Supreme-Court-Urteil gefährdet EU-US-Datentransfers

Der Oberste Gerichtshof der USA hat am 29. Juni 2026 in der Sache Trump v. Slaughter entschieden, dass der Präsident die Mitglieder der Federal Trade Commission jederzeit abberufen darf. Damit endet die Unabhängigkeit der Behörde. Die Datenschutzorganisation noyb sieht darin das Fundament des Datenschutzrahmens EU-USA (EU-US Data Privacy Framework) zerstört und hat die Europäische Kommission formell aufgefordert, den Angemessenheitsbeschluss zurückzuziehen, der den Fluss personenbezogener Daten aus der EU an zertifizierte US-Unternehmen erlaubt. Für europäische Marken mit mehreren Standorten wird die Frage damit ganz praktisch: Welche Tools im Marketing-Stack übertragen personenbezogene Daten in die USA, und auf welcher Rechtsgrundlage?

Was ist passiert

Mit dem Urteil in Trump v. Slaughter erklärte der Supreme Court die gesetzlichen Abberufungsschutzregeln für verfassungswidrig, die die FTC zu einer unabhängigen Behörde gemacht hatten. In Brüssel wiegt das schwer, denn die FTC ist die zentrale Durchsetzungsbehörde hinter dem Datenschutzrahmen EU-USA, der Vereinbarung von 2023, die Datentransfers an zertifizierte US-Unternehmen ermöglicht. Laut noyb stützt sich der Angemessenheitsbeschluss der Europäischen Kommission an 259 Stellen auf die FTC als unabhängige Aufsichtsbehörde.

noyb, die von Max Schrems gegründete Datenschutzorganisation, hat die Kommission in einem formellen Schreiben aufgefordert, die Vereinbarung geordnet aufzuheben, und kündigt für die kommenden Wochen eine Klage an, mit der der Gerichtshof der Europäischen Union (EuGH) den Beschluss für nichtig erklären soll. Nach Auffassung von noyb reicht das Urteil zudem über den Datenschutzrahmen hinaus: Standardvertragsklauseln und verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) beruhen auf Transferfolgenabschätzungen, die sich auf ehemals unabhängige US-Gremien wie das PCLOB und den Data Protection Review Court beziehen.

Gekippt ist der Datenschutzrahmen damit nicht. Kein Gericht hat den Angemessenheitsbeschluss für ungültig erklärt, zertifizierte US-Unternehmen dürfen weiterhin rechtmäßig personenbezogene Daten aus der EU empfangen, und ein Sprecher der Europäischen Kommission erklärte, die Kommission beobachte weiterhin, ob ein hohes Datenschutzniveau gewährleistet sei, und stehe in engem Austausch mit der US-Regierung.

Warum das wichtig ist

Der EuGH hat bereits zwei Vorgängervereinbarungen für ungültig erklärt, Safe Harbor im Jahr 2015 und Privacy Shield im Jahr 2020, jeweils nach Klagen, die sich auf US-Überwachungsgesetze und schwache Aufsicht stützten. Beide Male mussten Tausende Unternehmen ihre Transfermechanismen praktisch über Nacht neu aufsetzen. Eine dritte Nichtigerklärung würde einen deutlich größeren Stack treffen: Bewertungsplattformen, Analytics, CRM, Werbe- und Listing-Tools verarbeiten personenbezogene Daten, und viele davon laufen unter dem aktuellen Rahmen auf US-Infrastruktur.

“Da es in den USA keine unabhängigen Behörden mehr gibt, fordern wir die Europäische Kommission auf, den Angemessenheitsbeschluss für die USA geordnet zurückzuziehen.”

Max Schrems, noyb

Was das für Marken mit mehreren Standorten bedeutet

Eine Marke mit Hunderten Standorten kann ihre Datenflüsse nicht in einer Woche entwirren, also beginnt die Arbeit, bevor ein Gericht entscheidet. Zentrale Marketing- und Digitalteams sollten erfassen, welche Anbieter in ihrem Location-Marketing-Stack personenbezogene Daten aus der EU verarbeiten, wo diese gehostet werden und auf welchen Transfermechanismus sich jeder einzelne stützt. Das Rezensionsmanagement ist ein guter Ausgangspunkt, denn Kundenrezensionen und Antworten enthalten personenbezogene Daten in großem Umfang: Eine Plattform für die Verwaltung von Rezensionen über alle Standorte hinweg sollte die Hosting-Frage direkt beantworten können. Dasselbe gilt für die Verwaltung von Einträgen und Standortdaten, wo Einwilligungsprotokolle und Nutzerinteraktionen neben den Unternehmensdaten liegen.

Datenresidenz wird zudem zunehmend zum Beschaffungskriterium statt zur juristischen Fußnote. Europäische Marken mit mehreren Standorten fragen vor der Unterschrift immer häufiger, wo die Kundendaten eines Anbieters physisch liegen, und dieses Urteil wird diese Fragen schärfen. PinMeTo hostet sämtliche Kundendaten in der EU, eine Aufhebung des Angemessenheitsbeschlusses würde an der Rechtsgrundlage der Daten auf unserer Plattform also nichts ändern.

Fazit

Der Datenschutzrahmen EU-USA steht noch, aber die Säule, auf die sich die Europäische Kommission am stärksten gestützt hat, hat gerade Risse bekommen, und die EuGH-Klage von noyb wird in wenigen Wochen erwartet. Marken mit mehreren Standorten, die genau wissen, wo ihr Marketing-Stack personenbezogene Daten verarbeitet, werden das nächste Urteil als Nachricht lesen; alle anderen als Projektplan.