EU-US Data Privacy Framework: Was es für US-SaaS-Anbieter bedeutet

Viele SaaS-Anbieter sitzen in den USA. Wer ihre Tools nutzt, übermittelt personenbezogene Daten in ein Drittland. Dafür verlangt die DSGVO eine eigene Grundlage. Für die USA ist das seit Juli 2023 meist das EU-US Data Privacy Framework. Dieser Beitrag erklärt, was das DPF leistet, wie Sie einen Anbieter auf der offiziellen Liste prüfen und wie stabil die Grundlage im November 2026 ist.

Was ist das EU-US Data Privacy Framework?

Das DPF ist ein Angemessenheitsbeschluss der EU-Kommission für zertifizierte US-Unternehmen. Die Kommission hat ihn am 10. Juli 2023 angenommen (Durchführungsbeschluss (EU) 2023/1795). Er stellt fest, dass teilnehmende US-Organisationen ein angemessenes Schutzniveau bieten. Eine Übermittlung auf dieser Grundlage braucht nach Art. 45 DSGVO keine besondere Genehmigung.

Grundlage ist eine Executive Order von Oktober 2022. Sie begrenzt den Zugriff von US-Nachrichtendiensten und schafft mit dem Data Protection Review Court ein Beschwerdeverfahren für Europäer. Laut EU-Kommission gelten diese Schutzmaßnahmen für alle Übermittlungen in die USA, also auch bei Standardvertragsklauseln.

Wie funktioniert die Zertifizierung?

US-Unternehmen zertifizieren sich selbst beim US-Handelsministerium. Die International Trade Administration (ITA) verwaltet das Programm. Die Teilnahme ist freiwillig. Wer sich aber zertifiziert, muss die DPF-Grundsätze einhalten, und diese Zusage ist nach US-Recht durchsetzbar. So beschreibt es die Programmübersicht der ITA.

• Jährliche Erneuerung: Unternehmen müssen ihre Zertifizierung jedes Jahr bestätigen.

• Streichung: Die ITA entfernt Unternehmen, die austreten, die Erneuerung versäumen oder die Grundsätze dauerhaft verletzen.

• Erweiterungen: Die UK Extension gilt seit dem 12. Oktober 2023, das Swiss-U.S. DPF seit dem 15. September 2024.

Wie prüfen Sie einen Anbieter auf der DPF-Liste?

Prüfen Sie den Eintrag selbst, statt sich auf ein Logo zu verlassen. Die offizielle Data Privacy Framework List ist öffentlich durchsuchbar. So gehen Sie vor:

1. Firmennamen der US-Muttergesellschaft eingeben, zusätzlich zum Produktnamen.

2. Status prüfen: Nur „Active“ zählt. Gestrichene Unternehmen stehen unter „Inactive“.

3. Zeile „EU-US Certification“ öffnen und den Status dort prüfen.

4. Datenarten prüfen: „Non-HR Data“ deckt Kundendaten ab, „HR Data“ Beschäftigtendaten.

5. Unter „Covered Entities“ nachsehen, ob die Tochter, mit der Sie den Vertrag haben, erfasst ist.

Ein Beispiel aus unserer Abfrage vom 13. November 2026: Slack steht nicht unter eigenem Namen auf der Liste. Die Slack Technologies, LLC ist als Covered Entity der Muttergesellschaft Salesforce erfasst. Microsoft Corporation, Zoom und Mattermost, Inc. führt die Liste mit aktivem Status für HR- und Non-HR-Daten. Für Rocket.Chat fanden wir keinen Eintrag. Rocket.Chat nennt in seinem AVV stattdessen die EU-Standardvertragsklauseln. Wie die Tools sonst abschneiden, zeigt unser Team-Chat-Vergleich.

Wie stabil ist das DPF im November 2026?

Das DPF gilt, steht aber unter Beobachtung. Das Gericht der EU hat am 3. September 2025 die Nichtigkeitsklage des französischen Abgeordneten Philippe Latombe abgewiesen (Rechtssache T-553/23). Laut Pressemitteilung des Gerichtshofs boten die USA zum Zeitpunkt des Beschlusses ein angemessenes Schutzniveau. Latombe legte laut der Kanzlei WilmerHale am 31. Oktober 2025 Rechtsmittel beim Gerichtshof ein. Ein Urteil dazu war uns bei Redaktionsschluss nicht bekannt.

Neue Fragen wirft ein Urteil des US Supreme Court vom 29. Juni 2026 auf (Trump v. Slaughter). Es erlaubt dem US-Präsidenten, Mitglieder der Federal Trade Commission (FTC) abzusetzen. Der Europäische Datenschutzausschuss bat die Kommission am 31. Juli 2026 in einem Brief, die Folgen für den Angemessenheitsbeschluss genau zu prüfen. Der Beschluss stützt sich ausdrücklich auf die Unabhängigkeit der FTC. Laut der Kanzlei Hunton Andrews Kurth kündigte die Kommission eine Prüfung an. Aufgehoben ist der Beschluss nicht.

Die Kommission überprüft den Beschluss regelmäßig. Ihren ersten Bericht legte sie am 9. Oktober 2024 vor. Laut eucrim bekräftigte sie darin die Zusammenarbeit mit den US-Behörden und kündigte an, offene Punkte weiter zu verfolgen. Für Unternehmen heißt das: Die Grundlage trägt heute, ihr Bestand ist aber nicht garantiert.

Was sollten Unternehmen jetzt tun?

Nutzen Sie das DPF, aber planen Sie eine Rückfallebene. Diese Schritte sind aus unserer Sicht sinnvoll:

• Für jedes US-Tool den DPF-Eintrag prüfen und mit Datum dokumentieren.

• Im AVV nachsehen, ob der Anbieter zusätzlich Standardvertragsklauseln vereinbart. Sie greifen, falls das DPF wegfällt.

• Bei sensiblen Daten prüfen, ob der Anbieter EU-Datenhaltung anbietet, etwa Microsofts EU Data Boundary.

• Für besonders schutzbedürftige Daten selbst betriebene Alternativen erwägen.

Das DPF ersetzt keinen Auftragsverarbeitungsvertrag. Es regelt nur, auf welcher Grundlage Daten in die USA fließen dürfen. Wie Sie beides in die Softwareauswahl einbauen, zeigt unsere Checkliste für die SaaS-Auswahl. Den Rahmen erklärt das Glossar unter DSGVO. Prüfen Sie als Nächstes die US-Tools mit den meisten Kunden- oder Beschäftigtendaten.