US-Cloud und DSGVO: Microsoft 365, Google, AWS

Dürfen wir Microsoft 365, Google Workspace oder Amazon Web Services weiter nutzen, obwohl Daten in die USA gehen? Die kurze Antwort: Ja, solange der Empfänger zertifiziert ist. Was dahintersteht und was dokumentiert sein sollte, erklärt dieser Beitrag.

Die Grundlage: der Angemessenheitsbeschluss

Jede Übermittlung personenbezogener Daten in ein Drittland braucht eine Grundlage nach Kapitel V der DSGVO (Art 44 DSGVO). Für die USA ist das seit 10. Juli 2023 der Durchführungsbeschluss (EU) 2023/1795 zum Datenschutzrahmen EU-USA (Data Privacy Framework). Er stellt ein angemessenes Schutzniveau fest – aber nur für Übermittlungen an Organisationen, die in der vom US-Handelsministerium geführten Data Privacy Framework List stehen (Art 1 des Beschlusses, Art 45 DSGVO). Ob eine Übermittlung darunter fällt, prüft der Verantwortliche selbst (Art 5 Abs 2 DSGVO).

Die Liste weist je Organisation aus, ob die Zertifizierung Personaldaten (HR-Daten) und sonstige Daten umfasst. Mit Stand 21. Oktober 2026 sind Microsoft Corporation und Google LLC für beide Kategorien aktiv zertifiziert. Amazon.com, Inc. – laut Liste einschließlich Amazon Web Services, Inc. – ist nur für sonstige Daten eingetragen. Für Beschäftigtendaten auf AWS trägt der Beschluss also nicht; dafür bleibt es bei Standardvertragsklauseln.

Wie stabil ist der Beschluss?

Den Vorgänger, das Privacy Shield, hat der EuGH am 16. Juli 2020 für ungültig erklärt (C-311/18, Schrems II) – ohne Übergangsfrist: Er hielt die Wirkungen nicht aufrecht, weil Art 49 DSGVO regelt, was ohne Angemessenheitsbeschluss und ohne Garantien nach Art 46 gilt, und deshalb kein rechtliches Vakuum entstehe (Rn. 202).

Der neue Beschluss hat die erste gerichtliche Prüfung bestanden: Das Gericht der Europäischen Union hat die Nichtigkeitsklage Latombe/Kommission am 3. September 2025 abgewiesen (T-553/23). Es hielt die Regeln über Ernennung und Abberufung der Richter des US-Überprüfungsgerichts (Data Protection Review Court) für ausreichend (Rn. 57), prüfte nach der Rechtslage bei Erlass des Beschlusses (Rn. 22) und verwies für spätere Änderungen auf die Pflicht der Kommission, den Beschluss auszusetzen, zu ändern oder zu widerrufen (Rn. 58). Das Rechtsmittel C-703/25 P ist seit 31. Oktober 2025 beim EuGH anhängig; Schlussanträge oder einen Verhandlungstermin gab es bis Oktober 2026 nicht.

Die Kommission hat den Rahmen im Juli 2024 erstmals überprüft; ihr Bericht vom 9. Oktober 2024 (COM(2024) 451 final) sieht die nächste Überprüfung nach drei Jahren vor. Offen bleibt die Besetzung des fünfköpfigen Aufsichtsgremiums PCLOB, dessen Website im Oktober 2026 ein einziges Mitglied nennt; ob das die Angemessenheit berührt, ist nicht entschieden.

Der Ersatz: Standardvertragsklauseln samt Prüfung

Fällt der Beschluss oder fehlt die Zertifizierung, bleiben die Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914, Art 46 Abs 2 lit c DSGVO). Sie genügen nicht allein: Nach Klausel 14 müssen die Parteien beurteilen, ob das Recht des Ziellandes – einschließlich behördlicher Zugriffsbefugnisse – den Importeur an der Einhaltung der Klauseln hindert, das dokumentieren und der Aufsichtsbehörde auf Anfrage vorlegen. Der EuGH hat diese Prüfung (Transfer Impact Assessment) in Schrems II dem Datenexporteur auferlegt: im Einzelfall prüfen, nötigenfalls zusätzliche Maßnahmen ergreifen, sonst die Übermittlung aussetzen (Rn. 134 f).

