ENKontakt
Gilt fürEUDEAT

Schrems II + DPF Update 2026: was nach Trump-2-Regierung gilt

· Kategorie: DSGVO

TL;DR

  • EU-US Data Privacy Framework seit 10.07.2023 in Kraft, Stand 04/2026 weiter gültig
  • Trump-Executive-Order 20.01.2025 schwächt nach Darstellung der Erstfassung die DPRC-Garantie — Schrems-III-Klage von noyb angekündigt, Stand 02.05.2026 nicht eingereicht
  • EDSA-Stellungnahme 03/2026: TIA bleibt empfohlen, auch unter DPF (Angabe der Erstfassung vom 02.05.2026)
  • Jede US-Übermittlung ins Verarbeitungsverzeichnis: Drittlandübermittlung samt Garantie ist Pflichtangabe (Art. 30 Abs. 1 DSGVO; als Auftragsverarbeiter Art. 30 Abs. 2 lit. c DSGVO)
  • Art.-9-Daten: Verarbeitung besonderer Kategorien ist grundsätzlich untersagt (Art. 9 Abs. 1 DSGVO) — deshalb die strengste Zeile der Entscheidungsmatrix
  • AVV prüfen: nur Auftragsverarbeiter mit hinreichenden Garantien, Vertrag mit gesetzlichem Mindestinhalt (Art. 28 Abs. 1 und Abs. 3 DSGVO)
  • Aufsicht getrennt: in Deutschland die nach Landesrecht zuständigen Behörden (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG)
  • Praxisempfehlung: Plan B mit EU-Alternative pro kritischem US-Tool

1. DPF-Status 04/2026

Das EU-US Data Privacy Framework (DPF) ist seit 10. Juli 2023 in Kraft (Angemessenheitsbeschluss 2023/1795). Es ersetzt den 2020 gekippten Privacy Shield. Stand April 2026:

  • 2.870 zertifizierte US-Unternehmen (Stand 03/2026, dataprivacyframework.gov)
  • Jährliche Rezertifizierung erforderlich
  • EDSA Annual Report 03/2026: Effektivität "weitgehend gegeben, mit Verbesserungsbedarf"
  • EU-Parlament 11/2024: Aufforderung zur Suspendierung — abgelehnt von Kommission

Diese Statusangaben sind der Stand der Erstfassung vom 02.05.2026 und wurden für die Aktualisierung vom 16. August 2026 nicht neu erhoben; ergänzt wurden Einordnung und Umsetzungsschritte. Den Eintrag Ihres Anbieters prüfen Sie vor jeder Entscheidung selbst.

Was der Status für Ihre Dokumentation bedeutet

Am Dokumentationsaufwand ändert der Verhandlungsstand nichts: Jede Übermittlung in ein Drittland gehört mit der herangezogenen Garantie ins Verarbeitungsverzeichnis. Art. 30 Abs. 1 DSGVO führt Drittlandübermittlungen samt dokumentierter Garantien als eigene Pflichtangabe; wer selbst Auftragsverarbeiter ist, führt dieselbe Angabe nach Art. 30 Abs. 2 lit. c DSGVO. Bewährt hat sich eine eigene Spalte je Anbieter: EU-Empfänger reichen meist namentlich, Drittland-Empfänger brauchen die Garantie (DPF, SCC oder BCR) im Klartext daneben. Fehlt dieser Eintrag bei US-Tools, ist das nach Praxiseinschätzung ein häufiger Befund bei Verzeichnis-Prüfungen.

Praxisempfehlung (kein gesetzlicher Turnus): Hängen Sie die Kontrolle der DPF-Zertifizierungen an den ohnehin fälligen Verzeichnis-Review — jährlich plus anlassbezogen bei jeder Änderung, bei schnell wachsenden Unternehmen quartalsweise.

2. Trump-EO + DPRC-Risiko

Nach der Darstellung der Erstfassung vom 02.05.2026 (nicht neu erhoben) hat Trump mit Executive Order 14.149 vom 20.01.2025 das Data Protection Review Court geschwächt:

  • Ernennung neuer DPRC-Mitglieder ohne Konsultation
  • Beschränkung des Mandats für "Foreign Intelligence" Klagen

Stand 02.05.2026: noyb (Max Schrems) hat eine Schrems-III-Klage angekündigt, aber bisher nicht eingereicht. Die DPF-Klage von Latombe (T-553/23) wurde am 03.09.2025 vom EuG abgewiesen — DPF gilt formal weiter; Berufung Latombe beim EuGH eingelegt 31.10.2025.

Was Sie daraus festhalten

Aus dieser Lage folgt für Verantwortliche vor allem eine Nachweisaufgabe: Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Sie Ihre Bewertung belegen können — nicht nur, dass Sie eine getroffen haben. Halten Sie je Anbieter vier Zeilen fest:

  1. Datum der Bewertung und wer sie vorgenommen hat
  2. Herangezogener Sachstand (hier: EO 14.149, Latombe-Entscheidung, EDSA-Stellungnahme 03/2026)
  3. Ergebnis: weiter nutzen, mit zusätzlichen Maßnahmen nutzen oder ablösen
  4. Wiedervorlage-Termin — Praxisempfehlung, keine gesetzliche Frist

Das ist der Unterschied zwischen einer getroffenen Entscheidung und einem prüffähigen Nachweis — abgelegt dort, wo geprüft wird (Abschnitt 6).

3. Entscheidungsmatrix US-Anbieter

Die Matrix ordnet jeder Datenklasse eine Empfehlung zu; ausschlaggebend sind die Sensibilität der Daten und die Frage, ob sich der Verarbeitungsort vertraglich oder technisch erzwingen lässt.

DatenklasseDPF-zertifiziertEmpfehlung
Marketing-E-Mail-Verteiler (Stammdaten)ja (Mailchimp, Brevo-USA)OK + TIA
HR-Daten / Lohnabrechnungja (ADP, Workday)EU-Alternative bevorzugen
Sondersensible (Art. 9)jaNICHT in US verarbeiten
Telemetrie-Daten Softwareja (Microsoft, Google)EU-Datenboundary aktivieren
Customer-Support-TicketsvariabelEU-Region erzwingen

Warum die Zeilen so ausfallen

Sondersensible Daten (Art. 9). Die Verarbeitung besonderer Kategorien — unter anderem Gesundheitsdaten, genetische und biometrische Daten zur eindeutigen Identifizierung, Daten zum Sexualleben, Gewerkschaftszugehörigkeit — ist nach Art. 9 Abs. 1 DSGVO untersagt und nur über eine der engen Ausnahmen des Art. 9 Abs. 2 zulässig. Kommt eine umfangreiche Verarbeitung solcher Daten hinzu, ist vorab eine Datenschutz-Folgenabschätzung durchzuführen; Art. 35 Abs. 3 DSGVO nennt diesen Fall ausdrücklich. Daher die strengste Zeile der Matrix.

HR-Daten: Deutschland und Österreich laufen auseinander. In Deutschland stützt die Praxis Beschäftigtendaten überwiegend auf § 26 BDSG. Österreich kennt keinen eigenen Beschäftigtendatenschutz-Paragrafen im DSG; maßgeblich sind dort Art. 6 und Art. 88 DSGVO, ergänzt um § 12 Abs. 4 Z 2 DSG (Bildaufnahmen zur Kontrolle von Arbeitnehmern sind unzulässig) und § 96 Abs. 1 Z 3 ArbVG (Kontrollmaßnahmen, die die Menschenwürde berühren, nur mit Zustimmung des Betriebsrats bzw. Betriebsvereinbarung). Wer eine HR-Lösung in beiden Ländern ausrollt, braucht deshalb zwei Prüfpfade.

Unabhängig von Anbieter und Übermittlungsweg braucht jede Verarbeitung eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse oder berechtigtes Interesse.

