WAS PASSIERT, WENN DAS EU-US DATA PRIVACY FRAMEWORK KIPPT?

! Aktualisierung des Artikels !

Aktualisierung: 17. Juli 2026. Der Abschnitt 7 ergänzt den ursprünglichen Beitrag vom 2. September 2025 um die Entwicklungen seit dem Urteil des US Supreme Court vom 29. Juni 2026. Die Rechtslage kann sich kurzfristig ändern. Wir empfehlen, die Veröffentlichungen der Datenschutzaufsichtsbehörden und des EDSA regelmäßig zu verfolgen.

Wie sich Vereine und Unternehmen jetzt auf den Ernstfall vorbereiten sollten

Das EU-US Data Privacy Framework (DPF) soll den transatlantischen Datentransfer endlich auf stabile Füße stellen – doch es wackelt schon wieder. Die Datenschutzaufsicht der EU, das EDPB (Europäische Datenschutzausschuss), hat das DPF zwar jüngst überprüft, doch offene Kritikpunkte bleiben bestehen. Auch Klagen von NGOs wie dem Collectiv NOYB des Österreichers Maximilian Schrems gegen das DPF sind bereits angekündigt.

Für Unternehmen und Vereine, die selbst oder über Dienstleister personenbezogene Daten in die USA übermitteln, etwa über Cloud-Dienste, Newsletter-Tools oder Zahlungsanbieter, ist das eine heikle Situation. Denn: Sollte das DPF fallen, verlieren viele gängige Tools ihre sichere Rechtsgrundlage. Die Folge? Rechtsunsicherheit, Compliance-Aufwand und echte Haftungsrisiken.

1        RÜCKBLICK: DATENTRANSFERS UND RECHTSUNSICHERHEIT – EINE CHRONIK DER UMBRÜCHE

Der aktuelle Druck auf das EU‑US Data Privacy Framework ist kein Einzelfall, sondern Teil einer längeren Geschichte juristischer Unsicherheit rund um den transatlantischen Datentransfer.

2015: Der EuGH kippte das Safe Harbor-Abkommen, da US-Überwachungsgesetze mit europäischen Grundrechten unvereinbar seien.

2020: Auch das Nachfolgeabkommen Privacy Shield wurde in der wegweisenden Entscheidung „Schrems II“ vom EuGH für ungültig erklärt. Der Grund: US-Geheimdienste hatten weiterhin weitreichenden Zugriff auf EU-Daten und der Schutzmechanismus für Betroffene in der EU wurde als unzureichend bewertet.

Deep Dive in vergangenen Blogartikeln:

„EuGH kippt Safe Harbor: Folgen für Vereine und Unternehmen“

„Schrems II und Standardvertragsklauseln“

Seitdem: Internationale Datentransfers in Drittländer ohne Angemessenheitsbeschluss erfolgen seither regelmäßig auf der Grundlage von Art. 46 DSGVO, insbesondere Standardvertragsklauseln (SCC) oder Binding Corporate Rules (BCR). Alternativ kommen genehmigte Verhaltensregeln oder Zertifizierungsmechanismen mit verbindlichen und durchsetzbaren Zusagen in Betracht. Ausnahmen nach Art. 49 DSGVO sind restriktiv zu nutzen und für nicht regelmäßige Übermittlungen vorgesehen. Für Übermittlungen nach Art. 46 ist eine Transfer-Impact-Assessment (TIA)mit Prüfung möglicher zusätzlicher Schutzmaßnahmen erforderlich. Für kirchliche Stellen gilt parallel § 40 KDG.

Jedes Abkommen war bislang nur ein Zwischenschritt und wurde vom EuGH mit der Begründung gekippt, dass der Schutz der personenbezogenen Daten nicht ausreicht. Es ist also kein unwahrscheinliches Szenario, dass auch das aktuelle DPF scheitern könnte. Wer seine Datenflüsse strukturiert prüft und von Anfang an auf sichere Beine stellt, ist daher klar im Vorteil.

2       WAS WÜRDE EIN WEGFALL DES DPF KONKRET BEDEUTEN?

2.1       KEIN DATENTRANSFER MEHR AUF BASIS DES DPF ERLAUBT BZW. DER ANGEMESSENHEITSBESCHLUSS WIRD FÜR NICHTIG ERKLÄRT

US-Unternehmen, die sich nur auf das DPF berufen, dürfen Ihre Daten dann nicht mehr ohne Weiteres verarbeiten, auch nicht, wenn sie im DPF-Register stehen d.h. zertifiziert wurden.

2.2      UNTERNEHMEN MÜSSEN AUF ANDERE RECHTSINSTRUMENTE UMSTELLEN

Die gängige Lösung: geeignete Garantien, insbesondere SCC oder BCR. Alternativ kommen genehmigte Verhaltensregeln oder Zertifizierungsmechanismen in Betracht. Für diese Übermittlungen ist eine TIA erforderlich und gegebenenfalls sind zusätzliche technische, organisatorische oder vertragliche Maßnahmen umzusetzen. Ausnahmen nach Art. 49 DSGVO/§ 41 KDG bleiben eng auszulegen und sind nicht für regelmäßige Transfers bestimmt. Das kostet Zeit, Know-how und oft Geld. Nachhaltiger wäre es den Umstieg auf ein europäisches Produkt zu planen.

2.3     BUSSGELDER UND REPUTATIONSRISIKEN DROHEN

Beispiel Facebook (jetzt Meta): 2023 wurde das Unternehmen von der irischen Aufsichtsbehörde mit 1,2 Milliarden Euro Bußgeld, wegen unzulässiger Datenübermittlung in die USA auf der Basis von SCC, belegt.

Fazit: Der Fall zeigt, dass SCC ohne tragfähige TIA und wirksame Zusatzmaßnahmen nicht genügen. Organisationen müssen vorbereitet sein oder geraten in Erklärungsnot gegenüber Aufsichtsbehörden und Kunden oder Mitgliedern. 

3       EIN DPF-AUS ERKLÄRT ANHAND VON PRAXISBEISPIELEN:

3.1       SOZIALER TRÄGER / VEREIN NUTZT US-NEWSLETTERTOOL

Ein gemeinnütziger Verein versendet an Spender:innen oder ein KMU versendet an die aktiven Kund:innen einen Newsletter mit einem US-Tool.


Folge: Ohne DPF ist der Einsatz nur zulässig auf Basis geeigneter Garantien nach Art. 46 DSGVO, in der Praxis regelmäßig SCC kombiniert mit einer TIA und gegebenenfalls zusätzlichen technischen, organisatorischen und vertraglichen Maßnahmen. Führen TIA und Maßnahmen zu keinem tragfähigen Schutzniveau, ist der Versand auszusetzen oder auf einen nachweislich EWR-basierten Dienst mit EWR-Verarbeitung umzusteigen. Ausnahmen nach Art. 49 DSGVO kommen für regelmäßige Newsletter nicht in Betracht. Für kirchliche Stellen gilt § 40 KDG. 

Besser: Es gibt viele europäische Alternativen. Entscheidend ist der Nachweis von Datenlokation im EWR, Subprozessoren, Supportzugriffen, ein Art.-28-DPA sowie Reversibilität.

3.2     KOSTENLOSE E-MAIL-ADRESSEN IM TEAM-WORKSPACE AUS DEN USA

Ein Verein und sein KMU-Partner nutzen eine US-Zusammenarbeitsplattform, die Teamräume, Dokumente, Kalender und kostenlose E-Mail-Adressen unter einer Anbieter-Domain bereitstellt.

Folge: In Free-Plänen fehlen typischerweise EU-only-Datenlokalisierung und Routing-Kontrollen. Drittlandübermittlungen oder Zugriffe aus Drittländern sind daher regelmäßig nicht auszuschließen. Fällt das DPF weg, bleibt die Zulässigkeit nur über Art. 46 DSGVO mit SCC und TIA nebst ggf. zusätzlichen technischen, organisatorischen und vertraglichen Maßnahmen. Freemail-Konten bieten oft geringere Administrierbarkeit und erhöhen Phishing-Risiken.

Mindestmaßnahmen: Multi-Faktor-Authentifizierung (MFA), Transport- und ruhende Verschlüsselung, restriktive Weiterleitungsregeln, geprüfte Rollen- und Rechtekonzepte sowie ein dokumentierter Exit-Pfad. Für kirchliche Stellen gilt parallel § 40 KDG.

3.3     VIDEOKONFERENZDIENST MIT US-BEZUG

Vereine und KMU führen Sitzungen, Fortbildungen und Kundentermine über einen US-Videokonferenzdienst durch. Neben Inhalten fallen regelmäßig Metadaten, Protokolle, Einwahlinformationen und Nutzungsdaten an.

