EU-US-Datentransfer unter Druck: Was das Supreme-Court-Urteil für deutsche Unternehmen und digitale Datenräume bedeutet

10.07.2026

Ein Urteil des Obersten Gerichtshofs der USA stellt die Unabhängigkeit der amerikanischen Verbraucherschutzbehörde FTC infrage. Damit gerät zugleich eine wichtige Grundlage des EU-US Data Privacy Frameworks unter Druck. Für deutsche Unternehmen besteht derzeit kein Anlass zu überstürzten Entscheidungen. Die Entwicklung zeigt jedoch, wie wichtig digitale Souveränität, transparente Datenflüsse und europäische beziehungsweise deutsche Hosting-Modelle geworden sind.

Der Austausch personenbezogener Daten zwischen der Europäischen Union und den Vereinigten Staaten gehört zu den wichtigsten, aber auch umstrittensten Themen des internationalen Datenschutzrechts. Viele Unternehmen in Deutschland nutzen täglich digitale Dienste amerikanischer Anbieter – beispielsweise für E-Mails, Videokonferenzen, Kundenmanagement, Cloud-Speicherung, Marketing, Datenanalyse oder die gemeinsame Bearbeitung von Dokumenten.

Die rechtliche Grundlage für solche Datenübermittlungen steht nun erneut zur Diskussion.

Wie das Handelsblatt heute berichtet, könnte eine Entscheidung des US Supreme Court die rechtlichen Voraussetzungen für den Datenaustausch zwischen der Europäischen Union und den USA gefährden. Der Oberste Gerichtshof der Vereinigten Staaten hatte am 29. Juni 2026 entschieden, dass der US-Präsident Mitglieder der Federal Trade Commission, kurz FTC, grundsätzlich auch ohne den bislang gesetzlich vorgesehenen besonderen Grund entlassen kann.

Damit wird die politische Unabhängigkeit der FTC infrage gestellt. Genau diese Unabhängigkeit war jedoch ein Gesichtspunkt, auf den sich die Europäische Kommission bei ihrer Bewertung des Datenschutzniveaus in den USA gestützt hatte.

Auch die Frankfurter Rundschau meldet heute, deutsche Wirtschaftsverbände und Datenschutzorganisationen sähen durch die Entscheidung neue Risiken für Unternehmen. Während die Datenschutzorganisation noyb um Max Schrems einen Ausstieg der EU-Kommission aus dem bestehenden Datenschutzrahmen fordert und eine Klage angekündigt hat, warnen Wirtschaftsverbände zugleich vor vorschnellen Schritten und erheblichen wirtschaftlichen Folgen.

Die gegenwärtige Lage lässt sich deshalb nicht mit einem einfachen „US-Datentransfers sind weiterhin sicher“ oder „US-Clouds sind ab sofort unzulässig“ zusammenfassen. Rechtlich gilt der Angemessenheitsbeschluss weiterhin. Gleichzeitig sind seine politischen und juristischen Grundlagen fragiler geworden.

Für Unternehmen kommt es nun darauf an, Datenübermittlungen zu kennen, Risiken einzuordnen und ihre digitale Infrastruktur vorausschauend auszurichten.

Worum geht es beim Urteil des US Supreme Court?

Ausgangspunkt ist das Verfahren Trump v. Slaughter. Rebecca Kelly Slaughter war Mitglied der Federal Trade Commission. US-Präsident Donald Trump hatte sie im Jahr 2025 aus ihrem Amt entlassen. Nach dem für die FTC geltenden Gesetz sollte eine Entlassung jedoch nicht ohne Weiteres, sondern nur aus bestimmten Gründen möglich sein.

Der Supreme Court entschied am 29. Juni 2026 mit einer Mehrheit von sechs zu drei Stimmen, dass die gesetzlichen Beschränkungen für die Entlassung von FTC-Kommissaren verfassungswidrig seien. Der Präsident könne die Mitglieder der Kommission demnach grundsätzlich nach eigenem Ermessen abberufen.

Das Urteil betrifft zunächst die verfassungsrechtliche Stellung amerikanischer Bundesbehörden. Es geht um die Frage, in welchem Umfang der Präsident Kontrolle über Personen ausüben darf, die Exekutivgewalt des Bundes wahrnehmen.

