Schrems III wird wahrscheinlicher: Warum eure US-Tools zum Datenschutz-Risiko werden könnten

Zwei von zwei EU-US-Datenschutzabkommen sind vor dem EuGH gescheitert. Jetzt hat der US Supreme Court die Unabhängigkeit der wichtigsten US-Datenschutzaufsicht gekippt und noyb bereitet die nächste Klage vor. Eine erneute grundlegende Prüfung des EU-US Data Privacy Framework vor dem EuGH ist deutlich wahrscheinlicher geworden. Wann sie erfolgt und wie sie ausgeht, ist derzeit offen.

Am 29. Juni 2026 hat der US Supreme Court im Fall Trump v. Slaughter entschieden, dass der US-Präsident Mitglieder der Federal Trade Commission jederzeit und ohne Begründung entlassen darf. Zwei Tage später forderte noyb, die Organisation von Max Schrems, die EU-Kommission auf, das EU-US Data Privacy Framework zurückzuziehen.

Das Data Privacy Framework ist aktuell noch gültig. Datentransfers in die USA sind nicht über Nacht illegal geworden. Aber das waren sie vor Schrems I auch nicht. Und vor Schrems II auch nicht. Beide Male lautete die Botschaft: „Alles in Ordnung, das Abkommen steht." Bis es fiel. Ihr solltet also jetzt handeln.

Dieser Artikel erklärt, was passiert ist, warum es eure Kundendaten betrifft und was ihr so schnell wie möglich tun solltet.

Hinweis: Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Für die rechtliche Bewertung im Einzelfall sollte anwaltlicher Rat eingeholt werden.

Was ist am 29. Juni 2026 passiert?

Der US Supreme Court hat mit 6:3 Stimmen entschieden, dass der Schutz, der FTC-Kommissar:innen seit 1935 vor einer grundlosen Entlassung durch den Präsidenten bewahrte, verfassungswidrig ist.

In einfachen Worten:

• Die FTC wird von mehreren Kommissar:innen geleitet
• Diese waren gesetzlich davor geschützt, ohne triftigen Grund gefeuert zu werden
• Der Supreme Court hat diesen Schutz gestrichen – nach 91 Jahren
• Der US-Präsident kann FTC-Mitglieder ab sofort jederzeit und ohne Begründung austauschen

Chief Justice Roberts schrieb: „The FTC unquestionably exercises executive power, and must therefore be controlled by the Chief Executive."

Richterin Sotomayor warnte im Dissent: „Today, the Court discards [this] democratic regime in favor of one that distorts the structure of Government."

Für europäische Unternehmen heißt das: Der gesetzliche Schutz der FTC vor politischer Einflussnahme ist deutlich geschwächt. Welche Folgen das für die rechtliche Bewertung des Data Privacy Framework hat, ist umstritten und dürfte künftig auch die europäischen Gerichte beschäftigen.

Warum das EU-US Data Privacy Framework jetzt wackelt

Die FTC: Fundament des DPF

Das EU-US Data Privacy Framework (DPF) ist der dritte Versuch, EU-US-Datentransfers auf eine rechtliche Grundlage zu stellen.Über 3.400 US-Unternehmen sind zertifiziert – darunter die großen Cloud- und SaaS-Anbieter, auf die fast jedes europäische Unternehmen angewiesen ist.

Die FTC ist die Behörde, die dieses System überwacht und durchsetzt. Noyb hat gezählt: Die EU-Kommission verweist in ihrem Angemessenheitsbeschluss 259-mal auf die FTC und deren Unabhängigkeit. Diese Unabhängigkeit ist seit dem 29. Juni 2026 juristisch nicht mehr garantiert.

Noybs Reaktion war unmissverständlich: „The Supreme Court's decision cements the case for tearing up the DPF."

