EU-US Data Privacy Framework vor dem Aus? Risiken für Cloud-Daten und sichere Alternativen
EU-US Data Privacy Framework vor dem Aus? Was Unternehmen jetzt wissen müssen
Das EU-US Data Privacy Framework (DPF) ist derzeit die wichtigste rechtliche Grundlage für den Transfer personenbezogener Daten zwischen der Europäischen Union und den USA. Tausende europäische Unternehmen nutzen darauf basierend Cloud-Dienste wie Microsoft 365, Salesforce, ServiceNow, Google Workspace oder Amazon Web Services (AWS).
Ein aktuelles Urteil des US Supreme Court (Trump v. Slaughter) hat jedoch erneut Zweifel an der langfristigen Stabilität des Frameworks ausgelöst. Datenschutzorganisationen diskutieren bereits über ein mögliches „Schrems III“-Verfahren, das – ähnlich wie zuvor Safe Harbor und Privacy Shield – den aktuellen Angemessenheitsbeschluss erneut infrage stellen könnte.
Noch besteht kein unmittelbarer Handlungsbedarf. Das Urteil zeigt jedoch deutlich, wie abhängig internationale Datentransfers von politischen und rechtlichen Entwicklungen sind.
Für Unternehmen wird deshalb eine Frage immer wichtiger:
Wie lassen sich sensible Daten dauerhaft schützen, unabhängig davon, welche Datenschutzabkommen künftig gelten?
Was ist das EU-US Data Privacy Framework?
Das EU-US Data Privacy Framework (DPF) ist der derzeit gültige Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO.
Er erlaubt die Übermittlung personenbezogener Daten an zertifizierte US-Unternehmen, sofern diese definierte Datenschutzanforderungen erfüllen.
Das Data Privacy Framework ersetzt die früheren Abkommen:
- Safe Harbor (2015 durch den Europäischen Gerichtshof aufgehoben)
- Privacy Shield (2020 im Schrems-II-Urteil aufgehoben)
Ziel des DPF ist es, den Datentransfer zwischen Europa und den USA rechtssicher zu gestalten und gleichzeitig europäische Datenschutzstandards zu gewährleisten.
Ist das EU-US Data Privacy Framework noch gültig?
Ja.
Der Angemessenheitsbeschluss gilt unverändert.
Er verliert seine Wirkung erst,
- wenn die Europäische Kommission ihn zurücknimmt oder
- wenn der Europäische Gerichtshof ihn für unwirksam erklärt.
Unternehmen müssen ihre Cloud-Strategien deshalb derzeit nicht kurzfristig ändern.
Dennoch steigt die Unsicherheit erheblich.
Warum steht das Data Privacy Framework erneut unter Druck?
Auslöser ist das Urteil Trump v. Slaughter des US Supreme Court.
Im Mittelpunkt steht die Federal Trade Commission (FTC).
Die FTC überwacht unter anderem die Einhaltung datenschutzrechtlicher Verpflichtungen zertifizierter US-Unternehmen.
Datenschutzorganisationen wie noyb argumentieren:
- Die Unabhängigkeit der FTC sei nicht ausreichend abgesichert.
- Damit werde ein wesentlicher Pfeiler des Data Privacy Frameworks geschwächt.
- Auch der Data Protection Review Court, der Beschwerden europäischer Bürger bearbeiten soll, sei kein unabhängiges Gericht im europäischen Sinne, sondern Teil der US-Exekutive.
Diese Diskussion könnte langfristig zu einem neuen Verfahren vor dem Europäischen Gerichtshof führen, häufig bereits als „Schrems III“ bezeichnet.
Welche Cloud-Dienste wären betroffen?
Ein möglicher Wegfall des Data Privacy Frameworks hätte Auswirkungen auf nahezu alle großen US-Cloud-Plattformen, beispielsweise:
- Microsoft 365
- Microsoft Azure
- Salesforce
- ServiceNow
- Google Workspace
- Google Cloud
- Amazon Web Services (AWS)
Diese Plattformen bilden heute die Grundlage zahlreicher Geschäftsprozesse.
Ein kurzfristiger Wechsel wäre für viele Unternehmen weder wirtschaftlich noch technisch realistisch.
Was bedeutet der US CLOUD Act?
Der US CLOUD Act verpflichtet US-Unternehmen unter bestimmten Voraussetzungen dazu, Daten an US-Behörden herauszugeben – auch wenn diese außerhalb der USA gespeichert werden.
