Weckruf zur Digitalen Souveränität

Mit dem Urteil Trump vs. Slaughter hat der US Supreme Court womöglich das EU-US Data Privacy Framework gekillt.
alexkich/Shutterstock.com



Deutschland fliegt bei der Fußball-WM im Sechzehntelfinale raus und in Berlin spekuliert man über die Reformpläne der Regierung – da kann ein Urteil in einem Trump-Verfahren vor dem Supreme Court, dem obersten Bundesgericht der USA, schonmal übersehen werden. Zumal das Gericht an diesem Tag gleich in vier Trump-Fällen urteilte.



Doch eines der vier Urteile, nämlich das im Fall Trump versus Slaughter, enthält viel wirtschaftspolitische Sprengkraft. Es hat das Potenzial dazu, den Datenaustausch zwischen den EU und der USA auf den Kopf zustellen. Zudem könnte die Cloud-Nutzung US-amerikanischer Anbieter – egal, ob in Europa gehostet – illegal sein.



FTC verliert Unabhängigkeit



Worum geht es? Trump hatte 2025 die demokratische FTC-Kommissarin Rebecca Kelly Slaughter (FTC = Federal Trade Commission) mit der Begründung gefeuert, dass ihre Tätigkeit im Widerspruch zu den Prioritäten seiner Regierung stehe. Damit verstieß er gegen das über 90 Jahre alte Grundsatzurteil Humphrey’s Executor v. United States, das Mitglieder unabhängiger Kommission vor politisch motivierten Entlassungen schützen soll.



Doch der Supreme Court gab Trump jetzt mit Verweis auf die Unitary Excutive Theory recht. Danach hat die gesamte Exekutivgewalt, auch über Behörden, Aufsichtsorganisationen etc. letztlich beim Präsidenten zu liegen. Oder anders ausgedrückt: Das Gericht hat die Unabhängigkeit der FTC als US-amerikanische Wettbewerbs- und Verbraucherschutzbehörde aufgehoben. Ein Schritt, der nach Ansicht der New York Times das Machtgefüge in Washington grundlegend verändert. Denn künftig kann ein US-Präsident zahlreiche Behörden stärker nach seinen politischen Vorstellungen besetzen und missliebige Behördenchefs einfacher feuern.



Data Privacy Framework in Gefahr



Ja und?, ist man versucht, als Europäer und Deutscher zu sagen. Was jucken uns US-interne Streitigkeiten um Behörden, solange wir unsere unabhängigen Institutionen haben. Auf den ersten Blick mag das stimmen. Doch die Sache hat einen gewaltigen Haken. Das EU-US Data Privacy Framework (DPF), das den Datenaustausch zwischen den USA und Europa regelt, stützt sich auf die FTC als unabhängige Aufsichtsbehörde für den Datenschutz in den USA.



Und das gleich 259-mal, wie Max Schrems nachgezählt hat. Wir erinnern uns, Schrems ist der Österreicher, der bereits 2020 das Privacy-Shield-Abkommen und 2015 Safe Harbor mit seinen Klagen vor dem EuGH zu Fall brachte. Der Schönheitsfehler an der Sache mit der FTC als Datenschutzaufsicht aus seiner Sicht: Das EU-Vertragsrecht verlangt, dass Datenschutzbehörden unabhängig sein müssen. Konkret findet sich diese Anforderung in Artikel 16(2) AEUV sowie Artikel 8(3) der Charta der Grundrechte der EU.



Schrems und noyb wollen klagen



Vor diesem Hintergrund liegen für Schrems und die NGO noyb die Konsequenzen auf der Hand: „Da es in den USA keine unabhängigen Behörden mehr gibt, fordern wir die Kommission auf, die Angemessenheitsentscheidung für die USA in einem geordneten Prozess aufzuheben.“ Einen entsprechenden Brief haben sie bereits an die EU-Kommission geschickt. Zudem werde man in den nächsten Wochen Klage beim EuGH einreichen.



Besteht nun Anlass zu Panik? Momentan sicher nicht. Zumal die USA bereits seit längerer Zeit auf die EU bezüglich Datenverarbeitung massiv Druck ausüben. Und bis der EuGH womöglich das Data Privacy Framework in einem Verfahren kippt, dürften zwei bis drei Jahre ins Land gehen.



Alternativen suchen



Also bequem zurücklehnen? Das sicher auch nicht. Das Urteil des Supreme Court sollte vielmehr als ein Weckruf für mehr Digitale Souveränität verstanden werden. Zumal es zeigt, wie sehr Datenschutz und Datensicherheit im Zusammenhang mit den USA von der Laune – pardon, Executive Order – des US-Präsidenten abhängen.



Handlungshektik ist also nicht angesagt. Allerdings sollten Unternehmen, die sich bei der Übermittlung personenbezogener Daten auf das DPF stützen, ihre Vorgehensweise zeitnah überprüfen. Eventuell eignen sich auch Standardvertragsklauseln (SCCs) und interne Datenschutzvorschriften (Binding Corporate Rules – BCRs) als Lösung. Ebenso stehen auch diese auf wackeligen Beinen, wenn es in den USA keine unabhängige Aufsicht mehr gibt.



Volatilität der Regulierung droht



Im US-Geschäft sollten sich Unternehmen in Bezug auf Daten auf eine größere regulatorische Volatilität einstellen. Ebenso gilt es genau zu prüfen, inwieweit die souveränen Cloud- und Serviceangebote der US-Anbieter in Europa wirklich sicher vor dem Zugriff der US-Behörden sind.



Und vor dem Hintergrund des Urteils sollte Datenverschlüsselung bei der Nutzung von US-Services zum Standard gehörten. Ferner sollte die Suche nach souveränen europäischen Alternativen eigentlich standardmäßig im Pflichtenheft jedes IT-Entscheiders stehen. Oder, um abschließend Bernie Wagner von Schwarz Digits, zu zitieren: „Wer Freiheit will, muss heute anfangen“.