Die Entscheidung hat aber Auswirkungen, die weit über das amerikanische Verwaltungsrecht hinausgehen. Sie betrifft insbesondere die Frage, ob die FTC weiterhin als politisch unabhängige Aufsichts- und Durchsetzungsbehörde angesehen werden kann.

Die FTC überwacht in den USA unter anderem bestimmte datenschutzbezogene Verpflichtungen von Unternehmen. Sie ist zudem eine der zentralen Stellen für die Durchsetzung der Zusagen, die zertifizierte US-Unternehmen im Rahmen des EU-US Data Privacy Frameworks abgeben.

Kann der US-Präsident die Mitglieder der FTC jederzeit ohne besonderen Grund entlassen, entsteht zumindest der Eindruck, dass die Behörde stärker von der jeweiligen Regierung abhängig sein könnte. Für das europäische Datenschutzrecht ist das bedeutsam, weil eine wirksame und unabhängige Kontrolle zu den wesentlichen Elementen eines angemessenen Datenschutzniveaus gehört.

Warum ist die Unabhängigkeit der FTC für Europa wichtig?

Personenbezogene Daten dürfen nach der Datenschutz-Grundverordnung nicht ohne Weiteres in Staaten außerhalb der EU beziehungsweise des Europäischen Wirtschaftsraums übertragen werden.

Eine Übermittlung ist insbesondere dann möglich, wenn die Europäische Kommission festgestellt hat, dass das betreffende Drittland ein angemessenes Datenschutzniveau gewährleistet. Ein solcher Angemessenheitsbeschluss führt dazu, dass personenbezogene Daten grundsätzlich ohne zusätzliche Übermittlungsinstrumente in das betreffende Land übertragen werden dürfen – vergleichbar mit einer Datenübermittlung innerhalb der EU.

Für die USA gilt seit dem 10. Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, häufig mit DPF abgekürzt.

Das Data Privacy Framework ist allerdings kein allgemeiner Angemessenheitsbeschluss für sämtliche US-Unternehmen. Es beruht auf einem Zertifizierungssystem. Daten können auf dieser Grundlage an US-Unternehmen übertragen werden, die sich nach den Vorgaben des Frameworks zertifiziert haben und in der offiziellen Liste geführt werden. Der Europäische Datenschutzausschuss beschreibt das DPF entsprechend als Selbstzertifizierungsmechanismus für Unternehmen in den USA.

Zu den entscheidenden Fragen gehört, ob die Verpflichtungen der teilnehmenden Unternehmen wirksam überwacht und durchgesetzt werden. Hier kommt die FTC ins Spiel.

In ihrer Angemessenheitsentscheidung hatte die Europäische Kommission die Stellung, Zuständigkeiten und Durchsetzungsmöglichkeiten der FTC ausführlich berücksichtigt. Sie ging dabei davon aus, dass eine unabhängige Aufsichtsbehörde vorhanden ist, die Verstöße verfolgen und Sanktionen durchsetzen kann. Auch beim ersten Überprüfungsbericht zum Data Privacy Framework im Jahr 2024 befassten sich die Europäische Kommission und der Europäische Datenschutzausschuss mit der praktischen Funktionsfähigkeit der amerikanischen Kontrollmechanismen.

Die Organisation noyb weist nun darauf hin, dass die FTC in der Angemessenheitsentscheidung besonders häufig genannt werde. Nach ihrer Bewertung untergräbt das Supreme-Court-Urteil daher einen wesentlichen Teil der europäischen Begründung für das Data Privacy Framework.

Ob diese Veränderung rechtlich ausreicht, um den gesamten Angemessenheitsbeschluss zu Fall zu bringen, ist derzeit nicht entschieden. Sie schafft aber einen neuen Angriffspunkt.

Sind Datentransfers in die USA jetzt rechtswidrig?

Nein. Aus dem Urteil des US Supreme Court folgt nicht automatisch, dass alle Übermittlungen personenbezogener Daten in die USA rechtswidrig sind.

Der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework gilt weiterhin. Er wurde bislang weder von der Europäischen Kommission aufgehoben noch durch den Gerichtshof der Europäischen Union für ungültig erklärt.

Auch das Handelsblatt zitiert den Chefjustiziar der Deutschen Industrie- und Handelskammer, Stephan Wernicke, mit dem Hinweis, dass der Beschluss zunächst bestehen bleibe. Unternehmen, die Daten an ordnungsgemäß zertifizierte US-Unternehmen übermitteln, können sich daher grundsätzlich weiterhin auf das Framework stützen.