Wie streng das in Österreich gehandhabt wird, zeigt der Fall Google Analytics: Für einen Website-Besuch im August 2020 – nach Schrems II, vor dem neuen Beschluss – sah die Datenschutzbehörde in Standardvertragsklauseln samt den damals angebotenen Zusatzmaßnahmen kein angemessenes Schutzniveau; der Betreiber bekämpfte das nicht. Das Bundesverwaltungsgericht teilte diese Beurteilung in den Erkenntnissen vom 12. Mai 2023, W245 2252208-1 und W245 2252221-1: Der Verstoß gegen Art 44 DSGVO trifft den Betreiber als Datenexporteur, nicht den US-Anbieter, den Kapitel V nicht unmittelbar verpflichtet. Der Verwaltungsgerichtshof hat das am 1. September 2026 bestätigt (Ro 2023/04/0025): Adressat des Art 44 DSGVO ist, wer über die Übermittlung entscheidet oder sie im Auftrag vornimmt – nicht der Empfänger im Drittland, auch wenn er die Daten danach als Verantwortlicher oder Auftragsverarbeiter weiterverarbeitet (Rn. 40). Feststellen lassen kann die betroffene Person die Rechtswidrigkeit der Übermittlung daher nur gegenüber dem Exporteur (Rn. 46); eine Vorlage an den EuGH hielt der Gerichtshof für entbehrlich, weil der Wortlaut keinen Zweifel lasse (Rn. 47). Entschieden ist die Rechtslage vor dem Datenschutzrahmen; die Zuordnung der Verantwortung gilt aber unabhängig davon: Wer übermittelt, steht für die Grundlage ein.

Speicherort in der EU und der CLOUD Act

Ein Speicherort in der EU verringert Übermittlungen, löst den Anbieter aber nicht aus dem US-Recht: Nach 18 U.S.C. § 2713 (CLOUD Act) gilt eine Anordnung nach US-Recht auch für Daten, die ein US-Anbieter außerhalb der Vereinigten Staaten in seinem Besitz, seinem Gewahrsam oder unter seiner Kontrolle hält. Art 48 DSGVO setzt dem entgegen: Eine solche Anordnung wird – unbeschadet anderer Übermittlungsgründe des Kapitels V – nur anerkannt oder vollstreckbar, wenn sie auf eine internationale Übereinkunft wie ein Rechtshilfeabkommen gestützt ist. Auch Microsofts „EU Data Boundary“ kennt laut Europäischem Datenschutzbeauftragten Ausnahmen, unter denen Daten die EU verlassen.

Dessen Verfahren zur Nutzung von Microsoft 365 durch die Kommission zeigt, wie sich Risiken vertraglich eingrenzen lassen: Die am 8. März 2024 festgestellten Verstöße galten am 11. Juli 2025 als behoben, nachdem Datenarten, Zwecke, zulässige Empfänger und Zielländer sowie die Benachrichtigung über Herausgabeverlangen mit Microsoft festgelegt waren. Die Kommission unterliegt der Verordnung (EU) 2018/1725, nicht der DSGVO; der Mechanismus entspricht der dokumentierten Weisung nach Art 28 Abs 3 lit a DSGVO.

Was Sie bereithalten sollten

• Auftragsverarbeitungsvertrag (Art 28 Abs 3 DSGVO) samt Weisung zur Drittlandübermittlung (lit a) und Genehmigung der Unterauftragsverarbeiter (Abs 2), mit Datum und Fassung der Anbieterbedingungen.
• Übermittlungsgrundlage je Dienst: Auszug aus der Data Privacy Framework List mit Datum und Datenkategorie oder Standardvertragsklauseln samt dokumentierter Beurteilung nach Klausel 14 – beides im Verarbeitungsverzeichnis (Art 30 Abs 1 lit d und e DSGVO).
• Datenschutzerklärung und Mitarbeiterinformation (Art 13 Abs 1 lit e und f DSGVO): Empfänger, Drittland, Angemessenheitsbeschluss oder Garantien samt Hinweis, wo sie einsehbar sind.
• Datenschutz-Folgenabschätzung nur bei voraussichtlich hohem Risiko (Art 35 DSGVO) – etwa bei Gesundheitsdaten in großem Umfang oder Werkzeugen mit künstlicher Intelligenz (DSFA-V § 2); die Cloud-Nutzung als solche löst sie nicht aus.
• Plan B: prüfen, ob die Bedingungen des Anbieters die Standardvertragsklauseln bereits als Ersatzgrundlage enthalten, und die Beurteilung nach Klausel 14 vorbereiten. 2020 gab es dafür keine Übergangsfrist.
• Beobachten: das Rechtsmittel C-703/25 P und die nächste Überprüfung durch die Kommission 2027.

Diese Information ist allgemein gehalten und ersetzt keine Beratung im Einzelfall.