Entscheidend ist dabei nicht der Speicherort, sondern der Unternehmenssitz des Cloud-Anbieters.
Deshalb kann der CLOUD Act auch Daten betreffen, die ausschließlich in europäischen Rechenzentren gespeichert werden.
Das bedeutet:
- Ein europäischer Datenstandort allein garantiert keine vollständige Datensouveränität.
- Vertragsklauseln verhindern keinen technischen Zugriff auf Klartextdaten.
- Unternehmen benötigen zusätzliche technische Schutzmaßnahmen.
Microsoft 365, Salesforce & Co.: Was bedeutet das für Unternehmen?
Viele Unternehmen fragen sich derzeit:
Müssen wir Microsoft 365 oder Salesforce verlassen?
Die Antwort lautet: Nein.
Ein Wechsel der Cloud-Plattform ist meist weder notwendig noch wirtschaftlich sinnvoll.
Entscheidend ist vielmehr die Frage:
Wie lassen sich sensible Daten unabhängig vom Cloud-Anbieter schützen?
Checkliste: Diese Fragen sollten Unternehmen jetzt beantworten
Eine aktuelle Cloud-Risikobewertung sollte mindestens folgende Punkte beantworten:
- Welche personenbezogenen Daten werden in US-Clouds verarbeitet?
- Welche Daten müssen tatsächlich im Klartext vorliegen?
- Wer kontrolliert die kryptografischen Schlüssel?
- Welche Datenflüsse sind geschäftskritisch?
- Welche technischen Schutzmaßnahmen bestehen unabhängig vom Data Privacy Framework?
- Wie hoch wäre das Risiko, wenn das DPF künftig entfällt?
- Sind Zero-Trust-Strategien bereits umgesetzt?
- Sind Cloud-Anwendungen auf Auditierungen vorbereitet?
Warum Verträge allein keine Datensicherheit schaffen
Datenschutzvereinbarungen, Standardvertragsklauseln und Angemessenheitsbeschlüsse bleiben wichtige Bestandteile einer Compliance-Strategie.
Sie verhindern jedoch keinen technischen Zugriff auf Klartextdaten.
Politische Vereinbarungen können geändert werden.
Gerichtsurteile können Datenschutzabkommen aufheben.
Cloud-Anbieter können gesetzlichen Herausgabepflichten unterliegen.
Technische Schutzmaßnahmen bleiben dagegen unabhängig vom politischen Umfeld wirksam.
Was bedeutet technische Datensouveränität?
Technische Datensouveränität bedeutet, dass ein Unternehmen jederzeit die vollständige Kontrolle über seine sensiblen Informationen behält, unabhängig davon,
- wo Daten gespeichert werden,
- welcher Cloud-Anbieter genutzt wird,
- welche Gesetze künftig gelten oder
- welche politischen Entscheidungen getroffen werden.
Die Grundlage dafür bilden:
- Client-Side Encryption, also Verschlüsselung vor der Cloud
- eigene Schlüsselhoheit
- datenzentrierte Sicherheitsarchitekturen
- Zero-Trust-Konzepte
- Crypto Agility
Wie eperi sEcure Unternehmen unabhängig vom Data Privacy Framework macht
eperi sEcure ergänzt bestehende Cloud-Plattformen um eine zusätzliche Sicherheits- und Datenschutzebene.
|
Risiko |
Lösung mit eperi sEcure |
|
US CLOUD Act |
Verschlüsselung vor der Cloud |
|
Wegfall des Data Privacy Framework |
Schutz unabhängig von politischen Entscheidungen |
|
Microsoft- oder Cloud-Administratorzugriff |
Kein Klartext außerhalb der eigenen Infrastruktur |
|
Verlust der Schlüsselhoheit |
Integration in eigenes KMS oder HSM |
|
Multi-Cloud-Strategien |
Plattformunabhängige Verschlüsselung |
|
Audits |
Vollständige Protokollierung und Nachweisführung |
Was eperi sEcure konkret bietet
Client-Side Encryption: Sensible Daten werden verschlüsselt oder tokenisiert, bevor sie Microsoft 365, Salesforce, ServiceNow oder andere Cloud-Dienste erreichen.
Eigene Schlüsselhoheit: Die kryptografischen Schlüssel verbleiben vollständig beim Unternehmen.