Das bedeutet allerdings nicht, dass Unternehmen die aktuelle Entwicklung ignorieren sollten.

Ein Angemessenheitsbeschluss beruht auf der Annahme, dass die tatsächlichen und rechtlichen Verhältnisse in dem Drittstaat den Anforderungen des europäischen Datenschutzrechts entsprechen. Verändern sich tragende Voraussetzungen, muss die Europäische Kommission prüfen, ob die Angemessenheitsentscheidung weiterhin gerechtfertigt ist.

Die Kommission kann einen Beschluss ändern, aussetzen oder aufheben. Zudem kann der Europäische Gerichtshof den Beschluss im Rahmen eines gerichtlichen Verfahrens überprüfen und gegebenenfalls für ungültig erklären.

Genau dieses Szenario gab es bereits zweimal.

Safe Harbor und Privacy Shield: Warum Unternehmen die Vorgeschichte kennen sollten

Der transatlantische Datenverkehr ist nicht zum ersten Mal von grundlegender Rechtsunsicherheit betroffen.

Im Jahr 2015 erklärte der Europäische Gerichtshof die damalige Safe-Harbor-Entscheidung für ungültig. Hintergrund waren insbesondere die weitreichenden Zugriffsmöglichkeiten amerikanischer Sicherheitsbehörden und fehlende effektive Rechtsschutzmöglichkeiten für Personen aus der EU.

Als Nachfolgemodell vereinbarten die Europäische Union und die USA den EU-US Privacy Shield. Auch dieser Rahmen wurde gerichtlich angegriffen.

Mit seinem Urteil „Schrems II“ vom 16. Juli 2020 erklärte der Europäische Gerichtshof schließlich auch den Privacy Shield für ungültig. Die Richter beanstandeten erneut, dass die Überwachungsbefugnisse amerikanischer Behörden nicht hinreichend begrenzt seien und betroffene EU-Bürger keinen mit europäischen Standards vergleichbaren Rechtsschutz erhalten würden.

Standardvertragsklauseln blieben nach dem Urteil grundsätzlich zulässig. Der Europäische Gerichtshof stellte jedoch klar, dass Vertragsklauseln allein nicht genügen, wenn die Rechtsordnung des Empfängerstaats ihre praktische Wirksamkeit beeinträchtigt. Unternehmen müssen deshalb prüfen, ob die vereinbarten Schutzmaßnahmen im konkreten Fall tatsächlich eingehalten werden können.

Die Datenschutzorganisation noyb und ihr Gründer Max Schrems waren an beiden erfolgreichen Verfahren maßgeblich beteiligt. Nach den aktuellen Medienberichten hat Schrems auch gegen das heutige Data Privacy Framework rechtliche Schritte angekündigt.

Dass der dritte transatlantische Datenschutzrahmen nun ebenfalls angegriffen werden könnte, ist daher kein theoretisches Szenario.

Welche Positionen vertreten die deutschen Wirtschaftsverbände?

Die Reaktionen aus der deutschen Wirtschaft zeigen ein Spannungsfeld: Einerseits benötigen Unternehmen stabile transatlantische Datenströme. Andererseits brauchen sie eine Rechtsgrundlage, auf die sie langfristig vertrauen können.

Wie das Handelsblatt berichtet, sieht die Deutsche Industrie- und Handelskammer hohe Haftungsrisiken zulasten der Unternehmen. DIHK-Chefjustiziar Stephan Wernicke fordert demnach nicht nur dauerhaft belastbare Angemessenheitsbeschlüsse, sondern auch rechtssichere Alternativen, die in der betrieblichen Praxis funktionieren und von kleinen und mittleren Unternehmen umgesetzt werden können.

Diese Forderung trifft einen entscheidenden Punkt. Große Konzerne verfügen häufig über eigene Datenschutzabteilungen, spezialisierte Juristen, internationale Compliance-Teams und erhebliche Budgets für technische sowie vertragliche Anpassungen.

Für mittelständische Unternehmen sieht die Situation anders aus. Sie müssen dieselben datenschutzrechtlichen Anforderungen erfüllen, verfügen jedoch meist nicht über vergleichbare Ressourcen. Komplexe Transferprüfungen, Vertragsanalysen und technische Migrationsprojekte können deshalb eine erhebliche Belastung darstellen.

