# DSGVO und US-Cloud: Wie belastbar ist der Datentransfer in die USA? > Das EU-US Data Privacy Framework hat die erste gerichtliche Prüfung überstanden, das Berufungsverfahren läuft. Warum Unternehmen trotzdem nicht allein darauf bauen sollten – und welche Optionen es gibt. - Rubrik: Business - Format: Analyse - Autor: Redaktion Umbrecher (umbrecher, https://umbrecher.com/ueber) - Veröffentlicht: 2026-10-27 - Kanonische URL: https://umbrecher.com/artikel/dsgvo-und-us-cloud ## Das Wichtigste in Kürze - Das EU-US Data Privacy Framework gilt seit Juli 2023; das Gericht der EU hat es im September 2025 bestätigt, das Rechtsmittel vor dem EuGH (C-703/25 P) ist anhängig. - Der US CLOUD Act ermöglicht US-Behörden den Zugriff auf Daten bei Anbietern, die US-Recht unterliegen, auch wenn die Daten in der EU gespeichert sind. - Verschlüsselung ist nach den EDSA-Empfehlungen nur dann eine wirksame Zusatzmaßnahme, wenn die Schlüssel ausschließlich beim Datenexporteur liegen und der Anbieter keinen Klartext verarbeiten muss. - Für besonders sensible Daten bieten europäische Anbieter ohne US-Konzernbindung oder eigene Infrastruktur den direktesten Schutz. - Wer US-Dienste weiter nutzt, sollte die Nutzung dokumentieren, Standardvertragsklauseln als Rückfallebene vereinbaren und einen Ausstiegsplan bereithalten. *Dieser Beitrag ist keine Rechtsberatung.* Der Datentransfer in eine US-Cloud ist derzeit über das EU-US Data Privacy Framework rechtlich tragfähig, aber nicht stabil. Wer personenbezogene Daten in einer US-Cloud verarbeitet, bewegt sich seit Jahren auf wechselndem Grund. Zwei Abkommen – Safe Harbor und Privacy Shield – hat der Europäische Gerichtshof (EuGH) bereits gekippt. Das dritte, das EU-US Data Privacy Framework (DPF), gilt seit Juli 2023 und hat im September 2025 eine erste Klage vor dem Gericht der EU überstanden. Endgültig entschieden ist damit aber nichts: Das Rechtsmittelverfahren vor dem EuGH läuft. Für Geschäftsleitungen und IT-Verantwortliche stellt sich deshalb eine strategische Frage: Wie viel Abhängigkeit von einer Rechtsgrundlage ist vertretbar, deren Bestand nicht in der eigenen Hand liegt? ## Der Rahmen: Drittlandtransfers nach der DSGVO Die Datenschutz-Grundverordnung (DSGVO) erlaubt die Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums nur unter bestimmten Bedingungen (Kapitel V, Artikel 44 ff.). Die wichtigsten Wege: - **Angemessenheitsbeschluss (Art. 45):** Die EU-Kommission stellt fest, dass ein Drittland ein im Wesentlichen gleichwertiges Schutzniveau bietet. Für die USA ist das der DPF-Beschluss – er gilt allerdings nur für US-Unternehmen, die sich unter dem Framework zertifiziert haben. - **Geeignete Garantien (Art. 46):** vor allem die Standardvertragsklauseln (SCC) der Kommission von 2021, gegebenenfalls ergänzt um zusätzliche Schutzmaßnahmen. - **Ausnahmen (Art. 49):** etwa ausdrückliche Einwilligung – für regelmäßige, umfangreiche Übermittlungen in aller Regel ungeeignet. ## Schrems II: Warum das Thema nicht verschwindet Mit dem Urteil in der Rechtssache C-311/18 („Schrems II“) vom 16. Juli 2020 erklärte der EuGH den Privacy Shield für ungültig. Kern der Begründung: Die Überwachungsbefugnisse US-amerikanischer Nachrichtendienste seien nicht auf das zwingend erforderliche Maß beschränkt, und Betroffene aus der EU hätten keinen wirksamen Rechtsbehelf vor einem