Trump bringt den Datendeal zwischen EU und USA erneut ins Wanken: Was das für Europas Datensouveränität bedeutet

Die Debatte um den Datentransfer zwischen Europa und den USA ist zurück. Auslöser dafür ist ein Urteil des US Supreme Court im Fall Trump vs. Slaughter. Darin entschied das Gericht, dass Präsident Donald Trump Einfluss auf die Federal Trade Commission (FTC) ausüben darf. Diese Behörde gilt im EU-U.S. Data Privacy Framework (DPF) allerdings als unabhängige Kontrollinstanz für Datenschutz in den USA. Wird ihre Unabhängigkeit infrage gestellt, gerät damit auch eine zentrale Voraussetzung des Datenabkommens unter Druck.

Warum dieses Urteil zum Wendepunkt für Europas Datensouveränität werden könnte und worauf sich Unternehmen einstellen müssen, erfahren Sie in diesem Artikel.

Warum braucht es ein Datenabkommen?

Die DSGVO verbietet die Übermittlung personenbezogener Daten in Drittstaaten grundsätzlich, sofern dort kein mit der EU vergleichbares Datenschutzniveau besteht.

Gleichzeitig nutzen unzählige europäische Unternehmen Cloud- und Softwaredienste von US-Anbietern wie Microsoft, Google oder Salesforce. Dabei werden regelmäßig personenbezogene Daten verarbeitet. Damit diese Nutzung rechtlich möglich bleibt, haben die EU und die USA verschiedene Abkommen geschlossen:

• Safe Harbor (2000–2015)

• Privacy Shield (2016–2020)

• EU-U.S. Data Privacy Framework (seit 2023)

Die beiden Vorgänger des EU-U.S. Data Privacy Framework wurden jeweils vom Europäischen Gerichtshof (EuGH) durch die Urteile Schrems I und Schrems II für unwirksam erklärt. Beide Verfahren wurden durch den österreichischen Juristen und Datenschutzaktivisten Max Schrems angestoßen.

Nun sehen er und seine Datenschutzorganisation noyb auch das aktuelle Data Privacy Framework (DPF) kritisch. Sie argumentieren, dass zentrale Voraussetzungen, auf denen das Abkommen beruht, durch die jüngsten Entwicklungen nicht mehr erfüllt seien. Aus ihrer Sicht bietet die USA damit kein Datenschutzniveau mehr, das den europäischen Anforderungen entspricht:

 „Da es in den USA keine unabhängigen Behörden mehr gibt, fordern wir die Europäische Kommission auf, den Angemessenheitsbeschluss für die USA geordnet aufzuheben.“

Eine Klage betrachtet noyb als letztes Mittel. Rechtlich bleibt das DPF vorerst bestehen. Datenübermittlungen in die USA sind daher weiterhin möglich, solange die EU-Kommission den Angemessenheitsbeschluss nicht zurücknimmt oder der EuGH ihn aufhebt. Für Unternehmen bleibt die Lage dennoch unsicher, wenn zentrale Prozesse dauerhaft von US-Cloud-Diensten abhängen.

Warum das Datenschutzniveau der USA umstritten bleibt

Mit den verschiedenen Datenabkommen versucht die Politik seit Jahren, einen Kompromiss zwischen den hohen europäischen Datenschutzanforderungen und den weniger strengen rechtlichen Rahmenbedingungen in den USA zu schaffen. Dass dies immer wieder notwendig wird, hat einen Grund: Zweifel am Umgang US-amerikanischer Behörden und Unternehmen mit europäischen Daten sind nicht neu – und sie kommen nicht von ungefähr.

Fälle wie die Snowden-Enthüllungen oder Cambridge Analytica haben gezeigt, wie weit staatliche Zugriffe und kommerzielle Datennutzung reichen können. Das hat viele Menschen für den Umgang mit Daten sensibilisiert und das Vertrauen in globale Dateninfrastrukturen erschüttert. Darüber hinaus ist Europa laut einer Schwerpunktstudie des BMWi in zentralen Bereichen der Digitalisierung stark von US-amerikanischen und anderen nicht-europäischen Technologiekonzernen abhängig. Diese Anbieter prägen wesentliche Infrastrukturen, Plattformen und Standards. Dadurch konzentrieren sich Kontrolle über Daten und digitale Wertschöpfung bei wenigen globalen Akteuren, die nicht ausschließlich europäischem Recht unterliegen.

Faktencheck: Was darf die USA rechtlich im Umgang mit Daten? 

In einem 34-seitigen Gutachten von Rechtswissenschaftlern der Universität zu Köln wird die US-Rechtslage zum weltweiten Datenzugriff durch US-Behörden bei der Nutzung von Cloud-Diensten untersucht. Erstellt wurde es im Frühjahr 2025 im Auftrag des Bundesministeriums des Innern und für Heimat (BMI) und ist inzwischen über das Informationsfreiheitsgesetz öffentlich zugänglich.