Das PCLOB: Die zweite Bruchstelle

Die FTC ist nicht das einzige Problem. Der EuGH hat in Schrems II deutlich gemacht, dass das Kernproblem die Massenüberwachung durch US-Geheimdienste ist. Dagegen sollte das Privacy and Civil Liberties Oversight Board (PCLOB) schützen, ein Gremium, das die Aufsicht über nachrichtendienstliche Datenzugriffe führt.

Trump hat auch dessen demokratische Mitglieder entlassen. Ein Berufungsgericht hatte die Entlassung zurückgestellt, um das Trump v. Slaughter-Urteil abzuwarten. Es ist jetzt wahrscheinlich, dass die neuen Grundsätze auch auf das PCLOB übertragen werden.

Damit dürften beide Aufsichtssäulen des DPF gleichzeitig ins Wanken geraten.Gegenposition: Ist die FTC wirklich der Knackpunkt?

Die Einschätzung ist juristisch umstritten. Prof. Alexander Golland argumentiert auf beck-aktuell (06.07.2026), dass die FTC-Unabhängigkeit als solche kein Dammbruch ist. Der EuGH hatte das Privacy Shield nicht wegen mangelnder FTC-Durchsetzung gekippt, sondern wegen der Befugnisse der US-Nachrichtendienste. Die eigentliche Gefahr liege beim PCLOB und genau dort steht die nächste juristische Auseinandersetzung bevor.

Das Schrems-Muster: Dreimal dasselbe Drehbuch

Das Drehbuch ist immer dasselbe:

1. 1. EU-Kommission schließt Datentransfer-Abkommen mit den USA
2. 2. Schrems / noyb klagt
3. 3. EuGH kippt das Abkommen, weil US-Überwachung europäische Grundrechte verletzt
4. 4. Neue Verhandlungen. Neues Abkommen. Zurück zu Schritt 2.

Zweimal ist dieses Muster durchlaufen worden. Zweimal fiel das Abkommen.
Und diesmal hat sich die Ausgangslage verschlechtert, nicht verbessert.

Was sich seit der DPF-Verabschiedung verschlechtert hat

Die EU-Kommission hat 2023 ein Abkommen verabschiedet, das auf der Unabhängigkeit von US-Aufsichtsbehörden basiert. Drei Jahre später ist diese Unabhängigkeit durch ein Verfassungsgerichtsurteil aufgehoben. Wichtige Annahmen, auf denen die Bewertung der EU-Kommission aus dem Jahr 2023 beruhte, haben sich seitdem verändert. Wie schwer diese Veränderungen rechtlich wiegen, ist noch nicht abschließend geklärt.

Ist das bereits Schrems III?

Noch nicht im Sinne eines EuGH-Urteils. Aber die Maschinerie ist angelaufen:

• Noyb hat die EU-Kommission am 30. Juni 2026 schriftlich aufgefordert, das DPF zurückzuziehen, und eine Klage angekündigt
• Die Latombe-Berufung (C-703/25 P) ist beim EuGH anhängig – der EuGH muss sich mit dem DPF befassen
• Die EU-Kommission hat bisher nicht öffentlich reagiert

Stand 14. Juli 2026 ist die noyb-Klage nach öffentlich verfügbaren Informationen noch nicht formell eingereicht. Aber noyb hat bei Schrems I und II bewiesen: Wenn sie eine Klage ankündigen, kommt sie.

Was hat der Fall Latombe damit zu tun?

Der französische Abgeordnete Philippe Latombe klagte gegen den EU-US-Angemessenheitsbeschluss. Das EU-Gericht (General Court) wies die Klage im September 2025 ab und bestätigte die Gültigkeit des DPF, allerdings ausdrücklich nur auf Basis der Sach- und Rechtslage zum Zeitpunkt der Verabschiedung 2023.

Das Gericht hielt fest: „Wenn sich der Rechtsrahmen in den USA ändert, kann die Kommission beschließen, die Entscheidung auszusetzen, zu ändern oder aufzuheben."

Latombe legte am 31. Oktober 2025 Berufung ein. Das Verfahren läuft beim EuGH unter dem Aktenzeichen C-703/25 P.