Folge: Fällt das DPF weg, ist die Übermittlung nur noch auf Grundlage von Art. 46 DSGVO zulässig, in der Praxis häufig über SCC. Alternativ kommen BCR oder andere geeignete Garantien in Betracht. Eine TIA ist verpflichtend, mit besonderem Fokus auf Zugriffe öffentlicher Stellen und die Datenlokation samt Remote Zugriffswegen. Wo keine exklusive EU Datenlokalisierung verfügbar ist, sind zusätzliche Maßnahmen umzusetzen. Beispielsweise: Echte clientseitige Verschlüsselung mit Schlüsselhoheit beim Exporteur, strikte Rollen und Rechtekonzepte, Datensparsamkeit bei Einladungen, eine klare Lösch- und Aufbewahrungskonzepte für Aufzeichnungen und Chats, sowie ein dokumentierter Exit-Pfad. Für kirchliche Stellen gilt parallel § 40 KDG.

4      WELCHE KRITERIEN SIND ENTSCHEIDEND BEI DER TOOL-AUSWAHL UM EINE EXIT-STRATEGIE ZU HABEN?

Wenn das DPF kippt, brauchen Sie rechtssichere Alternativen.

Achten Sie daher auf diese 8 Schlüsselkriterien:

Unsere Empfehlung: Dokumentieren Sie bereits jetzt alle Drittlandsübertragungen und prüfen Sie kritische Tools auf diese Kriterien!

5       HANDLUNGSEMPFEHLUNG FÜR VEREINE UND UNTERNEHMEN

1. Bestandsaufnahme: Welche Tools oder Dienstleister nutzen Sie mit US-Bezug? Die Ergebnisse im VVT dokumentieren.

2. Risikobewertung/DSFA durchführen: Gibt es rechtliche Alternativen oder Absicherungen? Für jede Übermittlung ist eine TIA zu erstellen.

3. Geeignete Garantien wählen und nachweisen: SCC prüfen oder alternativ BCR, genehmigte Verhaltensregeln oder Zertifizierungsmechanismen. Zusätzliche technische, organisatorische und vertragliche Maßnahmen gemäß TIA umsetzen. Ausnahmen nach Art. 49 DSGVO bleiben eng und sind für regelmäßige Transfers ungeeignet.

4. EU-Alternativen prüfen: Bei sensiblen Daten lieber auf EU-Dienstleister wechseln. Auch hier gilt: Prüfen und dokumentieren, denn auch EU Anbieter können Drittlandzugriffe haben.

5. Exit-Strategie in der Hinterhand haben: Für Tools mit fraglicher Rechtsgrundlage.

6      WARUM JEDE ORGANISATION EINE EXIT-STRATEGIE BRAUCHT

Wenn das EU-US Data Privacy Framework kippt, genügt Abwarten nicht. Vereine und Unternehmen benötigen proaktiv eine dokumentierte Handlungsoption, um internationale Übermittlungen in die USA weiterhin rechtmäßig zu gestalten.

Denn die Aufsichtsbehörden und die geltenden Gesetze verlangen, dass Verantwortliche jederzeit nachweisen können, dass ein Drittlandtransfer auf einer gültigen und dokumentierten Rechtsgrundlage beruht, auch bei Wegfall eines Angemessenheitsbeschlusses (Art. 44 ff. DSGVO, § 40 KDG). EDPB-Empfehlungen und nationale Orientierungshilfen betonen die Pflicht zur fortlaufenden Prüfung und Absicherung („Exit-Strategie“). Bei Verarbeitungsvorgängen mit voraussichtlich hohem Risiko ist die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO bzw. § 35 KDG das zentrale Instrument, um Risiken systematisch zu bewerten und geeignete Maßnahmen festzulegen.

6.1       WAS GEHÖRT ZU EINER EXIT-STRATEGIE?

• Geeignete Garantien (Art. 46 DSGVO/§ 40 KDG): meist Standardvertragsklauseln (SCCs), alternativ Binding Corporate Rules (BCR). Transfer-Impact-Assessment (TIA): Risikoprüfung des Empfängerlandes inkl. technischer Maßnahmen ist Pflicht.

• Zusatzmaßnahmen je Risiko: echte Client-Verschlüsselung mit eigener Schlüsselhoheit, Pseudonymisierung, strikte Zugriffe. 

• AV-Verträge prüfen: DPA nach Art. 28 DSGVO/§ 29 KDG, insbesondere Unterauftragnehmer, Datenlokation, Remote-Support. 

• Reversibilität sicherstellen: Export, Löschung, getesteter Migrationspfad.

• Dokumentation: Entscheidung und Bewertung müssen nachweisbar sein (Rechenschaftspflicht!)

