Data Privacy Framework: Darum sollten Sie jetzt wissen, wohin Ihre personenbezogenen Daten fließen

Wenn Unternehmen aus der EU personenbezogene Daten in die USA übermitteln, stützen sie sich meist auf das Data Privacy Framework. Es ist die Rechtsgrundlage, die der EU-Kommission zufolge dafür sorgt, dass die Daten dort ähnlich geschützt sind wie hier. Ein wichtiger Teil dieses Schutzes: Eine unabhängige US-Behörde, die Federal Trade Commission, überwacht, ob sich US-Unternehmen an die Regeln halten.

Genau diese Unabhängigkeit ist jetzt in Frage gestellt. Am 29. Juni 2026 hat der Oberste Gerichtshof der USA in der Sache Trump v. Slaughter entschieden, dass der Präsident die Kommissare der Behörde ohne besonderen Grund entlassen kann. Damit ist sie weniger unabhängig, als die EU bei ihrer Entscheidung angenommen hat.

Die Folgen sind noch offen. Der Europäische Datenschutzausschuss hat die EU-Kommission aufgefordert zu klären, ob das Abkommen noch trägt. Die Datenschutzorganisation noyb verlangt den Rückzug und hat rechtliche Schritte angekündigt. Möglicherweise fällt also ein tragender Baustein weg.

Worum es genau geht: personenbezogene Daten

Nicht jede Datenübertragung in die USA ist rechtlich heikel. Es geht um personenbezogene Daten. Das sind alle Angaben, die sich mit vertretbarem Aufwand auf eine lebende Person beziehen lassen, auch ohne Namen. Dazu gehören Kontaktdaten, Personal- und Gehaltsdaten, Bewerbungen, Bestell- und Zahlungsdaten, Supportanfragen sowie IP Adressen, Cookie Kennungen und Log Dateien. Besonders geschützt sind unter anderem Gesundheitsdaten, biometrische Daten und Angaben zu Religion oder politischer Meinung.

Nicht darunter fallen reine Maschinen- und Produktdaten ohne Personenbezug und verlässlich anonymisierte Auswertungen. Pseudonymisierte Daten bleiben personenbezogen, solange irgendwo ein Schlüssel zur Zuordnung existiert. Diese Unterscheidung verkleinert die Aufgabe meist erheblich.

Was das heute bedeutet

Nichts Dramatisches, zumindest nicht sofort. Das Abkommen gilt weiter, Übermittlungen sind nicht automatisch unzulässig, und es gibt keinen Grund, Systeme abzuschalten oder Verträge zu kündigen.

Es gibt aber einen Grund, vorbereitet zu sein. Die Vorgängerabkommen Safe Harbor und Privacy Shield hat der Europäische Gerichtshof gekippt, jeweils wegen fehlender unabhängiger Kontrolle in den USA und ohne Übergangsfrist. Wenn das ein drittes Mal passiert, entscheidet nicht die Reaktionsgeschwindigkeit Ihres Anbieters, sondern Ihre eigene Vorbereitung.

Die unangenehme Frage

Können Sie heute sagen, welche Ihrer Dienste personenbezogene Daten in die USA übertragen, welche Kategorien betroffen sind und auf welcher Grundlage das geschieht?

Meist lautet die ehrliche Antwort: nur teilweise. Cloud Speicher und E-Mail sind bekannt. Weniger bekannt sind Analyse Tools, Newsletter Systeme, Support Software, Videokonferenzen, Recruiting Plattformen, Backup Dienste und die Unterauftragnehmer der eigenen Dienstleister. Solche Übersichten entstehen über Jahre und werden selten gepflegt. Ohne sie ist aber keine Reaktion möglich.

Was neben dem Bußgeldrisiko dazukommt

• Betriebsunterbrechung: Wenn ein zentraler Dienst rechtlich nicht mehr nutzbar ist, fehlt kurzfristig ein Werkzeug, nicht nur ein Vertrag.

• Nachweispflichten aus der Lieferkette: Kunden mit Anforderungen aus DORA, NIS2 oder KRITIS fragen zunehmend nach dokumentierten Grundlagen für die Übermittlung.

• Verhandlungsposition: Wer seine Abhängigkeiten kennt, verhandelt anders als jemand, der unter Zeitdruck sucht.

Was sie jetzt tun können

Sie müssen nichts umbauen. Sie müssen wissen, wo Sie stehen. Vier Schritte reichen dafür.

1. Dienste erfassen. Listen Sie alle Dienste auf, die Daten außerhalb der EU verarbeiten könnten. Gute Quellen sind das Verzeichnis der Verarbeitungstätigkeiten, die Verträge zur Auftragsverarbeitung, die Rechnungen der Buchhaltung und die Admin-Portale Ihrer IT. Vergessen Sie die Unterauftragnehmer nicht.

2. Pro Dienst die Basics klären. Welche Datenkategorien fließen? Ist der Anbieter unter dem Data Privacy Framework zertifiziert? Gibt es zusätzlich Standardvertragsklauseln? Lässt sich eine Datenverarbeitung in der EU einstellen, etwa über eine EU-Region?

3. Nach Kritikalität sortieren. Entscheidend sind Menge und Sensibilität der Daten und die Frage, wie schnell der Dienst ersetzbar wäre. Ein Newsletter-Tool ist meist leichter zu tauschen als Ihr zentrales HR-System oder Ihre Cloud-Plattform.

4. Für die kritischen Dienste ein zweites Standbein aufbauen. Das heißt: Standardvertragsklauseln und eine aktuelle Risikobewertung zur Übermittlung vereinbaren, wo sie fehlen. Bestehende Bewertungen prüfen, weil sie sich häufig auf die Unabhängigkeit der US-Behörden stützen. Und eine Alternative benennen, die im Fall der Fälle in Frage käme.

Dokumentieren Sie das Ergebnis und legen Sie fest, wer die Entwicklung beobachtet. Dann wird aus einem möglichen Ernstfall ein Plan mit klaren Zuständigkeiten. Eine belastbare Übersicht ist bei mittelständischen Unternehmen in drei bis vier Wochen erreichbar.