Für die Schrems-III-Debatte ist das aus zwei Gründen relevant:

1. 1. Der EuGH muss sich mit dem DPF befassen – unabhängig davon, ob noyb eine eigene Klage einreicht.
2. 2. Falls der EuGH die Klagebefugnis von Einzelpersonen bejaht, öffnet das die Tür für weitere Individualklagen – auch von noyb.

Ist das Data Privacy Framework noch gültig?

Ja. Noch. Der Angemessenheitsbeschluss bleibt in Kraft, bis die EU-Kommission ihn ändert, aussetzt oder zurücknimmt, oder ein EU-Gericht ihn aufhebt.

Aber „noch gültig" heißt nicht „sicher". Safe Harbor war auch bis zum Tag der Urteilsverkündung gültig. Privacy Shield ebenso. Unternehmen, die sich darauf verlassen hatten, standen danach vor einem Problem, das sie in 48 Stunden nicht lösen konnten.

Wer seine US-Datentransfers nicht durchleuchtet hat, bevor ein Urteil fällt, hat nach dem Urteil keine Zeit mehr dafür.

Sind Google, Microsoft, AWS und andere US-Dienste jetzt illegal?

Nein. So pauschal lässt sich das nicht sagen. Ob ein konkreter US-Dienst datenschutzkonform genutzt werden kann, hängt von mehreren Faktoren ab:

• Werden überhaupt personenbezogene Daten in die USA übertragen? Manche Dienste lassen sich so konfigurieren, dass Daten in der EU bleiben, allerdings garantiert ein EU-Rechenzentrum allein nicht, dass kein Drittlandtransfer stattfindet, etwa wenn US-Mitarbeitende des Anbieters Zugriff haben.
• Ist der konkrete Anbieter bzw. die konkrete US-Gesellschaft DPF-zertifiziert? Nicht jedes Produkt eines US-Konzerns fällt automatisch unter das DPF.
• Welche Transfergrundlage steht im Auftragsverarbeitungsvertrag? DPF-Zertifizierung, Standardvertragsklauseln (SCCs) oder beides?
• Welche Datenarten werden verarbeitet? Anonymisierte Analysedaten sind anders zu bewerten als Gesundheits- oder Beschäftigtendaten.
• Welche technischen Schutzmaßnahmen bestehen? Verschlüsselung schützt nur dann wirksam, wenn der US-Anbieter keinen Zugriff auf die Schlüssel hat.

Jeder Dienst muss einzeln betrachtet werden.

Sind Standardvertragsklauseln die Lösung?

Viele Unternehmen denken: „Wenn das DPF fällt, nutzen wir halt SCCs." So einfach ist es leider nicht.

Der EuGH hat in Schrems II klargestellt: Standardvertragsklauseln allein reichen nicht, wenn das Empfängerland kein ausreichendes Schutzniveau bietet. Unternehmen müssen:

1. Ein Transfer Impact Assessment (TIA) durchführen – für jeden Anbieter einzeln
2. Zusätzliche Schutzmaßnahmen implementieren – Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen
3. Prüfen, ob diese Maßnahmen tatsächlich wirksam sind – Verschlüsselung schützt nur, wenn der US-Anbieter keinen Zugriff auf die Schlüssel hat

Für viele gängige Cloud-Dienste ist Punkt 3 das Problem: Der Anbieter muss im Klartext auf die Daten zugreifen können, damit der Dienst funktioniert. In diesen Fällen helfen SCCs allein nicht weiter.

SCCs sind eine Notbremse, kein Rettungsfallschirm.

Was ihr JETZT tun müsst:

1. Dateninventur (diese Woche)

Macht eine Liste. Jetzt. Sie muss nicht perfekt sein, aber zumindest vollständig:

2. Transfergrundlage prüfen (diesen Monat)

Für jeden Anbieter auf eurer Liste:

• Ist die konkrete US-Gesellschaft DPF-zertifiziert?
• Sind zusätzlich SCCs vereinbart?
• Liegt ein Transfer Impact Assessment vor?
• Ist das TIA nach dem 29. Juni 2026 noch aktuell?

