Mittwoch, 22. Juli 2026 von Oliver Schwartz Warum ein Urteil des U.S. Supreme Court für Europas Unternehmen relevant wird
Das unterschätzte Risiko der KI-Revolution
Vor wenigen Wochen, am 29. Juni 2026, fällte der U.S. Supreme Court ein Urteil, das auf den ersten Blick wie eine innenpolitische Machtfrage wirkte. Im Verfahren Trump v. Slaughter ging es um die Befugnis des amerikanischen Präsidenten, Mitglieder der Federal Trade Commission zu entlassen. Mit sechs zu drei Stimmen stärkte das Gericht die Kontrolle des Präsidenten über jene Behörde, die in den Vereinigten Staaten Wettbewerb und Verbraucherschutz überwacht – und zugleich eine zentrale Rolle bei der Durchsetzung des EU-U.S. Data Privacy Framework spielt. Das Data Privacy Framework bildet derzeit die wichtigste Rechtsgrundlage für den Transfer personenbezogener Daten zwischen der Europäischen Union und den Vereinigten Staaten. Es ermöglicht europäischen Unternehmen, Daten an zertifizierte US-Anbieter zu übermitteln – von Cloudplattformen und Softwarediensten bis hin zu den großen Anbietern generativer KI. Das Urteil betrifft deshalb nicht nur das amerikanische Verfassungsrecht. Es berührt eine Grundannahme, auf der ein erheblicher Teil der europäischen Digitalisierung inzwischen aufbaut, dass Datenschutzzusagen amerikanischer Unternehmen wirksam und unabhängig durchgesetzt werden.
Der Zeitpunkt könnte kaum sensibler sein. Unternehmen integrieren generative KI derzeit mit hoher Geschwindigkeit in ihre Geschäftsprozesse. Sprachmodelle analysieren Verträge, unterstützen den Kundenservice, erstellen Managementberichte oder greifen auf interne Wissensdatenbanken zu. Hinter der scheinbar einfachen Benutzeroberfläche verlaufen jedoch häufig komplexe Datenströme über Cloudanbieter, Modellbetreiber und internationale Dienstleister. Gerät die rechtliche Grundlage dieser Datenflüsse ins Wanken, könnte dies die Nutzung von KI wesentlich stärker treffen als klassische IT-Anwendungen. Während Vorstände und IT-Verantwortliche ihre Aufmerksamkeit derzeit vor allem auf den europäischen AI Act richten, gerät damit eine andere Voraussetzung der KI-Transformation aus dem Blick: die rechtliche Grundlage internationaler Datentransfers. Genau hier setzt das Urteil des Supreme Court an.
Auf den ersten Blick scheint Trump v. Slaughter mit Datenschutz oder Künstlicher Intelligenz wenig zu tun zu haben. Der Supreme Court entschied weder über transatlantische Datentransfers noch über KI-Systeme. Im Kern ging es um die verfassungsrechtliche Stellung einer Bundesbehörde. Für Europa reicht die Bedeutung der Entscheidung jedoch weiter. Die FTC gehört zu den Institutionen, auf deren Durchsetzungsfähigkeit die Europäische Kommission ihre Angemessenheitsentscheidung zum Data Privacy Framework gestützt hat. Sie überwacht unter anderem, ob sich zertifizierte Unternehmen an die im Framework übernommenen Datenschutzverpflichtungen halten. Das Urteil verändert diese Aufgaben nicht. Die Behörde bleibt bestehen und verfügt weiterhin über ihre Ermittlungs- und Sanktionsbefugnisse. Verändert hat sich jedoch ihre institutionelle Stellung gegenüber dem Präsidenten. Genau diese Veränderung wirft die Frage auf, ob eine der tragenden Institutionen des Data Privacy Framework künftig dieselbe Unabhängigkeit besitzt wie bisher. Noch ist das eine offene Rechtsfrage, denn das Data Privacy Framework gilt unverändert fort. Europäische Unternehmen dürfen personenbezogene Daten weiterhin an zertifizierte US-Unternehmen übermitteln. Weder die Europäische Kommission noch der Europäische Gerichtshof haben seine Gültigkeit infrage gestellt. Dennoch markiert das Urteil einen Wendepunkt in der Debatte. Erstmals seit Einführung des Data Privacy Framework richtet sich der Blick wieder auf die institutionellen Voraussetzungen seiner langfristigen Stabilität.
KI verändert die Bedeutung des Datenschutzes
Für klassische Cloud-Anwendungen wäre diese Diskussion vor wenigen Jahren vor allem ein Thema für Datenschutzexperten und Juristen gewesen. Mit der rasanten Verbreitung generativer KI verändert sich jedoch die Perspektive. Sprachmodelle sind längst nicht mehr nur einzelne Werkzeuge. Sie entwickeln sich zur zentralen Schnittstelle für Wissen im Unternehmen. Sie analysieren Dokumente, unterstützen Fachabteilungen, greifen auf interne Datenbestände zu und verknüpfen Informationen aus unterschiedlichen Quellen. Damit steigt zwangsläufig auch die Zahl personenbezogener Daten, die verarbeitet werden. Gleichzeitig wächst die Abhängigkeit von amerikanischen Technologieanbietern. Viele der leistungsfähigsten Foundation Models stammen aus den USA oder werden auf amerikanischen Cloudplattformen betrieben. Selbst europäische KI-Lösungen greifen häufig auf diese Infrastruktur zurück.
