US-Cloud und DSGVO: Wann wird's problematisch — und was tun?
Kurz gesagt
Nach dem Schrems-II-Urteil (2020) wurde der EU-US Privacy Shield für ungültig erklärt. Das EU-US Data Privacy Framework (2023) bietet eine neue Basis, gilt aber weiterhin als rechtlich angreifbar. Lösung: Standardvertragsklauseln mit Transfer Impact Assessment oder europäische Alternativen.
Warum das Problem so verbreitet ist
Jedes Mal, wenn eine Website Schriftarten über ein US-CDN lädt, wird die IP-Adresse des Besuchers an US-Server übertragen. Jedes Mal, wenn ein Team Mailchimp, HubSpot, Dropbox oder Google Drive nutzt, verlassen Daten die EU — oft ohne vertragliche Absicherung des Transfers. Das Data Privacy Framework enthält erstmals einen Rechtsbehelfsmechanismus für EU-Bürger, dennoch haben Datenschutzorganisationen bereits neue Klagen angekündigt — eine rechtliche Endgültigkeit ist nicht garantiert.
Typische Dienste mit US-Datentransfer
- Schriftarten über CDN: IP-Übertragung bei jedem Seitenaufruf — lokal hosten ist die Lösung.
- Analytics-Dienste mit US-Sitz: Nutzerdaten auf US-Servern — Einwilligung plus Standardvertragsklauseln nötig.
- E-Mail-Marketing-Tools mit US-Sitz: Kontaktdaten in den USA — Vertragsklauseln prüfen oder europäische Alternative nutzen.
- CRM-Systeme mit US-Sitz: Kundendaten in US-Cloud — Zertifizierung nach dem Data Privacy Framework prüfen.
- Cloud-Speicher wie Dropbox oder Google Drive: Dokumente auf US-Servern — europäische Alternativen erwägen.
- Videokonferenz-Tools mit US-Sitz: Metadaten und Gesprächsinhalte — Verarbeitungsort in Vertragseinstellungen prüfen.
- US-Hyperscaler ohne EU-Region: auch bei EU-Rechenzentrum gelten weiterhin US-Zugriffsmöglichkeiten.
- Werbe-Tracking-Pixel mit US-Sitz: Tracking-Daten in US-Cloud — ohne Einwilligung nicht zulässig.
Was Standardvertragsklauseln leisten — und was nicht
Standardvertragsklauseln sind von der EU-Kommission vorformulierte Klauseln, die Datentransfers in Drittländer absichern sollen, seit 2021 in überarbeiteter Fassung. Sie allein reichen aber nicht: Nach Schrems II müssen Unternehmen zusätzlich ein Transfer Impact Assessment durchführen — eine Risikoabschätzung, ob die Klauseln im Zielland tatsächlich wirksam sind oder Behördenzugriffe die vertraglichen Schutzversprechen aushebeln können. Das Data Privacy Framework vereinfacht die Situation für zertifizierte US-Unternehmen: Wer auf der offiziellen Liste steht, gilt als sicherer Empfänger, Standardvertragsklauseln sind dann nicht zwingend nötig — die Zertifizierung läuft jedoch jährlich aus und sollte regelmäßig geprüft werden.
Wichtig: Ein EU-Rechenzentrum schützt nicht automatisch vor US-Behördenzugriffen. US-Unternehmen unterstehen dem CLOUD Act, der Zugriff auch auf Daten außerhalb der USA ermöglichen kann, wenn das Unternehmen unter US-Jurisdiktion steht — auch bei physisch europäischem Serverstandort.
Der Datentransfer-Check Schritt für Schritt
- Datentransfer-Inventur erstellen: alle eingesetzten Dienste mit Firmensitz und Serverstandort erfassen — häufig kommen dabei überraschend viele US-Dienste zum Vorschein.
- Zertifizierung prüfen: offizielle Liste des Data Privacy Framework konsultieren, jährlichen Reminder anlegen.
- Standardvertragsklauseln abschließen: für nicht-zertifizierte Dienste, zusammen mit einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
- Transfer Impact Assessment durchführen: dokumentieren, warum der Transfer trotz Restrisiko vertretbar ist.
- Europäische Alternativen evaluieren: für Analytics selbst gehostete oder EU-basierte Tools, für E-Mail-Marketing und Cloud-Speicher europäische Anbieter.
- Schriftarten lokal hosten: technisch einfach umsetzbar und schließt eine der häufigsten Abmahnfallen.