Das EU-US Data Privacy Framework (DPF) ist die Grundlage, auf der Unternehmen personenbezogene Daten an zertifizierte US-Unternehmen übermitteln dürfen, ohne weitere Garantien vereinbaren zu müssen. Für viele KI-Dienste mit US-Bezug ist es die Grundlage für die Übermittlung.
Wer KI mit Firmendaten nutzt, sollte wissen, was das DPF abdeckt und was nicht. Denn es ist bereits der dritte Anlauf: Die beiden Vorgänger hat der Europäische Gerichtshof gekippt, und auch das DPF steht im Herbst 2026 erneut auf dem Prüfstand.
- Das Data Privacy Framework erlaubt seit 10. Juli 2023 Übermittlungen personenbezogener Daten an US-Unternehmen, die sich darunter zertifiziert haben.
- Stand 28. Oktober 2026 gilt der Beschluss weiter. Eine Berufung beim EuGH ist anhängig, und der Europäische Datenschutzausschuss hat die Kommission um eine erneute Prüfung gebeten.
- Das DPF regelt den Transfer, nicht den Zugriff von US-Behörden auf Daten, die ein US-Anbieter in Europa speichert. Planen Sie bei KI-Diensten einen Ausweg ein.
Was ist das Data Privacy Framework?
Die DSGVO erlaubt Übermittlungen personenbezogener Daten in Länder außerhalb der EU nur unter Bedingungen. Die einfachste ist ein Angemessenheitsbeschluss der EU-Kommission: Er stellt fest, dass ein Land ein vergleichbares Schutzniveau bietet. Für die USA hat die Kommission am 10. Juli 2023 einen solchen Beschluss erlassen, das Data Privacy Framework.
Anders als bei den meisten Ländern gilt der Beschluss nicht für alle Empfänger. Er gilt nur für US-Unternehmen, die sich beim US-Handelsministerium selbst zertifiziert haben und in der öffentlichen DPF-Liste stehen. Ist ein Anbieter dort nicht gelistet, braucht die Übermittlung eine andere Grundlage, etwa Standardvertragsklauseln.
| Rahmen | Gültig ab | Ende |
|---|---|---|
| Safe Harbor | 2000 | vom EuGH für ungültig erklärt am 6. Oktober 2015 (Schrems I) |
| Privacy Shield | 2016 | vom EuGH für ungültig erklärt am 16. Juli 2020 (Schrems II) |
| Data Privacy Framework | 10. Juli 2023 | gilt, Stand 28. Oktober 2026 |
Beide Vorgänger scheiterten am selben Punkt: Der EuGH sah den Zugriff von US-Geheimdiensten auf europäische Daten nicht ausreichend begrenzt. Das DPF stützt sich deshalb auf die US-Executive Order 14086 vom Oktober 2022, die Zugriffe auf das „Notwendige und Verhältnismäßige“ beschränken soll und ein Beschwerdegericht für Personen in der EU und im EWR einrichtet.
Rechtsstand im Oktober 2026
Das DPF ist in Kraft. Gleichzeitig laufen zwei Entwicklungen, die Unternehmen im Blick behalten sollten.
Erstens die Berufung. Das Gericht der EU hat am 3. September 2025 eine Klage gegen den Beschluss abgewiesen. Der Kläger hat Berufung beim Europäischen Gerichtshof eingelegt; eine Entscheidung steht aus.
Zweitens die US-Aufsicht. Der Beschluss stützt sich unter anderem auf die Unabhängigkeit der US-Handelsaufsicht FTC. Am 29. Juni 2026 entschied der Oberste Gerichtshof der USA, dass der Präsident Mitglieder der FTC ohne besonderen Grund abberufen darf. Der Europäische Datenschutzausschuss hat die Kommission daraufhin am 31. Juli 2026 gebeten zu prüfen, ob das die Funktionsweise des DPF berührt. Eine Entscheidung der Kommission dazu ist uns bis Redaktionsschluss nicht bekannt.
Was daraus folgt, kann niemand sicher sagen. Fest steht nur: Ein Rahmen, der zweimal gekippt wurde und erneut geprüft wird, ist keine Grundlage, auf die Sie langfristig allein bauen sollten.
Was das Data Privacy Framework nicht regelt
Das DPF wird oft als Freibrief für US-Dienste verstanden. Das ist es nicht. Es beantwortet eine bestimmte Frage, und andere lässt es offen:
Was das DPF nicht regelt
- Den Zugriff von US-Behörden nach dem CLOUD Act auf Daten, die ein US-Anbieter in Europa speichert.
- Ob der Anbieter Ihre Daten zum Training eigener Modelle nutzt: Das regelt nur Ihr Vertrag.
- Unterauftragnehmer, die nicht selbst zertifiziert sind.
Was das DPF regelt
- Ob personenbezogene Daten an einen zertifizierten US-Empfänger übermittelt werden dürfen.
- Welche Datenschutzgrundsätze dieser Empfänger einhalten muss.
- Welche Beschwerdewege Personen in der EU haben.
Der erste Punkt ist für KI besonders wichtig. Viele US-Anbieter speichern Daten in europäischen Rechenzentren und verweisen auf die EU-Region. Für den Zugriff nach US-Recht kommt es aber darauf an, wer die Daten verwahrt, nicht wo. Mehr dazu im Beitrag zum Cloud Act.
KI-Anbieter mit US-Bezug prüfen
Bei einem KI-Dienst fließen mehr Daten als bei einem Dateispeicher: Dokumente, Fragen, Antworten, Protokolle und die Textstellen, die bei jeder Anfrage an ein Sprachmodell gehen. Prüfen Sie deshalb jeden Anbieter mit US-Bezug, bevor Sie personenbezogene Daten übergeben:
Alle Punkte abgehakt. Gut vorbereitet.