Damit entsteht neben der technologischen Abhängigkeit eine zweite, weniger sichtbare Dimension: die Abhängigkeit von einer stabilen rechtlichen Grundlage für internationale Datenübermittlungen. Genau hierin unterscheidet sich die aktuelle Entwicklung von früheren Datenschutzdebatten. Das Data Privacy Framework ist heute weit mehr als eine juristische Spezialmaterie. Mit der breiten Einführung generativer KI wird es zu einer strategischen Voraussetzung der digitalen Transformation. Die eigentliche Tragweite des Supreme-Court-Urteils erschließt sich erst mit Blick auf die Entwicklung der vergangenen drei Jahre. Generative KI hat sich vom Experiment einzelner Fachabteilungen zu einer Schlüsseltechnologie der digitalen Transformation entwickelt. Sprachmodelle unterstützen heute nicht mehr nur beim Formulieren von Texten. Sie analysieren Verträge, durchsuchen Wissensdatenbanken, erstellen Managementberichte, helfen bei der Softwareentwicklung und werden zunehmend zur zentralen Benutzerschnittstelle für Unternehmenswissen.
Mit dieser Entwicklung verändert sich auch die Rolle des Datenschutzes. Während klassische Anwendungen meist klar abgegrenzte Datenbestände verarbeiteten, arbeiten moderne KI-Systeme kontextbezogen. Je umfassender sie in Unternehmensprozesse integriert werden, desto wahrscheinlicher ist es, dass sie mit personenbezogenen Daten in Berührung kommen. Namen, E-Mail-Adressen, Vertragsinhalte oder Kundenkommunikation gehören schließlich zum Alltag nahezu jeder Organisation. Damit wächst zugleich die Bedeutung internationaler Datenübermittlungen. Viele der leistungsfähigsten Foundation Models stammen aus den USA oder werden auf amerikanischen Cloudplattformen betrieben. Selbst europäische Softwarelösungen greifen häufig auf diese Infrastruktur zurück.
Für Unternehmen entsteht dadurch eine doppelte Abhängigkeit: von der Technologie selbst – und von der rechtlichen Grundlage, auf der ihre Nutzung beruht.
Drei Regelwerke statt eines
In der öffentlichen Diskussion richtet sich der Blick derzeit vor allem auf den AI Act. Tatsächlich regelt dieser jedoch nur einen Teil der rechtlichen Anforderungen. Der AI Act definiert die Voraussetzungen für Entwicklung und Einsatz von KI-Systemen. Die Datenschutz-Grundverordnung regelt die Verarbeitung personenbezogener Daten. Das Data Privacy Framework wiederum schafft die Grundlage für Datenübermittlungen in die Vereinigten Staaten. In der Praxis werden diese Regelwerke häufig getrennt betrachtet. Tatsächlich greifen sie ineinander.
Ein Unternehmen kann die Anforderungen des AI Act erfüllen und dennoch vor datenschutzrechtlichen Herausforderungen stehen, wenn personenbezogene Daten in Drittstaaten übertragen werden. Umgekehrt löst das Data Privacy Framework keine Fragen der KI-Governance oder der DSGVO-Compliance. Gerade deshalb verdient die aktuelle Entwicklung Aufmerksamkeit. Nicht weil das Data Privacy Framework heute infrage stünde, sondern weil sich seine Stabilität zunehmend zu einer strategischen Größe entwickelt.
Aus dem Supreme-Court-Urteil bereits das Ende des Data Privacy Framework abzuleiten, greift zu kurz, denn das Framework gilt derzeit noch unverändert. Europäische Unternehmen dürfen personenbezogene Daten weiterhin an zertifizierte US-Unternehmen übermitteln. Auch die Federal Trade Commission bleibt handlungsfähig und verfügt weiterhin über ihre Aufsichts- und Sanktionsbefugnisse. Mit Trump v. Slaughter ist aber erstmals wieder eine Debatte darüber entstanden, ob die institutionellen Voraussetzungen des Frameworks langfristig unverändert bestehen bleiben. Die Europäische Kommission ist verpflichtet, Angemessenheitsbeschlüsse regelmäßig zu überprüfen. Datenschutzorganisationen haben bereits angekündigt, die Auswirkungen des Urteils genau zu analysieren. Ob daraus tatsächlich ein neues Verfahren vor dem EuGH entsteht, lässt sich noch nicht sicher vorhersagen.
Für Unternehmen ist diese Unsicherheit jedoch bereits heute relevant. Denn je stärker Geschäftsprozesse auf generativer KI aufbauen, desto schwieriger und aufwendiger wird ein späterer Wechsel der technischen oder rechtlichen Grundlagen. Die zentrale Frage ist daher, wie resilient die eigene KI-Strategie ist, wenn sich die Rahmenbedingungen für internationale Datenübermittlungen verändern. ■
Jetzt das Thema vertiefen:
Der Report zum Thema
Lesen Sie auch den umfangreichen Report von Konstantin Pflüger und Oliver Schwartz zur Bedeutung des Supreme Court Urteils und strategischen Szenarien für Unternehmen.