unabhängigen Gericht. Die Standardvertragsklauseln blieben zwar gültig, aber mit einer Auflage: Datenexporteure müssen im Einzelfall prüfen, ob das Recht des Ziellands die vertraglichen Garantien unterläuft, und gegebenenfalls zusätzliche Maßnahmen ergreifen. Daraus entstand die Praxis der Transfer-Folgenabschätzung (Transfer Impact Assessment, TIA). Der Europäische Datenschutzausschuss (EDSA) hat dazu im Juni 2021 die finale Fassung seiner Empfehlungen 01/2020 veröffentlicht. ## Das Data Privacy Framework und die Klage Latombe Die Kommission erließ am 10. Juli 2023 den Angemessenheitsbeschluss für das DPF. Grundlage sind Zusagen der USA, insbesondere die Executive Order 14086 von Oktober 2022, die Überwachungsmaßnahmen an Grundsätze der Notwendigkeit und Verhältnismäßigkeit bindet, sowie ein zweistufiges Beschwerdeverfahren mit einem neu geschaffenen Data Protection Review Court (DPRC). Der französische Abgeordnete Philippe Latombe klagte im September 2023 vor dem Gericht der EU auf Nichtigerklärung (Rechtssache T-553/23). Am 3. September 2025 wies das Gericht die Klage ab. Es hielt den DPRC für hinreichend unabhängig und unparteiisch und sah die Einwände gegen die Massendatenerhebung nicht als durchgreifend an. Latombe legte am 31. Oktober 2025 Rechtsmittel beim EuGH ein (Rechtssache C-703/25 P). Nach unserem Stand der Recherche (Oktober 2026) ist dort noch keine Entscheidung ergangen. Wann der EuGH urteilt und wie, ist offen. Unabhängig davon steht die Möglichkeit weiterer Verfahren – etwa Vorlagen nationaler Gerichte – grundsätzlich jederzeit im Raum. ### Politische Unsicherheiten Ein Faktor, der in der Debatte eine Rolle spielt: Das Privacy and Civil Liberties Oversight Board (PCLOB), ein Aufsichtsgremium der US-Exekutive, ist Teil der Architektur, auf die sich die Kommission im DPF-Beschluss stützt. Im Januar 2025 entließ der US-Präsident die drei demokratischen Mitglieder des Gremiums. Ein Bundesgericht erklärte die Entlassung im Mai 2025 für rechtswidrig; das Verfahren ging in die nächste Instanz. Für Unternehmen zeigt das vor allem eines: Die Grundlagen des DPF hängen von Entscheidungen ab, auf die europäische Datenexporteure keinen Einfluss haben. ## Der CLOUD Act: Schützt ein EU-Rechenzentrum vor US-Zugriff? Selbst wenn der Datentransfer rechtlich abgesichert ist, bleibt ein zweiter Aspekt: der Zugriff US-amerikanischer Behörden auf Daten, die gar nicht in die USA übermittelt werden. Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) von März 2018 ermöglicht US-Strafverfolgungsbehörden, von Anbietern, die US-Recht unterliegen, die Herausgabe elektronischer Daten zu verlangen – auch wenn diese außerhalb der USA gespeichert sind. Ein Rechenzentrum in Frankfurt schützt also nicht automatisch vor dem Zugriff, wenn der Betreiber ein US-Konzern oder dessen Tochter ist. Wie konkret das ist, zeigte eine Anhörung im französischen Senat im Juni 2025: Der Rechtsverantwortliche von Microsoft France konnte unter Eid nicht garantieren, dass Daten französischer Bürger nie ohne Zustimmung französischer Behörden an US-Behörden gelangen. Microsoft verweist auf vertragliche Zusagen, unbegründete Anfragen anzufechten. Das ist ehrlich – macht aber deutlich, dass „EU-Datengrenze“ und „souveräne Cloud“ US-amerikanischer Anbieter das rechtliche Grundproblem nicht vollständig auflösen. ## Praktische