3. Kritische Daten priorisieren

Beginnt mit dem, was am meisten schmerzt:

• Gesundheitsdaten (Versicherungskarten, Patientendaten)
• Beschäftigtendaten (HR-Systeme bei US-Anbietern)
• Kundendatenbanken (CRM, Newsletter, Loyalty)
• Finanzdaten (Payment, Buchhaltung)

4. Plan B vorbereiten, bevor ihr ihn braucht

• EU-/EWR-Alternativen für kritische Systeme recherchieren
• Datenexport und Migration testen (nicht nur planen)
• Vertragslaufzeiten und Kündigungsfristen dokumentieren
• Besonders sensible Prozesse jetzt schon regional aufsetzen

5. Monitoring einrichten

Warum die konkrete Datenarchitektur entscheidend ist

Bei der Bewertung von Cloud-Diensten reicht es nicht, nur auf den Standort des Rechenzentrums zu schauen. Entscheidend ist, welche Unternehmen an der Verarbeitung beteiligt sind, wo personenbezogene Daten verarbeitet werden und ob Zugriffe oder Übermittlungen aus Drittländern möglich sind.

Werden personenbezogene Daten ausschließlich innerhalb des EWR verarbeitet und bestehen keine Drittlandzugriffe, sind für diese Verarbeitung grundsätzlich weder das EU-US Data Privacy Framework noch Standardvertragsklauseln erforderlich. Sobald US-Unternehmen, Drittland-Unterauftragnehmer oder entsprechende Zugriffsmöglichkeiten beteiligt sind, muss die konkrete Transferkonstellation separat geprüft werden.

EU-Hosting ohne US-Konzern: Warum der Betreiber des Rechenzentrums zählt

Ein Rechenzentrum in Frankfurt macht einen Cloud-Dienst noch nicht automatisch zu einer rein europäischen Lösung. Entscheidend ist auch, welches Unternehmen das Rechenzentrum betreibt und welchem Recht dieses Unternehmen unterliegt.

Passcreator nutzt Rechenzentren in Deutschland, die von europäischen Unternehmen betrieben werden und nicht zu einem US-Konzern gehören. Dafür wird teilweise der Begriff „European-owned Hosting" verwendet: Der Serverstandort liegt in Europa und auch der Betreiber ist ein europäisches Unternehmen.

Für Unternehmen bedeutet das: Die Verwaltung und Bereitstellung ihrer Wallet-Pässe läuft über eine europäische Plattform mit Hosting in Deutschland bei europäischen Rechenzentrumsbetreibern. Dadurch wird die direkte Abhängigkeit vom EU-US Data Privacy Framework für das Kernsystem deutlich reduziert.

Gerade bei langfristig eingesetzten Kundenkarten, Mitgliedsausweisen, Tickets und digitalen Nachweisen schafft das mehr Planungssicherheit und digitale Souveränität.

Warum das gerade jetzt relevant ist

Wallet Passes enthalten personenbezogene Daten. Je nach Einsatzzweck sind das:

• Digitale Kundenkarten: Namen, Kundennummern, Kontaktdaten, Treuepunkte
• Digitale Versicherungskarten: Versicherungsnummern, Vertragsdaten, teilweise Gesundheitsinformationen
• Mitgliedsausweise: Personennummern, Zugangslevel, Organisationszugehörigkeit
• Zugangsberechtigungen: Wer darf wann wohin – inkl. Bewegungsdaten
• Event-Tickets & Coupons: Kaufverhalten, Nutzungsmuster, Standortdaten

Bei einem US-Wallet-Anbieter liegen diese Daten auf US-Infrastruktur oder können zumindest von US-Behörden angefordert werden. Bei Passcreator nicht. Kein Drittlandtransfer, kein Cloud Act, kaum Schrems-Risiko.

