Schrems III kommt: Was ein US-Urteil zur FTC für die Datenschutz-Wahl Ihrer Unternehmenssoftware bedeutet

Ein Urteil des US Supreme Court zur Unabhängigkeit einer US-Handelsbehörde hat nichts mit europäischem Datenschutzrecht zu tun - und trifft es trotzdem an einer empfindlichen Stelle. Was ist passiert, und was heißt das für Ihr Unternehmen, wenn Sie über neue Software oder Cloud-Dienste nachdenken?

Was ist eigentlich passiert

Am 29. Juni 2026 hat der US Supreme Court im Fall Trump v. Slaughter (Az. 25-332) mit 6 zu 3 Stimmen entschieden, dass gesetzliche Beschränkungen der präsidialen Abberufungsbefugnis für Kommissar:innen der Federal Trade Commission (FTC) - der US-Bundeshandelsbehörde - verfassungswidrig sind. Im Kern geht es um die Gewaltenteilung in den USA: Kann der Präsident FTC-Mitglieder jederzeit und ohne besonderen Grund entlassen, oder schützt sie ein Gesetz vor genau das?

Das Gericht hat sich für die präsidiale Abberufungsbefugnis entschieden. Damit verliert die FTC ihre bisherige, gesetzlich abgesicherte Unabhängigkeit von der Exekutive.

Das ist zunächst eine rein US-amerikanische Verfassungsfrage. Kein europäisches Gericht war beteiligt, kein Datenschutzgesetz wurde geändert, und der Supreme Court kann die DSGVO ohnehin nicht “kippen” - er hat schlicht keine Zuständigkeit dafür. Trotzdem hat das Urteil unmittelbare Folgen für den Datenschutz in Europa. Warum?

Die Verbindung zum EU-US Data Privacy Framework

Seit Juli 2023 dürfen US-Unternehmen personenbezogene Daten aus der EU auf Basis des EU-US Data Privacy Framework (DPF) verarbeiten - der Nachfolgeregelung von Privacy Shield. Die Europäische Kommission hat dafür 2023 einen sogenannten Angemessenheitsbeschluss erlassen: eine offizielle Feststellung, dass die USA (für teilnehmende Unternehmen) ein Schutzniveau bieten, das dem der EU im Wesentlichen entspricht.

Ein zentraler Baustein dieses Beschlusses ist die Unabhängigkeit der FTC als Aufsichtsbehörde, die die Einhaltung der DPF-Zusagen durch US-Unternehmen überwacht und durchsetzt. Die Kommission verweist in ihrem Beschlusstext an mehr als 250 Stellen auf genau diese Unabhängigkeit als Beleg dafür, dass die Kontrolle nicht von politischer Einflussnahme abhängt.

Genau dieses Fundament hat der Supreme Court nun entfernt. Wenn die FTC jederzeit durch den Präsidenten neu besetzt oder unter Druck gesetzt werden kann, lässt sich die Unabhängigkeit, auf der die Angemessenheitsentscheidung beruht, nicht mehr in der ursprünglichen Form behaupten.

Die österreichische Datenschutzorganisation noyb rund um Max Schrems - bereits verantwortlich für die Kippung von Safe Harbor (2015) und Privacy Shield (2020) - hat am 30. Juni 2026, einen Tag nach dem Urteil, die EU-Kommission in einem offiziellen Schreiben aufgefordert, einen “geordneten Rückzug” aus dem Angemessenheitsbeschluss einzuleiten. Gleichzeitig kündigte noyb eine neue Klage vor dem Europäischen Gerichtshof an - in der Fachpresse bereits als “Schrems III” bezeichnet.

Ein Muster, das sich zum dritten Mal wiederholt

Wer seit Längerem mit EU-US-Datentransfers zu tun hat, kennt das Schema:

1. Safe Harbor (in Kraft seit 2000) - vom EuGH 2015 im ersten Schrems-Urteil (“Schrems I”) gekippt.
2. Privacy Shield (Nachfolgeregelung ab 2016) - vom EuGH 2020 im zweiten Schrems-Urteil (“Schrems II”) ebenfalls für ungültig erklärt.
3. Data Privacy Framework (seit 2023) - nun durch das FTC-Urteil in seiner Grundlage erschüttert, mit angekündigter dritter Klage.