Optionen Es gibt keine Einheitslösung. Sinnvoll ist eine Abstufung nach Schutzbedarf der Daten. ### 1. Europäische Anbieter ohne US-Konzernbindung Der direkteste Weg: Anbieter mit Sitz in der EU, die keiner US-Muttergesellschaft gehören. Damit entfällt sowohl die Drittlandübermittlung als auch der direkte Zugriff nach CLOUD Act. Prüfen Sie dennoch Unterauftragsverarbeiter – auch ein europäischer Anbieter kann US-Dienste für Support, E-Mail-Versand oder Monitoring einsetzen. Alternativen für typische Büroanwendungen beschreibt unser Beitrag [Offene Alternative zu Microsoft 365](/artikel/offene-alternative-zu-microsoft-365). ### 2. Verschlüsselung mit eigenen Schlüsseln Der EDSA nennt in seinen Empfehlungen Konstellationen, in denen Verschlüsselung eine wirksame ergänzende Maßnahme sein kann – etwa bei reiner Speicherung, wenn die Schlüssel ausschließlich beim Datenexporteur in der EU liegen und der Anbieter keinen Zugriff auf Klartext hat. Umgekehrt hält er Verschlüsselung für unzureichend, wenn der Cloud-Anbieter die Daten im Klartext verarbeiten muss, wie es bei den meisten SaaS-Anwendungen der Fall ist. In der Praxis heißt das: „Bring your own key“ bei einem Anbieter, der den Schlüssel in seinem eigenen Schlüsseldienst verwaltet, ist etwas anderes als ein Schlüssel, der Ihr Haus nie verlässt. Klären Sie genau, wo Schlüssel gespeichert und wo Daten entschlüsselt werden. ### 3. Lokale Verarbeitung Für besonders sensible Daten ist die Verarbeitung auf eigener Infrastruktur oft die einfachste Antwort. Das gilt zunehmend auch für KI-Anwendungen: Wer Kundendaten, Verträge oder Personalakten mit Sprachmodellen auswerten will, kann das mit [lokalen Sprachmodellen](/artikel/lokale-sprachmodelle-betreiben) tun, ohne Daten an externe Dienste zu senden. ### 4. US-Anbieter mit sauberer Dokumentation Wer US-Dienste weiter nutzt, sollte das bewusst und dokumentiert tun: DPF-Zertifizierung des Anbieters prüfen, Standardvertragsklauseln als zweites Standbein vereinbaren, Transfer-Folgenabschätzung erstellen, Datenminimierung betreiben. Und: einen Plan haben, was passiert, wenn der EuGH das DPF kippt. ## Einordnung Die Rechtslage zum Datentransfer in die USA ist derzeit tragfähig, aber nicht stabil. Unternehmen, die ihre Datenverarbeitung vollständig auf das DPF stützen, tragen ein Risiko, das sich kurzfristig realisieren kann – so wie 2020, als der Privacy Shield von einem Tag auf den anderen wegfiel. Die sinnvolle Reaktion ist weder Panik noch Gleichgültigkeit, sondern Vorsorge: Daten nach Schutzbedarf einteilen, besonders sensible Bereiche europäisch oder lokal betreiben und für den Rest eine [Exit-Strategie gegen Lock-in](/artikel/exit-strategie-gegen-lock-in) bereithalten. Dabei hilft auch der EU Data Act, der den Wechsel von Cloud-Anbietern erleichtert – mehr dazu in unserem Erklärstück [EU Data Act: Das neue Recht auf den Cloud-Wechsel](/artikel/eu-data-act-cloud-wechsel). *Dieser Beitrag ist keine Rechtsberatung.