Der physische Speicherort der Daten ist nach US-Recht irrelevant. Entscheidend ist die Kontrolle über die Daten. Das gilt für Microsoft, Amazon AWS, Google Cloud – und unter Umständen auch für europäische Unternehmen mit relevanten US-Geschäftsbeziehungen.
Für der DSGVO unterliegende Unternehmen entsteht daraus ein strukturelles Compliance-Problem. Standardvertragsklauseln, EU-Rechenzentrum-Zertifikate und das EU-US Data Privacy Framework können dieses Problem nicht lösen.
Darüberhinausgehend schließt das Gutachten sogar nicht aus, dass selbst europäische Unternehmen, die über Ihre Niederlassungen in den USA tätig sind, von US-Behörden aufgefordert wenn nicht „gezwungen“ werden könnten, in der EU gespeicherte Daten herauszugeben.
US-Überwachungsgesetze und -Regulierungen wie der CLOUD Act (Clarifying Lawful Overseas Use of Data Act von 2018), der FISA Section 702 (Foreign Intelligence Surveillance Act), der Stored Communications Act (SCA) oder die Executive Order 12333 verschaffen den US-Behörden umfassende Möglichkeiten, dem US-Recht unterfallende Unternehmen zur Herausgabe von Daten zu „zwingen“, bzw. selbst Zugriff auf Daten – auch im Ausland – von Nicht-US-Bürgern zu nehmen.
Dementsprechend hatte die Datenschutzorganisation NOYB von Max Schrems bereits vor einiger Zeit angekündigt, ähnlich wie gegen Safe Harbour und Privacy Shield, auch das DPF gerichtlich anzugreifen. Ein drittes Schrems-Urteil ist daher nicht auszuschließen.
Solange US-Anbieter technisch in der Lage und rechtlich verpflichtet bleiben, Zugriff auf europäische Daten zu nehmen, bleibt der Einsatz US-amerikanischer Dienstleister zu Verarbeitung personenbezogener Daten von Europäern aus datenschutzrechtlicher Sicht problematisch und unter dem Aspekt der digitalen Souveränität äußerst fraglich.
US Supreme Court kippt FTC-Unabhängigkeit: Rechtsgrundlage des EU-US Data Privacy Framework weiter erschüttert Der US Supreme Court hat am 29. Juni 2026 im Verfahren Trump v. Slaughter mit 6:3-Mehrheit entschieden, dass die gesetzlichen Abberufungsschutzregelungen für
Seit Januar 2026 ist eine perfide Phishing-Kampagne aktiv, bei der Angreifer Täuschungs-E-Mails über die echte Microsoft-Absenderadresse no-reply-powerbi@microsoft.com versenden. Technisch möglich wird dies durch ein legitimes Feature von Microsoft Power BI: Beim Anlegen eines Dashboards lässt sich jede externe E-Mail-Adresse als Abonnent hinzufügen, und der Inhalt der automatisch versendeten Benachrichtigung ist frei konfigurierbar.
Ein im Januar 2026 von Forbes veröffentlichter Bericht belegt erstmals öffentlich, dass Microsoft BitLocker-Wiederherstellungsschlüssel an das FBI herausgegeben hat. Technisch möglich wurde dies durch die Standardkonfiguration moderner Windows-Versionen, die Wiederherstellungsschlüssel automatisch in die Microsoft-Cloud hochlädt. Für Unternehmen im DACH-Raum ergibt sich daraus ein unmittelbarer Prüfbedarf:
