Dieser Artikel ist ein Gastbeitrag von Steve Lang, Vorsitzender des Landesverbandes Bayern der Piratenpartei.
Der transatlantische Datentransfer steht erneut auf wackeligem Boden. Diesmal kommt der Riss nicht zuerst aus Luxemburg, sondern aus Washington. Der US Supreme Court hat in der Entscheidung Trump v. Slaughter festgestellt, dass der bisherige besondere Entlassungsschutz für Mitglieder der Federal Trade Commission, kurz FTC, gegen die Gewaltenteilung der US-Verfassung verstößt. Der Präsident darf FTC-Kommissarinnen und -Kommissare demnach grundsätzlich entlassen, wenn sie exekutive Befugnisse ausüben. [1]
Das klingt zunächst wie ein innenpolitischer US-Verfassungsstreit. Für Europa ist es aber weit mehr. Denn die FTC ist eine der zentralen Stellen, auf deren Durchsetzungsbefugnisse sich das EU-US Data Privacy Framework stützt. Dieses Abkommen erlaubt Datenübermittlungen aus der EU an zertifizierte US-Unternehmen, weil die EU-Kommission 2023 ein angemessenes Datenschutzniveau festgestellt hat. [2]
Genau hier liegt das Problem: Wenn die europäische Seite ihre Angemessenheitsentscheidung auch auf eine unabhängige und wirksame Aufsicht in den USA stützt, diese Aufsicht aber politisch stärker vom Präsidenten abhängig wird, gerät das Fundament des Abkommens ins Rutschen.
Was der Supreme Court entschieden hat
Im Fall Trump v. Slaughter ging es um die Entlassung der FTC-Kommissarin Rebecca Slaughter. Der Präsident hatte sie entlassen, ohne einen der gesetzlich vorgesehenen Gründe wie Pflichtverletzung, Nachlässigkeit oder Amtsmissbrauch zu nennen. Der Supreme Court entschied nun, dass diese Einschränkung der Entlassungsmöglichkeit verfassungswidrig sei, soweit die FTC exekutive Aufgaben ausübt. [1]
Die Entscheidung ist weitreichend, aber sie sollte korrekt eingeordnet werden. Der Supreme Court hat nicht direkt über das EU-US Data Privacy Framework entschieden. Er hat auch nicht ausdrücklich jedes Sondermodell jeder unabhängigen US-Behörde in einem Satz für erledigt erklärt. Das Gericht ließ bestimmte Sonderfragen, etwa zur Federal Reserve, ausdrücklich offen. [1]
Trotzdem ist die politische Wirkung erheblich. Eine Behörde, die europäische Datenschutzrechte gegenüber US-Unternehmen durchsetzen soll, steht künftig stärker unter Kontrolle des Präsidenten. Damit verliert die europäische Erzählung von einer stabilen, unabhängigen US-Aufsicht deutlich an Glaubwürdigkeit.
Warum das für Europa so wichtig ist
Die EU-Kommission hat mit dem Durchführungsbeschluss 2023/1795 festgestellt, dass personenbezogene Daten unter dem EU-US Data Privacy Framework an zertifizierte US-Unternehmen übertragen werden dürfen. Voraussetzung ist unter anderem, dass diese Unternehmen der Untersuchungs- und Durchsetzungsbefugnis der FTC, des US-Verkehrsministeriums oder einer anderen anerkannten Stelle unterliegen. Verstöße gegen die DPF-Prinzipien können insbesondere über Section 5 des FTC Act verfolgt werden. [2]
Auch die FTC selbst beschreibt das Framework als Mechanismus, mit dem Unternehmen personenbezogene Daten aus der EU in die USA übertragen können. Unternehmen müssen sich beim US-Handelsministerium zertifizieren, und Verstöße gegen die Prinzipien können nach Darstellung der FTC als unfaire oder täuschende Geschäftspraktiken verfolgt werden. [3]
Damit ist klar: Die FTC ist nicht irgendein Randakteur. Sie ist Teil der Durchsetzungsarchitektur, auf die sich die EU-Kommission beim Angemessenheitsbeschluss stützt.