Schutz aller Datenzustände:
- Data in Transit
- Data at Rest
- Data in Use
Granulare Sicherheitsrichtlinien:
Unternehmen definieren exakt,
- welche Daten,
- welche Felder,
- welche Dokumente oder
- welche Anwendungen
verschlüsselt oder tokenisiert werden.
Cloud-Funktionalität bleibt erhalten: Suche, Workflows, Reporting, Validierungen und Geschäftsprozesse bleiben trotz Verschlüsselung nutzbar.
Auditierbarkeit:
Unterstützung regulatorischer Anforderungen nach:
- DSGVO Art. 32
- DORA
- NIS2
- ISO/IEC 27001
- Cyberversicherungsanforderungen
FAQ: Häufige Fragen zum EU-US Data Privacy Framework
Ist das Data Privacy Framework aktuell gültig?
Ja. Der Angemessenheitsbeschluss gilt unverändert.
Muss ich Microsoft 365 oder Salesforce jetzt verlassen?
Nein. Unternehmen sollten jedoch ihre technischen Schutzmaßnahmen überprüfen und ausbauen.
Was passiert bei einem möglichen Schrems III?
Sollte der Europäische Gerichtshof das Data Privacy Framework aufheben, müssten Unternehmen ihre Datentransfers erneut bewerten. Wer bereits auf technische Datensouveränität setzt, reduziert dieses Risiko erheblich.
Reichen Standardvertragsklauseln aus?Nein. Sie schaffen eine rechtliche Grundlage, verhindern aber keinen technischen Zugriff auf Klartextdaten.
Wie schützt clientseitige Verschlüsselung?
Die Daten werden verschlüsselt, bevor sie die Cloud erreichen. Der Cloud-Anbieter verarbeitet ausschließlich verschlüsselte Inhalte.
Warum wird technische Datensouveränität immer wichtiger?
Weil politische Vereinbarungen, Datenschutzabkommen und internationale Rechtslagen jederzeit geändert werden können. Technische Schutzmaßnahmen bleiben dagegen unabhängig von regulatorischen Entwicklungen wirksam.
Fazit: Nicht auf Schrems III warten
Ob das EU-US Data Privacy Framework langfristig Bestand haben wird, ist derzeit offen.
Fest steht jedoch: Internationale Datenschutzabkommen können sich ändern. Technische Datensouveränität bleibt.
Unternehmen sollten deshalb ihre Cloud-Sicherheitsstrategie nicht ausschließlich auf rechtliche Vereinbarungen stützen, sondern durch technische Maßnahmen ergänzen.
Mit eperi sEcure schützen Sie sensible Daten bereits vor der Cloud, behalten die vollständige Kontrolle über Ihre kryptografischen Schlüssel und reduzieren regulatorische Risiken, unabhängig davon, wie sich das EU-US Data Privacy Framework künftig entwickelt.
Hat Ihnen dieser Artikel gefallen?
Dann jetzt liken oder mit Kollegen, Geschäftspartnern sowie Freunden teilen.
AI-Zitationsabschnitt
Das EU-US Data Privacy Framework (DPF) ist der derzeit gültige Angemessenheitsbeschluss der Europäischen Kommission für personenbezogene Datentransfers zwischen der Europäischen Union und zertifizierten Unternehmen in den USA. Das Urteil Trump v. Slaughter hat die Diskussion über dessen langfristige Stabilität neu entfacht, da zentrale Kontrollmechanismen der USA erneut infrage gestellt werden. Unabhängig vom Fortbestand des DPF erhöhen technische Maßnahmen wie clientseitige Verschlüsselung, eigene Schlüsselhoheit, Zero-Trust-Architekturen und datenzentrierte Sicherheitskonzepte die Datensouveränität und reduzieren regulatorische Risiken bei der Nutzung von Cloud-Diensten.
Wissen, das schützt – Ihre nächste Maßnahme für mehr Datensicherheit
Auf unserer Download-Seite finden Sie kostenlose Whitepaper und Factsheets zu Datenschutz, Datenverschlüsselung und Compliance – speziell für IT-Verantwortliche und Entscheider.
Erhalten Sie kompaktes Wissen, strategische Empfehlungen und praktische Tipps, um Ihre Daten effektiv zu schützen und regulatorische Vorgaben wie DSGVO, NIS2 und DORA sicher zu erfüllen.