6.2     WARUM DAS AUCH FÜR KLEINE ORGANISATIONEN GILT:

Ob internationaler Mittelständler oder gemeinnütziger Verein: Sobald personenbezogene Daten in die USA fließen z. B. über Newsletter-Tools, Videokonferenzsysteme oder Zahlungsanbieter sind Sie bei nicht ausreichender Sicherheit der Verarbeitung als Verantwortliche:r voll haftbar.

Tipp der Aufsichtsbehörden: Prüfen Sie regelmäßig, ob Ihre Dienstleister auf alternativen Rechtsgrundlagen basieren und halten Sie Exit-Strategien schriftlich fest. (Quelle: Datenschutzkonferenz DSK, EDPB-Leitlinien)

KURZ GESAGT:

Eine Exit-Strategie ist kein Luxus, sie ist die einzige Möglichkeit, DSGVO/KDG-Konformität auch im Krisenfall nachzuweisen. Besser ist es direkt auf EU-Anbieter zu setzen

7   AKTUELLE ENTWICKLUNG: DAS URTEIL DES US SUPREME COURTS VOM 29. JUNI 2026 UND SEINE FOLGEN

7.1   WAS ENTSCHIED DER US SUPREME COURT?

Was im September 2025, als dieser Beitrag zuerst erschien, noch ein realistisches, aber hypothetisches Szenario war, hat sich inzwischen zu einer konkreten Rechtsunsicherheit verdichtet. Am 29. Juni 2026 erklärte der Oberste Gerichtshof der Vereinigten Staaten in der Rechtssache Trump v. Slaughter (Az. 25-332) mit einer Mehrheit von sechs zu drei Stimmen die gesetzlich verankerte Unabhängigkeit der Federal Trade Commission (FTC) für verfassungswidrig.

Das Gericht folgte dabei der sogenannten Unitary Executive Theory: Weil die FTC exekutive Gewalt ausübt, indem sie Bußgelder verhängt und Unternehmen kontrolliert, muss sie dem direkten Weisungsrecht des Präsidenten unterliegen. Damit hob das Gericht ausdrücklich den 91 Jahre alten Präzedenzfall Humphrey's Executor v. United States (1935)auf, der Mitglieder unabhängiger Bundesbehörden bislang vor politisch motivierten Entlassungen schützte.

Konkreter Anlass war die Entlassung der demokratischen FTC-Kommissarin Rebecca Slaughter durch Präsident Trump im März 2025, die zunächst gerichtlich als rechtswidrig eingestuft worden war. Der Supreme Court befand diese Entlassung nun als verfassungskonform.

7.2   WARUM IST DAS FÜR DEN TRANSATLANTISCHEN DATENTRANSFER RELEVANT?

Der Zusammenhang zur europäischen Datenschutzpraxis ist kein zufälliger: Seit dem Jahr 2000 stützt sich die Europäische Kommission bei ihren Abkommen zum Datentransfer mit den USA auf die FTC als unabhängige Kontrollinstanz. Die Unabhängigkeit der FTC war eine der tragenden Säulen, auf denen sowohl Safe Harbor als auch das Privacy Shield und nunmehr das EU-US Data Privacy Framework errichtet wurden.

Im Angemessenheitsbeschluss vom Juli 2023 hielt die Europäische Kommission ausdrücklich fest, dass die FTC als unabhängige Aufsichtsbehörde die Einhaltung der Datenschutzverpflichtungen durch zertifizierte US-Unternehmen durchsetzt. Nach dem Slaughter-Urteil ist diese Unabhängigkeit verfassungsrechtlich nicht mehr garantiert. Der Präsident kann FTC-Commissioners jederzeit und ohne Angabe von Gründen abberufen. Eine unabhängige Aufsicht im europäischen Sinne existiert damit in den USA strukturell nicht mehr.

Unmittelbare rechtliche Wirkung: Der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO) ist formal weiterhin in Kraft. Er wurde weder von der EU-Kommission widerrufen noch durch ein Gericht für nichtig erklärt. Datentransfers auf Basis des DPF sind daher zum aktuellen Zeitpunkt nicht automatisch rechtswidrig.

Aber: Das Urteil verändert die juristische Ausgangslage erheblich und stellt eine wesentliche Änderung des Risikoumfelds dar, die Verantwortliche in ihre laufende Datenschutzdokumentation und Transfer-Impact-Assessments einbeziehen müssen.