Die Datenschutzorganisation noyb argumentiert deshalb, dass die Grundlage des Abkommens durch die Supreme-Court-Entscheidung zusammengebrochen sei. noyb verweist darauf, dass die EU-Kommission im Angemessenheitsbeschluss sehr häufig auf die FTC Bezug nimmt, und fordert einen geordneten Rückzug aus dem EU-US Data Privacy Framework. [4]
Nicht automatisch weg, aber politisch schwer beschädigt
Trotz aller berechtigten Kritik gilt: Das Abkommen ist nicht automatisch aufgehoben. Der Angemessenheitsbeschluss ist formal weiterhin in Kraft. Erst die EU-Kommission kann ihn aussetzen, ändern oder aufheben, oder der Europäische Gerichtshof kann ihn annullieren. [2]
Das ist ein wichtiger Unterschied. Wer jetzt behauptet, jeder einzelne US-Datentransfer sei ab sofort automatisch rechtswidrig, macht es sich zu einfach. Wer aber so tut, als sei nichts passiert, ignoriert die Realität.
Die sauberste Bewertung lautet daher: Das EU-US Data Privacy Framework ist formal noch gültig, aber rechtlich und politisch massiv beschädigt. Die EU-Kommission selbst hat in ihrem Beschluss vorgesehen, Entwicklungen in den USA fortlaufend zu beobachten. Wenn Hinweise bestehen, dass kein angemessenes Schutzniveau mehr gewährleistet ist, kann und muss die Kommission reagieren. Dazu gehören Aussetzung, Änderung oder Aufhebung des Beschlusses. [2]
Genau dieser Punkt ist nun erreicht. Die Unabhängigkeit der FTC war kein dekoratives Detail. Sie war Teil der Begründung, warum europäische Grundrechte in den USA angeblich ausreichend geschützt seien.
Die piratische Einordnung
Aus Sicht der Piraten ist dieser Fall kein juristischer Betriebsunfall. Er zeigt ein strukturelles Problem: Europa hat digitale Grundrechte zu lange auf politische Versprechen, Konzernzusagen und US-Rechtskonstruktionen ausgelagert.
Das ist gefährlich. Denn Grundrechte sind keine Service-Level-Agreements. Sie dürfen nicht davon abhängen, wer gerade im Weißen Haus sitzt, welche Behörde gerade politisch umgebaut wird oder ob ein US-Konzern in seiner Datenschutzerklärung besonders vertrauenerweckend klingt.
Die Piratenpartei hat wiederholt betont, dass digitale Souveränität nur mit echter Nutzerkontrolle, offenen Standards, Transparenz und unabhängiger Infrastruktur möglich ist. In einer Veröffentlichung zur digitalen Souveränität stellte die Partei klar, dass politische Abkommen, die morgen durch eine andere Regierung ausgehöhlt werden können, keine verlässliche Grundlage für informationelle Selbstbestimmung sind. [5]
Das ist hier der Kern. Es geht nicht um Anti-Amerikanismus. Es geht auch nicht darum, digitale Mauern um Europa zu ziehen. Es geht darum, dass europäische Bürgerinnen und Bürger ihre Grundrechte nicht verlieren dürfen, nur weil ihre Daten den Atlantik überqueren.
Öffentliche Verwaltung besonders betroffen
Besonders kritisch ist die Lage für öffentliche Stellen. Behörden, Schulen, Hochschulen und Kommunen verarbeiten oft besonders sensible Daten. Wenn solche Daten in Abhängigkeiten von US-Plattformen geraten, entsteht nicht nur ein Datenschutzproblem, sondern ein demokratisches Kontrollproblem.
Eine Verwaltung, die ihre Kommunikation, Dokumente, Identitäten, Protokolle und Bürgerdaten auf proprietären Plattformen ohne echte Exit-Strategie ablegt, verliert langfristig Handlungsfähigkeit. Digitale Souveränität bedeutet nicht, alles selbst zu programmieren. Sie bedeutet aber, Kontrolle zu behalten: über Daten, Schnittstellen, Verschlüsselung, Schlüsselverwaltung, Standards, Verträge und Wechselmöglichkeiten.
