Worum es geht
Am 29. Juni 2026 hat der Oberste Gerichtshof der USA in der Sache Trump gegen Slaughter mit sechs zu drei Stimmen entschieden, dass die gesetzlichen Beschränkungen für die Abberufung von Mitgliedern der Federal Trade Commission verfassungswidrig sind. Der Präsident kann die Kommissare der FTC damit nach Belieben absetzen. Das klingt nach amerikanischem Verfassungsrecht, hat aber unmittelbare Folgen für jeden europäischen Verantwortlichen, der personenbezogene Daten in die USA übermittelt, also praktisch für jeden Microsoft-365-Anwender. Dieser Beitrag ordnet ein, was das Urteil bedeutet und was es nicht bedeutet. Es ist eine fachliche Einordnung und keine Rechtsberatung.
Was das Gericht entschieden hat
Das Gericht hat die Grundsatzentscheidung Humphrey’s Executor aus dem Jahr 1935 überholt, mit der der Kongress die Unabhängigkeit der FTC vom direkten Zugriff des Präsidenten abgesichert hatte. Nach der neuen Linie sind die Kommissare der FTC frei absetzbar. Die Tragweite reicht über die FTC hinaus, weil dieselbe Begründung auch andere als unabhängig geltende US-Behörden erfasst. Für den Datenschutz zählt vor allem die FTC selbst.
Warum das den transatlantischen Datentransfer trifft
Der Angemessenheitsbeschluss der EU-Kommission von 2023, die Rechtsgrundlage des EU-US Data Privacy Framework, ruht auf zwei Pfeilern. Der erste ist die Durchsetzung der Datenschutzzusagen durch die FTC als unabhängige Behörde. Genau diese Unabhängigkeit ist nun infrage gestellt. Der zweite Pfeiler ist der Rechtsschutz für EU-Betroffene über den Data Protection Review Court sowie die Aufsicht über die nachrichtendienstliche Überwachung durch das Privacy and Civil Liberties Oversight Board.
Hier ist Genauigkeit wichtig, denn viele Meldungen werfen die Institutionen durcheinander. Das Urteil trifft die FTC direkt. Das Aufsichtsgremium PCLOB ist nur mittelbar betroffen, über die gleiche Argumentationslogik, wobei seine Handlungsfähigkeit ohnehin schon leidet, seit im Januar 2025 drei seiner Mitglieder entlassen wurden und das Quorum entfiel. Der Data Protection Review Court schließlich stand wegen der Ernennung seiner Richter durch den US-Justizminister von Anfang an in der Kritik, unabhängig von diesem Urteil. In der Summe ist die tatsächliche Grundlage, auf der die EU-Kommission ein gleichwertiges Schutzniveau bejaht hatte, spürbar erschüttert.
Ist das Data Privacy Framework damit ungültig? Nein.
Diese Klarstellung ist die wichtigste des ganzen Beitrags. Überschriften wie das Abkommen sei gesprengt oder pulverisiert sind Zuspitzungen. Selbst die Datenschutzorganisation noyb, die das Urteil zum Anlass für eine neue Klage nimmt, hält ausdrücklich fest, dass es keinen unmittelbaren Effekt gibt. Ein Angemessenheitsbeschluss bleibt so lange gültige Rechtsgrundlage, bis die EU-Kommission ihn widerruft oder aussetzt oder bis der Europäische Gerichtshof ihn für nichtig erklärt. Bis dahin sind Übermittlungen auf seiner Grundlage rechtmäßig. Es gibt also keinen Automatismus und keinen Grund für einen überstürzten Transferstopp.
Zu erwarten ist ein langsamer Prozess. Bereits anhängig ist ein Rechtsmittel beim Europäischen Gerichtshof gegen die Bestätigung des Frameworks durch das Gericht der Europäischen Union. noyb hat eine weitere Klage angekündigt und schätzt deren Dauer selbst auf zwei bis drei Jahre. Die Diskussion um ein Szenario, das man Schrems III nennen könnte, ist damit eröffnet, eine kurzfristige Entscheidung aber unwahrscheinlich.
Der Ablauf von FISA 702 entlastet nicht
Ein häufiges Missverständnis betrifft die US-Überwachungsnorm FISA Section 702, die Mitte Juni 2026 mangels Einigung im Kongress formal ausgelaufen ist. Das entschärft die Kritik nicht, denn die bereits erteilten Anordnungen des Überwachungsgerichts laufen bis März 2027 weiter. Die Überwachung besteht also materiell fort. Der eigentliche Kern des Problems, der schon das Vorgängerabkommen zu Fall brachte, bleibt damit unverändert bestehen.
Was das für Unternehmen mit Microsoft 365 bedeutet
Kurzfristig ändert sich an der Zulässigkeit Ihrer laufenden Transfers nichts, das Framework bleibt gültige Grundlage. Der richtige Schritt ist nicht Panik, sondern die zweite Ebene belastbar zu machen. Der Microsoft-Datenschutznachtrag enthält die Standardvertragsklauseln der EU bereits als eingebauten Rückfallmechanismus, der automatisch greift und keine gesonderte Unterschrift verlangt. Diese Rückfallebene sollten Sie ausdrücklich dokumentieren.
Standardvertragsklauseln allein sind allerdings kein sicherer Hafen, denn sie verlangen eine Transfer-Folgenabschätzung, die sich bislang häufig auf genau die Unabhängigkeit von FTC, PCLOB und Rechtsschutzgericht gestützt hat, die jetzt infrage steht. Diese Folgenabschätzungen sollten Sie im Licht des Urteils aktualisieren und im Verarbeitungsverzeichnis den Übermittlungsmechanismus von Framework auf Framework mit Standardvertragsklauseln als Rückfallebene ergänzen.
Wirksam ergänzen lässt sich das durch technische Stellhebel, die die Abhängigkeit von der US-Grundlage senken. Die EU Data Boundary hält Kundendaten in Europa, ohne die dokumentierten Ausnahmen zu beseitigen. Das Deaktivieren von Flex Routing hält die Copilot-Verarbeitung in Europa. Das Abschalten des Anthropic-Opt-ins vermeidet die Weitergabe an externe Modelle. Am weitesten reicht die Double Key Encryption, bei der ein Schlüssel ausschließlich bei Ihnen bleibt, sodass Microsoft die Daten nicht entschlüsseln kann. Sie ist zugleich der einzige Hebel, der den behördlichen Zugriffskern wirklich adressiert, schließt aber die betroffenen Inhalte von Copilot und serverseitiger Verarbeitung aus und eignet sich damit nur für die schutzbedürftigste Teilmenge. Am robustesten und am wenigsten spektakulär bleibt die Datenminimierung.
Kein Grund zur Panik, aber Anlass zum Handeln
Nüchtern betrachtet ist das Framework rechtlich unter Druck, aber operativ intakt. Der eigentliche, ungelöste Kern ist nicht neu, sondern das Dauerthema des US-Zugriffs über den CLOUD Act und FISA 702, das durch das Urteil nur wieder sichtbarer wird. Wer bereits eine saubere Folgenabschätzung, die Standardvertragsklauseln als Rückfallebene und eine EU-nahe Konfiguration hat, ist gut aufgestellt. Wer das noch nicht hat, sollte es jetzt angehen und die Entwicklung, also die Reaktion der EU-Kommission und die Verfahren in Luxemburg, aufmerksam verfolgen.
So unterstützt improve it
Die improve it GmbH aus Weingarten bei Karlsruhe ist auf Datenschutz, Informationssicherheit und Compliance rund um Microsoft 365 spezialisiert. Wir helfen Ihnen, Ihre Transfer-Folgenabschätzung zu aktualisieren, die Rückfallebene sauber zu dokumentieren und Ihre Tenant-Konfiguration auf die genannten Stellhebel zu prüfen. Mit dem M365 Compliance Radar behalten wir Änderungen an Recht und Konfiguration für Sie im Blick und machen sie für Datenschutz und Betriebsrat transparent. Fordern Sie unser kostenfreies Infopaket an, und wir klären Ihre wichtigsten Fragen in einem kostenfreien Erstgespräch.
Hinweis und Quellen
Dieser Beitrag gibt den Recherchestand Anfang Juli 2026 wieder. Er ist eine fachliche Einordnung einer Datenschutzberatung, stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar und ersetzt keine anwaltliche Prüfung des Einzelfalls. Einzelne Datumsangaben rund um das noyb-Schreiben und den weiteren Gang der US-Gesetzgebung können sich noch verschieben.
Quellen: das Urteil des US Supreme Court in der Sache Trump gegen Slaughter (No. 25-332), das Schreiben und die Stellungnahme von noyb an die EU-Kommission, die Einordnung von activeMind.legal und mehrerer Fachkanzleien (US Supreme Court kippt Unabhängigkeit der FTC – weitreichende Auswirkungen auf den transatlantischen Datentransfer, und Datenübermittlungen in die USA & der Untergang des Abendlandes – eine nüchterne Bewertung von Trump v. Slaughter | LinkedIn) sowie der Durchführungsbeschluss (EU) 2023/1795 der EU-Kommission.