Datentransfer: US Supreme Court gefährdet EU-USA-Abkommen

Unternehmen müssen ihre Cloud-Strategien neu ausrichten.

Das Gericht entschied am 29. Juni 2026: Die Federal Trade Commission (FTC) gilt nicht mehr als unabhängige Behörde. Der US-Präsident kann die Kommissare entlassen. Damit wackelt das Trans-Atlantic Data Privacy Framework (TADPF) – die zentrale Grundlage für den EU-US-Datentransfer.

Datenschützer und Rechtsexperten sehen das Schutzniveau für europäische Daten in Gefahr. Max Schrems kündigte bereits eine dritte Klage gegen das Abkommen an. Besonders betroffen: Hosting-Modelle unter US-Muttergesellschaften. Sie unterliegen dem US Cloud Act und dem EU Data Act – US-Behörden könnten potenziell auf die Daten zugreifen.

Trend zu souveränen Cloud-Lösungen

Die Unsicherheit treibt Unternehmen zu europäischen Alternativen. Das EU Tech Sovereignty Package vom Juni 2026 definiert digitale Eigenständigkeit als strategisches Ziel. Eine Bitkom-Umfrage aus dem Frühjahr untermauert den Trend: 99 Prozent der befragten Unternehmen halten Unabhängigkeit bei digitalen Technologien für wichtig. 79 Prozent fordern höhere Investitionen.

Durch die unsichere Rechtslage beim Datentransfer rücken die allgemeinen Dokumentationspflichten wieder verstärkt in den Fokus der Behörden. Sichern Sie Ihr Unternehmen ab und erstellen Sie Ihr erforderliches Verzeichnis der Verarbeitungstätigkeiten mit dieser kostenlosen Excel-Vorlage rechtssicher und zeitsparend. Jetzt kostenlose Muster-Vorlage und Anleitung herunterladen

Ein prominentes Beispiel liefert die Schweizer Armee. Das Kommando Cyber plant, Microsoft 365 bis Oktober 2026 durch die Open-Source-Alternative Opendesk zu ersetzen. Grund: der US Cloud Act. Das Parlament stellte 10 Millionen CHF für die Entwicklung von Alternativen bereit.

Auch in Deutschland bieten spezialisierte Anbieter zunehmend souveräne Lösungen an. Sie setzen auf Rechenzentren im Inland oder in Österreich. Zielgruppe: Branchen mit hohen Sicherheitsanforderungen und die öffentliche Verwaltung. Das Projekt SynerKI im Kanton Zürich bereitet mit Millionenbeträgen den sicheren Einsatz von KI-Plattformen für schützenswerte Daten vor.

NIS2 und Bußgelder erhöhen Druck

Zusätzlich treiben regulatorische Fristen die Unternehmen an. Bis zum 31. Juli 2026 müssen sich betroffene Firmen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Dienstleister bieten bereits spezialisierte Migrationen von US-basierten Entwicklungsplattformen auf deutsche Server an.

Besonders beim Einsatz externer Dienstleister und Cloud-Anbieter entstehen oft unbemerkte Haftungsrisiken für die Geschäftsführung. Dieser kostenlose Experten-Report klärt über Ihre Pflichten bei der Auftragsverarbeitung auf und bietet fertige Checklisten zur sofortigen Umsetzung. Gratis E-Book zur rechtssicheren Auftragsdatenverarbeitung sichern

Dass Verstöße teuer werden, zeigt ein Urteil der französischen Aufsichtsbehörde CNIL vom 26. Mai 2026. Gegen IQVIA Operations France verhängte sie eine Geldbuße von 5 Millionen Euro. Die Behörde rügte Verstöße bei der Verarbeitung von Gesundheitsdaten. Ihre klare Botschaft: Pseudonymisierung ist nicht gleich Anonymisierung.

SaaS-Risiken: Unternehmen bleiben in der Pflicht

Die Nutzung von Software-as-a-Service (SaaS) hebt die Verantwortung für die eigenen Daten nicht auf. Das „Shared Responsibility Model“ macht klar: Unternehmen sind selbst für Backups und die Wiederherstellbarkeit ihrer Daten in Umgebungen wie Microsoft 365 oder Google Workspace verantwortlich.

Datenverluste entstehen nicht nur durch Cyberangriffe, sondern auch durch Benutzerfehler. Neue Regularien wie NIS2 und DORA verschärfen die Nachweispflichten. Firmen müssen regelmäßig Restore-Tests und unabhängige Backups vorweisen können.

de | wirtschaft | 69782245 |