Zwei Schalter, beide auf Ein: DSGVO im Kontext transatlantischer Spannungen
Rückblick auf unseren Roundtable bei der PriSec Austria 2026
Am 13. November durfte ich gemeinsam mit Michael Staudacher (Kwizda Holding) im Rahmen der diesjährigen PriSec von Business Circle einen Roundtable zur Frage moderieren, was die DSGVO in Zeiten transatlantischer Spannungen noch leisten kann. Ausgangspunkt war eine Szene aus dem französischen Senat: Im Juni 2025 wurde der Chefjurist von Microsoft Frankreich gefragt, ob er garantieren könne, dass Daten französischer Bürger nie ohne Zustimmung der französischen Behörden an US-Behörden gehen. Seine Antwort war ein klares Nein. Das ist aber keine Schwäche eines einzelnen Anbieters, sondern gilt für jeden, der US-Recht unterliegt.
Zwei Schalter, die zuerst uns treffen
Man stelle sich das vor: Auf beiden Seiten des Atlantiks gibt es einen Schalter. Europa kann die Übermittlung abschalten, wenn Gericht oder Aufsicht die Rechtsgrundlage kippen. Das kündigt sich über Jahre an, wirkt dann aber sofort. Die USA können den Dienst abschalten, über Sanktionen oder Exportkontrollen, und zwar ohne Vorwarnung. Beide Schalter treffen zuerst die Verantwortlichen, also uns in Europa.
Das Data Privacy Framework gilt heute noch. Das EuG hat es im Fall Latombe bestätigt, das Rechtsmittel beim EuGH ist anhängig. Gleichzeitig ist das PCLOB seit Monaten ohne Quorum, und seit dem Urteil des Supreme Court in Slaughter ist der Abberufungsschutz der FTC-Mitglieder gefallen. Das DPF beantwortet die Transferfrage, mehr nicht. Es deckt nur zertifizierte Empfänger im Umfang ihrer Zertifizierung. Fällt es weg, tragen Standardvertragsklauseln nur, wenn auch die Prüfung des Drittlandsrechts und die ergänzenden Maßnahmen tragen. Liegen Inhalte im Klartext beim Anbieter und hält dieser den Schlüssel, wird das schwierig. Ein EU-Rechenzentrum allein verhindert keine Herausgabe nach 18 USC § 2713, auch wenn die US-Anordnung nach Art 48 DSGVO für sich keine Rechtsgrundlage ist.
Verfügbarkeit ist ein Datenschutzthema
Der zweite Schalter wird oft unterschätzt. Die Fälle rund um den Internationalen Strafgerichtshof, die Abschaltung des italienischen Anbieters A/I nach seiner Sanktionierung oder die 19-tägige Sperre von zwei KI-Modellen im Juni 2026 zeigen, wie schnell Dienste wegfallen können, auch bei europäischen Anbietern, die an US-Infrastruktur hängen. Für Art 32 DSGVO zählt die Wirkung auf die Betroffenen. Souveränität heißt in diesem Sinn nicht Autarkie, sondern die Fähigkeit, im Ernstfall weiterzuarbeiten.
Was Verantwortliche jetzt prüfen sollten
- Bestandsaufnahme im Verzeichnis nach Art 30: Wer greift tatsächlich zu, inklusive Unterauftragsverarbeiter, Support und Administration?
- DPF-Umfang prüfen und die Prüfung des Drittlandsrechts aktualisieren.
- Differenzieren: für kritische Daten eine Alternative vorbereiten, für den Rest beim Bestand bleiben.
- Ausfall vorbereiten, mit einer Exit- und Wiederherstellungsfähigkeit, die nicht auf die Mitwirkung des Anbieters angewiesen ist.
- Entscheidungen nachvollziehbar dokumentieren.
Ernüchternd, aber nicht aussichtslos
Die Diskussion war durchaus ernüchternd. Praktisch alle Anwesenden waren sich des Dilemmas bewusst, eine einfache Lösung hat niemand. Am Ende liegt es wohl an uns allen, darauf hinzuarbeiten, dass sich diese Situation für europäische Unternehmen verbessert: durch sorgfältige Prüfung, durch bewusste Beschaffungsentscheidungen und durch ausreichend Vorlauf, denn teuer wird nicht die Migration, sondern die Migration unter Zeitdruck.
Unklar ist, wie lange das DPF hält. Klar ist, was wir bis dahin prüfen müssen.
Danke an Business Circle für die Einladung, an Michael Staudacher für die toll strukturierten Begleitungsunterlagen und an alle Teilnehmenden für die offene Diskussion.