Auch der Bundesverband Großhandel, Außenhandel, Dienstleistungen sieht die aktuelle Entwicklung kritisch. BGA-Präsident Dirk Jandura erklärte laut Handelsblatt, die EU habe sich beim Datenschutzabkommen erheblich auf die politische Unabhängigkeit der FTC gestützt. Die rechtliche Grundlage habe sich nun verändert.

Zugleich warnt der Verband davor, Unternehmen kurzfristig neuen Rechtsunsicherheiten und wirtschaftlichen Risiken auszusetzen. Ein plötzlicher Wegfall zentraler Cloud-Dienstleistungen wäre in vielen Unternehmen nicht ohne Weiteres aufzufangen.

Der Bundesverband der Deutschen Industrie fordert nach dem Handelsblatt-Bericht ebenfalls eine sorgfältige Prüfung. BDI-Experte Michael Dose warnt vor vorschnellen Schlussfolgerungen. Ein Wegfall des Angemessenheitsbeschlusses bedeute nicht, dass jeder Datentransfer in die USA automatisch unzulässig werde. Dennoch könnten erheblicher Compliance-Aufwand, Investitionshemmnisse und neue Hürden für digitale Geschäftsmodelle entstehen.

Gemeinsam ist den Verbänden damit die Forderung nach rechtlicher Verlässlichkeit. Unternehmen benötigen ausreichend Zeit, praktikable Alternativen und klare behördliche Vorgaben.

Weshalb betrifft die Debatte nahezu jedes digitalisierte Unternehmen?

Der Begriff „internationaler Datentransfer“ klingt zunächst nach einem Spezialthema für internationale Konzerne. Tatsächlich können bereits alltägliche Softwareanwendungen eine Übermittlung personenbezogener Daten in die USA auslösen.

Mögliche Beispiele sind:

• cloudbasierte E-Mail- und Kalenderdienste,
• Videokonferenzplattformen,
• CRM- und Vertriebssoftware,
• Newsletter- und Marketingdienste,
• Webanalyse- und Trackinglösungen,
• Plattformen für gemeinsames Arbeiten,
• Ticketsysteme und Supportsoftware,
• Personalverwaltungs- und Bewerberplattformen,
• Cloud-Speicher und Back-up-Lösungen,
• Software zur Dokumentenbearbeitung,
• KI-Dienste und automatisierte Analysetools,
• externe Plattformen für vertrauliche Transaktionen.

Dabei ist nicht allein entscheidend, wo sich ein sichtbares Rechenzentrum befindet. Relevant kann auch sein, welches Unternehmen den Dienst betreibt, welche Unterauftragnehmer eingebunden werden, von wo aus Support- oder Administrationszugriffe möglich sind und welchen rechtlichen Zugriffsregelungen der Anbieter unterliegt.

Ein Anbieter kann Daten beispielsweise in einem europäischen Rechenzentrum speichern und dennoch Teil eines US-Konzerns sein. Daraus folgt nicht automatisch die Unzulässigkeit des Dienstes. Es kann aber eine vertiefte Prüfung notwendig werden, insbesondere hinsichtlich möglicher Fernzugriffe, Konzernstrukturen und behördlicher Herausgabeverlangen.

Für Verantwortliche ist deshalb eine belastbare Übersicht über eingesetzte Dienstleister, Speicherorte, Unterauftragnehmer und Datenflüsse unverzichtbar.

Was würde ein Wegfall des Data Privacy Frameworks bedeuten?

Sollte die Europäische Kommission den Angemessenheitsbeschluss aufheben oder sollte der Europäische Gerichtshof ihn für ungültig erklären, würden Übermittlungen an derzeit zertifizierte US-Unternehmen nicht zwangsläufig vollständig verboten.

Unternehmen müssten jedoch prüfen, ob eine andere Rechtsgrundlage für den Drittlandtransfer eingesetzt werden kann.

In Betracht kommen insbesondere:

1. Standardvertragsklauseln der Europäischen Kommission,
2. verbindliche interne Datenschutzvorschriften innerhalb von Unternehmensgruppen,
3. besondere gesetzliche Ausnahmen in eng begrenzten Einzelfällen.

In der Praxis spielen die Standardvertragsklauseln die größte Rolle. Die Europäische Kommission hat hierfür vorgegebene Vertragsmodule veröffentlicht, die zwischen Datenexporteur und Datenimporteur abgeschlossen werden können.

