Was passiert, wenn das Datenabkommen fällt?

Stand: Juli 2026. Dieser Beitrag wird bei neuen Entwicklungen aktualisiert.

Wenn Sie amerikanische Dienste im Betrieb nutzen, E-Mail, Buchhaltung in der Cloud, KI-Werkzeuge, dann ruht das rechtlich auf einem Abkommen, von dem die meisten noch nie gehört haben. Es heißt Data Privacy Framework, und es ist gerade ins Wanken geraten. Was das für Sie bedeutet, lässt sich ohne Juristendeutsch erklären.

Worum es geht, in drei Sätzen

Der europäische Datenschutz erlaubt es nicht einfach so, personenbezogene Daten in Länder außerhalb der EU zu geben. Für die USA gibt es dafür seit 2023 ein Abkommen: Amerikanische Firmen verpflichten sich auf bestimmte Regeln, und die EU bescheinigt im Gegenzug, dass die Daten dort ausreichend geschützt sind. Auf dieser Bescheinigung fußt praktisch jede Nutzung von US-Diensten mit Kundendaten.

Warum das wackelt

Zwei Dinge muss man wissen. Das erste: Es ist bereits das dritte Abkommen dieser Art. Die beiden Vorgänger wurden 2015 und 2020 vom Europäischen Gerichtshof kassiert, beide Male aus demselben Grund: Amerikanische Behörden hatten zu weitgehenden Zugriff auf europäische Daten, und Betroffene hatten dagegen keinen echten Rechtsschutz.

Das zweite ist neu: Das aktuelle Abkommen beruht ausdrücklich darauf, dass eine unabhängige amerikanische Aufsichtsbehörde die Einhaltung der Regeln kontrolliert, notfalls auch gegen die eigene Regierung. Ende Juni 2026 hat ein amerikanisches Gericht genau diese Unabhängigkeit für verfassungswidrig erklärt. Damit ist eine tragende Säule des Abkommens beschädigt. Noch gilt es. Aber die EU-Kommission wurde bereits aufgefordert, es zu überprüfen, und vor dem Europäischen Gerichtshof läuft ohnehin ein Verfahren dagegen.

Der Punkt, der bleibt, egal wie es ausgeht

Unabhängig vom Abkommen gilt ein amerikanisches Gesetz, das man kennen sollte: Es verpflichtet amerikanische Firmen, Behörden ihres Landes auf Verlangen Daten herauszugeben. Auch dann, wenn der Server in Frankfurt steht. Ein Vertrag mit dem Anbieter ändert daran nichts, denn ein Vertrag bindet den Anbieter, nicht dessen Regierung. Das ist kein Grund zur Aufregung, aber es gehört zur ehrlichen Rechnung dazu: Wer einen US-Dienst nutzt, nutzt ihn mit dieser Klausel im Hintergrund, egal wo die Daten liegen.

Was heißt das nun für Ihren Betrieb?

Keine Panik, drei nüchterne Folgerungen.

Erstens: Sortieren Sie nach Daten. Für Texte ohne Personenbezug ändert sich nichts, egal was mit dem Abkommen passiert. Je empfindlicher die Daten, desto weniger sollte der US-Weg die einzige Stütze sein. Wie diese Sortierung geht, steht in unserem Beitrag KI ja. Aber wo landen dabei Ihre Daten?.

Zweitens: Wenn Sie US-Dienste mit Kundendaten nutzen, dann über bezahlte Zugänge mit Vertrag zur Auftragsverarbeitung. Fachjuristen raten derzeit außerdem dazu, zusätzlich sogenannte Standardvertragsklauseln zu vereinbaren, damit ein zweites rechtliches Standbein da ist, falls das Abkommen fällt. Das ist ein Satz, den Sie Ihrem Datenschutzbeauftragten oder Anwalt mitgeben können, die wissen dann, was gemeint ist. Wir sagen Ihnen, wo Ihre Daten liegen; die rechtliche Bewertung für Ihren Fall gehört in deren Hände.

Drittens, und das ist der Teil, den wir als Handwerker beisteuern können: Bauen Sie so, dass Sie wechseln können. Wer seine Abläufe über saubere Schnittstellen vom jeweiligen Dienst trennt, tauscht den Anbieter im Ernstfall in Tagen aus. Wer alles fest mit einem einzigen Dienst verdrahtet, steht dann vor einem Umbau. Genau so haben wir unsere eigenen Systeme gebaut: Fällt das Abkommen, ändern wir bei uns eine Konfiguration, nicht das Geschäft.

Wo steht Ihr Betrieb?

Wenn Sie das nach dem Lesen nicht sicher sagen können, ist das der Normalfall, nicht die Ausnahme. Ein Anruf genügt, dann gehen wir gemeinsam durch, welche Ihrer Dienste betroffen wären und wo Sie im Zweifel umstecken müssten. Oft ist die Antwort beruhigender als gedacht.

Telefon: 02043 9218990. Oder Sie buchen direkt einen Termin über unsere Website.

Für die, die es genau wissen wollen: Das Abkommen ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom Juli 2023 nach Art. 45 DSGVO. Die Vorgänger Safe Harbor und Privacy Shield wurden vom EuGH 2015 (Schrems I) und 2020 (Schrems II) für ungültig erklärt. Der Behördenzugriff stützt sich auf den CLOUD Act von 2018; er gilt für US-Unternehmen unabhängig vom Serverstandort. Die Entscheidung vom Juni 2026 betrifft die Unabhängigkeit der FTC, auf die der Angemessenheitsbeschluss an vielen Stellen verweist. Das zweite Standbein sind Standardvertragsklauseln nach Art. 46 DSGVO. Vor dem EuGH ist zudem die Berufung im Verfahren Latombe gegen das Framework anhängig.