Wenn der Präsident die Aufseher feuern darf: Was das Jahrhunderturteil aus Washington für Ihre Daten bedeutet

Was in Washington passiert ist

Am 29. Juni hat der Oberste Gerichtshof der USA eine der folgenreichsten Entscheidungen seiner jüngeren Geschichte gefällt. Im Fall Trump gegen Slaughter urteilten sechs von neun Richtern, dass der US-Präsident die Mitglieder sogenannter unabhängiger Bundesbehörden nach Belieben entlassen darf — ohne Begründung, ohne Fehlverhalten, allein wegen politischer Meinungsverschiedenheiten. Damit kippte das Gericht einen Präzedenzfall aus dem Jahr 1935, der neunzig Jahre lang die Unabhängigkeit dieser Behörden garantiert hatte.

Der Anlass: Präsident Trump hatte zwei Kommissarinnen der Handelsaufsicht FTC entlassen, obwohl das Gesetz eine Entlassung nur bei Pflichtverletzung vorsah. Der Supreme Court gab ihm recht — und zwar grundsätzlich. Die Entscheidung betrifft nicht nur die FTC, sondern rund zwei Dutzend Bundesbehörden, deren Führungen bisher vor dem direkten Zugriff des Weißen Hauses geschützt waren. Einzig die US-Notenbank wurde ausdrücklich ausgenommen. Die Verfassungsrichterin Sonia Sotomayor brachte es in ihrem Widerspruch auf den Punkt: Das Ergebnis sei „ein Präsident, der mit weit größerer Macht dasteht als je zuvor“.

Man kann das für ein innenpolitisches Thema der Amerikaner halten. Das wäre ein Irrtum. Denn eine dieser Behörden trägt eine Brücke, über die täglich die Daten von Millionen europäischer Unternehmen fließen — vermutlich auch Ihre.

Die unsichtbare Brücke, auf der Ihre Daten stehen

Wenn Ihr Unternehmen Microsoft 365, Google Workspace oder einen anderen US-Dienst nutzt, fließen personenbezogene Daten in die USA. Legal ist das nur, weil die EU-Kommission 2023 bescheinigt hat, dass dort ein angemessenes Datenschutzniveau herrscht — das sogenannte EU-US Data Privacy Framework. Diese Bescheinigung ist die Rechtsgrundlage für die Datentransfers von zehntausenden europäischen Unternehmen.

Und sie ruht auf einer zentralen Annahme: dass in den USA eine unabhängige Aufsicht darüber wacht, dass US-Unternehmen ihre Datenschutz-Zusagen einhalten. Diese Aufsicht ist — die FTC. Die Angemessenheitsentscheidung der EU-Kommission verweist an 259 Stellen auf die FTC als unabhängige Durchsetzungsbehörde. Zweihundertneunundfünfzig Mal steht dort ein Wort, das seit dem 29. Juni nicht mehr stimmt.

Denn eine Behörde, deren Mitglieder der Präsident jederzeit und ohne Grund feuern kann, ist nicht unabhängig. Sie ist verlängerter Arm des Weißen Hauses. Das ist keine polemische Zuspitzung, sondern schlicht die Konsequenz des Urteils — und es trifft nicht nur die FTC. Auch die weiteren Kontrollinstanzen, auf die sich Europas Datenschutz-Bewertung stützt, stehen jetzt zur Disposition: das Aufsichtsgremium für Bürgerrechte bei Geheimdienstzugriffen und das Datenschutz-Prüfgericht, das die EU-Kommission als Rechtsschutz für Europäer anführt. Letzteres wurde ohnehin nie durch ein Gesetz abgesichert, sondern nur durch eine präsidiale Anordnung — die derselbe Präsident jederzeit widerrufen kann.

Das Fundament bricht — zum dritten Mal

Europas Grundrechtsordnung ist an dieser Stelle unmissverständlich: Die EU-Grundrechtecharta und die EU-Verträge verlangen, dass die Einhaltung des Datenschutzes von einer unabhängigen Stelle überwacht wird. Keine unabhängige Aufsicht, keine Angemessenheit. So einfach ist die Gleichung — und der Europäische Gerichtshof hat sie schon zweimal angewandt: 2015 kippte er das Safe-Harbor-Abkommen, 2020 den Privacy Shield. Beide Male standen europäische Unternehmen über Nacht ohne Rechtsgrundlage für ihre US-Datentransfers da.

Jetzt wackelt das dritte Abkommen. Die Datenschutzorganisation noyb um Max Schrems hat die EU-Kommission bereits förmlich aufgefordert, die Angemessenheitsentscheidung zurückzunehmen, und eine neue Klage vor dem Europäischen Gerichtshof angekündigt. Ob die Kommission handelt oder das Gericht — das Muster kennen wir: Es dauert Monate oder wenige Jahre, dann fällt die Entscheidung, und sie fällt abrupt.

