Supreme Court entmachtet die FTC: warum der EU-US-Datentransfer jetzt zum Rechtsrisiko wird

Am 09. Juli 2026 hat das Handelsblatt (Dietmar Neuerer) beschrieben, was die Spitzenverbände der deutschen Wirtschaft gerade alarmiert: Ende Juni hat der US Supreme Court die Unabhängigkeit der Federal Trade Commission (FTC) faktisch beendet. Der Präsident kann die FTC-Kommissare künftig ohne besonderen Grund entlassen. Das klingt nach US-Innenpolitik, trifft aber unmittelbar jedes deutsche Unternehmen, das Daten bei Microsoft, Amazon, Google oder Salesforce in den USA verarbeiten lässt.

Warum ein US-Behördenurteil den EU-Datentransfer trifft

Für den Datenaustausch mit den USA gilt bisher ein Angemessenheitsbeschluss, auf den sich Brüssel und Washington im Rahmen des EU-US-Data-Privacy-Framework verständigt hatten. Er regelt, unter welchen Bedingungen personenbezogene Daten (Kontakt- und Vertragsdaten, IP-Adressen, Kommunikationsinhalte) rechtssicher in die USA übertragen werden dürfen. Erlaubt ist das nur, wenn ein angemessenes Datenschutzniveau gewährleistet ist und beispielsweise US-Geheimdienste keinen unkontrollierten Zugriff haben. Die EU-Kommission hatte diese Erlaubnis unter anderem auf die Unabhängigkeit der FTC gestützt. Genau diese Säule hat der Supreme Court jetzt herausgezogen.

Was die Verbände sagen

DIHK (Chefjustiziar Stephan Wernicke): „Aufgrund der derzeitigen Situation bestehen hohe Haftungsrisiken zulasten der Unternehmen.“ Die Wirtschaft brauche nicht nur belastbare Angemessenheitsbeschlüsse, sondern auch rechtssichere Alternativen, die auch kleine und mittlere Unternehmen praktisch umsetzen können.
BGA (Präsident Dirk Jandura): Die EU habe sich beim Datenabkommen „massiv auf die politische Unabhängigkeit der Federal Trade Commission gestützt“. Nun habe sich die rechtliche Basis „radikal verändert“. Seine Einordnung: „Die Souveränitätsdebatte in Europa hat sich nun dramatisch zugespitzt.“
BDI (Experte Michael Dose): Ein rechtssicherer transatlantischer Datenverkehr sei „unverzichtbar“, er ist Grundlage für ein Handelsvolumen von rund 900 Milliarden Euro jährlich. Selbst wenn das Abkommen kippe, sei der Transfer nicht automatisch rechtswidrig, es entstünden aber „erhebliche Rechtsunsicherheit, zusätzlicher Compliance-Aufwand, Investitionshemmnisse“.

Das ist kein Einzelfall, das ist ein Muster

Der entscheidende Punkt für die eigene Risikobewertung: Dies wäre der dritte Zusammenbruch einer US-Angemessenheit in zehn Jahren. Safe Harbor (2015) und Privacy Shield (2020) wurden beide vom Europäischen Gerichtshof gekippt, jeweils nach Klagen des österreichischen Datenschutzaktivisten Max Schrems. Und Schrems kündigt bereits den nächsten Gang an: „Wir planen eine Klage“, sagte der noyb-Gründer dem Handelsblatt. Seine Begründung ist kurz und trifft den Kern: „Das EU-Recht verlangt eine unabhängige Aufsicht und der Supreme Court hat unabhängige Behörden verboten.“

Wer die letzten beiden Runden mitgemacht hat, kennt das Muster: Ein neues Abkommen wird ausgehandelt, für ein bis zwei Jahre als rechtssicher verkauft, dann vor dem EuGH kassiert, weil das strukturelle Problem (Zugriffsrechte der US-Administration) nie gelöst wurde. Der aktuelle Angemessenheitsbeschluss bleibt zwar zunächst bestehen, bis die EU-Kommission ihn aufhebt oder der EuGH ihn für nichtig erklärt. Aber ihn heute noch als verlässliche Planungsgrundlage für die nächsten drei Jahre zu behandeln, ist Optimismus, keine Compliance.