Die Prüfung gehört in Ihre Dokumentation, oft auch in eine Datenschutz-Folgenabschätzung. Für die Standortfrage hilft der kostenlose KI-Anbieter-Standort-Check.
Plan B: was gilt, wenn das DPF fällt?
Fiele das DPF, dürften Daten an US-Empfänger nicht mehr allein auf dieser Grundlage fließen. Übrig blieben vor allem Standardvertragsklauseln, ergänzt um eine Prüfung, ob der Schutz im Empfängerland tatsächlich wirkt. Nach den Urteilen von 2015 und 2020 mussten viele Unternehmen genau das unter Zeitdruck nachholen.
Datenflüsse kennen welcher Dienst welche Daten in die USA gibtRückfallebene vereinbaren Standardvertragsklauseln schon heute im VertragAusweg planen Export und Wechsel vorab testenSensibles im Inland Anbieter in Deutschland oder eigene Server
Für Daten, die Sie nicht in die USA geben wollen, ist der eigene Betrieb der klare Weg: Betreiben Sie RAGSuite selbst mit einem lokalen Sprachmodell, verlässt keine Anfrage Ihr Netz. In der RAGSuite Engine liegen Dokumente und Verlauf in einem Rechenzentrum in Deutschland; wo dort die KI läuft und was das für den CLOUD Act bedeutet, beantworten wir offen unter „Wo läuft die KI?“. Wählen Sie ein externes Modell, gehen Frage und passende Textstellen an diesen Anbieter; für ihn gelten die Prüfpunkte oben genauso.
Dies ist eine allgemeine Information, keine Rechtsberatung. Lassen Sie Ihre konkrete Situation von Ihrer Datenschutzberatung bewerten.
Sehen Sie, wie Sie KI mit Ihren Daten betreiben: 7 Tage kostenlos in der RAGSuite Engine oder im Gespräch mit Stefan.
Häufige Fragen
Was ist das Data Privacy Framework?
Das EU-US Data Privacy Framework ist ein Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Er erlaubt die Übermittlung personenbezogener Daten an US-Unternehmen, die sich beim US-Handelsministerium zertifiziert haben, ohne zusätzliche Garantien wie Standardvertragsklauseln. Für nicht zertifizierte Empfänger gilt er nicht.
Ist das Data Privacy Framework noch gültig?
Ja, Stand 28. Oktober 2026 gilt der Beschluss. Das Gericht der EU hat eine Klage dagegen im September 2025 abgewiesen, die Berufung beim EuGH ist anhängig. Außerdem hat der Europäische Datenschutzausschuss die Kommission im Juli 2026 um eine erneute Prüfung gebeten. Planen Sie deshalb eine Rückfallebene ein.
Darf ich einen KI-Dienst aus den USA nutzen?
Das hängt davon ab, welche Daten Sie verarbeiten und auf welcher Grundlage sie übermittelt werden. Ist der Anbieter DPF-zertifiziert, ist der Transfer personenbezogener Daten grundsätzlich möglich. Prüfen Sie zusätzlich Unterauftragnehmer, Training, Datenweg zum Sprachmodell und Ihre Pflichten aus der DSGVO, etwa eine Datenschutz-Folgenabschätzung.
Schützt das DPF vor dem CLOUD Act?
Nein. Das DPF regelt, ob Daten in die USA übermittelt werden dürfen. Der CLOUD Act regelt, dass US-Anbieter Daten auf Anordnung herausgeben müssen, auch wenn sie in Europa gespeichert sind. Entscheidend ist, wer die Daten verwahrt. Ein Anbieter ohne US-Bezug oder der Eigenbetrieb macht diese Frage deutlich kleiner; prüfen Sie dennoch Gesellschafter und Unterauftragnehmer. Zur RAGSuite Engine: Die RAGSuite Engine ist in Deutschland gehostet; KI-Verarbeitung in der EU/EFTA (Microsoft Azure). Microsoft ist ein US-Konzern, das sagen wir offen; für Daten, die keinen US-Konzern berühren dürfen, gibt es den eigenen API-Schlüssel oder eigene Server.
Was passiert, wenn das DPF für ungültig erklärt wird?
Dann entfällt die Grundlage für Übermittlungen allein auf Basis des DPF. Unternehmen müssten auf Standardvertragsklauseln mit einer Prüfung des Schutzniveaus ausweichen oder die Übermittlung beenden. Wer Rückfallebene, Datenexport und Alternativen vorab geklärt hat, kann ohne Zeitdruck reagieren.
Quellen
- Durchführungsbeschluss (EU) 2023/1795 der Kommission (10. Juli 2023): Angemessenheitsbeschluss zum DPF
- Data Privacy Framework List (US-Handelsministerium): zertifizierte Unternehmen
- Gericht der EU: Rechtssache T-553/23, Latombe/Kommission: Urteil vom 3. September 2025
- EuGH: Rechtssache C-703/25 P: Berufung, anhängig
- EuGH: Rechtssache C-311/18 (Schrems II, 16. Juli 2020): Privacy Shield ungültig
- EDSA: Schreiben an die Kommission (31. Juli 2026): Bitte um Prüfung nach Trump v. Slaughter
- Executive Order 14086 (7. Oktober 2022): Grenzen für US-Geheimdienstzugriffe
Stefan betreut Kunden aus öffentlicher Verwaltung und regulierten Branchen. Er schreibt über DSGVO, EU AI Act, Betriebsrat und Ausschreibungen.