Das EU-US Data Privacy Framework hat seinen ersten Gerichtstermin überstanden. Am 3. September 2025 wies das Gericht der EU die Nichtigkeitsklage des französischen Abgeordneten Philippe Latombe ab und bestätigte den Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023 (T-553/23). Das ist nicht das letzte Wort. Latombe hat am 31. Oktober 2025 Rechtsmittel eingelegt, die Sache liegt nun beim EuGH (C-703/25 P). Wer seinen Datentransfer in die USA allein auf dieses Framework gestellt hat, ist nur ein Luxemburger Urteil von der Neuauflage von Schrems II entfernt.

Die Handlungsanweisung vorweg, weil sie diese Woche zählt: Halten Sie die Rückfallebene nach Art. 46 DSGVO dokumentiert und aktuell, also die Standardvertragsklauseln samt Transfer Impact Assessment. Denn das Fundament, auf dem die Angemessenheit ruht, ist seit dem Urteil brüchiger geworden. Das PCLOB, die Aufsicht über die US-Auslandsaufklärung, ist seit dem 27. Januar 2025 ohne Quorum. Am 29. Juni 2026 kippte der US Supreme Court in Trump v. Slaughter die Absetzungssperre, die den amerikanischen Aufsichtsbehörden ihre Unabhängigkeit verbürgte.

Der Beschluss 2023/1795 stützt sich nicht auf ein Gesetz, sondern auf eine Executive Order: die EO 14086 vom 7. Oktober 2022 und den darin geschaffenen Data Protection Review Court. Die Kommission stützte ihren Angemessenheitsbefund auf zwei Pfeiler. Erstens auf eine verhältnismässig begrenzte Auslandsaufklärung, deren Einhaltung unter anderem das PCLOB jährlich überprüfen sollte. Zweitens auf einen Rechtsbehelf für Betroffene vor dem DPRC. Beide Pfeiler setzen voraus, dass die kontrollierenden Stellen vom Präsidenten unabhängig handeln — genau diese Prämisse hat Slaughter für die FTC verfassungsrechtlich beseitigt und für jede vergleichbare Behörde erschüttert.

Als Entwarnung taugt das Urteil dennoch nicht. Ein Kommissionssprecher, Markus Lammert, erklärte laut Clifford Chance, die DPF-Grundsätze blieben unabhängig von der Besetzung des PCLOB anwendbar. Das trifft die Anwendbarkeit der Grundsätze, nicht die Angemessenheit. Ein Angemessenheitsbefund über eine fremde Rechtsordnung ist nur so viel wert wie die unabhängige Aufsicht, auf die er sich stützt. Der Prüfmassstab dämpft die Entwarnung zusätzlich: Das Gericht verlangte wesentliche Gleichwertigkeit, nicht Beinahe-Identität, und es beurteilte den Rechtsstand von 2023, nicht das Vakuum von 2025 oder Slaughter von 2026. Der EuGH hat mit Schrems I und Schrems II schon zwei US-Rahmen gekippt und liest die Auslandsüberwachung strenger als die erste Instanz.

Für die Schweiz kommt eine zweite Bruchstelle hinzu. Der Bundesrat setzte die USA am 15. August 2024 auf die Angemessenheitsliste; seit dem 15. September 2024 gilt die revidierte Datenschutzverordnung (Anhang 1 DSV zu Art. 16 Abs. 1 DSG). Diese Anerkennung ruht auf demselben US-Fundament wie der Brüsseler Beschluss: EO 14086, DPRC, PCLOB. Anders als in Luxemburg braucht es dafür kein Gericht — der Bundesrat kann die Anerkennung selbst zurücknehmen, sobald er die Voraussetzungen als nicht mehr erfüllt ansieht.

So bleibt die Rückfallebene warm. Erstens: Kartieren Sie Ihre US-Empfänger nach DPF-Zertifizierung — die Konzernmutter, die den HR-Datensatz zieht, ebenso wie der Cloud-Hyperscaler und das Marketing-SaaS. Für nicht zertifizierte Empfänger brauchen Sie ohnehin schon Standardvertragsklauseln, für EU-Daten die Klauseln nach Beschluss (EU) 2021/914 (Art. 46 Abs. 2 lit. c DSGVO), für Schweizer Daten die vom EDÖB anerkannten Klauseln (Art. 16 Abs. 2 lit. d DSG). Zweitens: Halten Sie das Transfer Impact Assessment aktuell. Das TIA aus Schrems II (C-311/18) und den EDSA-Empfehlungen 01/2020 ist nicht erledigt, nur weil ein Angemessenheitsbeschluss existiert, und ein heute geschriebenes TIA muss das PCLOB-Vakuum und Slaughter abbilden.

Dabei hat sich der Massstab verschoben. Ein TIA, das den Zugriff nach FISA Section 702 früher mit den Garantien der EO 14086 entschärfte, kann diese heute nicht mehr als gesichert unterstellen. Wo Klartextdaten der US-Auslandsaufklärung offenstehen, tragen die Klauseln allein nicht mehr, und es braucht ergänzende Massnahmen: Verschlüsselung mit Schlüsseln in der Schweiz oder EU, Pseudonymisierung, Datenminimierung. Die Beweispflicht liegt dabei nicht allein beim US-Empfänger: Klausel 14 der EU-Standardklauseln verpflichtet Exporteur und Importeur gemeinsam, die Prüfung zu dokumentieren und der Aufsicht auf Verlangen vorzulegen. Das gilt unter Art. 46 DSGVO wie unter Art. 16 Abs. 2 DSG.

Die offene Frage ist nicht, ob das Framework fällt, sondern wann Sie es erfahren. Der EuGH hat das Rechtsmittel C-703/25 P angenommen und im Juni 2026 Microsoft als Streithelferin zugunsten der Kommission zugelassen. Einen Verhandlungstermin gibt es noch nicht; mit einem Urteil ist kaum vor 2027 zu rechnen. Bis dahin trägt das DPF Ihre Transfers, aber nur so lange, wie niemand in Luxemburg die Prämisse prüft, die Washington seit Januar 2025 selbst aushöhlt. Wer die Art.-46-Ebene erst nach dem Urteil aufsetzt, verliert genau die Zeit, die er jetzt noch hat.