Schrems-III und US-Cloud: was deutsche KMU 2026 wissen müssen

Einordnung

Abschnitt 01

Die rechtliche Lage Anfang 2026

Das EU-US-Data Privacy Framework (DPF) wurde im Juli 2023 als Adäquanzbeschluss durch die EU-Kommission anerkannt. Es ersetzt die zuvor durch Schrems-II annullierten Privacy Shield-Bestimmungen. Inhaltlich enthält das DPF zusätzliche Bestimmungen zum Schutz vor exzessiver US-Behörden-Überwachung (Stichworte: Civil Liberties Protection Officer, Data Protection Review Court). Aktuelle Klage-Lage: NOYB hat 2024 Klage erhoben mit dem Argument, dass die zusätzlichen Schutzmaßnahmen nicht ausreichen, da US-Geheimdienste weiterhin Zugriff auf EU-Bürger-Daten in US-Cloud-Services haben. Der EuGH wird voraussichtlich 2026 oder 2027 entscheiden.

Abschnitt 02

Risiko-Klassifikation pro Datenkategorie

Drei Klassen mit unterschiedlichem US-Cloud-Risiko: (1) Niedrig: anonymisierte oder rein technische Daten, generische Marketing-Inhalte, öffentliche Daten — US-Cloud mit DPF + SCC tragbar. (2) Mittel: Standard-Geschäftsdaten mit Kundenbezug, aber ohne besondere Kategorien — US-Cloud mit DPF + SCC + zusätzliche technische Maßnahmen (Pseudonymisierung) tragbar, aber mit Migrations-Plan für den Fall von Schrems-III. (3) Hoch: Patienten-Daten, Mandanten-Daten, Personalakten mit Gesundheits-Bezug, strafrechtlich relevante Daten — US-Cloud NICHT tragbar, sondern EU-Cloud oder On-Premise zwingend.

Abschnitt 03

Schrems-III: was wahrscheinlich kommt

Aus der Analyse der Schrems-II-Argumentation und der NOYB-Schrems-III-Klage zeichnen sich drei wahrscheinliche EuGH-Reaktionen ab: (a) Das DPF wird als Adäquanzbeschluss bestätigt mit dem Hinweis, dass die zusätzlichen Schutzmaßnahmen ausreichen — unwahrscheinlich, weil bereits Schrems-II eine ähnliche Argumentation hatte. (b) Das DPF wird annulliert, mit Hinweis auf weiterhin bestehende US-Geheimdienst-Zugriffe — wahrscheinlich, mit Folgen ähnlich Schrems-II (US-Cloud nur noch mit SCC + zusätzlichen Maßnahmen). (c) Eine differenzierte Lösung mit unterschiedlichen Regeln je nach Datenkategorie — möglich, aber rechtlich neuartig. Vorbereitung für Szenario (b) ist die sinnvollste KMU-Strategie.

Abschnitt 04

EU-Alternativen 2026

Für die wichtigsten Cloud-Service-Kategorien gibt es seit 2024 produktionsreife EU-Alternativen: Compute / IaaS: Hetzner (Frankfurt, Falkenstein), IONOS (Karlsruhe, Frankfurt), OVH (Roubaix, Strasbourg), Scaleway (Paris, Amsterdam). Object Storage S3-kompatibel: Hetzner Storage Box, IONOS S3, Wasabi (EU-Region), MinIO Self-Hosted. KI-Services: EU-Anbieter mit Sitz in Frankreich und Deutschland sowie US-Anbieter mit EU-Hosting bzw. EU-Datenresidenz für Enterprise. E-Mail / Collaboration: Open-Xchange, Strato Communicator, Nextcloud (Self-Hosted). CRM: Hubspot (mit EU-Datenresidenz), Pipedrive (EU-Hosting), self-hosted Twenty oder Mautic.

Abschnitt 05

Multi-Cloud-Strategie als Best Practice

Anstatt komplett von US-Cloud zu migrieren, empfehlen wir eine Multi-Cloud-Strategie mit klarer Daten-Routing-Logik: (a) Hochsensible Daten (Patienten, Mandanten) auf On-Premise oder EU-Cloud. (b) Standard-Geschäftsdaten auf EU-Cloud mit dokumentierter Möglichkeit zur US-Cloud-Migration. (c) Generische Daten (Marketing-Content, technische Logs) können US-Cloud genutzt werden, wenn wirtschaftlich vorteilhaft. Diese Trennung erlaubt es, Schrems-III flexibel zu reagieren: bei einem ungünstigen Urteil müssen nur Standard-Daten migriert werden, hochsensible sind bereits in EU.