Egal ob Mitgliedsausweise, Kundenkarten, Versicherungsnachweise, Zugangsberechtigungen oder Loyalty-Programme: Die von europäischen Unternehmen betriebene Hosting-Infrastruktur von Passcreator bleibt bestehen – unabhängig davon, ob das EU-US Data Privacy Framework hält oder fällt.

Prüft jetzt, auf welcher Grundlage eure wichtigsten US-Tools Daten verarbeiten. Oder wechselt direkt zu einer Lösung, bei der sich diese Frage gar nicht stellt.

Passcreator testen – Hosting in Deutschland bei europäischen Rechenzentrumsbetreibern.

Europäische Anbieter statt US-Abhängigkeit: Was jetzt möglich ist

Die Schrems-III-Debatte ist kein isoliertes Datenschutzproblem, sie ist Teil einer viel größeren Frage: Wie abhängig wollen wir von US-Technologie sein?

Laut einer repräsentativen Bitkom-Umfrage vom April 2026 halten 93 Prozent der Deutschen ihr Land bei digitalen Technologien für abhängig von anderen Ländern. 99 Prozent finden es wichtig, unabhängiger zu werden. Und ein Drittel hat sich bereits bewusst für einen europäischen Anbieter entschieden.

Gleichzeitig zeigt die Studie das Dilemma: 55 Prozent erscheint ein Wechsel zu europäischen Anbietern zu aufwändig.

Das ist verständlich, wenn es um komplette CRM-Systeme oder Office-Suiten geht. Aber es gibt Bereiche, in denen der Wechsel zu einer europäischen Lösung kein Mammutprojekt ist, sondern in ein paar Stunden oder Tagen erledigt ist.

Der Wechsel zu einem europäischen Wallet-Pass-Anbieter ohne US-Konzernmutter ist so ein schneller Wechsel.

Der Wechsel, der nicht weh tut

• Kein Migrationsprojekt: Ihr erstellt eure Wallet Passes einfach bei Passcreator statt beim bisherigen Anbieter
• Gleiche Endgeräte: Die Passes landen in Apple Wallet und Google Wallet, eure Kund:innen merken keinen Unterschied
• API-Anbindung: Passcreator bietet eine REST-API, die sich in bestehende Systeme integrieren lässt
• Sofort startbar: Kein langwieriger Onboarding-Prozess, kein Approval-Verfahren über Monate

Mit Passcreator ist der Wechsel zu „made in Europe" tatsächlich einfach.
Versprochen! Sprich einfach mit uns.

Zwischen Panik und Abwarten

Es besteht aktuell kein Grund für einen ungeplanten Sofortausstieg aus allen US-Diensten. Das DPF ist gültig, die Klage ist nicht eingereicht, ein EuGH-Urteil liegt Jahre entfernt.

Es wäre aber genauso fahrlässig, das Thema zu ignorieren. Noybs Track Record zeigt, dass diese Klagen reale Konsequenzen haben. Safe Harbor fiel. Privacy Shield fiel. Beide Male war vorher jahrelang „alles gültig", bis es das nicht mehr war.

Die sinnvollste Reaktion lautet: Rechtliche Grundlage prüfen, kritische Datenflüsse priorisieren und realistische Alternativen vorbereiten.

Fazit: Drei Fragen, drei ehrliche Antworten

Ist Schrems III bereits entschieden? Nein. Es gibt kein EuGH-Urteil und noch keine formell eingereichte Klage von noyb. Aber die Klage ist angekündigt und das Latombe-Verfahren läuft bereits beim EuGH.

Ist das Data Privacy Framework aktuell ungültig? Nein. Der Angemessenheitsbeschluss ist in Kraft. Aber seine Grundlage – die Unabhängigkeit der US-Datenschutzaufsicht – ist seit dem 29. Juni 2026 rechtlich nicht mehr gesichert.

Hat sich das Risiko erhöht? Ja, erheblich. Zwei von zwei Vorgänger-Abkommen sind vor dem EuGH gescheitert. Die Ausgangslage für das dritte ist schlechter als für die beiden davor.