4. SCC 2021/914 + TIA

Falls US-Anbieter NICHT DPF-zertifiziert: Standardvertragsklauseln 2021/914 + Transfer Impact Assessment (TIA). Der Vertrag regelt die Pflichten, das TIA bewertet entlang der sieben Punkte unten Zugriffslage, Schutzmaßnahmen und Restrisiko.

TIA-Mindestinhalte:

  1. Datenkategorien + Empfängerkategorien
  2. Zugriffe US-Behörden? (FISA 702, EO 12333, CLOUD Act)
  3. Datenkategorie sondersensibel?
  4. Verschlüsselung at-rest + in-transit?
  5. Schlüssel beim Verantwortlichen oder Anbieter?
  6. Zusätzliche technische/vertragliche Maßnahmen
  7. Restrisiko-Bewertung

Wohin die Ergebnisse gehören

Ein TIA, das nur als eigenständige Datei existiert, wird im Audit nicht gefunden. Drei Ergebnisse gehören in bestehende Dokumente; die Restrisiko-Bewertung selbst bleibt Teil der Rechenschafts-Dokumentation (Prüfpunkt 5 in Abschnitt 6):

Ergebnis aus dem TIAGehört inFundstelle
Empfänger, Drittland und herangezogene GarantieVerarbeitungsverzeichnis, eigene Spalte je Anbieter — als Auftragsverarbeiter im eigenen VerzeichnisArt. 30 Abs. 1 DSGVO Art. 30 Abs. 2 lit. c DSGVO
Standardvertragsklauseln und die Einbindung des Anbieters als AuftragsverarbeiterVertrag mit dem gesetzlichen MindestinhaltArt. 28 Abs. 1 und Abs. 3 DSGVO
Verschlüsselung at-rest, in-transit und SchlüsselhoheitTOM-Konzept, aus dem Verzeichnis verlinktArt. 32 DSGVO

Praxis-Rhythmus (keine gesetzliche Frist): Ein TIA ist kein Einmaldokument. Bewährt hat sich, es gemeinsam mit dem Verzeichnis-Review anzufassen — jährlich, zusätzlich anlassbezogen, wenn der Anbieter Unterauftragsverarbeiter, Verarbeitungsort oder Verschlüsselungsarchitektur ändert.

5. EU-Alternativen-Liste 2026

Die Liste ordnet den gängigsten US-Tools EU-Alternativen mit Sitzland und typischer Migrationsdauer zu. Tool- und Dauerangaben sind redaktionelle Erfahrungswerte, Stand der Erstfassung vom 02.05.2026, und wurden nicht neu erhoben.

US-ToolEU-Alternative (Sitz)Migrationsdauer
Microsoft 365Stack-IT (DE), MagentaBusiness Cloud (DE), IONOS Cloud (DE)2-6 Monate
Google WorkspaceOpenDesk / openCoDE (DE-PHOENIX)3-9 Monate
SlackMattermost (US, selfhosted), Element (UK), Rocket.Chat (BR/DE-Hosting)1-3 Monate
SalesforcePipedrive (EE), Hubspot mit EU-DC, Zoho EU-Region3-12 Monate
AWSOVH (FR), Hetzner (DE), Stack-IT (DE), IONOS Cloud (DE)3-18 Monate
MailchimpBrevo (FR), CleverReach (DE), GetResponse (PL)2-4 Wochen
Risiko-Bewertung pro Anbieter mit dem DSGVO-Kit Drittland-Modul — TIA-Vorlage, Übersicht der Angemessenheitsbeschlüsse und Drittlandtransfer-Register (Excel).