„Das Framework gilt vorerst weiter“ — dieser Satz ist formal richtig und praktisch wertlos. Vorerst ist keine Planungsgrundlage für ein Unternehmen. Wer heute seine Kernprozesse auf US-Datentransfers baut, baut auf eine Rechtsgrundlage mit angekündigtem Verfallsdatum.

Was das für Ihr Unternehmen konkret heißt

Prüfen Sie, worauf Ihre US-Datentransfers rechtlich stehen. Es gibt nur zwei gängige Antworten, und beide sind vom Urteil betroffen:

• Data Privacy Framework: Ihr Anbieter ist DPF-zertifiziert, Ihre Transfers hängen direkt an der Angemessenheitsentscheidung. Fällt sie — durch Rücknahme oder Gerichtsurteil —, brauchen Sie über Nacht eine neue Grundlage.
• Standardvertragsklauseln: Dann mussten Sie ein Transfer Impact Assessment erstellen — eine Bewertung, ob Ihre Daten im Zielland sicher sind. Diese Bewertungen stützen sich üblicherweise auf genau die Aufsichtsstrukturen, deren Unabhängigkeit der Supreme Court gerade beseitigt hat. Sie sind damit in weiten Teilen Makulatur und müssen neu geschrieben werden — mit einem deutlich schlechteren Ergebnis.

Und selbst wer die juristische Seite irgendwie flickt, sollte den größeren Zusammenhang sehen: Dieses Urteil ist kein Ausrutscher, sondern Teil einer Richtung. Die Macht über die amerikanische Verwaltung — und damit über die Regeln, unter denen US-Technologiekonzerne operieren — konzentriert sich zunehmend an einer einzigen Stelle. Warum das den gesamten digitalen Arbeitsplatz betrifft und nicht nur die Datenfrage, haben wir in „Kein zweiter Kniefall“ beschrieben. Das Washingtoner Urteil liefert dazu die juristische Bestätigung: Zusagen aus den USA sind genau so belastbar, wie es die aktuelle Regierung will.

Die Antwort ist kein viertes Abkommen

Man kann jetzt darauf hoffen, dass Brüssel und Washington ein viertes Datenabkommen zimmern, das dann bis zum nächsten Urteil hält. Safe Harbor, Privacy Shield, Data Privacy Framework — die Serie spricht nicht dafür, dass der vierte Versuch der dauerhafte wird. Die strukturelle Wahrheit ist unbequemer: Solange die Daten europäischer Unternehmen in einer fremden Jurisdiktion verarbeitet werden, hängt ihr Schutz an politischen Konstellationen, auf die Europa keinen Einfluss hat.

Deshalb ist die eigentliche Lehre aus diesem Urteil nicht juristisch, sondern strategisch: Deutschland und Europa brauchen digitale Souveränität — eigene Infrastruktur, eigene KI, eigene Dienste, unter europäischem Recht. Nicht aus Prinzip und nicht gegen Amerika, sondern als schlichtes Risikomanagement. Ein Unternehmen, dessen Daten Europa nie verlassen, muss keine Angemessenheitsentscheidungen fürchten, keine Transfer-Bewertungen nachschärfen und keinen Blick nach Washington werfen, bevor es seine eigene Zukunft plant.

Unsere Antwort: Die stabilste Rechtsgrundlage ist der Transfer, der nie stattfindet

Bei Nexoria haben wir diese Konsequenz von Anfang an gezogen. Die gesamte Plattform — Office, Mail, Drive, Meet, die KI-Verarbeitung — läuft auf Servern in Deutschland, mit Mistral als europäischem KI-Modell, ohne US-Anbieter im kritischen Pfad. Für Ihre Daten heißt das: kein Data Privacy Framework nötig, keine Standardvertragsklauseln, kein Transfer Impact Assessment, keine Abhängigkeit von der Frage, wen der US-Präsident diese Woche entlassen hat. Die Rechtsgrundlage Ihrer Datenverarbeitung ist die DSGVO — und sonst nichts.

Das Jahrhunderturteil aus Washington wird Anwälte, Behörden und Gerichte auf beiden Seiten des Atlantiks jahrelang beschäftigen. Ihr Unternehmen muss an diesem Streit nicht teilnehmen. Es kann ihn hinter sich lassen — mit einer Infrastruktur, bei der die Frage „Was bedeutet das Urteil für unsere Daten?“ nur eine Antwort kennt: nichts. Denn sie sind hier, unter europäischem Recht, und hier bleiben sie.