Der US Supreme Court hat entschieden, dass der US-Präsident direkten Einfluss auf die Federal Trade Commission (FTC) nehmen kann. Damit verliert das Datenschutzabkommen zwischen der EU und den USA die entscheidende Grundlage. Es ist lediglich eine Frage der Zeit bis der Europäische Gerichtshof dies bestätigen muss. Eine entsprechende Klage hat der Datenschutzaktivist Max Schrems bereits angekündigt. Unternehmen, die weiterhin US-Dienste zur Datenverarbeitung nutzen, müssen sich damit erneut auf Unsicherheit einstellen.

Am 29. Juni 2026 urteilte der US Supreme Court, dass der US-Präsident Mitglieder der Federal Trade Commission (FTC) jederzeit ohne Angabe von Gründen entlassen kann. Damit wurde die über 90 Jahre alte Rechtsprechung (Humphrey's Executor aus 1935) gekippt, wonach die FTC als unabhängige Behörde vor willkürlicher Entlassung geschützt war. Ausgelöst wurde der Fall dadurch, dass der US-Präsident Trump zu Beginn seiner zweiten Amtszeit 2025 die FTC-Kommissarin Rebecca Slaughter ohne die gesetzlich vorgeschriebene Begründung entließ. Das Urteil hat weitreichende Auswirkungen auf den transatlantischen Datenverkehr und den Datenschutz in der EU. Denn das gesamte EU-US Datenabkommen stützt sich auf die FTC als unabhängige Aufsichtsinstanz.

Die aktuell gültige Rechtsgrundlage für die Übermittlung personenbezogener Daten von der EU in die USA sind das EU-US Data Privacy Framework aus dem Jahr 2023 sowie der zugehörige Angemessenheitsbeschluss der EU-Kommission. Eine wesentliche Rolle spielt dabei die FTC, die als unabhängige Aufsichtsinstanz in den USA die Einhaltung der Datenschutzpflichten von US-Unternehmen überwacht und durchsetzt. Im Angemessenheitsbeschluss (Durchführungsbeschluss (EU) 2023/1795) nimmt die EU-Kommission entsprechend mehrfach Bezug auf diese Unabhängigkeit der FTC. Ganze 259 Mal verweist die EU-Kommission in ihrer eigenen Angemessenheitsentscheidung auf genau diese Unabhängigkeit.

Das EU-Vertragsrecht verlangt, dass die Datenschutzaufsicht durch eine unabhängige Stelle erfolgen muss. Diese Anforderung ist konkret in Art. 16 Abs. AEUV und Art. 8 Abs. 3 der EU-Grundrechtecharta verankert. Auch Drittländer müssen diese Anforderung erfüllen, um ein gleichwertiges Datenschutzniveau sicherzustellen. Mit dem Urteil des Supreme Court verliert die FTC ihre Unabhängigkeit und damit fehlt dem EU-US Data Privacy Framework die rechtliche Grundlage.

Der österreichische Datenschutzaktivist Max Schrems, hat bereits die beiden Vorgänger-Abkommen zu Fall gebracht: "Safe Harbor" (Schrems I) und danach das "Privacy Shield" (Schrems II) wurden beide vom EuGH für ungültig erklärt.

Jetzt fordert Schrems die EU-Kommission auf, die Angemessenheitsentscheidung für die USA aufzuheben, da es in den USA keine unabhängigen Behörden mehr gebe. Seine Organisation noyb hat der Kommission am 30. Juni 2026 in einem Brief mitgeteilt, dass keine andere US-Behörde dieses Defizit ausgleichen könne. Gleichzeitig bereitet noyb eine Klage vor, um dem EuGH die Möglichkeit zu geben, das aktuelle EU-US Data Privacy Framework für nichtig zu erklären.

Selbst wenn die Grundlage des EU-Beschlusses weggefallen ist, bleibt die Angemessenheitsentscheidung formal gültig, bis er von der EU-Kommission aufgehoben oder vom EuGH für nichtig erklärt wird – kurzfristig ändert sich rechtlich also nichts. Dieser Prozess kann zwei bis drei Jahre dauern. Auf lange Sicht ist jedoch damit zu rechnen, dass das EU-US Data Privacy Framework als Rechtsgrundlage für die Übermittlung personenbezogener Daten in die USA entfällt.

EU-Unternehmen, die die Verarbeitung personenbezogener Daten an US-Cloud-Anbieter ausgelagert haben oder sich auf das EU-US Data Privacy Framework als Rechtsgrundlage für die Übermittlung personenbezogener Daten in die USA stützen, sollten ihre Transfermechanismen in Zukunft überprüfen. Eine gerichtliche Aufhebung des Abkommens ist deutlich wahrscheinlicher geworden. Alternative Instrumente wie Standardvertragsklauseln (SCCs) oder verbindliche interne Datenschutzvorschriften (BCRs) gewinnen zwar wieder an Bedeutung, ihre Rechtssicherheit steht aber ebenfalls infrage, solange in den USA kein ähnliches Datenschutzniveau mehr sichergestellt ist.

Die UPONU zeigt mit dem infra:u Cloud Stack, wie eine echte Alternative zu den US-Hyperschalern aussehen kann. Unsere gesamte Cloud-Infrastruktur wird ausschließlich in Deutschland betrieben, Server, Rechenzentren und Support unterliegen vollständig deutschem und europäischem Recht. Eine Übermittlung personenbezogener Daten in die USA findet nicht statt. Weder das EU-US Data Privacy Framework, noch dessen mögliche Nichtigerklärung spielen daher eine Rolle.

Das infra:u Cloud Stack ist souverän „by design“. Begründet durch den Aufbau auf Basis von OpenStack nach dem Sovereign Cloud Standard (SCS), findet schlichtweg kein Datenaustausch mit Drittländern statt. Es empfiehlt sich, genau jetzt , noch in den USA betriebene Dienste kritisch zu prüfen und perspektivisch in die eigene Hoheit zu überführen, sprich konsequent auf europäische Alternativen umzusteigen. Denn solange die EU-Kommission keine formale Entscheidung getroffen hat, bleibt die aktuelle Lage rechtlich unsicher und niemand weiß, welche Sanktionen oder Maßnahmen als Nächstes gegen die EU verhängt werden. Nur wer jetzt umsteigt, schafft sich dauerhafte Rechtssicherheit, statt von der nächsten politischen Entwicklung überrascht zu werden. UPONU bietet dafür eine Lösung, die unabhängig davon Bestand hat, wie sich die Rechtslage in den USA weiterentwickelt.