Open Source, offene Standards und europäische oder zumindest europäisch kontrollierbare Infrastrukturen sind deshalb keine ideologische Spielerei. Sie sind eine Sicherheits- und Freiheitsfrage.
Und nun?
Die EU-Kommission sollte jetzt nicht abwarten, bis der Europäische Gerichtshof irgendwann erneut ein transatlantisches Datenschutzabkommen einkassiert. Sie sollte handeln, bevor Unternehmen, Behörden und Bürgerinnen wieder jahrelang auf einer brüchigen Rechtsgrundlage arbeiten.
Die Kommission muss unverzüglich eine neue Bewertung des US-Schutzniveaus vorlegen. Sie darf nicht nur prüfen, ob das Data Privacy Framework formal noch existiert, sondern ob seine Annahmen praktisch noch tragen.
Zudem muss die Kommission die US-Regierung auffordern, verbindliche und dauerhaft belastbare Garantien vorzulegen. Reine Executive Orders, politische Zusagen oder Behördenbriefe reichen nicht aus, wenn zentrale Schutzmechanismen jederzeit durch Machtwechsel, Gerichtsentscheidungen oder politische Weisungen geschwächt werden können.
Es braucht einen geordneten europäischen Ausstiegs- und Migrationsplan für kritische Abhängigkeiten. Besonders für öffentliche Verwaltung, Bildung, Gesundheitswesen und kritische Infrastruktur muss gelten: Keine neuen strukturellen Abhängigkeiten von US-Clouds ohne belastbare Rechtsgrundlage, transparente Risikoanalyse und echte Exit-Strategie.
Standardvertragsklauseln und Transfer Impact Assessments dürfen nicht als Feigenblatt missbraucht werden. Wenn sich die tatsächliche Rechtslage in den USA verändert, müssen Verantwortliche diese Bewertungen aktualisieren. Die Frage lautet nicht: „Haben wir ein Dokument abgelegt?“, sondern: „Sind die Grundrechte der Betroffenen real geschützt?“
Auch sollte die EU Open Source, offene Standards und interoperable Infrastruktur endlich zur Grundlage öffentlicher Beschaffung machen. Nicht als freiwilliges Schaufensterprojekt, sondern als strategisches Prinzip. Digitale Souveränität entsteht nicht durch Sonntagsreden, sondern durch Vergaberecht, Budgets, Personal, Betriebskompetenz und konsequente Migrationspfade.
Für die Piraten ist klar: Datenschutz ist kein Handelshemmnis, sondern Grundrechtsschutz. Wer Daten europäischer Bürgerinnen und Bürger verarbeitet, muss sich an robuste, kontrollierbare und durchsetzbare Regeln halten. Wenn diese Regeln von politischer Willkür in einem Drittstaat abhängen, sind sie nicht robust genug.
Die EU muss jetzt handeln. Nicht panisch, aber entschlossen. Sie muss den Angemessenheitsbeschluss neu prüfen, kritische Abhängigkeiten abbauen und endlich ernst machen mit digitaler Souveränität. Denn Grundrechte gehören nicht in die Cloud eines fremden Machtapparats. Sie gehören unter demokratische Kontrolle.
