Am 29. Juni hat der US Supreme Court entschieden, dass die gesetzlich garantierte Unabhängigkeit der Federal Trade Commission verfassungswidrig ist. Das klingt nach amerikanischer Innenpolitik. Tatsächlich trifft die Entscheidung die tragende Annahme des EU-US Data Privacy Framework, also der Rechtsgrundlage, auf der ein Großteil des transatlantischen Datenverkehrs ruht: Microsoft 365, US-Cloud-Infrastruktur, die meisten KI-Dienste.
Seitdem überschlagen sich die Einschätzungen. Was ich in den vergangenen Tagen gelesen habe, reicht von „betrifft uns nicht" bis „sofort alles abschalten". Beides ist falsch. Und beides führt zu schlechten Entscheidungen.
Die Lage in fünf Sätzen
- Nichts ist heute verboten. Der Angemessenheitsbeschluss bleibt formal in Kraft, bis die EU-Kommission ihn aufhebt oder der EuGH ihn für nichtig erklärt. Aber seine tragende Begründung, eine unabhängige US-Aufsicht, existiert seit dem 29. Juni nicht mehr.
- Wer auf Standardvertragsklauseln setzt, ist sofort in der Pflicht: Transfer Impact Assessments verweisen üblicherweise auf genau die US-Kontrollinstanzen, die das Urteil entkernt. Diese Bewertungen müssen jetzt aktualisiert werden.
- KI-Systeme vervielfachen die Exponierung. Prompts, RAG-Kontexte, Meeting-Transkripte und Agenten-Logs sind personenbezogene Datenflüsse in Echtzeit, die in kaum einem Verfahrensverzeichnis vollständig stehen.
- Wirksam sind fast nur technische Maßnahmen: Verschlüsselung mit Schlüsselhoheit in der EU, Pseudonymisierung vor dem Transfer, Confidential Computing, Gateway-Architekturen mit austauschbaren Modellen.
- Die Planungsannahme lautet 12 bis 24 Monate Vorbereitungsfenster. Kurzfristig kippt nichts. Mittelfristig ist ein „Schrems III" das realistische Basisrisiko.
Warum das eine Chance ist
Es gibt einen seltenen Moment in regulatorischen Zyklen: nach dem Warnschuss, vor dem Einschlag. In diesem Moment befinden wir uns. Alles, was jetzt zu tun ist, lässt sich heute in Ruhe umsetzen: Datenflüsse inventarisieren, Datenklassen festlegen, Schlüsselhoheit aufbauen, KI-Anwendungen hinter eine eigene Gateway-Schicht stellen. Dieselben Maßnahmen nach einem EuGH-Urteil kosten ein Mehrfaches und werden unter Zeitdruck schlechter.
Die Unternehmen, die 2020 auf Schrems II vorbereitet waren, hatten keinen besseren Anwalt. Sie hatten früher angefangen.
Das Whitepaper: Einordnung statt Alarm
Wir haben dazu ein Punktexe-Research-Whitepaper geschrieben: „Transfer unter Vorbehalt.", 23 Seiten, Stand 3. Juli 2026. Es entmystifiziert die Lage und macht sie planbar:
- Das Urteil und die transatlantische Kette: warum die FTC das DPF trägt
- Drei Verfahrenswege, auf denen das DPF fallen kann, mit Szenarien und Zeithorizonten
- Was nach der Logik des Europäischen Datenschutzausschusses wirklich schützt und was nur beruhigt
- Zehn technische Maßnahmen nach Wirkungsgrad, inklusive Gateway-Architektur für KI-Workloads
- Der 7-Stufen-Plan für die nächsten 12 Monate
- Zwölf Fragen an jeden US-Anbieter und die Vier-Zeilen-KI-Policy
- Der US-Exposure-Schnellcheck: zehn Fragen zur Selbsteinschätzung
- 35 Quellen, Primärquellen zuerst
→ Whitepaper als PDF herunterladen (kostenlos, ohne Formular)
Für internationale Teams gibt es das Paper auch auf Englisch: „Transfer on Borrowed Time." (PDF, English edition).
Weiterlesen
Das Whitepaper schließt an unsere Serie zur Architektur-Souveränität an, insbesondere an „Architektur-Souveränität ist real" und die Referenzarchitektur gegen Modell-Abhängigkeit.
Und wenn Sie wissen möchten, wo Ihr Unternehmen konkret steht: Genau diese Frage beantwortet die KI-Standortbestimmung. Das US-Exposure-Mapping aus dem Whitepaper ist dort Teil der Risikoanalyse. Sprechen wir darüber, bevor es ein Gericht tut.