Am Anfang ein Urteil, das nach Verwaltungsfrage klingt

Am 29. Juni 2026 hat der US Supreme Court entschieden, dass der Präsident die Kommissare der Federal Trade Commission jederzeit absetzen darf. Was wie eine amerikanische Verwaltungsfrage klingt, berührt jeden Schweizer CISO, dessen Unternehmen Daten in Microsoft 365, Google Workspace oder AWS verarbeitet. Denn genau diese Behörde ist eine tragende Säule dafür, dass transatlantischer Datentransfer heute überhaupt rechtssicher möglich ist.

Was das Urteil faktisch ist — nüchtern betrachtet

Trump v. Slaughter (Docket 25-332) bricht mit Humphrey's Executor von 1935 — dem Präzedenzfall, der die Unabhängigkeit der FTC 90 Jahre lang trug. Die FTC ist damit nicht mehr strukturell unabhängig, sondern präsidial steuerbar. Wichtig für eine saubere Argumentation: Aufgehoben ist noch nichts. Das Data Privacy Framework bleibt gültig, bis die EU-Kommission es ändert oder ein Gericht es kippt — das EU-Gericht hat die Nichtigkeitsklage Latombe gegen den Angemessenheitsbeschluss am 3. September 2025 abgewiesen.

Die zwei Pfeiler: Aufsicht und Redress sauber trennen

Der EU-US-Angemessenheitsbeschluss (10. Juli 2023) steht auf zwei Pfeilern. Den einen — die unabhängige Durchsetzung der Selbstverpflichtungen durch die FTC — schwächt Slaughter direkt; Art. 45 Abs. 2 lit. b DSGVO nennt unabhängige Aufsicht ausdrücklich als Angemessenheitskriterium. Den anderen Pfeiler — den Redress-Mechanismus für EU-Bürger (Data Protection Review Court) — berührt das Urteil nicht: dieser ruht auf Executive Order 14086, nicht auf der FTC. Diese Unterscheidung ist kein Detail. Wer beides vermischt, überzieht — und verliert im Fachgespräch an Glaubwürdigkeit.

Der Schweizer Hebel

Das Swiss-U.S. DPF (wirksam seit 15. September 2024) hat exakt dieselbe Architektur und denselben FTC-Baustein. Nach Schweizer DSG ist Datentransfer in die USA nur bei angemessenem Schutzniveau zulässig — und die USA gelten traditionell nicht als angemessen. Wackelt die US-Grundlage, trifft es Schweizer Unternehmen unmittelbar, nicht abgeschwächt.

Der weitere Verlauf: ein möglicher «Schrems III»

Die Debatte ist in Bewegung. Das EDPB hat die EU-Kommission am 31. Juli 2026 schriftlich gebeten, die Auswirkungen von Trump v. Slaughter auf die Gültigkeit des Angemessenheitsbeschlusses genau zu prüfen (EDPB-Letter an Kommissar McGrath, Art. 45 Abs. 2 lit. b DSGVO). Unabhängig davon wird in der Fachwelt diskutiert, ob das Urteil eine «Schrems III»-Klage nach sich ziehen könnte — eine fachliche Einschätzung, kein Verfahrensstand (vgl. Mishcon de Reya, 21. Juli 2026).

Was das konkret heisst — M365, AWS, SaaS

Für ein Schweizer Unternehmen, das personenbezogene Daten in US-Cloud-Diensten verarbeitet, ist die Lage heute: rechtlich gültig, aber zunehmend fragil. Grosskanzleien (Faegre Drinker, DLA Piper, Skadden, Holland & Knight) empfehlen durchweg, Standardvertragsklauseln (SCCs) als Parallel-Absicherung nicht mehr als optional zu behandeln.

Der Cloud-Act-Dreiklang: drei US-Zugriffsgrundlagen, die unabhängig vom DPF-Status fortbestehen

Hier liegt der Punkt, den die DPF-Debatte oft verdeckt: Das eigentliche Zugriffsrisiko hängt gar nicht am Angemessenheitsbeschluss. Drei US-Rechtsgrundlagen wirken unabhängig voneinander — und keine davon wird durch einen gültigen DPF ausgeschlossen:

• Der CLOUD Act (2018) verpflichtet US-Anbieter, Daten an US-Behörden herauszugeben — unabhängig vom Speicherort. Ein Rechenzentrum in Zürich schützt nicht, wenn der Provider US-Jurisdiktion unterliegt (Microsoft, Google, AWS).

• FISA Section 702 ist die Grundlage für die gezielte Überwachung von Nicht-US-Personen über US-Kommunikationsdienstleister. Sie besteht ohnehin — und ist genau der Punkt, der den EU-US-Angemessenheitsstreit überhaupt antreibt. (Als stehende Rechtsgrundlage zu verstehen, nicht zu verwechseln mit der Aufsichtsfrage aus Slaughter.)

• Executive Order 12333 erlaubt Signals Intelligence ausserhalb des FISA-Rahmens — Auslandsaufklärung mit minimaler gerichtlicher Kontrolle. Der blinde Fleck, den auch EO 14086 nur begrenzt adressiert.

Diese drei gehören in einem Atemzug gedacht. Ihre gemeinsame Konsequenz: Selbst ein wasserdichter DPF schützt nicht vor rechtmässigem US-Zugriff auf Klartext-Daten. Die Transfer-Rechtsfrage und die Zugriffsfrage sind zwei verschiedene Dinge — und die zweite bleibt, auch wenn die erste geklärt ist. Genau deshalb ist datenzentrische Sicherheit keine Reaktion auf Slaughter, sondern die strukturell richtige Antwort auf alle drei Hebel zugleich: Wer seine Daten formaterhaltend verschlüsselt und die Schlüssel selbst behält, gibt im Zugriffsfall nur unlesbaren Chiffretext preis — der DPF-Status wird für das eigene Risiko zweitrangig.

Unser Lösungsansatz

Die eigentliche Antwort liegt nicht im Nachjustieren von Verträgen, sondern eine Ebene tiefer: bei den Daten selbst. Nicht der Speicherort entscheidet über das Risiko, sondern von wo ein Dienst betrieben und worauf zugegriffen werden kann. Datenzentrische, formaterhaltende Verschlüsselung dreht die Frage um: Wer seine Daten selbst schützt und die Schlüsselhoheit behält, macht sich von der Angemessenheits-Rechtsfrage weitgehend unabhängig — die Daten bleiben geschützt, auch wenn ein Transfer-Mechanismus kippt. Das ist kein Notbehelf, sondern das Prinzip, aus dem datenzentrische Sicherheit entstanden ist.

Handlungsempfehlung

Kurzfristig: SCCs als Parallel-Absicherung prüfen. Strukturell: Datenzentrischen Schutz dort einziehen, wo die sensibelsten Daten liegen — damit die nächste Transfer-Debatte das eigene Risiko nicht mehr bestimmt.