Deine Daten verlassen Europa nicht

Wir bauen Buchungs-, Dispositions- und Planungssysteme, und die Daten darin bleiben hier. Nicht aus Misstrauen gegen amerikanische Anbieter, und nicht, weil ihre Nutzung verboten wäre. Sie ist es nicht. Sondern weil der Weg über die USA seit zehn Jahren alle paar Jahre neu verhandelt wird, und weil du das nicht mitverfolgen musst, wenn die Daten hierbleiben.

Was in zehn Jahren passiert ist

Wer Daten in die USA gibt, braucht dafür eine Erlaubnis. Am einfachsten ist es, wenn die EU-Kommission dem Zielland bescheinigt, dass die Daten dort ähnlich gut geschützt sind wie hier. Das nennt sich Angemessenheitsbeschluss. Davon gab es für die USA drei:

• Safe Harbor, vom Europäischen Gerichtshof gekippt am 6. Oktober 2015.
• Privacy Shield, gekippt am 16. Juli 2020.
• Data Privacy Framework, beschlossen am 10. Juli 2023 und derzeit gültig.

Zwei von drei sind gefallen, im Abstand von fünf Jahren. Der dritte hat seine erste Prüfung überstanden: Das Gericht der Europäischen Union hat eine Klage dagegen am 3. September 2025 abgewiesen. Das Verfahren war allerdings eng zugeschnitten, viele Fragen blieben ausdrücklich offen. Seit dem 31. Oktober 2025 liegt die Sache beim Europäischen Gerichtshof, also bei dem Gericht, das die beiden Vorgänger gekippt hat.

Zusätzlich ist eine der amerikanischen Aufsichtsstellen, auf die sich der Beschluss von 2023 ausdrücklich stützt, seit Januar 2025 nicht mehr beschlussfähig. Ihr wurden drei von fünf Mitgliedern entzogen. Die europäischen Datenschutzbehörden haben das als Problem vermerkt.

Das ist eine Planungsfrage, keine Glaubensfrage

Solange der Beschluss gilt, ist die Übermittlung erlaubt, und die Behörden sind daran gebunden. Wer heute einen amerikanischen Dienst einsetzt, tut nichts Verbotenes.

Das Risiko liegt woanders. Fällt der Beschluss, braucht jede laufende Übermittlung binnen weniger Monate eine neue Grundlage. In der Regel sind das vorformulierte Verträge, die die EU dafür bereitstellt, dazu die Prüfung, ob sie im Zielland überhaupt etwas bewirken. Diese Arbeit traf 2020 nach dem zweiten Urteil zehntausende Unternehmen gleichzeitig.

Für ein System, das zehn Jahre laufen soll, ist das kein Randrisiko. Es ist ein Umbau zu einem unbekannten Zeitpunkt, und er steht in keinem Angebot.

Was wegfällt, wenn die Daten hierbleiben

Der Vorteil ist nicht, dass die Übermittlung besser abgesichert wäre. Der Vorteil ist, dass es keine gibt. Damit erledigt sich das ganze Kapitel:

• die Frage nach der Erlaubnis und nach dem Ersatzweg, falls sie wegfällt,
• die Prüfung, ob die Ersatzverträge im Zielland tragen,
• der Eintrag über Auslandsübermittlungen in deinem Verarbeitungsverzeichnis,
• die Auskunft gegenüber deinen eigenen Kunden, wo ihre Daten liegen.

Der letzte Punkt trifft manche Betriebe doppelt. Wer selbst mit fremden Daten arbeitet, etwa Hausverwaltungen, Pflegedienste oder Kanzleien, schuldet seinen Kunden nach Art. 13 DSGVO Auskunft darüber, wer die Daten verarbeitet und wohin sie gehen. Bei Anwälten, Ärzten und Steuerberatern kommt die Schweigepflicht nach § 203 StGB dazu.

Für KI gilt dasselbe

Eine Anfrage an ein amerikanisches KI-Angebot ist eine Übermittlung wie jede andere. Mit dem Unterschied, dass dabei genau die Inhalte übertragen werden, um die es geht: Kundenanfragen, Verträge, Mängelmeldungen.

Offene Modelle auf eigener oder europäischer Technik lösen das, weil die Frage gar nicht erst entsteht. Ob an einer Stelle überhaupt KI nötig ist, steht auf der Seite dazu. Bei zwei der fünf Beispiele auf unserer Startseite ist sie es nicht.

Wie wir es machen

Offene Modelle auf deinem eigenen Server, in einem deutschen Rechenzentrum oder bei einem europäischen Anbieter. Du entscheidest, wo. Kein US-Konzern im Datenweg, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO inklusive.

Diese Website hält sich an dieselbe Regel: kein Cookie-Banner, keine fremden Dienste, die Besucherzählung läuft auf unserem eigenen Server. Nachzulesen in der Datenschutzerklärung. Und wenn du darüber sprechen willst: Erstgespräch, 30 Minuten, kostenlos.

Quellen

• EuGH, Urteil vom 6. Oktober 2015, C-362/14 („Schrems I"), Safe Harbor ungültig.
• EuGH, Urteil vom 16. Juli 2020, C-311/18 („Schrems II"), Privacy Shield ungültig.
• Durchführungsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework.
• EuG, Urteil vom 3. September 2025, T-553/23 (Latombe). Rechtsmittel beim EuGH anhängig unter C-703/25 P.
• Verlust der Beschlussfähigkeit des amerikanischen Aufsichtsgremiums PCLOB am 27. Januar 2025, Bewertung durch den Europäischen Datenschutzausschuss.
• DSGVO: Art. 44 ff. zur Übermittlung in Drittländer, Art. 13 Auskunftspflicht, Art. 28 Auftragsverarbeitung, Art. 30 Verarbeitungsverzeichnis. § 203 StGB zur Schweigepflicht.