Datentransfer in die USA: Warum das Data Privacy Framework gerade wackelt
Mir ist diese Woche eine Meldung untergekommen, die auf den ersten Blick nach amerikanischer Innenpolitik klingt — und beim zweiten Blick fast jeden unserer Kunden betrifft. Kurzfassung: Die rechtliche Grundlage dafür, dass wir in Europa Kundendaten an US-Anbieter geben dürfen, ist gerade ins Rutschen geraten.
Was ist passiert?
Am 29. Juni 2026 hat der oberste Gerichtshof der USA im Verfahren Trump v. Slaughter mit sechs zu drei Stimmen entschieden: Der US-Präsident darf die Kommissare der Federal Trade Commission — kurz FTC — jederzeit und ohne Begründung entlassen. Die FTC ist grob gesagt das amerikanische Pendant zu einer Mischung aus Kartellamt und Verbraucherschutzbehörde, und sie überwacht dort auch, ob Unternehmen ihre Datenschutzversprechen einhalten. Seit 1935 galt sie als unabhängig von der Regierung. Genau diese Unabhängigkeit ist jetzt weg.
Und was hat das mit meiner Firma zu tun?
Mehr, als einem lieb ist. Wenn Sie ein Newsletter-Tool aus den USA nutzen, Ihre Dateien in einer amerikanischen Cloud liegen oder Ihr CRM einem US-Konzern gehört, dann verlassen personenbezogene Daten Ihrer Kunden die EU. Das ist nach der DSGVO nur erlaubt, wenn im Zielland ein vergleichbares Schutzniveau herrscht.
Genau das bescheinigt das EU-US Data Privacy Framework (kurz DPF) den USA seit 2023. Es ist die dritte Fassung dieser Vereinbarung — die beiden Vorgänger, „Safe Harbor" und „Privacy Shield", wurden vom Europäischen Gerichtshof kassiert. Und in der Begründung, warum die USA angemessenen Schutz bieten, spielte die unabhängige Aufsicht durch die FTC eine tragende Rolle. Diese Säule ist nun angesägt.
Was passiert jetzt?
Die europäischen Datenschutzbehörden verlangen Klärung von der EU-Kommission: Unter welchen Bedingungen dürfen Daten künftig in die USA fließen? Die Datenschutzorganisation noyb rund um Max Schrems — derselbe Jurist, der schon Safe Harbor und Privacy Shield zu Fall gebracht hat — hat die Kommission aufgefordert, das Framework geordnet zurückzunehmen, und eine Klage vor dem EuGH angekündigt. In Fachkreisen heißt das Verfahren jetzt schon „Schrems III".
Wichtig für die Nerven: Das Data Privacy Framework gilt weiter. Der Durchführungsbeschluss (EU) 2023/1795 bleibt in Kraft, bis er aufgehoben oder gekippt wird. Sie müssen also heute nichts abschalten.
Was wir bei Media Nord davon halten
Ehrlich gesagt halte ich es für ziemlich wahrscheinlich, dass auch dieses dritte Abkommen vor Gericht landet und dort Probleme bekommt. Zweimal ist es schon passiert, und diesmal ist das Argument sogar noch handfester als vorher. Wer jetzt darauf setzt, dass das schon gutgeht, plant auf Sand.
Gleichzeitig halten wir nichts von Panikmache. Wir haben in den letzten Jahren einige Betriebe erlebt, die nach der Privacy-Shield-Entscheidung in blinden Aktionismus verfallen sind, drei Tools gewechselt haben — und danach schlechter dastanden als vorher. Unser Rat ist nüchterner: Wissen, wo die Daten liegen. Das kostet einen halben Tag und rettet Ihnen im Ernstfall Wochen.
Fünf Schritte, die wir Kunden gerade empfehlen
- Liste anlegen: Welche Dienste verarbeiten Kundendaten? Newsletter, Cloud-Speicher, Buchhaltung, Terminbuchung, Website-Analyse, KI-Chatbots. Meist kommen mehr zusammen als gedacht.
- Sitz prüfen: Steht der Anbieter in den USA oder gehört er zu einem US-Konzern? Ein europäisches Rechenzentrum allein ist noch keine Entwarnung.
- Verträge checken: Auf welcher Grundlage übermittelt der Anbieter — DPF-Zertifizierung, Standardvertragsklauseln, beides?
- Alternativen kennen: Für Newsletter, Cloud und Videokonferenz gibt es brauchbare europäische Anbieter. Sie müssen nicht wechseln — aber Sie sollten wissen, wohin Sie könnten.
- Ruhe bewahren: Erst handeln, wenn eine Entscheidung fällt. Vorher reicht Vorbereitung.
Häufige Fragen
Muss ich jetzt sofort meine US-Tools kündigen?
Nein. Das Framework ist gültig. Kündigen Sie nichts überstürzt.
Reicht es, wenn der Anbieter Server in Europa hat?
Nicht automatisch. Wenn ein US-Mutterkonzern Zugriff hat, kann trotzdem eine Übermittlung vorliegen. Das steht in der Regel im Auftragsverarbeitungsvertrag.
Was kostet mich ein Kippen des Abkommens?
Wenn Sie vorbereitet sind: wenig. Dann wechseln Sie zwei bis drei Dienste und passen Ihre Datenschutzerklärung an. Wenn Sie nicht vorbereitet sind, suchen Sie unter Zeitdruck — und das wird teuer.
Unser Tipp aus der Praxis: Machen Sie die Bestandsliste jetzt, solange kein Druck da ist. Wir gehen so etwas mit Kunden meist in einem Termin durch — danach weiß man, wo man steht.
Quellen
- https://www.heise.de/news/Dienstag-EchoStar-Tochter-beantragt-Insolvenz-EU-Datenschuetzer-wollen-Klaerung-11395934.html
- https://www.activemind.legal/guides/dpf-supreme-court/
- https://cms.law/en/int/legal-updates/us-supreme-court-ruling-puts-transatlantic-data-sharing-at-risk
- https://www.hunton.com/privacy-and-cybersecurity-law-blog/u-s-supreme-court-ftc-ruling-prompts-fresh-scrutiny-of-eu-u-s-data-privacy-framework
Hinweis zur Transparenz: Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung redaktionell geprüft. Inhalte können Fehler enthalten — für wichtige Entscheidungen bitte die verlinkten Originalquellen heranziehen.
