Unconstitutional

In den letzten beiden Beiträgen ging es um Daten auf fremder Infrastruktur. Die häufigste Entwarnung darauf, wenn man sie ausspricht, lautet: "Aber das ist doch alles geregelt. Es gibt das Data Privacy Framework." Ein Abkommen, ein Angemessenheitsbeschluss, ein Haken auf der Compliance-Liste. Datentransfer in die USA? Legal. Steht so im Amtsblatt. Außerdem Data Center in Frankfurt! Das muss doch jetzt mal genügen!

Am Montag, dem 29. Juni 2026, hat der US Supreme Court dieser Entwarnung das Fundament weggezogen. Was wie amerikanische Innenpolitik wirkt, wie eine Machtfrage zwischen Präsident und Behörden, ist ein klein wenig mehr als das.

Max Schrems, der Mann, der schon Safe Harbor und Privacy Shield vor dem Europäischen Gerichtshof zu Fall gebracht hat, fasste es noch am selben Tag zusammen: Given that there are no independent authorities in the US anymore, we call on the European Commission to orderly withdraw the adequacy decision on the US.

Hm, okay. Wie meinen?

Der Montag

Der Fall heißt Trump v. Slaughter. Rebecca Slaughter war Commissioner der Federal Trade Commission, der US-Handelsaufsicht. Sie wurde im März 2025 vom Präsidenten entlassen, ohne einen der gesetzlich vorgesehenen Gründe. Sie klagte. Der Supreme Court entschied mit sechs zu drei Stimmen: Die Entlassung war rechtens.

Um das zu können, musste das Gericht ein Urteil aus dem Jahr 1935 aufheben, Humphrey's Executor. Neunzig Jahre lang war das der Satz, der die FTC (und mit ihr rund zwei Dutzend weitere Behörden von der Börsenaufsicht bis zur Atomaufsicht) vor dem Zugriff des Präsidenten schützte: Ein Commissioner konnte nur aus gesetzlich genau benannten Gründen abgesetzt werden, Pflichtvergessenheit oder Amtsmissbrauch, nicht nach politischem Belieben. Genau das machte diese Behörden "unabhängig".

Dieser Schutz ist jetzt weg. Der Präsident darf die Leute, die ihn kontrollieren sollen, feuern, wann es ihm passt. Der Befund, mit dem das Gericht die neunzig Jahre alte Schutzklausel kassierte, ist so schlicht wie hart: verfassungswidrig, unconstitutional.

Neunzig Jahre Behördenunabhängigkeit passé. Wie war das noch mit Checks and Balances?!

Atlantik-Brücken und ihre Pfeiler

Weil das ganze europäische Datenschutzgebäude für Transfers in die USA auf genau diesem Wort steht: unabhängig.

Der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 ist die Erlaubnis, personenbezogene Daten an zertifizierte US-Firmen zu schicken, ohne jedes Mal Zusatzverträge und Prüfungen aufzusetzen. Er ist die juristische Brücke über den Atlantik. Und diese Brücke steht auf zwei Pfeilern: dass eine unabhängige Behörde die US-Firmen zur Einhaltung zwingt, und dass eine unabhängige Instanz europäischen Bürgern Rechtsschutz gibt, wenn US-Geheimdienste ihre Daten abgreifen. (Erinnert sich noch jemand an Snowden? Grüße gehen raus!)

Die durchsetzende Behörde ist die FTC. noyb, Schrems' Datenschutzorganisation, hat nachgezählt: Der Angemessenheitsbeschluss beruft sich 259 Mal auf die "unabhängige" FTC. 259 Mal ein Wort, das der Supreme Court gerade gestrichen hat.

Der Maßstab, an dem der Europäische Gerichtshof so ein Abkommen misst, heißt "essential equivalence": Der Schutz drüben muss dem europäischen im Wesentlichen gleichwertig sein. Dazu gehört unabhängige Aufsicht und ein unabhängiger Rechtsbehelf. Das ist EU-Verfassungsrecht (Artikel 16 AEUV, Artikel 8 und 47 der Grundrechtecharta). Schrems bringt es auf den Punkt: Daran ließe sich nur etwas ändern, wenn alle Mitgliedstaaten einstimmig die EU-Verträge umschreiben.