Der Abschluss der Klauseln allein reicht jedoch nicht zwingend aus.

Unternehmen müssen regelmäßig eine sogenannte Transfer Impact Assessment beziehungsweise Datentransfer-Folgenabschätzung durchführen. Dabei wird geprüft, ob das Recht und die Praxis im Empfängerland die vertraglich zugesagten Schutzmaßnahmen beeinträchtigen können.

Zusätzlich können technische und organisatorische Maßnahmen erforderlich sein, beispielsweise:

• starke Verschlüsselung,
• alleinige Kontrolle des europäischen Kunden über die Schlüssel,
• Pseudonymisierung vor der Übertragung,
• Datenminimierung,
• Trennung besonders sensibler Daten,
• Einschränkung administrativer Zugriffe,
• nachvollziehbare Berechtigungs- und Protokollierungskonzepte.

Der Europäische Datenschutzausschuss weist darauf hin, dass Standardvertragsklauseln ein Instrument für geeignete Garantien darstellen. Ob sie ausreichen, hängt jedoch von der konkreten Verarbeitung und den tatsächlich wirksamen zusätzlichen Schutzmaßnahmen ab.

Gerade bei Cloud-Diensten, bei denen der Anbieter Daten im Klartext verarbeiten muss, lassen sich staatliche Zugriffsmöglichkeiten nicht immer durch Verschlüsselung ausschließen. Die rechtliche und technische Bewertung kann deshalb anspruchsvoll sein.

Standardvertragsklauseln sind kein einfacher Ersatz

In der öffentlichen Diskussion entsteht gelegentlich der Eindruck, Unternehmen müssten bei einem Wegfall des Frameworks lediglich ein zusätzliches Vertragsdokument unterschreiben.

Diese Vorstellung greift zu kurz.

Standardvertragsklauseln sind ein wichtiges Instrument, ersetzen aber keine Auseinandersetzung mit dem tatsächlichen Datenfluss. Unternehmen müssen unter anderem klären:

• Welche personenbezogenen Daten werden übertragen?
• Sind besondere Kategorien personenbezogener Daten betroffen?
• Erfolgt die Übermittlung regelmäßig oder nur vereinzelt?
• Wer ist Datenexporteur und wer Datenimporteur?
• Welche Unterauftragnehmer sind eingebunden?
• In welchen Ländern werden Daten gespeichert oder verarbeitet?
• Können Behörden auf die Daten zugreifen?
• Welche Rechtsbehelfsmöglichkeiten bestehen?
• Sind wirksame technische Zusatzmaßnahmen möglich?
• Kann der Anbieter behördliche Anfragen anfechten?
• Werden Transparenzberichte veröffentlicht?
• Was geschieht bei einer Änderung der Rechtslage?

Je sensibler die Daten sind, desto höher sind die Anforderungen an die Prüfung.

Bei einer Due Diligence können beispielsweise Jahresabschlüsse, Finanzierungsunterlagen, Verträge, Personaldaten, Kundeninformationen, gewerbliche Schutzrechte, technische Dokumentationen, Rechtsstreitigkeiten oder interne Geschäftsstrategien verarbeitet werden. Ein unkontrollierter Zugriff hätte hier nicht nur datenschutzrechtliche Folgen, sondern könnte die gesamte Transaktion, Geschäftsgeheimnisse und die Verhandlungsposition der Beteiligten gefährden.

Für besonders vertrauliche Projekte ist daher die Frage berechtigt, ob ein vermeidbarer Drittlandtransfer überhaupt erforderlich ist.

Digitale Souveränität wird zu einer unternehmerischen Risikofrage

Das Urteil des Supreme Court verstärkt eine Debatte, die bereits seit Jahren geführt wird: Wie abhängig sind europäische Unternehmen von außereuropäischen Plattformen, Rechtsordnungen und Infrastrukturen?

Digitale Souveränität bedeutet nicht, jede internationale Software grundsätzlich abzulehnen. Es geht vielmehr um die Fähigkeit, informierte und selbstbestimmte Entscheidungen zu treffen.