Abschnitt 06

Migrations-Pfad: 60-90 Tage realistisch

Eine vollständige Migration von US-Cloud zu EU-Cloud dauert typisch 60-90 Tage für ein 50-MA-Unternehmen. Phase 1 (Woche 1-2): Bestandsaufnahme aller Cloud-Services, Daten-Klassifikation. Phase 2 (Woche 3-5): EU-Anbieter-Auswahl pro Service-Kategorie, Test-Setups. Phase 3 (Woche 6-10): Daten-Migration, parallel-Betrieb mit Sync. Phase 4 (Woche 11-13): Cut-over, US-Cloud abschalten, Dokumentation. Wichtig: nicht alle Cloud-Services sind 1:1 migrierbar. Manche US-Services (z.B. AWS Lambda) haben keine direkte EU-Entsprechung und brauchen Re-Architektur (z.B. zu Hetzner-Containern mit Caddy).

Abschnitt 07

Was bleibt US-Cloud-tragbar

Bestimmte Anwendungsfälle sind auch nach Schrems-III mit US-Cloud tragbar: (a) Marketing-Inhalte ohne Personen-Bezug (öffentliche Webseiten, Marketing-Texte). (b) Technische Logs ohne Personen-Bezug. (c) Anonymisierte Daten-Analytik. (d) Generische Software-Bibliotheken und Frameworks ohne Datenverarbeitung. (e) Code-Hosting auf GitHub für Open-Source-Projekte. Die Frage ist immer: gibt es Personen-Bezug, und kann der durch technische Maßnahmen ausgeschlossen werden? Bei "ja, kein Bezug" oder "Bezug ausgeschlossen": US-Cloud-OK. Bei "Bezug möglich": EU-Cloud-Pflicht.

Abschnitt 08

Hybrid-Setup: das DripBack-Pattern

In den meisten KMU-Setups, die wir begleiten, kommt ein Hybrid-Modell zum Einsatz: lokales Open-Source-LLM (selbst-gehostet auf Hetzner oder On-Premise) für sensible Daten, ein Cloud-Modell mit EU-Hosting für komplexe Workflows ohne Klartext-Personen-Daten, ein Cloud-Modell mit DPF + SCC für Marketing-Inhalte und Übersetzungen. Daten werden vor Versand an ein Cloud-Modell durch eine Pseudonymisierungs-Pipeline geführt: Klartext-Namen werden zu Token wie "PERSON_001", "ORT_002" ersetzt, Antworten werden zurück-pseudonymisiert. So bleibt die juristische Position robust, auch bei Schrems-III.

Abschnitt 09

Versicherungs-Aspekte

Cyber-Versicherungen werden ab 2026 zunehmend US-Cloud-Nutzung in den Risiko-Klassifizierungen berücksichtigen. Wer rein US-Cloud nutzt, hat höhere Prämien. Wer dokumentiert EU-Cloud nutzt oder Multi-Cloud mit klarer Daten-Routing-Logik, bekommt Prämien-Rabatte von 12-20%. Bei der nächsten Verhandlung der Cyber-Police lohnt es sich, die Cloud-Strategie detailliert darzustellen. Wir empfehlen für jeden Migrations-Schritt eine kurze Notiz an die Versicherung, die im Prämien-Verhandlungs-Gespräch genutzt werden kann.

Abschnitt 10

Was DripBack als Migrations-Begleitung anbietet

DripBack bietet Migrations-Begleitung als Festpreis-Paket: Bestandsaufnahme + Daten-Klassifikation (5 Tage), EU-Anbieter-Setup (8 Tage), Migration der ersten 3 Services (15 Tage), Cut-over + Dokumentation (5 Tage). Gesamt: 33 Tage über 90 Kalendertage gestreckt, mit Festpreis 35.000 €. Im Lieferumfang: vollständige Compliance-Dokumentation, AVV mit allen neuen EU-Anbietern, Migrations-Notiz für Versicherer und Aufsichtsbehörde.