Warum Standardvertragsklauseln das nicht wirklich lösen

Die von BDI und DIHK genannte Absicherung, Standardvertragsklauseln (SCC) der EU-Kommission, ist genau die Krücke, die schon nach Schrems II übrig blieb. Sie hat zwei bekannte Schwächen. Erstens der Aufwand: DIHK-Justiziar Wernicke nennt ihn selbst „erheblich und rechtlich kaum zu bewältigen“, inklusive Transfer-Folgenabschätzung pro Dienstleister. Zweitens, und wichtiger: SCC sind ein Vertrag zwischen zwei Privaten. Sie binden aber keine US-Behörde. Das substanzielle Problem, das Privacy Shield zu Fall gebracht hat (staatlicher Zugriff), lässt sich vertraglich zwischen Ihnen und Microsoft schlicht nicht wegverhandeln. SCC verschieben das Haftungsrisiko zu Ihnen, sie beseitigen es nicht.

Die einzige Absicherung, die nicht an einem Beschluss aus Brüssel hängt

Es gibt eine Kategorie von Verarbeitung, die von diesem ganzen Drama strukturell nicht betroffen ist: die, bei der die Daten die EU nie verlassen. Kein Transfer in ein Drittland, kein Angemessenheitsbeschluss nötig, keine SCC, keine Transfer-Folgenabschätzung, kein Warten auf das nächste EuGH-Urteil. Was nicht übertragen wird, kann rechtlich nicht am Transferregime scheitern.

Für den KI-Einsatz ist das besonders relevant, denn hier läuft die Datenübertragung oft unbemerkt: Jeder Prompt an eine US-KI-API (OpenAI, Anthropic über US-Cloud, Azure OpenAI, Google) ist eine Übermittlung personenbezogener Daten in die USA, und hängt damit an genau der Rechtsgrundlage, die gerade wackelt. Wer Mandanten-, Patienten- oder Personaldaten durch ein Cloud-Modell schickt, transferiert sie. Eine On-Prem-Appliance kehrt das um: Die Inferenz läuft auf eigener Hardware im eigenen Haus, das Modell sieht die Daten, aber sie verlassen nie die EU und nie Ihre Infrastruktur. Damit fällt die gesamte Transfer-Compliance-Kette für den KI-Teil ersatzlos weg, und zwar unabhängig davon, wie der EuGH über das Data-Privacy-Framework entscheidet.

Ehrliche Einordnung

Eine KI:KUBE löst nicht Ihr Microsoft-365- oder AWS-Problem. E-Mail, Azure und AWS bleiben ein Transfer und brauchen ihre eigene Antwort (Wernicke rät zu Recht, bestehende Datenübermittlungen jetzt zu prüfen, denn funktionierender Datenschutz ist Teil der eigenen Lieferkette). Was lokale Inferenz löst, ist der KI-Teil: der wächst gerade am schnellsten, ist am schwersten zu überblicken (siehe Warum deutsche Unternehmen KI fast nur über US-APIs nutzen), und lässt sich als einziger sauber aus dem Transferregime herausnehmen. Und er trifft, anders als eine E-Mail, oft die sensibelsten Inhalte überhaupt: die, die man einem Modell zum Nachdenken gibt.

BGA-Präsident Jandura riet trotz allem zur Besonnenheit: „Wichtig ist, Ruhe zu bewahren.“ Das ist richtig, Panik ist kein Plan. Aber Ruhe bewahren heißt nicht abwarten. Es heißt, die Abhängigkeit dort zu reduzieren, wo es strukturell möglich ist, bevor die nächste Runde vor dem EuGH sie erzwingt. Mehr zur Rechtslage im DSGVO-Überblick.

Quelle: Dietmar Neuerer, „US-Urteil erhöht Risiken für deutsche Firmen massiv“, Handelsblatt, 09.07.2026 (sinngemäß zitiert; Original beim Handelsblatt). Zitate: DIHK (Stephan Wernicke), BGA (Dirk Jandura), BDI (Michael Dose), noyb (Max Schrems), wie im Beitrag wiedergegeben. Keine Rechtsberatung.