Dabei ging es um folgende Kernfrage: Unter welchen Voraussetzungen können US-Behörden rechtlich auf Cloud-Daten zugreifen – auch wenn Anbieter, Tochtergesellschaft oder Serverstandort außerhalb der USA liegen?

Nach Einschätzung der Autoren verfügen US-amerikanische Sicherheitsbehörden über weitreichende Herausgabe- und Zugriffsrechte auf Kommunikationsdaten und Cloud-Inhalte. Diese greifen besonders klar bei Servern in den USA, können aber auch ausländische Serverstandorte und Cloudanbieter außerhalb der Vereinigten Staaten erfassen. Hinzu kommt, dass ein richterlicher Durchsuchungsbeschluss nicht in jedem Fall erforderlich ist und die Rechtsschutzmöglichkeiten europäischer Unternehmen gegen entsprechende Anordnungen begrenzt sind.

Letztlich kommt es darauf an, wie eng ein Unternehmen mit dem US-Rechtsraum verbunden ist, etwa durch Sitz, Konzernstruktur, Verträge oder genutzte Dienste. Vor diesem Hintergrund reichen technische Schutzmaßnahmen gegen Datenzugriffe nicht zwingend aus. Denn wer eine Herausgabe technisch verhindert, obwohl nach US-Recht eine Pflicht zur Bereithaltung oder Offenlegung besteht, riskiert Sanktionen, von Geldbußen bis hin zu Haftstrafen.

Kurz gesagt: US-Behörden haben zwar keinen freien Zugriff auf europäische Cloud-Daten, aber er kann dort möglich werden, wo Anbieter, Infrastruktur oder Verträge eine Verbindung zum US-Recht herstellen.

Was heißt das für Europas Datensouveränität?

Auch wenn ein Unternehmen in Europa sitzt und seine Daten auf europäischen Servern verarbeitet, können US-amerikanische Rechtsvorgaben relevant werden, sobald ein US-Cloud-Anbieter beteiligt ist. Die politischen Abkommen zwischen der EU und den USA sollen diesen Konflikt rechtlich auffangen und verlässliche Bedingungen für Datentransfers schaffen. Die aktuelle Debatte um das Data Privacy Framework zeigt jedoch, wie abhängig diese Sicherheit von politischen Entscheidungen und institutionellen Schutzmechanismen in den USA bleibt.

Datensouveränität ist damit keine Selbstverständlichkeit und keine rein technische Herausforderung, sondern eine Frage bewusster Governance. Unternehmen müssen gezielt entscheiden, welche Anbieter sie einsetzen, um die Kontrolle darüber zu behalten, wo und wie ihre Daten verarbeitet werden und welche rechtlichen Zugriffsmöglichkeiten damit verbunden sind.

Weniger Abhängigkeit, mehr Handlungsfähigkeit 

Laut der Schwerpunktstudie des BMWi soll ein eigenständiger europäischer Weg helfen, digitale Souveränität, wirtschaftliche Unabhängigkeit und strategische Handlungsfähigkeit zu sichern. Andernfalls droht, dass Europa durch ausländische Digitalstrategien, neue globale Plattformunternehmen und den Aufkauf europäischer Firmen noch stärker in Abhängigkeiten gerät.

Die gegenwärtige Diskussion um das Data Privacy Framework verleiht diesem Handlungsbedarf neue Dringlichkeit. Max Schrems sieht es wie folgt:

 „Für Unternehmen bedeutet das, einen Plan für den Ausstieg aus US-Diensten zu entwickeln. Das wird ein großes Vorhaben, eröffnet der EU aber auch erhebliche Chancen. Eine stabile rechtliche Beziehung zwischen der EU und den USA wäre wünschenswert. Doch seien wir ehrlich: Im besten Fall beruhte sie bisher auf einem rechtlichen Kartenhaus – und das hält den aktuellen geopolitischen Entwicklungen nicht stand.“

Für uns bei FP Digital ist das Thema Datensouveränität ein Grundprinzip unserer Lösungen. Wir sind ein deutsches Unternehmen, betreiben unsere Anwendungen in deutschen Rechenzentren und richten sie an europäischen Datenschutzanforderungen aus. So unterstützen unsere Lösungen Unternehmen dabei, sensible Prozesse wie digitale Signaturen, elektronische Rechtskommunikation oder Dokumentenverarbeitung sicher zu digitalisieren, ohne zentrale Fragen zu Speicherort, Anbieterstruktur und außereuropäischen Zugriffsrechten offenlassen zu müssen.

Erfahren Sie, wie Sie elektronische Signaturen mit voller Kontrolle über Daten und Compliance umsetzen – mit FP Sign, unserer Privacy-First-Lösung für sichere digitale Signaturprozesse.

Die Inhalte auf dieser Seite dienen ausschließlich allgemeinen Informationszwecken und stellen keine rechtliche Beratung dar. Für konkrete Anwendungsfälle empfehlen wir, professionellen Rechtsrat einzuholen.