Ein Angemessenheitsbeschluss ist ein Rechtsakt, der auf einer Annahme über fremde Gerichte und Behörden ruht.

Am Montag hat Mango in Chief über die strategisch kluge Benennung der obersten Richter der USA sein eigenes Schwert substantiell geschärft und die EU gegenüber ihren Bürgern mal wieder in eine denkbar unbequeme Lage gebracht.

Drei Einschläge

Machen wir es noch etwas unangenehmer, shall we? Das SCOTUS-Urteil war nicht der erste Schlag gegen die Unabhängigkeit der US-Aufsicht. Es war der Dritte.

Erstens die Aufsicht. Das Privacy and Civil Liberties Oversight Board (PCLOB) ist das Gremium, das die Geheimdienst-Schutzvorkehrungen überprüfen soll, auf die sich die EU-Kommission 2023 berief. Im Januar 2025 wurden die drei demokratischen Mitglieder per Ein-Zeilen-E-Mail entlassen. Seither fehlt dem Board das Quorum. Es kann nichts mehr beschließen.

Zweitens der Rechtsschutz. Der "Data Protection Review Court", die Instanz, an die sich Europäer wenden sollen, ist trotz des Namens kein Gericht, sondern eine Stelle im US-Justizministerium. Ihre Unabhängigkeit steht nicht im Gesetz, sondern in einer Executive Order, die der Präsident mit einer Unterschrift zurücknehmen kann. Außerdem erinnere man sich hier bitte an "Project 2025".

Drittens die Durchsetzung. Das war die FTC.

Aufsicht, Rechtsschutz, Durchsetzung. Alle drei sind jetzt entweder handlungsunfähig oder stehen unter dem direkten Zugriff des Präsidenten. Erst die Summe ergibt den Befund, auf den Schrems sich beruft: Es gibt keine unabhängigen Behörden mehr, an denen das Abkommen hängen könnte.

Die Fed darf, die FTC nicht

Es gibt eine Fußnote an diesem Montag, die den Rest erhellt. Am selben Tag entschied derselbe Supreme Court einen zweiten Fall, Trump v. Cook, und zwar genau umgekehrt: Die Notenbankgouverneurin Lisa Cook darf der Präsident (vorerst) nicht feuern. Fünf zu vier, mit einer anderen Mehrheit als beim FTC-Fall. Begründung: die "besondere historische Tradition" der Unabhängigkeit der Federal Reserve.

Man kann daraus lesen, was man will. Aber die Selektivität ist unübersehbar. Das Gericht hat an einem Tag entschieden, welche Unabhängigkeit es für schützenswert hält und welche nicht. Die Geldpolitik: geschützt. (Noch?) Die Behörde, an der der europäische Datenschutz hängt: geopfert.

Anlauf III

Das Data Privacy Framework war ja im Übrigen bereits der dritte Anlauf, eine Lösung zu finden.

Safe Harbor, gekippt 2015. Privacy Shield, gekippt 2020. Beide Male hat der Europäische Gerichtshof (auf Klage von Schrems) dasselbe festgestellt: Die US-Massenüberwachung greift zu weit, und europäische Bürger haben keinen wirksamen Rechtsschutz dagegen. Beide Abkommen wurden für ungültig erklärt. Ohne Übergangsfrist.

Das DPF von 2023 sollte es besser machen. Kritiker hielten es von Anfang an für dieselbe Konstruktion mit neuem Etikett. Schrems damals: Nur zu behaupten, etwas sei "neu", "robust" oder "wirksam", reiche vor dem Gerichtshof nicht.

Und die Ironie: Das DPF hatte seine erste Bewährungsprobe gerade bestanden. Im September 2025 wies das Gericht der EU in erster Instanz eine Klage dagegen (die des Abgeordneten Latombe) ab, das Abkommen blieb stehen (das Rechtsmittel dazu ist noch beim Gerichtshof anhängig). Neun Monate später riss nicht Luxemburg das Fundament ein, sondern Washington. Was im Übrigen auch die Frage der Strategie dahinter aufwirft: War das Trump und seiner Lobby schlicht nicht bewusst oder einfach egal? Dabei standen die Tech-Bosse bei der Inauguration doch so brav Spalier.