Ein digital souverän aufgestelltes Unternehmen sollte wissen:

• wo seine geschäftskritischen Daten gespeichert werden,
• welchem Recht der Anbieter unterliegt,
• welche Unternehmen auf die Daten zugreifen können,
• welche Unterauftragnehmer eingesetzt werden,
• wie ein Anbieterwechsel technisch möglich ist,
• wie Daten exportiert und gelöscht werden können,
• welche Ausweichmöglichkeiten bei einer Rechtsänderung bestehen.

Souveränität setzt Wahlmöglichkeiten voraus. Wer seine gesamte Kommunikation, Dokumentenablage, Kundenverwaltung und Prozesssteuerung bei einem einzigen Anbieter bündelt, kann bei rechtlichen oder politischen Veränderungen unter erheblichen Handlungsdruck geraten.

Die größte Gefahr liegt deshalb nicht zwingend in der Nutzung eines bestimmten Dienstes. Problematisch ist häufig vielmehr eine Struktur, in der keine Alternativen vorbereitet sind und Daten oder Prozesse nur mit unverhältnismäßig hohem Aufwand migriert werden können.

Das Handelsblatt zitiert BGA-Präsident Jandura mit der Einschätzung, die europäische Souveränitätsdebatte habe sich durch das Urteil dramatisch zugespitzt. Diese Aussage beschreibt den strategischen Kern der Entwicklung: Europa muss nicht nur Datenschutzregeln formulieren, sondern auch leistungsfähige digitale Infrastrukturen und Angebote bereitstellen.

Was Unternehmen jetzt konkret prüfen sollten

Unternehmen müssen aktuell nicht in hektischen Aktionismus verfallen. Sie sollten die Entscheidung aber zum Anlass nehmen, ihr Datenschutz- und Lieferantenmanagement zu überprüfen.

1. Datenflüsse dokumentieren

Zunächst sollte festgestellt werden, welche Dienste personenbezogene oder vertrauliche Daten verarbeiten. Dabei sollten nicht nur große Cloud-Plattformen berücksichtigt werden, sondern auch kleinere Tools, Plug-ins, Analyseprogramme, Supportsysteme und eingebundene Unterauftragnehmer.

Eine aktuelle Übersicht der eingesetzten Auftragsverarbeiter und Drittlandtransfers ist die Grundlage jeder weiteren Entscheidung.

2. Rechtsgrundlage des Transfers feststellen

Bei jedem US-Anbieter sollte geprüft werden, ob die Übertragung auf dem Data Privacy Framework, auf Standardvertragsklauseln oder auf einer anderen Grundlage beruht.

Beruft sich der Anbieter auf das Framework, sollte zusätzlich kontrolliert werden, ob die betreffende Gesellschaft tatsächlich zertifiziert ist und die Zertifizierung die relevante Datenkategorie umfasst.

3. Verträge und Datenschutzunterlagen kontrollieren

Auftragsverarbeitungsverträge, Standardvertragsklauseln, Angaben zu Unterauftragnehmern und Transfer Impact Assessments sollten vollständig und aktuell sein.

Pauschale Werbeaussagen wie „DSGVO-konform“ ersetzen keine konkrete Prüfung.

4. Daten nach Schutzbedarf klassifizieren

Nicht jede Information ist gleich sensibel. Öffentlich verfügbare Kontaktdaten sind anders zu bewerten als Gesundheitsdaten, Personalakten, Geschäftsgeheimnisse oder vertrauliche Transaktionsunterlagen.

Eine Schutzbedarfsanalyse hilft, besonders kritische Prozesse zu identifizieren und vorrangig abzusichern.

5. Technische Zusatzmaßnahmen bewerten

Unternehmen sollten prüfen, ob Daten vor der Übertragung verschlüsselt oder pseudonymisiert werden können. Besonders relevant ist, wer die Schlüssel kontrolliert und ob der Dienstleister technisch in der Lage ist, auf unverschlüsselte Inhalte zuzugreifen.

6. Europäische und deutsche Alternativen untersuchen

Für geschäftskritische Anwendungen kann es sinnvoll sein, Angebote mit Sitz, Entwicklung und Hosting in Deutschland oder der Europäischen Union zu berücksichtigen.

Dabei sollten Unternehmen nicht allein auf die geografische Bezeichnung eines Rechenzentrums achten. Entscheidend sind die gesamte Vertrags- und Konzernstruktur, die eingesetzten Unterauftragnehmer und die tatsächlichen Zugriffsmöglichkeiten.

