Aktuelle Lage, Stand 12. Juli 2026: FISA 702 ist am 12. Juni 2026 als Gesetz ausgelaufen; die vom FISA-Gericht erteilten Überwachungszertifizierungen bleiben davon unberührt und gelten bis März 2027 weiter. Zusätzlich hat der US Supreme Court am 29. Juni 2026 im Fall Trump v. Slaughter die Unabhängigkeit der FTC geschwächt, einer der beiden zentralen Durchsetzungsbehörden hinter dem EU-US Data Privacy Framework. Die Einzelheiten dazu haben wir hier eingeordnet.
Die eine Frage, die Ihr IT-Dienstleister nie stellt
„Wir nutzen Microsoft 365 mit deutschen Rechenzentren: das ist DSGVO-konform.“ Diesen Satz hört man in Kanzleien, Arztpraxen und mittelständischen Unternehmen täglich. Er ist nicht falsch. Aber er beantwortet die falsche Frage.
Es gibt zwei grundverschiedene Fragen, die im Alltag regelmäßig verwechselt werden:
- Compliance-Frage: Droht mir eine DSGVO-Geldstrafe durch die Aufsichtsbehörde?
- Sicherheits-Frage: Kann ein US-Geheimdienst faktisch auf meine Daten zugreifen?
Die Antworten sind verschieden. Und wer nur die erste Frage beantwortet, hat die wichtigere nie gestellt. Bei ExpertoMundi trennen wir diese beiden Ebenen im Audit konsequent: Ebene 1: Haftungsschutz (AVV nach Art. 28 DSGVO, SCC, DPF-Zertifizierung, schützt den Verantwortlichen vor Bußgeldern) und Ebene 2: Daten-Souveränität (US-Jurisdiktion via CLOUD Act und § 702 FISA, schützt die Daten selbst nicht automatisch mit).
Was die deutsche Praxis tatsächlich sagt
Zwei Dokumente bilden das Fundament der deutschen Einordnung:
2. Vergabekammer des Bundes, 13.02.2023 (VK 2-114/22): Ein „latentes Zugriffsrisiko“ durch den US CLOUD Act begründet für sich allein noch keine unzulässige Drittlandübermittlung im Sinne von Art. 44 DSGVO. Die Kammer argumentiert in vier Linien: Art. 44 DSGVO verlangt aktives Tun, ein rein hypothetisches Risiko wäre sonst bei jeder Cloud-Nutzung erfüllt (reductio ad absurdum), US-Behörden können deutsche Server nicht ohne Rechtshilfe (MLAT) beschlagnahmen, und eine Weisung der US-Mutter an die deutsche Tochter zur Datenherausgabe ohne deutsches Verfahren wäre nach § 43 GmbHG rechtswidrig. Im entschiedenen Fall hatte die betroffene Tochtergesellschaft zudem schriftlich zugesagt, einer solchen Weisung nicht zu folgen.
Wissenschaftliche Dienste des Bundestags, 19.01.2024 (WD 3-3000-105/23): Der CLOUD Act verpflichtet US-Unternehmen zur Herausgabe von Daten, wenn diese Unternehmen die Daten kontrollieren, unabhängig vom Serverstandort. Entscheidend ist der Kontrolltest, nicht die geografische Lage des Rechenzentrums. Ob dieser Test auch auf Unternehmen ohne jeden US-Konzernbezug ausgedehnt werden kann, lassen die Wissenschaftlichen Dienste ausdrücklich offen: „völkerrechtlich nicht abschließend geklärt“.
Klartext: Die Aufsichtsbehörde kommt bei korrekter vertraglicher Einbindung womöglich nicht. Ein US-Geheimdienst kommt über § 702 FISA (der an der US-Muttergesellschaft ansetzt, nicht an der deutschen GmbH) theoretisch trotzdem an die Daten. Die Vergabekammer hat diesen FISA-Einwand im Verfahren als allgemein weitreichende Befugnis beiseitegeschoben, ohne ihn inhaltlich zu prüfen. Genau das ist die Lücke, die beide Dokumente zusammen erst sichtbar machen.
Drei Stufen, drei Risikoprofile
| Stufe | Konstellation | Compliance-Risiko (Ebene 1) | Zugriffs-Risiko (Ebene 2) |
|---|---|---|---|
| Grün | Echter EU-Anbieter ohne US-Mutterkonzern (z. B. Hetzner, IONOS, mailbox.org) | Kein Drittlandbezug | Kein CLOUD-Act-Zugriff |
| Gelb | EU-Tochter eines US-Konzerns (z. B. Microsoft 365 über deutsches Rechenzentrum) | Gering bei korrektem AVV + Weigerungs-Zusage (VK 2-114/22) | Bleibt abstrakt bestehen: US-Mutter unterliegt § 702 FISA |
| Rot | Direkter US-Anbieter (z. B. AWS, Google Workspace, Salesforce) | DPF-Zertifizierung erforderlich, formal derzeit gültig, aber unter Beobachtung (siehe unten) | Am höchsten |
Wichtig für die Einordnung: Dieses Modell bewertet zwei orthogonale Fragen. Ein Anbieter kann auf Ebene 1 sauber und auf Ebene 2 trotzdem riskant sein: das ist bei Stufe Gelb der Regelfall, nicht die Ausnahme.