Schrems III

Damit direkt etwas Nachdruck auf die Sache kommt, fordert noyb nicht, das Abkommen "auszusetzen", sondern: einen geordneten Widerruf des Angemessenheitsbeschlusses durch die Kommission selbst. Dazu ein Brief an die Kommission und die Ankündigung, in den kommenden Wochen erneut vor den Europäischen Gerichtshof zu ziehen. Bis so ein Urteil fällt, vergehen erfahrungsgemäß zwei bis drei Jahre. Das wäre dann das, was man schon jetzt "Schrems III" nennt.

Die EU-Kommission hält den Beschluss vorerst aufrecht. Ein Angemessenheitsbeschluss gilt, bis ihn jemand aufhebt: die Kommission selbst oder der Gerichtshof. Offiziell beobachtet man die Lage. Passiert ist bisher nichts.

Das ist der unbequeme Schwebezustand. Rechtlich steht die Brücke noch. Ihr Fundament aber haben ihre eigenen Konstrukteure am Montag für verfassungswidrig erklärt.

Nun steh ich hier, ich armer Tor …

Wenn das DPF fällt, werden Datentransfers in die USA nicht am nächsten Morgen illegal. Das DPF ist nur einer von mehreren Wegen. Der Rückfall heißt Standardvertragsklauseln (SCCs), ergänzt um eine Einzelfallprüfung, das Transfer Impact Assessment, plus technische Zusatzmaßnahmen wie Verschlüsselung oder EU-Regionen. Microsoft, Google und AWS fahren diese Klauseln ohnehin parallel als Fallback. Wer das sauber dokumentiert hat, gerät nicht sofort in Not.

Der Haken, und den sollte man ehrlich benennen: Wenn das DPF fällt, dann fällt es, weil das US-Recht keine gleichwertige unabhängige Kontrolle mehr bietet. Genau diese Begründung untergräbt auch das Transfer Impact Assessment. Es ist schwer, in eine Prüfung zu schreiben, der Schutz sei angemessen, wenn eben dieser Schutz gerade höchstrichterlich kassiert wurde.

Und eine Schonfrist ist nicht garantiert. Bei Schrems II gab es keine. Wer heute plant, sollte vom Szenario "gilt ab sofort" ausgehen, nicht vom Szenario "wir haben noch Jahre".

Man kann das alles nicht von hier aus reparieren. Das US-Verwaltungsrecht bleibt Angelegenheit der Amerikaner, und diese schrauben nunmal vielerorts daran, dass nie wieder ein anderer Souverän als aus der Grand Old Party das Regime lenkt.

"Aber Server in Frankfurt!" Ja mei.

Souveränität ist mehr als die Frage, wo der Server steht. Wie gerade erlebt, gilt viel eher: wessen Unterschrift genügt, um die Regel zu ändern, auf die ihr euch verlasst.

Am Montag hat eine einzige Unterschrift genügt. Wer seine kritischen Prozesse und Daten auf eine Rechtskonstruktion stützt, die an der Unabhängigkeit fremder Behörden hängt, hat diese Frage an jemand anderen delegiert. Wer sie auf Infrastruktur stützt, die er selbst kontrolliert, hat wenigstens die eigene Seite in der Hand.

Was bleibt

"Aber es gibt doch das Data Privacy Framework." Der Satz war nie eine technische Garantie. Er war ein Verweis auf ein Versprechen: dass drüben jemand unabhängig zusieht. Das Versprechen war immer nur so stabil wie die Institutionen, die es trugen. Und die tragen seit Montag nicht mehr.

Vertrautheit ist kein Sicherheitsmerkmal, das galt für Outlook. Für Rechtsakte gilt etwas Ähnliches: Ein Beschluss im Amtsblatt fühlt sich an wie fester Boden. Ein Boden, gefliest mit Annahmen. Bei transatlantischen Datentransfers sind das zum dritten Mal in zehn Jahren dieselben Annahmen. Und zum dritten Mal wackeln sie am selben Punkt.

Der Court hat die Unabhängigkeit der FTC für verfassungswidrig erklärt: unconstitutional. Dasselbe Etikett hängt jetzt, ungesprochen, über der Brücke, die auf dieser Unabhängigkeit gebaut war.

Die Frage ist nicht mehr, ob die Brücke hält. Die Frage ist, was ihr habt, wenn sie fällt.