Was bei einer Migration mitwandern muss

Ein Anbieterwechsel ist erst abgeschlossen, wenn die Dokumentation nachgezogen ist. Vier Punkte bleiben regelmäßig liegen:

  1. Alten Empfänger austragen. Veraltete Empfänger-Listen — das abgelöste Newsletter-Tool steht noch im Verzeichnis — gehören nach Praxiseinschätzung zu den häufigen Verzeichnis-Fehlern.
  2. Neuen AVV schließen. Auch bei EU-Anbietern gilt Art. 28 Abs. 1 und Abs. 3 DSGVO: nur Auftragsverarbeiter mit hinreichenden Garantien, und ein Vertrag mit dem gesetzlichen Mindestinhalt.
  3. Drittland-Spalte aktualisieren. Entfällt die Übermittlung, entfällt auch die Garantie-Angabe. Praxisempfehlung: Änderung mit Datum versionieren — Aufsichtsanfragen zielen auf Aktualität und Nachvollziehbarkeit.
  4. Datenschutzerklärung nachziehen. Die Informationspflichten folgen unmittelbar aus Art. 13 und Art. 14 DSGVO; in Österreich ist als Beschwerdestelle die Datenschutzbehörde zu nennen (Art. 13 Abs. 2 lit. d DSGVO).

6. Drittland-Audit-Checkliste

Acht Punkte, mit denen Sie den Drittland-Teil Ihrer Dokumentation in einem Durchgang prüfen. Punkt 1 steht bewusst am Anfang: Aufsichtsanfragen beginnen in der Praxis typischerweise mit der Vorlage des Verarbeitungsverzeichnisses; danach folgen Auftragsverarbeitungsvertrag, TOM-Konzept und Folgenabschätzung (Praxiserfahrung, keine Aufsichtsregel).

  1. Welche US-Anbieter habe ich? (VVT-Auszug)
  2. Pro Anbieter: DPF-Zertifizierung gültig?
  3. Datenkategorien sondersensibel?
  4. SCC 2021/914 in AVV verankert?
  5. TIA dokumentiert?
  6. Datenschutzerklärung Drittland-Hinweis (Art. 13 Abs. 1 lit. f)?
  7. Vorbereitetes EU-Alternative-Szenario?
  8. Notfallplan: Was, wenn DPF gekippt wird?

Warum jeder Punkt zählt

PrüfpunktWarumFundstelle bzw. Einordnung
1. US-Anbieter aus dem Verzeichnis ziehenDrittlandübermittlungen und die dazu dokumentierten Garantien sind PflichtangabeArt. 30 Abs. 1 DSGVO Art. 30 Abs. 2 lit. c DSGVO
2. DPF-Zertifizierung gültig?Die Zertifizierung ist jährlich zu erneuern; maßgeblich ist der aktuelle Eintrag in der ListePraxisschritt, Bestandsangabe der Erstfassung (dataprivacyframework.gov)
3. Datenkategorien sondersensibel?Besondere Kategorien unterliegen einem grundsätzlichen Verarbeitungsverbot; umfangreiche Verarbeitung löst vorab eine Folgenabschätzung ausArt. 9 Abs. 1 DSGVO Art. 35 Abs. 3 DSGVO
4. SCC im AVV verankert?Verarbeitung im Auftrag nur mit hinreichenden Garantien und Vertrag mit gesetzlichem MindestinhaltArt. 28 Abs. 1 und Abs. 3 DSGVO
5. TIA dokumentiert?Die eigene Bewertung muss nachweisbar sein, nicht nur getroffenArt. 5 Abs. 2 DSGVO
6. Drittland-Hinweis in der DatenschutzerklärungInformationspflicht gegenüber den betroffenen PersonenArt. 13 DSGVO (Bestandsangabe: Art. 13 Abs. 1 lit. f)
7. EU-Alternative vorbereitetHandlungsfähigkeit ohne ZeitdruckPraxisempfehlung
8. NotfallplanÜbergangsfristen waren historisch kurz (Privacy Shield 2020: 0-3 Monate)Praxisempfehlung, Bestandsangabe der Erstfassung

Deutschland und Österreich: wer prüft, was zusätzlich gilt

Der materielle Maßstab der DSGVO ist in beiden Ländern derselbe; unterschiedlich sind die Aufsicht und der nationale Überbau.