Jede dieser Regelungen war die Antwort auf das Scheitern der vorherigen. Das Muster ist erkennbar: Die USA erlauben ihren Sicherheitsbehörden weitreichenden Zugriff auf Daten, den europäisches Recht so nicht vorsieht - und jede rein politisch-diplomatische Reparatur dieses Grundkonflikts stand bisher vor Gericht auf wackligen Beinen.

Was aktuell gilt - und was nicht

Wichtig zur Einordnung: Aktuell ist nichts aufgehoben. Der Angemessenheitsbeschluss von 2023 gilt formal weiter, das Europäische Gericht (EuG) hat ihn im September 2025 in einem separaten Verfahren (Latombe) bestätigt, eine Berufung dagegen ist beim EuGH anhängig. Es gibt derzeit weder ein neues Urteil, das das DPF für ungültig erklärt, noch eine Entscheidung der Kommission, den Beschluss zurückzuziehen.

Was sich geändert hat, ist die Erwartung: Nach zwei vorherigen Kippungen und einem nun erschütterten rechtlichen Fundament ist die Wahrscheinlichkeit gestiegen, dass eine dritte Regelung in absehbarer Zeit ebenfalls fällt. Genau das spiegelt sich bereits in der Praxis: Öffentliche Ausschreibungen in Deutschland verlangen zunehmend explizit, dass eingesetzte Software “keinem Zugriffsrecht von Drittstaaten mit extraterritorialer Reichweite” unterliegen darf - ein direkter Reflex auf diese Unsicherheit.

Was das für Ihr Unternehmen bedeutet

Sie müssen jetzt keine bestehenden Verträge in Panik kündigen. Aber wenn Sie ohnehin gerade neue Software, eine neue Fachanwendung oder einen neuen Cloud-Dienst evaluieren, lohnt sich diese Zusatzfrage:

• Wo werden die Daten tatsächlich verarbeitet? Ein europäisches Rechenzentrum reicht allein nicht aus, wenn der Mutterkonzern in den USA sitzt und dem US CLOUD Act unterliegt, der US-Behörden Zugriff unabhängig vom Speicherort ermöglichen kann.
• Gibt es eine echte europäische Alternative? Für viele Standardanwendungen (Office, Kommunikation, Terminplanung) existieren mittlerweile ausgereifte EU-basierte oder selbst gehostete Lösungen.
• Ist Ihr Auftraggeber öffentlich oder krankenkassennah? Dann ist die “kein Drittstaaten-Zugriff”-Anforderung möglicherweise schon heute Teil Ihrer eigenen Vertrags- oder Ausschreibungspflichten - unabhängig davon, wie Schrems III ausgeht.

Ausblick: Wo wir vertiefen werden

Dieser Beitrag ordnet die aktuelle Rechtslage ein - bewusst ohne in die juristischen Details jedes einzelnen Aspekts abzutauchen. In den kommenden Wochen planen wir, einzelne Punkte in eigenen Artikeln zu vertiefen:

• Der US CLOUD Act im Detail: Warum ein EU-Rechenzentrum eines US-Anbieters Sie nicht automatisch vor Zugriff schützt.
• Schrems I, II und die kommende Klage im Vergleich: Was sich rechtlich zwischen den drei Fällen unterscheidet - und was nicht.
• Konkrete europäische Alternativen für Unternehmenssoftware: Eine praktische Übersicht, worauf Sie bei der nächsten Anschaffung achten sollten.

Wenn Sie schon jetzt wissen möchten, wie datenschutzkonform Ihre aktuelle Software-Auswahl aufgestellt ist, nehmen Sie unverbindlich Kontakt mit uns auf.