Warum Ebene 1 gerade instabiler wird
Der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF, seit 10.07.2023 in Kraft, Rechtsgrundlage Art. 45 DSGVO) stützt sich maßgeblich auf die Unabhängigkeit der US-Aufsichtsbehörden, allen voran der FTC. Mit dem Urteil Trump v. Slaughter (US Supreme Court, 29.06.2026, Az. 25-332) hat das Gericht genau diese Unabhängigkeit rechtlich infrage gestellt: FTC-Commissioner können seither ohne wichtigen Grund von der Regierung entlassen werden. Die Datenschutzorganisation noyb hat bereits eine Klage gegen den Fortbestand des DPF vor dem EuGH angekündigt; eine Berufung gegen die erste DPF-Bestätigung (Latombe-Fall, Verfahren C-703/25 P) ist beim EuGH ohnehin schon anhängig. Der DPF ist zum jetzigen Zeitpunkt formal weiterhin gültig, aber die Grundannahme, auf der er beruht, ist erschüttert. Details, Quellen und die praktische Checkliste dazu stehen in unserem separaten Beitrag zum Slaughter-Urteil: hier nicht dupliziert, sondern verlinkt.
Der gangbare Weg: Verschlüsselung mit eigenen Schlüsseln
Wer Microsoft 365 nicht ersetzen kann oder will, hat eine technische Lösung: Double Key Encryption (DKE) beziehungsweise „Customer Key“ in bestimmten Enterprise-Lizenzstufen. Die Verschlüsselungsschlüssel liegen ausschließlich beim Kunden: der Anbieter selbst hat keinen Zugriff. Selbst bei einer erfolgreichen CLOUD-Act-Anfrage könnte Microsoft nur verschlüsselte, für die anfragende Behörde nutzlose Datenpakete herausgeben.
DKE ist kein Selbstläufer: Es erfordert Konfigurationsaufwand, schränkt einige Collaboration-Features ein und eignet sich primär für besonders sensible Datenklassen: Mandatsgeheimnisse in Kanzleien, Patientendaten in Praxen, M&A-Unterlagen. Für diese Fälle ist es aktuell die einzige belastbare Antwort innerhalb des Microsoft-Ökosystems.
Der saubere Weg: Echte EU-Alternativen
Für Unternehmen, die keinen Restrisiko-Kompromiss eingehen wollen, sind EU-Alternativen inzwischen praxistauglich:
- E-Mail & Kalender: mailbox.org (Berlin), Proton Mail (Schweiz)
- Office-Suite: openDesk (ZenDiS): Version 1.1 seit März 2026 im Bund produktiv, über 8.700 Lizenzen, unter anderem beim Robert-Koch-Institut mit rund 7.000 Nutzenden; das Bundesministerium für Digitales testet an über 80 Arbeitsplätzen. Auch der Internationale Strafgerichtshof ist im Oktober 2025 von Microsoft 365 zu openDesk gewechselt.
- Euro-Office: Konsortium aus IONOS, Nextcloud, XWiki, OpenProject, Office.eu u. a.: seit 9. Juni 2026 verfügbar, quelloffener OnlyOffice-Fork mit DOCX/XLSX/PPTX- und ODF-Kompatibilität, Zielgruppe zunächst Behörden, Bildungssektor, regulierte Branchen.
- Cloud-Storage & Collaboration: Nextcloud auf Hetzner oder IONOS („Nextcloud Workspace“): volle Datenkontrolle, Hosting ausschließlich in deutschen Rechenzentren.
Die drei Fragen für Ihr nächstes IT-Gespräch
- Ist unser Cloud-Anbieter ein echtes EU-Unternehmen ohne US-Mutterkonzern, oder nur eine EU-Tochter?
- Falls US-Konzern: Sind DKE oder eine äquivalente Schlüsselhoheit implementiert?
- Sind unsere sensiblen Daten (Mandatsgeheimnisse, Patientendaten, Geschäftsgeheimnisse) klar von Alltagsdaten getrennt und mit dem höchsten Schutz versehen?
ExpertoMundi: Der Web-Audit zeigt den blinden Fleck
In unserem kostenlosen Web-Audit für KMU, Kanzleien und Praxen prüfen wir auch die Hosting- und E-Mail-Souveränität: Welche Anbieter sind im Einsatz, welche US-Dienstleister werden über Ihre Website geladen, und welche davon würden bei einer weiteren Verschärfung der Rechtslage über Nacht zum Problem?
Das ist kein Panikmarketing. Es ist Klartext für eine informierte Entscheidung.
Jetzt kostenlosen Web-Audit anfordern
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 12.07.2026.
Quellen (Originalquellen, Abrufdatum 12.07.2026)
- 2. Vergabekammer des Bundes (Bundeskartellamt), Beschluss VK 2-114/22, 13.02.2023
- Wissenschaftliche Dienste des Deutschen Bundestags, Sachstand WD 3-3000-105/23, „Herausgabepflichten von Daten und Informationen an US-amerikanische Sicherheitsbehörden“, 19.01.2024
- Datenschutzkonferenz (DSK), Beschluss vom 31.01.2023
- EU-Kommission, Angemessenheitsbeschluss EU-US Data Privacy Framework, 10.07.2023
- US Supreme Court, Trump v. Slaughter, No. 25-332, Urteil vom 29.06.2026
- Brennan Center for Justice, „Section 702 of FISA: 2026 Resource Page“, Status der 45-Tage-Verlängerung bis 12.06.2026 und der FISC-Zertifizierungen bis März 2027
- IAPP, Einordnung Trump v. Slaughter und offene DPRC-Unabhängigkeitsfrage, 08.07.2026
- Nextcloud / IONOS, Pressemeldungen „Nextcloud Workspace“ und „Euro-Office“ (Konsortium), März/Juni 2026
- ZenDiS, Statusmeldungen openDesk 1.1 (März 2026) und Lizenzzahlen