7. Ausstiegs- und Migrationsszenarien vorbereiten

Ein Exit-Plan beantwortet die Frage, wie Daten bei Bedarf vollständig exportiert, auf eine andere Plattform übertragen und beim bisherigen Anbieter gelöscht werden können.

Unternehmen, die ein solches Szenario frühzeitig planen, können bei einer Änderung der Rechtslage wesentlich kontrollierter reagieren.

Besondere Bedeutung für M&A, Due Diligence und Unternehmensverkäufe

Bei Unternehmenstransaktionen werden häufig besonders sensible Informationen gebündelt. Käufer, Verkäufer, Berater, Banken, Rechtsanwälte, Wirtschaftsprüfer und weitere Beteiligte benötigen Zugriff auf eine Vielzahl vertraulicher Dokumente.

Dazu können gehören:

• Gesellschaftsverträge und Beteiligungsstrukturen,
• Jahresabschlüsse und betriebswirtschaftliche Auswertungen,
• Darlehens- und Finanzierungsverträge,
• Kunden- und Lieferantenvereinbarungen,
• Personalübersichten und Arbeitsverträge,
• Informationen zu Rechtsstreitigkeiten,
• technische Entwicklungen und Patente,
• Compliance-Unterlagen,
• steuerliche Dokumente,
• Immobilien- und Versicherungsunterlagen.

Ein virtueller Datenraum soll diese Informationen strukturiert, nachvollziehbar und zugriffsgeschützt bereitstellen.

Dabei geht es nicht allein um die Einhaltung der DSGVO. Für die Beteiligten sind ebenso der Schutz von Geschäftsgeheimnissen, die Vertraulichkeit der Transaktion, die Kontrolle über Berechtigungen und die lückenlose Dokumentation von Zugriffen relevant.

Die Auswahl eines Datenraums sollte daher auch die Frage umfassen, ob internationale Datenübermittlungen erforderlich sind und wie der Anbieter mit möglichen Rechtsänderungen umgeht.

Warum ein in Deutschland betriebener Datenraum Risiken reduzieren kann

dataroomX® ist ein Angebot eines deutschen Unternehmens. Die Datenraum-Software wird in Deutschland entwickelt und in deutschen Rechenzentren betrieben.

Dadurch lässt sich bei der Nutzung des Datenraums eine zusätzliche Abhängigkeit von einem US-amerikanischen Datenraum-Anbieter vermeiden. Für Unternehmen, Kanzleien, Notare, Family Offices und Transaktionsberater kann dies die datenschutzrechtliche Prüfung vereinfachen, insbesondere wenn bei dem betreffenden Projekt kein technisch unnötiger Drittlandtransfer ausgelöst werden soll.

Ein deutscher Serverstandort allein beantwortet zwar nicht sämtliche Datenschutz- und Sicherheitsfragen. Unternehmen sollten weiterhin prüfen, welche Unterauftragnehmer eingesetzt werden, wie Berechtigungen gestaltet sind, welche Protokollierung erfolgt und welche vertraglichen Regelungen gelten.

Für vertrauliche Transaktionen ist ein transparentes europäisches beziehungsweise deutsches Betriebsmodell jedoch ein relevanter Auswahlfaktor.

dataroomX® verbindet die strukturierte Bereitstellung von Dokumenten mit Funktionen wie differenzierten Zugriffsrechten, Wasserzeichen, Protokollierung und einer geschützten Dokumentenansicht. Dadurch können Projektverantwortliche festlegen, welche Personen bestimmte Informationen sehen, bearbeiten oder herunterladen dürfen.

Die Verarbeitung innerhalb einer kontrollierbaren deutschen Infrastruktur ist dabei kein abstraktes politisches Argument. Sie kann Bestandteil eines konkreten Risikomanagements sein.

Ein deutscher Datenraum ersetzt nicht die Gesamtprüfung

Auch wenn vertrauliche Dokumente in einem deutschen Datenraum gespeichert werden, können an anderer Stelle internationale Datentransfers entstehen.

Beispiele sind:

• der Versand von Einladungen über externe E-Mail-Dienste,
• Videokonferenzen mit Beteiligten,
• CRM- und Supportsysteme,
• Analysetools auf Projekt- oder Unternehmenswebsites,
• externe Identitäts- und Authentifizierungsdienste,
• Rechts- und Unternehmensberater mit eigener Cloud-Infrastruktur.