7.3   REAKTIONEN VON NOYB, AUFSICHTSBEHÖRDEN UND DER EU-KOMMISSION

Die Entwicklungen seit dem Urteil verlaufen auf mehreren Ebenen gleichzeitig:

noyb / Max Schrems: Bereits am 30. Juni 2026, einen Tag nach dem Urteil, wandte sich die Datenschutzorganisation noyb unter Leitung von Max Schrems mit einem Schreiben an die Europäische Kommission und forderte den Widerruf des Angemessenheitsbeschlusses. Schrems argumentiert, dass keine andere US-Behörde den Ausfall der unabhängigen FTC kompensieren könne, da alle Bundesbehörden nach der Logik des Urteils dem Präsidenten weisungsgebunden sind. Rechtliche Schritte gegen das DPF wurden angekündigt.

Aufsichtsbehörden: Mehrere Datenschutzaufsichtsbehörden haben bereits öffentlich auf das Urteil hingewiesen, ohne jedoch bislang eine einheitliche, verbindliche Handlungsanweisung zu erlassen. Die Datenschutzkonferenz (DSK) und der Europäische Datenschutzausschuss (EDSA) beobachten die Lage. Konkrete Orientierungshilfen der Aufsichtsbehörden bleiben abzuwarten; Organisationen sollten die Veröffentlichungen der DSK (datenschutzkonferenz-online.de) und des EDSA (edpb.europa.eu) kontinuierlich im Blick behalten.

Europäische Kommission: Eine Entscheidung über einen Widerruf oder eine Überarbeitung des Angemessenheitsbeschlusses ist bislang nicht ergangen. Die Kommission prüft die Auswirkungen des Urteils. Bis zu einer solchen Entscheidung bleibt der Beschluss formal gültig.

Wichtiger Hinweis für TIA-Aktualisierungen: Auch TIAs, die sich auf Standardvertragsklauseln (SCC) stützen, müssen die veränderte Lage berücksichtigen. Denn sowohl bei SCC als auch bei BCR ist das Schutzniveau im Empfängerland zu bewerten, und dabei flossen bisher Argumente wie die Unabhängigkeit von FTC, PCLOB und DPRC ein. Alle drei sind nach dem Slaughter-Urteil strukturell geschwächt oder in ihrer Unabhängigkeit infrage gestellt.

7.4   WAS BEDEUTET DAS KONKRET FÜR ORGANISATIONEN?

Die Einschätzung der Fachöffentlichkeit ist differenziert, aber eindeutig in ihrer Kernaussage: überstürztes Handeln ist nicht geboten, Nichtstun ist fahrlässig.

Für kirchliche Stellen gilt entsprechend § 40 KDG. Die Prüfpflichten und Handlungsempfehlungen gelten inhaltlich gleichermaßen.

7.5   EINORDNUNG: SCHREMS III IN SICHT?

Ob das Urteil Trump v. Slaughter ein Verfahren auslöst, das in seiner Wirkung mit Schrems I (2015) und Schrems II (2020) vergleichbar ist, bleibt zum jetzigen Zeitpunkt offen. Die Ausgangslage ähnelt jedoch früheren Konstellationen in einem entscheidenden Punkt: Jedes Mal, wenn eine tragende Säule des transatlantischen Datentransfers wegfiel, reagierten Aufsichtsbehörden und Gerichte mit erheblicher Verzögerung, aber letztlich konsequent.

Organisationen, die bereits jetzt auf eine robuste Exit-Strategie und auf EU-ansässige Anbieter setzen, werden von einer möglichen weiteren Eskalation deutlich weniger betroffen sein als solche, die abwarten.

Unser Rat: Behandeln Sie das Urteil Trump v. Slaughter nicht als Randnotiz, sondern als Signal, die unter Ziffer 5 dieses Beitrags beschriebenen Maßnahmen jetzt zu prüfen und umzusetzen.

8       FAZIT: JETZT VORBEREITET SEIN, SPÄTER SICHER SEIN!

Der EU-US-Datentransfer bleibt ein Risikothema. Organisationen, die heute proaktiv handeln, sichern sich Compliance-Vorteile, minimieren Risiken und schützen die Daten ihrer Mitglieder, Mitarbeitenden und Kund:innen.

Sie möchten Ihre Tools DSGVO/KDG-konform prüfen lassen?
Wir bieten Ihnen ein schnelles, fundiertes Audit mit klaren Empfehlungen.

Jetzt Termin buchen: Online-Beratung Oder schreiben Sie an: info@datafreshup.de

AKTUALISIERTE QUELLEN & EMPFEHLUNGEN

 Stand: 17. Juli 2026