PunktDeutschlandÖsterreich
Zuständige Aufsichtfür nichtöffentliche Stellen die nach Landesrecht zuständigen Behörden § 40 Abs. 1 BDSG; BfDI für öffentliche Stellen des Bundes und bestimmte Anbieter von Telekommunikationsdiensten § 9 Abs. 1 BDSGDatenschutzbehörde als nationale Aufsichtsbehörde, Sitz Wien § 18 Abs. 1 DSG
Auftragsverarbeitung mit dem AnbieterArt. 28 Abs. 1 und Abs. 3 DSGVOArt. 28 Abs. 1 und Abs. 3 DSGVO ohne nationale Sonderregel; zusätzlich Datengeheimnis für Mitarbeitende § 6 DSG
Beschäftigtendaten in HR-Toolsdie Praxis stützt sich überwiegend auf § 26 BDSGkein eigener Beschäftigtendatenschutz-Paragraf im DSG: Art. 6 und Art. 88 DSGVO, § 12 Abs. 4 Z 2 DSG, § 96 Abs. 1 Z 3 ArbVG
Meldeweg, wenn eine Datenpanne beim Anbieter Sie trifftzuständige Landesbehörde § 40 Abs. 1 BDSGDatenschutzbehörde, dsb.gv.at § 18 Abs. 1 DSG

