Der EU-Datentransfer in die USA steht auf wackligen Beinen. Ein Urteil des US Supreme Court vom 29. Juni 2026 hat die rechtliche Grundlage für den transatlantischen Datenaustausch erschüttert. Die hat direkte Folgen für jedes Unternehmen, das US-Cloud-Dienste nutzt. Wir erklären, was passiert ist und wie Sie Ihre Daten jetzt absichern.
Das Urteil: Warum der EU-Datentransfer wackelt
In der Sache Trump v. Slaughter entschied das Gericht, dass die gesetzlich verankerte Unabhängigkeit der Federal Trade Commission (FTC) verfassungswidrig ist. Die Behörde muss künftig direkt dem US-Präsidenten unterstehen.
Das ist brisant für den EU-Datentransfer, denn das EU-US Data Privacy Framework stützt sich genau auf diese unabhängige Aufsicht. Da europäisches Recht eine unabhängige Datenschutzaufsicht zwingend voraussetzt, verliert das Framework seine tragende Säule. Der rechtssichere Datentransfer zwischen EU und USA steht damit auf der Kippe.
Der US CLOUD Act verschärft das Risiko
Unabhängig vom Data Privacy Framework bleibt der US CLOUD Act in vollem Umfang bestehen. Er verpflichtet alle Anbieter mit US-Sitz oder US-Muttergesellschaft zur Herausgabe elektronischer Daten – unabhängig davon, wo die Server physisch stehen.
Betroffen sind sämtliche großen Hyperscaler:
- Amazon Web Services (AWS)
- Microsoft Azure
- Google Cloud
Wichtig zu wissen: Auch eine gebuchte „EU-Region“ schützt nicht vor dem EU-Datentransfer-Risiko. Der Anbieter bleibt der US-Jurisdiktion unterworfen, selbst wenn Ihre Daten physisch in einem europäischen Rechenzentrum liegen.
Zwei Wege zu einem sicheren EU-Datentransfer
Wer seine Daten wirksam schützen und den EU-Datentransfer datenschutzkonform gestalten will, hat im Kern zwei Optionen.
1. Vollständig EU-native Anbieter
Setzen Sie auf Cloud-Infrastrukturen und Dienste, die zu 100 % in der EU sitzen und keine US-Muttergesellschaft haben. Über solche Unternehmen haben US-Behörden keine rechtliche Zuständigkeit und der CLOUD Act greift nicht.
2. Ende-zu-Ende-Verschlüsselung
Wo US-Dienste weiter genutzt werden, ist konsequente Ende-zu-Ende-Verschlüsselung entscheidend. Werden Daten bereits lokal und client-seitig verschlüsselt, erhalten US-Behörden im Ernstfall zwar die Datensätze, können diese aber nicht entschlüsseln.
Fazit: Jetzt handeln statt abwarten
Die aktuelle Entwicklung zeigt: Wer sich beim EU-Datentransfer allein auf das Data Privacy Framework verlässt, geht ein wachsendes rechtliches Risiko ein. Unternehmen sollten jetzt prüfen, welche Dienste sie einsetzen und wo ihre Daten tatsächlich verarbeitet werden.
Sie möchten wissen, ob Ihr Unternehmen vom CLOUD Act betroffen ist? Wir unterstützen Sie dabei, Ihre Cloud-Infrastruktur zu bewerten und datenschutzkonforme, souveräne Alternativen zu finden. Kontaktieren Sie uns!
