Schrems III – Was das EuGH-Urteil 2026/2027 für deutsche KMU bedeutet

Max Schrems hat es zweimal geschafft. Safe Harbor (2015) — gekippt. Privacy Shield (2020) — gekippt. Jetzt steht der dritte Anlauf: Schrems III, gerichtet gegen den EU-US Data Privacy Framework (DPF). Die meisten Datenschutzjuristen rechnen mit einem dritten Sieg der Kläger. Verschärft wird die Lage durch den CLOUD Act und parallel die neue NIS2-Pflicht sowie die Erfüllbarkeitsprobleme des BSI-IT-Grundschutzes mit Microsoft 365.

Was bedeutet das für Ihr Unternehmen?

Worum geht es?

Der EU-US Data Privacy Framework ist der dritte Versuch der EU-Kommission, einen rechtlichen Rahmen für Datenübertragungen in die USA zu schaffen, nachdem die ersten beiden gescheitert sind.

Schrems' zentraler Vorwurf: Das DPF ändert nichts an der Grundlage des Problems — US-Geheimdienste haben weiterhin Zugriff auf personenbezogene Daten von EU-Bürgern über FISA Section 702 und Executive Order 12333. Trump 2.0 hat diese Zugriffe sogar verstärkt.

Warum die Kläger gute Karten haben

1. Strukturelle Argumentation: Das DPF basiert auf US-Versprechen, nicht auf Gesetzesänderungen
2. Trump-Faktor: Die zweite Trump-Administration hat 2025 das Privacy and Civil Liberties Oversight Board (PCLOB) politisch besetzt und entkernt — eine Säule des DPF
3. Präzedenzfall: Der EuGH hat in Schrems I und II mit deutlichen Worten geurteilt; eine Kehrtwende wäre schwer zu begründen
4. CJEU-Generalanwalt-Indikationen: Die ersten Gutachten lassen einen kläger-freundlichen Tenor erkennen

Was passiert nach einem Urteil zugunsten der Kläger?

Die ungefähre Choreographie kennen wir aus Schrems II:

1. Adequacy Decision wird ungültig — sofortige Wirkung
2. Übergangsfrist wahrscheinlich 3–6 Monate
3. Standardvertragsklauseln (SCCs) mit zusätzlichen Schutzmaßnahmen werden zur Notlösung — aber Aufsichtsbehörden prüfen härter
4. Datenexporte in die USA werden faktisch sehr schwierig

Konkret: Microsoft 365, Google Workspace, AWS, Salesforce, Slack, Zoom werden rechtlich noch fragwürdiger als heute.

Konkrete Bußgeld-Risiken

Vorbild Schrems II-Folge:

Auch KMU sind betroffen: Es gibt mehrere Bußgelder im unteren bis mittleren sechsstelligen Bereich wegen Nutzung von US-Cloud-Diensten ohne tragfähige Rechtsgrundlage.

Was Unternehmen jetzt tun sollten

Sofort (vor dem Urteil)

1. Datenfluss-Audit: Welche personenbezogenen Daten gehen in welche US-Dienste?
2. Transfer Impact Assessment (TIA) pro US-Dienst dokumentieren
3. Backup-Plan für die wichtigsten Tools entwickeln (Was, wenn DPF morgen fällt?)

Mittelfristig (12 Monate)

4. EU-Alternative pilotieren — eine Abteilung, ein Tool nach dem anderen
5. Migrationsbudget einplanen — Notfall-Migration nach Urteil ist 3–5x teurer
6. AVV-Klauseln neu verhandeln mit US-Anbietern (oft erfolglos, aber dokumentiert)

Strukturell

7. EU-First-Policy etablieren: Neue Tools werden zuerst aus EU-Anbietern geprüft, nur bei Lücken zu US-Anbietern gegriffen
8. Souveränität als Compliance-Anforderung in Lieferantenverträge schreiben

Welche Tools sind sofort einsatzbereit?

Was wir bei europioneer für Sie aufsetzen:

• E-Mail & Kalender: Mailcow / Stalwart + Nextcloud
• Office-Suite: ONLYOFFICE / Collabora
• Datei-Speicher: Nextcloud
• Team-Chat: Element/Matrix
• Videocalls: Element Call / Jitsi / BigBlueButton
• Passwortmanager: Vaultwarden
• Single Sign-On: Keycloak
• CRM: EspoCRM, SuiteCRM, Odoo
• Projektmanagement: OpenProject

Alle gehostet in Deutschland, vollständig DSGVO-konform, kein CLOUD Act.

Fazit

Schrems III ist keine Frage des Ob, sondern des Wann. Wer 2026 noch ohne Plan auf US-Cloud setzt, betreibt bewusstes Compliance-Risiko. Wer migriert, kauft sich Rechtssicherheit — und spart in den meisten Fällen sogar Geld.

Kostenfreies Schrems-III-Vorbereitungsgespräch buchen →