Unternehmen sollten einen Datenraum daher nicht isoliert betrachten. Er ist ein wichtiger Bestandteil der Transaktionsinfrastruktur, aber nicht die einzige datenverarbeitende Stelle.

Ein tragfähiges Datenschutzkonzept umfasst die gesamte Prozesskette: von der Vorbereitung und Auswahl der Beteiligten über die Kommunikation und Prüfung bis zur Archivierung beziehungsweise Löschung nach Abschluss des Projekts.

Keine Panik – aber belastbare Vorsorge

Die gegenwärtige Situation lässt sich in drei Aussagen zusammenfassen:

Erstens: Das EU-US Data Privacy Framework ist weiterhin in Kraft. Datenübermittlungen an entsprechend zertifizierte US-Unternehmen sind deshalb nicht allein aufgrund des Supreme-Court-Urteils automatisch rechtswidrig.

Zweitens: Die Entscheidung des Supreme Court betrifft mit der Unabhängigkeit der FTC einen Gesichtspunkt, den die Europäische Kommission bei ihrer Angemessenheitsbewertung berücksichtigt hat. Die rechtliche Belastbarkeit des Frameworks wird daher erneut diskutiert.

Drittens: Unternehmen sollten ihre Datenflüsse, Vertragsgrundlagen und Alternativen jetzt prüfen – nicht erst dann, wenn eine gerichtliche oder politische Entscheidung unmittelbaren Handlungsdruck erzeugt.

Diese differenzierte Haltung entspricht auch den Reaktionen der Wirtschaftsverbände. Sie warnen einerseits vor erheblichen Rechts- und Haftungsrisiken, fordern andererseits aber Besonnenheit und praktikable Übergangslösungen.

Überstürzte Migrationen können technische, wirtschaftliche und sicherheitsbezogene Risiken verursachen. Untätigkeit wäre jedoch ebenfalls problematisch.

Fazit: Der Standort von Daten wird zur strategischen Entscheidung

Das Urteil des US Supreme Court zeigt, wie schnell sich die rechtlichen Voraussetzungen internationaler Datenverarbeitung verändern können.

Ein Dienst, der heute auf einem Angemessenheitsbeschluss beruht, kann morgen Gegenstand eines neuen Verfahrens vor dem Europäischen Gerichtshof sein. Unternehmen sollten ihre digitale Infrastruktur deshalb nicht ausschließlich nach Funktionsumfang und Preis auswählen.

Mindestens ebenso wichtig sind:

• der Sitz des Anbieters,
• der Ort der Datenverarbeitung,
• die anwendbare Rechtsordnung,
• die Transparenz der Unterauftragnehmer,
• wirksame technische Schutzmaßnahmen,
• vertragliche Ausstiegsrechte,
• Export- und Löschmöglichkeiten,
• verfügbare europäische Alternativen.

Für deutsche Unternehmen bedeutet digitale Souveränität nicht, jede transatlantische Zusammenarbeit zu vermeiden. Sie bedeutet, Abhängigkeiten zu kennen, kritische Daten gezielt zu schützen und bei geschäftsrelevanten Prozessen handlungsfähig zu bleiben.

Bei virtuellen Datenräumen, in denen besonders vertrauliche Transaktionsunterlagen zusammengeführt werden, besitzt diese Frage eine besondere Bedeutung. Ein in Deutschland entwickelter und betriebener Datenraum kann dazu beitragen, vermeidbare Drittlandtransfers zu reduzieren und die Datenverarbeitung übersichtlicher zu gestalten.

Die weitere Entwicklung des EU-US Data Privacy Frameworks bleibt abzuwarten. Die Europäische Kommission wird sich mit der Frage beschäftigen müssen, welche Folgen die veränderte Stellung der FTC für ihre Angemessenheitsentscheidung hat. Auch ein neues Verfahren vor dem Europäischen Gerichtshof erscheint nach der Ankündigung von Max Schrems möglich.

Unternehmen sollten daher Ruhe bewahren – aber die Zeit nutzen.

Wer seine Datenflüsse heute transparent dokumentiert, sensible Anwendungen priorisiert und europäische Alternativen prüft, ist auf mögliche Veränderungen besser vorbereitet. Datenschutz wird damit nicht nur zur juristischen Pflicht, sondern zu einem Bestandteil von Resilienz, Informationssicherheit und verantwortungsvoller Unternehmensführung.