Vor rund drei Jahren ging Max Schrems in einem Gasteditorial für die iX hart ins Gericht mit dem damals gerade neu verabschiedeten Data Privacy Framework (DPF) zwischen der EU und den USA. Als dritte vertane Chance für die Sicherheit personenbezogener Daten bezeichnete der Jurist und Datenschützer, der schon die Vorgängerwerke Safe Harbor und Privacy Shield zu Fall gebracht hatte, das Abkommen. Der EU warf er vor, damit die Spionage gegen die eigene Bevölkerung tatkräftig zu unterstützen. Doch eine tatsächliche Klage von Schrems oder seinem Bürgerrechtsverein NOYB vor dem EuGH blieb aus. Bis jetzt. Denn ein US-Präsident mit absolutistischen Allüren liefert nun die besten nur vorstellbaren Argumente.

Das Abkommen ist um die Annahme herum konstruiert, dass die Federal Trade Commission (FTC) als zuständige Datenschutzbehörde eine von der Regierung unabhängige Institution ist. Sein ganzer Text nimmt nicht einmal, nicht zehnmal, sondern 259-mal auf diese Unabhängigkeit Bezug. Von der aber gar nichts bleibt, wenn der Möchtegernkönig im Weißen Haus die Chefin feuern darf. Und genau das hat der Oberste Gerichtshof der USA in einem richtungsweisenden Prozess für rechtens erklärt (Trump v. Slaughter).

Ja, aber die Wirtschaft...

Die Folgen? Schwer abzusehen. Bisher haben die Schwächen des DPF oder die Phasen der Rechtsunsicherheit zwischen den jeweils gekippten Abkommen kaum jemanden gekratzt, schon gar nicht die vielen Unternehmen, denen Berater eingepflanzt haben, dass es zu den Hyperscalern eh keine Alternative gibt. Im Gegenteil, immer raus mit den Daten, notfalls gedeckt durch Standardvertragsklauseln. Es ist ja im Sinne der Wirtschaft. Ob unserer oder der transatlantischen, egal – Details!

Doch anders als noch 2023 kennen wir jetzt die Folgen dieses Denkens. Wir wissen, Microsoft dreht dem Chefankläger des Internationalen Strafgerichtshofs in Den Haag den Account ab, wenn Trump es will, oder ein Richter verliert gleich alle Konten bei US-Unternehmen auf einen Schlag. Auch NGO-Mitgliedern wird, weniger medienwirksam, das digitale Leben unmöglich gemacht. Kaum jemandem in Brüssel kann es jetzt noch gelingen, solche Fälle, und damit den Aspekt der digitalen Souveränität, ganz auszublenden. Doch vorerst bleibt das Abkommen trotz fehlender Grundlage in Kraft. Die Kommission müsste es formell aufheben. Tut sie es nicht, klagt der NOYB es weg. Das dauert vermutlich zwei bis drei Jahre. Bis dahin gilt das Prinzip Hoffnung, nämlich dass man sich mit einer neuen US-Regierung besser ins Vernehmen setzen kann.

Selbst wenn, das prinzipielle Problem löst das nicht. Der Schutz persönlicher Daten nach Art der DSGVO und der Anspruch von US-Institutionen, im Bedarfsfall auf diese Daten zuzugreifen, sind kaum vereinbar. Die Abhängigkeit der hiesigen Wirtschaft und Verwaltung von Hyperscalern mag zwar nicht so alternativlos sein, wie diese uns glauben machen wollen. Dennoch ist sie real und nicht Knall auf Fall zu beseitigen. Vielleicht sollte man es also so versuchen: ein etwas weniger angreifbares Datenschutzabkommen mit den USA, flankiert von Regulierungen, die indirekte Anreize setzen, persönliche Daten vollständig im EU-Rechtsraum zu verarbeiten und zu speichern. „Der Wirtschaft“ käme das auch zugute. Diesmal der europäischen.

Dieser Kommentar ist das Editorial der neuen iX-Ausgabe 8/2026, die im heise Shop oder am Kiosk erhältlich ist.

(axk)