. Es gibt zwar auch gelassenere Stimmen \u2013 etwa die ehemalige FTC-Datenschutzchefin Maneesha Mithal, die darauf hinweist, dass sich die FTC in der Praxis (noch) nicht von ihren Durchsetzungsversprechen zur\u00fcckgezogen habe (mehr dazu hier<\/a>). Aber \u00abnoch nicht\u00bb ist kein Begriff, auf den man sein Compliance-Programm bauen m\u00f6chte.<\/p>\n

 <\/p>\n

Formell gilt das Framework \u2013 faktisch ist die Party vorbei<\/h4>\n

Die n\u00fcchterne Wahrheit mit Stand heute: Weder das EU-U.S. noch das Swiss-U.S. DPF wurden aufgehoben. Rechtlich gilt beides unver\u00e4ndert weiter. Aber die Risikolage hat sich sp\u00fcrbar verschoben. Bereits in zwei bis drei Jahren k\u00f6nnte ein neues EuGH-Urteil zum EU-U.S. DPF vorliegen. Bis dahin bewegen sich alle, die auf das DPF setzen, in einer Grauzone: formell sauber, faktisch mit einem Damoklesschwert \u00fcber dem Kopf, das schon zweimal heruntergesaust ist.<\/p>\n

Die n\u00fcchterne Wahrheit mit Stand heute: Weder das EU-U.S. noch das Swiss-U.S. DPF wurden aufgehoben. Rechtlich gilt beides unver\u00e4ndert weiter. Aber die Risikolage hat sich sp\u00fcrbar verschoben. Bereits in zwei bis drei Jahren k\u00f6nnte ein neues EuGH-Urteil zum EU-U.S. DPF vorliegen. Bis dahin bewegen sich alle, die auf das DPF setzen, in einer Grauzone: formell sauber, faktisch mit einem Damoklesschwert \u00fcber dem Kopf, das schon zweimal heruntergesaust ist.<\/p>\n

 <\/p>\n

Der \u00f6ffentliche Sektor: Vorsicht ist doppelt geboten<\/h4>\n

F\u00fcr \u00f6ffentliche Organe ist in diesem Moment der Rechtsunsicherheit besondere Vorsicht geboten. Bei der Auslagerung von Personendaten an US-amerikanische Unternehmen werden in der Praxis meist auch die Standarddatenschutzklauseln der EU-Kommission (SCC) vereinbart, die grds. auch als gesetzlich vorgesehene Grundlage f\u00fcr Datentransfers in Staaten ohne \u00e4quivalentes Datenschutzniveau \u2013 so z.B. die USA \u2013 dienen. Dies jedoch mit dem Vorbehalt, dass f\u00fcr Datentransfers aus der Schweiz die Anpassungen des ED\u00d6B erforderlich sind (Achtung: im kantonalen Recht gilt nicht derselbe Mechanismus!). Weiter verlangen die SCC, dass die Datenexporteure zus\u00e4tzliche Risikoanalysen durchf\u00fchren m\u00fcssen (sog. \u00abTransfer Impact Assessment\u00bb, kurz TIA), um zu pr\u00fcfen, ob die Rechtslage oder Praxis im Emfp\u00e4ngerstaat die Schutzgarantien der Standarddatenschutzklauseln untergraben k\u00f6nnen. Die Klauseln basieren also auf einem risikobasierten Ansatz, dessen G\u00fcltigkeit f\u00fcr den \u00f6ffentlichen Sektor zumindest umstritten ist.<\/p>\n

Aus diesem Grund war in der Praxis oft der Tenor, sich doppelt zu sch\u00fctzen und nebst den SCC auch auf das DPF abzustellen. Zudem ist die FTC und ihre Funktionsweise ebenfalls Teil des TIA beim Abschluss der SCC. Hier beisst sich die Katze also in den Schwanz und es l\u00e4sst sich nicht sch\u00f6nreden, dass Datentransfers in die USA durch \u00f6ffentliche Organe aktuell mit viel Rechtsunsicherheit verbunden sind.<\/p>\n

Es kann sich daher lohnen, bereits jetzt folgende Schritte zu unternehmen:<\/p>\n