Häufig gestellte Fragen

Ist das DPF noch gültig?
Stand 04/2026 ja, aber Risiko hoch. Trump-Executive-Order vom 20.01.2025 schwächt das Data Protection Review Court (DPRC). EDSA-Stellungnahme 03/2026 fordert Nachbesserung. Diese Angaben sind der Stand der Erstfassung vom 02.05.2026; prüfen Sie den Eintrag Ihres Anbieters vor jeder Entscheidung selbst.
Muss ich trotz DPF eine TIA machen?
Empfehlung ja. EDSA-Empfehlung 01/2020 + 03/2026 (Angabe der Erstfassung vom 02.05.2026): Bei US-Sub-Auftragsverarbeitern auch unter DPF eine TIA als Backup. Das Ergebnis gehört anschließend in das Verarbeitungsverzeichnis (Drittland samt Garantie, Art. 30 Abs. 1 DSGVO), in den Auftragsverarbeitungsvertrag (Art. 28 Abs. 3 DSGVO) und in die Rechenschafts-Dokumentation (Art. 5 Abs. 2 DSGVO).
Welche Alternativen zu US-Anbietern?
M365 → IONOS Cloud, MagentaBusiness Cloud, Stack-IT (Schwarz-Gruppe). Salesforce → Pipedrive (EU), Zoho (EU-Region). Slack → Mattermost (selfhosted), Element. Diese Zuordnung ist der Stand der Erstfassung vom 02.05.2026.
Was kostet ein TIA?
Eine belastbare Pauschale gibt es nicht. Der Aufwand hängt vor allem ab von der Zahl der US-Anbieter und ihrer Unterauftragsverarbeiter, von der Sensibilität der Datenkategorien (besondere Kategorien nach Art. 9 DSGVO), von der Verschlüsselungs- und Schlüssellage und davon, ob die Bewertung intern mit einer Vorlage oder extern erstellt wird. Den Mindestumfang geben die sieben TIA-Inhalte in Abschnitt 4 vor; die Kosten externer Unterstützung sind über Angebote zu klären.
DPF-zertifiziert wie prüfen?
Liste auf dataprivacyframework.gov. Nur Unternehmen, die jährlich rezertifizieren. Stand 03/2026: 2.870 Unternehmen (Angabe der Erstfassung vom 02.05.2026).
Wer haftet wenn DPF kippt?
Verantwortlicher (Sie). Übergangsfristen historisch 0-3 Monate (Privacy Shield 2020; Bestandsangabe der Erstfassung). Empfehlung: Plan B vorbereiten, EU-Alternative testen.
Wie dokumentiere ich US-Anbieter im Verarbeitungsverzeichnis?
Mit einer eigenen Spalte je Anbieter: Empfänger, Drittland und die konkret herangezogene Garantie (DPF, SCC oder BCR). Drittlandübermittlungen samt Garantien sind Pflichtangabe nach Art. 30 Abs. 1 DSGVO; wer selbst im Auftrag verarbeitet, führt sie nach Art. 30 Abs. 2 lit. c DSGVO. EU-Empfänger reichen in der Praxis namentlich. Ein fehlender Drittland-Hinweis bei US-Tools ist nach Praxiseinschätzung ein häufiger Verzeichnis-Fehler.
Was gilt für uns in Österreich anders?
Der Prüfmaßstab der DSGVO ist derselbe, der nationale Überbau nicht. Zuständig ist die Datenschutzbehörde in Wien (§ 18 Abs. 1 DSG), nicht eine Landesbehörde oder der BfDI. Für die Auftragsverarbeitung gilt Art. 28 Abs. 1 und Abs. 3 DSGVO ohne österreichische Sonderregel; hinzu kommt das Datengeheimnis nach § 6 DSG für Mitarbeitende. Die Pflicht zur Benennung eines Datenschutzbeauftragten folgt unmittelbar aus Art. 37 DSGVO — eine zusätzliche Mitarbeiterschwelle wie § 38 Abs. 1 BDSG in Deutschland gibt es nicht.
Brauchen wir für ein US-Tool eine Datenschutz-Folgenabschätzung?
Wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, ja — vorab (Art. 35 Abs. 1 DSGVO). Art. 35 Abs. 3 DSGVO nennt als Regelfälle die systematische umfassende Bewertung persönlicher Aspekte mit Rechtswirkung, die umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. In Deutschland löst eine solche Verarbeitung zusätzlich die Pflicht zur Benennung eines Datenschutzbeauftragten unabhängig von der Personenzahl aus (§ 38 Abs. 1 BDSG).
Ein US-Anbieter meldet uns eine Datenpanne — was ist zu tun?
Die Meldung an die Aufsichtsbehörde erfolgt unverzüglich und möglichst binnen 72 Stunden, nachdem Ihnen die Verletzung bekannt wurde (Art. 33 Abs. 1 DSGVO); erfolgt sie später, ist die Verzögerung zu begründen. Bei voraussichtlich hohem Risiko kommt die Benachrichtigung der betroffenen Personen hinzu (Art. 34 Abs. 1 DSGVO). Adressat ist in Deutschland die zuständige Landesbehörde (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG). Dokumentiert wird jede Panne, auch die nicht meldepflichtige (Art. 33 Abs. 5 DSGVO).

Quellen

Rechtsstand der geprüften Quellen: 17.08.2026 (Durchführungsbeschluss (EU) 2023/1795, Verfahren Latombe T-553/23); übrige Quellen: 16.08.2026

Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.

Verwandte Artikel

DSGVO

AVV-Vorlage 2026 (Art. 28 DSGVO)

Mustervertrag + 8 Pflichtinhalte.

 DSGVO

Cookie-Banner 2026

§ 25 TDDDG + Equal Choice.

 DSGVO

Verarbeitungsverzeichnis erstellen 2026

Excel-Vorlage + 14 KMU-Beispiele.

Werkzeuge & Selbsttests

DSGVO-Checkliste 30 Prüfpunkte für Datenschutz-Compliance im KMU. Bußgeld-Rechner Berechnen Sie das potenzielle Bußgeld-Risiko für Ihr Unternehmen. DSGVO Self-Assessment Strukturierter Selbsttest mit Reifegrad-Score und Maßnahmen-Roadmap. Cookie-Banner-Audit TDDDG/DSGVO-Prüfung Ihres Cookie-Banners mit konkreten Korrektur-Hinweisen.