* ## Häufige Fragen ### Ist der Datentransfer in die USA nach der DSGVO derzeit erlaubt? Ja, derzeit ist er über das EU-US Data Privacy Framework (DPF) möglich – allerdings nur an US-Unternehmen, die unter dem Framework zertifiziert sind. Alternativ kommen Standardvertragsklauseln mit Transfer-Folgenabschätzung in Betracht. Die Rechtslage ist tragfähig, aber nicht stabil, weil ein Rechtsmittel gegen das DPF vor dem EuGH anhängig ist. Im Einzelfall rechtlich prüfen lassen. ### Hat das EU-US Data Privacy Framework vor Gericht Bestand? Bislang ja. Das Gericht der EU hat die Klage des französischen Abgeordneten Philippe Latombe (T-553/23) am 3. September 2025 abgewiesen. Latombe legte am 31. Oktober 2025 Rechtsmittel beim EuGH ein (C-703/25 P). Nach Stand der Recherche im Oktober 2026 ist dort noch keine Entscheidung ergangen; wann und wie der EuGH urteilt, ist offen. ### Schützt ein Rechenzentrum in der EU vor dem US CLOUD Act? Nein, nicht automatisch. Der CLOUD Act von März 2018 ermöglicht US-Strafverfolgungsbehörden, von Anbietern, die US-Recht unterliegen, die Herausgabe von Daten zu verlangen – auch wenn diese außerhalb der USA gespeichert sind. Ist der Betreiber ein US-Konzern oder dessen Tochter, schützt ein Standort wie Frankfurt die Daten deshalb nicht zuverlässig vor diesem Zugriff. ### Hilft Verschlüsselung bei der Nutzung von US-Cloud-Diensten? Nur unter bestimmten Bedingungen. Nach den Empfehlungen des EDSA kann Verschlüsselung eine wirksame ergänzende Maßnahme sein, etwa bei reiner Speicherung, wenn die Schlüssel ausschließlich beim Datenexporteur in der EU liegen. Muss der Cloud-Anbieter die Daten im Klartext verarbeiten, wie bei den meisten SaaS-Anwendungen, reicht Verschlüsselung nicht aus. Entscheidend ist, wo Schlüssel gespeichert und Daten entschlüsselt werden. ### Was sollten Unternehmen tun, wenn sie US-Cloud-Dienste weiter nutzen? Sie sollten die Nutzung bewusst und dokumentiert gestalten: die DPF-Zertifizierung des Anbieters prüfen, Standardvertragsklauseln als zweites Standbein vereinbaren, eine Transfer-Folgenabschätzung erstellen und Datenminimierung betreiben. Zudem braucht es einen Plan für den Fall, dass der EuGH das DPF kippt. Im Einzelfall rechtlich prüfen lassen. ## Quellen 1. [EUR-Lex – EuGH, Urteil C-311/18 (Schrems II), 16.07.2020](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62018CJ0311) 2. [EUR-Lex – Durchführungsbeschluss (EU) 2023/1795 (EU-US Data Privacy Framework)](https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj) 3. [EUR-Lex – Durchführungsbeschluss (EU) 2021/914 (Standardvertragsklauseln)](https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj) 4. [Curia – Rechtssache T-553/23, Latombe/Kommission](https://curia.europa.eu/juris/liste.jsf?num=T-553/23) 5. [Curia – Rechtssache C-703/25 P, Latombe/Kommission (Rechtsmittel)](https://curia.europa.eu/juris/liste.jsf?num=C-703/25) 6. [WilmerHale – European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework (01.12.2025)](https://www.wilmerhale.com/en/insights/blogs/wilmerhale-privacy-and-cybersecurity-law/20251201-european-court-of-justice-to-review-challenge-to-eu-us-data-privacy-framework) 7. [EDSA – Empfehlungen 01/2020 zu ergänzenden Maßnahmen (Version 2.0)](https://www.edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_en) 8. [US Department of Justice – CLOUD Act Resources](https://www.justice.gov/criminal/cloud-act-resources) 9. [Hunton – D.C. Federal Court Rules Termination of Democrat PCLOB Members Is Unlawful](https://www.hunton.com/privacy-and-cybersecurity-law-blog/d-c-federal-court-rules-termination-of-democrat-pclob-members-is-unlawful) 10. [heise online – Microsoft kann Sicherheit von EU-Daten nicht garantieren](https://heise.de/-10494789)