Das EU-US-Datenabkommen hat gerade seinen Schiedsrichter verloren. Das bedeutet das.
Fabian, Gründer von Bitflake 8. Juli 2026
Europa und die USA haben drei Datenabkommen geschlossen. Zwei wurden gekippt. Das dritte hat gerade seinen Schiedsrichter verloren und steht damit auf wackligem Boden.
Betrifft Sie das überhaupt?
Wenn Sie irgendwelche US-Dienste nutzen, so gut wie sicher. Personenbezogene Daten umfassen alles, was eine Person identifiziert: die E-Mails in Ihrem Posteingang, Kundenkontakte in Ihrem CRM, Personalakten, sogar Slack-Nachrichten, die Personen erwähnen. Wenn Ihr Unternehmen Google Workspace, Microsoft 365, Slack oder Dropbox nutzt, geht es um Ihre Daten. Nur rein interne Zahlen und anonymisierte Daten sind nicht betroffen.
Warum gibt es diese EU-US-Datenabkommen überhaupt?
Europäisches Recht besagt, dass personenbezogene Daten Europa nur verlassen dürfen, wenn sie im Ausland das gleiche Schutzniveau erhalten wie im Inland. Die USA garantieren das nicht standardmäßig. US-Überwachungsbehörden können auf Daten zugreifen, die von US-Unternehmen gespeichert werden, und Europäer haben kaum eine wirksame rechtliche Möglichkeit, sich dagegen zu wehren.
Alle paar Jahre macht die USA eine Reihe von Zusagen: Schutzmaßnahmen, Beschränkungen und unabhängige Aufsichtsstellen, bei denen sich europäische Kunden beschweren können. Die Europäische Kommission stuft diese Zusagen als „gut genug" ein und erlaubt, dass Daten legal in den USA gespeichert werden. Das Abkommen erfordert die Zusagen und eine unabhängige Instanz, die sie durchsetzt.
Europa und die USA haben es jetzt dreimal versucht
- 2015: Safe Harbour gekippt (Schrems I). Die Zusagen wurden selbst zertifiziert und kaum überprüft.
- 2020: Privacy Shield gekippt (Schrems II). Die Überwachung blieb ungeprüft, keine wirksame Abhilfe für Europäer.
- 2023: Das Data Privacy Framework ersetzt es. Neue Schutzmaßnahmen und Aufsichtsstellen, aber dasselbe zugrunde liegende Problem.
Was sich gerade geändert hat
Jedes Mal stellten europäische Gerichte fest, dass die Zusagen in der Praxis nicht durchsetzbar waren. Und jetzt hat das dritte Abkommen dasselbe Problem. Der Oberste Gerichtshof der USA hat entschieden, dass die Federal Trade Commission (FTC), der Schiedsrichter des Abkommens, möglicherweise nicht mehr unabhängig vom Präsidenten ist. Die FTC ist die Behörde, die US-Unternehmen bestraft, wenn sie ihre Datenschutzzusagen brechen: indem sie Ihre Daten für Dinge nutzen, die sie ausgeschlossen hatten, Löschanträge ignorieren oder sie weiterverkaufen.
Das EU-US-Datenabkommen erwähnt die FTC 259 Mal. Ihre Durchsetzung war es, die die Zusagen des Abkommens funktionieren ließ. Die Aufsichtsgremien für die Überwachung wurden bereits ausgehöhlt, und jetzt hat auch die kommerzielle Aufsichtsbehörde ihre Unabhängigkeit verloren.
Es ist nicht nur ein EU-Problem
Die eigene Version des Vereinigten Königreichs, die UK-US Data Bridge, beruht auf denselben Zusagen und derselben Durchsetzung. Fällt der EU-Rahmen, steht sie auf demselben wackligen Boden.
Max Schrems und seine Datenschutzorganisation noyb fordern die Europäische Kommission auf, das Abkommen vollständig zurückzuziehen. In den kommenden Wochen reichen sie eine Klage ein, um es wie die letzten beiden für nichtig erklären zu lassen — womit wahrscheinlich ein Prozess in Richtung „Schrems 3" beginnt.
Was jetzt?
Morgen ändert sich nichts. Das Abkommen bleibt formal in Kraft, bis es zurückgezogen oder gekippt wird, und das braucht Zeit. Aber das Muster zählt mehr als dieses eine Urteil. Irgendwann lautet die Frage nicht mehr „Ist dieses Abkommen sicher?", sondern „Warum ist mein Unternehmen überhaupt von diesem Abkommen abhängig?"
Das muss nicht sein. Europäische und Open-Source-Alternativen gibt es inzwischen für fast jedes Tool in einem typischen Stack, von Dateispeicher bis Team-Chat.
Genau dafür baue ich Bitflake. Ihre Tools, auf Servern in Ihrem Land, unter Gesetzen, die sich nicht jedes Mal ändern, wenn ein US-Gericht ein Urteil fällt.