Was in Washington passiert ist
Am 29. Juni hat der Oberste Gerichtshof der USA eine der folgenreichsten Entscheidungen seiner jüngeren Geschichte gefällt. Im Fall Trump gegen Slaughter urteilten sechs von neun Richtern, dass der US-Präsident die Mitglieder sogenannter unabhängiger Bundesbehörden nach Belieben entlassen darf, ohne Begründung, ohne Fehlverhalten, allein wegen politischer Meinungsverschiedenheiten. Damit kippte das Gericht einen Präzedenzfall aus dem Jahr 1935, der neunzig Jahre lang die Unabhängigkeit dieser Behörden garantiert hatte.
Der Anlass: Präsident Trump hatte zwei Kommissarinnen der Handelsaufsicht FTC entlassen, obwohl das Gesetz eine Entlassung nur bei Pflichtverletzung vorsah. Der Supreme Court gab ihm recht, und zwar grundsätzlich. Die Entscheidung betrifft nicht nur die FTC, sondern rund zwei Dutzend Bundesbehörden, deren Führungen bisher vor dem direkten Zugriff des Weißen Hauses geschützt waren. Einzig die US-Notenbank wurde ausdrücklich ausgenommen. Die Verfassungsrichterin Sonia Sotomayor brachte es in ihrem Widerspruch auf den Punkt: Das Ergebnis sei „ein Präsident, der mit weit größerer Macht dasteht als je zuvor“.
Für europäische Unternehmen ist das Urteil relevant, denn die FTC spielt im EU-US Data Privacy Framework eine zentrale Rolle.
Die unsichtbare Brücke, auf der Ihre Daten stehen
Bei Microsoft 365, Google Workspace und anderen internationalen Diensten hängen mögliche Drittlandübermittlungen vom konkreten Dienst, der Konfiguration und den beteiligten Unterauftragnehmern ab. Unternehmenssitz, Speicherung und Verarbeitung sind getrennt zu prüfen. Die Rechtsgrundlage einer tatsächlichen Übermittlung ist anhand des jeweiligen Vertrags und Datenwegs zu bewerten.
Und sie ruht auf einer zentralen Annahme: dass in den USA eine unabhängige Aufsicht darüber wacht, dass US-Unternehmen ihre Datenschutz-Zusagen einhalten. Diese Aufsicht ist die FTC. Die Angemessenheitsentscheidung der EU-Kommission verweist an 259 Stellen auf die FTC als unabhängige Durchsetzungsbehörde.
Eine Behörde, deren Mitglieder der Präsident jederzeit abberufen kann, gilt nach europäischem Verständnis nicht als unabhängig. Das Urteil stellt damit die Unabhängigkeit infrage, auf die sich die Angemessenheitsentscheidung stützt. Und es betrifft nicht nur die FTC. Auch die weiteren Kontrollinstanzen, auf die sich Europas Datenschutz-Bewertung stützt, stehen jetzt zur Disposition: das Aufsichtsgremium für Bürgerrechte bei Geheimdienstzugriffen und das Datenschutz-Prüfgericht, das die EU-Kommission als Rechtsschutz für Europäer anführt. Letzteres wurde ohnehin nie durch ein Gesetz abgesichert, sondern nur durch eine präsidiale Anordnung, die derselbe Präsident jederzeit widerrufen kann.
Safe Harbor, Privacy Shield und das Data Privacy Framework
Europas Grundrechtsordnung ist an dieser Stelle unmissverständlich: Die EU-Grundrechtecharta und die EU-Verträge verlangen, dass die Einhaltung des Datenschutzes von einer unabhängigen Stelle überwacht wird. Keine unabhängige Aufsicht, keine Angemessenheit. So einfach ist die Gleichung, und der Europäische Gerichtshof hat sie schon zweimal angewandt: 2015 kippte er das Safe-Harbor-Abkommen, 2020 den Privacy Shield. Beide Male standen europäische Unternehmen über Nacht ohne Rechtsgrundlage für ihre US-Datentransfers da.
Jetzt wackelt das dritte Abkommen. Die Datenschutzorganisation noyb um Max Schrems hat die EU-Kommission bereits förmlich aufgefordert, die Angemessenheitsentscheidung zurückzunehmen, und eine neue Klage vor dem Europäischen Gerichtshof angekündigt. Ob die Kommission handelt oder das Gericht, das Muster kennen wir: Es dauert Monate oder wenige Jahre, dann fällt die Entscheidung, und sie fällt abrupt.