Unternehmen, die ihre Kundendaten in US-Cloud-Diensten verarbeiten, brauchen jetzt einen Plan B. Das DPF fällt nicht morgen und nicht nächste Woche, aber es kommt und dann seid ihr als Unternehmen zu spät dran.

FAQ

Was ist Schrems III?

Schrems III ist die erwartete dritte grundlegende Auseinandersetzung vor dem Europäischen Gerichtshof über die Rechtmäßigkeit von EU-US-Datentransfers. Der Begriff folgt auf Schrems I (2015, Safe Harbor gekippt) und Schrems II (2020, Privacy Shield gekippt). Aktuell ist Schrems III kein abgeschlossenes Verfahren, sondern ein Szenario, auf das sich Unternehmen vorbereiten sollten.

Gibt es schon ein Schrems-III-Urteil?

Nein (Stand: Juli 2026). Das US-Verfahren Trump v. Slaughter ist ein US-Verfassungsrechtsurteil, kein EU-Datenschutzurteil. Noyb hat eine Klage beim EuGH angekündigt, aber noch nicht formell eingereicht. Parallel läuft das Latombe-Berufungsverfahren (C-703/25 P) beim EuGH.

Ist das EU-US Data Privacy Framework noch gültig?

Ja. Der Angemessenheitsbeschluss (EU 2023/1795) bleibt in Kraft, bis die EU-Kommission ihn ändert, aussetzt oder zurücknimmt – oder ein zuständiges EU-Gericht ihn aufhebt. Das ist bisher nicht geschehen.

Sind Datentransfers in die USA jetzt verboten?

Nein. Die Rechtmäßigkeit hängt von der konkreten Transfergrundlage ab: DPF-Zertifizierung, Standardvertragsklauseln (SCCs), Binding Corporate Rules (BCRs) oder Einwilligungen. Jeder Transfer muss einzeln bewertet werden.

Was bedeutet das für Google Analytics, Microsoft 365, AWS oder HubSpot?

Jeder Dienst muss einzeln betrachtet werden: Welche Daten fließen wohin? Welche US-Gesellschaft ist Vertragspartner? Welche Transfergrundlage gilt? Welche technischen Schutzmaßnahmen bestehen? Entscheidend ist, ob personenbezogene Daten in die USA übertragen werden oder ob US-Mitarbeitende Zugriff haben.

Reichen Standardvertragsklauseln als Alternative?

Nicht automatisch. SCCs erfordern ein Transfer Impact Assessment (TIA) und gegebenenfalls zusätzliche technische und organisatorische Maßnahmen. Wenn der US-Anbieter im Klartext auf die Daten zugreifen muss, damit der Dienst funktioniert, ist der Schutz durch Verschlüsselung nicht wirksam – und SCCs allein reichen nicht.

Was ist der Unterschied zwischen EU-Hosting und European-owned Hosting?

EU-Hosting beschreibt zunächst nur, dass Daten auf Servern innerhalb der EU verarbeitet werden. Der Betreiber kann trotzdem ein US-Unternehmen sein. Bei European-owned Hosting befinden sich die Rechenzentren in Europa und werden zugleich von europäischen Unternehmen betrieben, die keinem US-Konzern gehören.

Stand: 15. Juli 2026. Dieser Artikel wird bei neuen Entwicklungen aktualisiert.

Dieser Artikel gibt die Einschätzung von Passcreator wieder und ersetzt keine individuelle Rechtsberatung. Für eure konkrete Datentransfer-Situation wendet euch an eure:n Datenschutzbeauftragte:n oder eine spezialisierte Kanzlei.

Quellen: US Supreme Court, Trump v. Slaughter (Case No. 25-332); EUR-Lex, Durchführungsbeschluss EU 2023/1795; EuGH, C-703/25 P; noyb.eu; beck-aktuell (Prof. Dr. Alexander Golland, 06.07.2026); IAPP; SCOTUSblog; CNBC.