Quellen:
[1] US Supreme Court: Trump v. Slaughter, No. 25-332, entschieden am 29. Juni 2026. Das Urteil stellt fest, dass der besondere Entlassungsschutz der FTC-Kommissare gegen die Gewaltenteilung verstößt; zugleich lässt es bestimmte Sonderfragen, etwa zur Federal Reserve, offen. https://www.supremecourt.gov/opinions/25pdf/25-332_qn12.pdf
[2] EU-Kommission: Durchführungsbeschluss EU 2023/1795 zum EU-US Data Privacy Framework. Der Beschluss ist laut EUR-Lex weiterhin in Kraft, beschreibt die Rolle der FTC bei Untersuchung und Durchsetzung und enthält Mechanismen zur Aussetzung, Änderung oder Aufhebung bei Wegfall eines angemessenen Schutzniveaus. https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/eng
[3] Federal Trade Commission: Data Privacy Framework. Die FTC beschreibt das DPF als Mechanismus für EU-US-Datentransfers und verweist auf ihre Durchsetzung nach Section 5 FTC Act. https://www.ftc.gov/business-guidance/privacy-security/data-privacy-framework
[4] noyb: US Supreme Court just blew up EU-US Data Transfers. noyb argumentiert, dass die FTC-Unabhängigkeit als Grundlage des Abkommens weggefallen sei, weist aber zugleich darauf hin, dass der EU-Beschluss formal bis zur Aufhebung oder gerichtlichen Annullierung in Kraft bleibt. https://noyb.eu/en/us-supreme-court-just-blew-eu-us-data-transfers
[5] Piratenpartei Deutschland: Digitale Souveränität trifft auf’s tägliche Leben. Die Piratenpartei ordnet transatlantische Datenschutzabkommen kritisch ein und fordert digitale Souveränität, offene Standards, Transparenz und echte Nutzerkontrolle. https://piratenpartei.de/2025/12/04/digitale-souveraenitaet-trifft-aufs-taegliche-leben/
[6] Borncity: Wurde das US-EU Transatlantic Datentransfer-Abkommen gerade pulverisiert? Ausgangspunkt der Debatte; der Artikel bewertet das Supreme-Court-Urteil als schweren Schlag gegen das EU-US-Datentransferabkommen. https://borncity.com/blog/2026/06/30/wurde-das-us-eu-transatlantic-datentransfer-abkommen-gerade-pulverisiert/
Lieber Julian Häffner Sie glauben doch nicht ernsthaft das der EU tatsächlich irgendetwas an Datenschutz gelegen wäre.
Dank der DSGVO dürfen wir jetzt zwar überall Cookie Banner klicken und die Wirtschaft sich mit Bürokratie rum schlagen. Gleichzeitig hat das EU Parlarment jedoch beschlossen das alle unsere Chats und Mails zur Chatkontrolle in die USA an US Konzerne gesendet werden sollen. Ob da irgendein Datenschutz Abkommen zustande kommt oder nicht hat die EU dabei nicht pieps die Bohne interessiert.
Auch ohne irgendein Datentransfer Abkommen werden die US Konzerne nun bei uns Chatkontrolle machen und die Daten werden sicher auch an NSA/CIA weitergegeben oder im Darknet landen. Der Datenschutz existiert in Europa also faktisch nur um die Leute zu verarschen Sie durch irgendwelche Cookie Banner Klickerei denken zu lassen Sie hätten Kontrolle während der Datenschutz aber faktisch abgeschafft wurde.
So wie die DDR das demokratisch auch nur im Namen hatte ohne es wirklich zu leben hat die EU nun halt irgendwas mit Datenschutz. Wenn wir eines Tages echten Datenschutz wollen dann sollten wir anfangen die Fake Fasade zu hinterfragen. Statt weiter wie die naiven Bauern an die Potemkimschen Fasaden zu glauben die man da für uns hingestellt hat. (siehe: https://de.wikipedia.org/wiki/Potemkinsches_Dorf)
Aber ich will nicht zu viel meckern. Euch allen noch ein guter Start ins Wochendende.
Danke für den Kommentar. Ihre Kritik an der Chatkontrolle teile ich: Die Entscheidung des EU-Parlaments, erneut eine befristete Überprüfung privater Kommunikation zu ermöglichen, ist aus grundrechtlicher Sicht hochproblematisch.
Nicht korrekt ist jedoch, dass sämtliche Chats und Mails an US-Konzerne oder Geheimdienste übermittelt werden sollen. Trotzdem entsteht eine gefährliche Abhängigkeit von Anbietern wie Meta, Google und Microsoft.
Gerade deshalb gehören Chatkontrolle und EU-US-Datentransfers zusammen: Datenschutz ist nur glaubwürdig, wenn wir sowohl anlasslose Überwachung als auch unkontrollierte Datenabflüsse ablehnen. Die Antwort darf nicht sein, Datenschutz abzuschreiben, sondern ihn endlich konsequent durchzusetzen.