Worum es geht
Wer personenbezogene Daten in die USA überträgt, braucht dafür eine Rechtsgrundlage. Seit 2023 liefert das EU-US Data Privacy Framework (DPF) diese Grundlage: Die EU-Kommission hat den USA per Angemessenheitsbeschluss ein ausreichendes Schutzniveau bescheinigt, sofern das empfangende Unternehmen sich zertifiziert hat.
Für den KI-Einsatz ist das der stille Unterbau von fast allem. Jede Nutzung von ChatGPT, Claude oder Gemini in der Standardkonfiguration überträgt Daten an einen US-Anbieter. Ohne DPF bräuchte jede dieser Übertragungen eine andere Absicherung.
Warum es unsicherer geworden ist
Der EDSA hat interveniert
Am 31. Juli 2026 hat der Europäische Datenschutzausschuss die Kommission aufgefordert, das Framework zu überprüfen. Anlass war die US-Entscheidung in der Sache Trump v. Slaughter, die die Unabhängigkeit der Federal Trade Commission einschränkt. Die FTC ist eine der Behörden, auf deren Durchsetzungskraft sich die Kommission bei ihrer Angemessenheitsentscheidung gestützt hat.
Eine Aufsichtsinstanz ist handlungsunfähig
Bereits im Januar 2025 wurden drei der fünf Mitglieder des Privacy and Civil Liberties Oversight Board (PCLOB) abberufen. Seitdem fehlt dem Gremium das Quorum. Auch das PCLOB gehörte zu den institutionellen Garantien, mit denen die Kommission das US-Schutzniveau als angemessen begründet hatte.
Ein Verfahren läuft noch
Die Klage des französischen Abgeordneten Latombe wurde am 3. September 2025 vom Gericht der EU abgewiesen — das Framework blieb also bestätigt. Latombe hat jedoch am 31. Oktober 2025 Berufung beim Gerichtshof der EU eingelegt (Rechtssache C-703/25 P). Diese Berufung ist anhängig.
Zwei tragende Säulen der Angemessenheitsbegründung sind beschädigt, während ein Verfahren darüber noch läuft. Das ist keine Panik, sondern eine Beschreibung.
Was ein Wegfall bedeuten würde
Wer die Vorgeschichte kennt, weiß, wie so etwas abläuft. Safe Harbor fiel 2015, das Privacy Shield 2020 — beide von einem Tag auf den anderen. Unternehmen standen jeweils vor der Frage, auf welcher Grundlage sie ihre laufenden Datenflüsse eigentlich betreiben.
| Szenario | Folge für US-KI-Dienste | Vorlaufzeit |
|---|---|---|
| DPF bleibt | Alles wie bisher | — |
| DPF wird nachgeschärft | Zusätzliche Nachweise, Vertragsanpassungen | Monate |
| DPF fällt | Rückfall auf Standardvertragsklauseln plus Risikoprüfung im Einzelfall | Praktisch keine |
Der entscheidende Punkt steht in der letzten Zeile: Vorlaufzeit gibt es nicht. Ein Urteil wirkt sofort. Wer dann erst anfängt, Standardvertragsklauseln zu schließen und Transfer-Folgenabschätzungen zu erstellen, betreibt in der Zwischenzeit eine ungeklärte Datenverarbeitung.
Was Sie jetzt tun können
- Bestandsaufnahme machen. Welche KI-Dienste sind im Einsatz, welche personenbezogenen Daten fließen dorthin, und auf welcher Rechtsgrundlage? Diese Liste existiert in vielen Unternehmen schlicht nicht.
- Rückfallebenen vorbereiten. Standardvertragsklauseln und, wo passend, Binding Corporate Rules sollten vorbereitet in der Schublade liegen — nicht erst dann verhandelt werden, wenn es eilig ist.
- Zertifizierungen prüfen. Ist Ihr Anbieter überhaupt DPF-zertifiziert? Das wird häufig angenommen und selten kontrolliert.
- Kritische Verarbeitungen identifizieren. Wo verarbeiten Sie Personaldaten, Gesundheitsdaten oder Geschäftsgeheimnisse? Genau dort ist das Risiko am größten und die Alternative am naheliegendsten.
Die Alternative, die das Problem umgeht
Es gibt einen Weg, bei dem die ganze Debatte gegenstandslos wird: Daten, die die EU nie verlassen, brauchen keine Rechtsgrundlage für einen Drittlandtransfer. Wer seine KI-Plattform in Deutschland betreibt und Open-Weight-Modelle auf eigener oder europäischer Infrastruktur nutzt, führt diese Diskussion nicht.
Das ist kein Argument gegen US-Modelle — sie sind in vielen Aufgaben stark, und für unkritische Anwendungsfälle spricht wenig dagegen. Es ist ein Argument für eine bewusste Aufteilung: Was unkritisch ist, darf hinaus. Was das Unternehmen ausmacht, bleibt besser da.
Eine KI-Plattform, die kein Drittland kennt
Open WebUI, LibreChat oder AnythingLLM auf Servern in Deutschland — mit Modellen Ihrer Wahl. Wir klären im Erstgespräch, welche Ihrer Anwendungsfälle wirklich ins Haus gehören.
Quellen: EDSA-Aufforderung zur Neubewertung (Juli 2026), Statusübersicht 2026, Einordnung für Verantwortliche. Der Beitrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.
Zuletzt aktualisiert am