Das Framework gilt vorerst weiter. Für die langfristige Planung lohnt es sich, Datenwege so aufzubauen, dass sie von künftigen Entscheidungen zu US-Datentransfers unabhängig sind.
Was das für Ihr Unternehmen konkret heißt
Prüfen Sie, worauf Ihre US-Datentransfers rechtlich stehen. Es gibt nur zwei gängige Antworten, und beide sind vom Urteil betroffen:
- Data Privacy Framework: Ihr Anbieter ist DPF-zertifiziert, Ihre Transfers hängen direkt an der Angemessenheitsentscheidung. Fällt sie (durch Rücknahme oder Gerichtsurteil), brauchen Sie über Nacht eine neue Grundlage.
- Standardvertragsklauseln: Dann mussten Sie ein Transfer Impact Assessment erstellen: eine Bewertung, ob Ihre Daten im Zielland sicher sind. Diese Bewertungen stützen sich üblicherweise auf genau die Aufsichtsstrukturen, deren Unabhängigkeit der Supreme Court gerade beseitigt hat. Prüfen Sie diese Bewertungen deshalb im Licht des Urteils und fassen Sie sie neu.
Und selbst wer die juristische Seite irgendwie flickt, sollte den größeren Zusammenhang sehen: Dieses Urteil ist kein Ausrutscher, sondern Teil einer Richtung. Die Macht über die amerikanische Verwaltung (und damit über die Regeln, unter denen US-Technologiekonzerne operieren) konzentriert sich zunehmend an einer einzigen Stelle. Warum das den gesamten digitalen Arbeitsplatz betrifft und nicht nur die Datenfrage, haben wir im Beitrag Warum Europa souveräne KI und ein souveränes Office braucht beschrieben.
Die Antwort ist kein viertes Abkommen
Man kann jetzt darauf hoffen, dass Brüssel und Washington ein viertes Datenabkommen zimmern, das dann bis zum nächsten Urteil hält. Safe Harbor, Privacy Shield, Data Privacy Framework: Die Serie spricht nicht dafür, dass der vierte Versuch der dauerhafte wird. Die strukturelle Wahrheit ist unbequemer: Solange die Daten europäischer Unternehmen in einer fremden Jurisdiktion verarbeitet werden, hängt ihr Schutz an politischen Konstellationen, auf die Europa keinen Einfluss hat.
Deshalb ist die eigentliche Lehre aus diesem Urteil nicht juristisch, sondern strategisch: Deutschland und Europa brauchen digitale Souveränität: eigene Infrastruktur, eigene KI, eigene Dienste, unter europäischem Recht. Nicht aus Prinzip und nicht gegen Amerika, sondern als schlichtes Risikomanagement. Ein Unternehmen, dessen Daten Europa nie verlassen, muss keine Angemessenheitsentscheidungen fürchten, keine Transfer-Bewertungen nachschärfen und keinen Blick nach Washington werfen, bevor es seine eigene Zukunft plant.
Unsere Antwort: Die stabilste Rechtsgrundlage ist der Transfer, der nie stattfindet
Bei Nexoria liegen Dateien, Datenbanken und Wissensindex der Kernplattform auf Servern in Deutschland; auch die semantische Suche wird dort verarbeitet. Die Antwortgenerierung durch Nex nutzt Mistral AI. Weitere Dienste betrachten wir getrennt: Die technische Fehlerüberwachung läuft über Sentry mit Sitz in den USA, ohne Zugriff auf Dokumentinhalte, namentlich benannt im Verzeichnis nach Art. 30. Die E-Mail-Integration über Microsoft Graph API und Gmail API greift nur bei aktiver Integration. Beim optionalen VoiceBot stellt Telnyx den Telefonanschluss in Frankfurt bereit. ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google) und Langdock lassen sich optional an Nexoria anbinden. Nexoria funktioniert auch ohne diese Anbindungen. Bei einer Anbindung werden freigegebene Inhalte an den jeweiligen Anbieter übermittelt. Maßgeblich sind dessen Bedingungen, Verarbeitungsorte und Einstellungen. Die beteiligten Anbieter und Datenwege stehen unter Sicherheit.
Für die Bewertung von Nexoria können Sie die Datenwege der Kernplattform von zusätzlichen Diensten und aktivierten Integrationen unterscheiden. Entscheidend sind die tatsächlich genutzten Funktionen, die beteiligten Anbieter und die dazugehörigen Vertragsunterlagen.