Darf ich als Freelancer US-Cloud-Dienste nutzen? Der Stand 2026
Ja, derzeit legal. Aber auf einem Fundament, das gerade an mehreren Stellen bröckelt. Wer heute neu einrichtet, hat einen guten Grund, gleich europäisch anzufangen.
Was gerade gilt
Datenübermittlungen in die USA sind seit 2023 durch das EU-US Data Privacy Framework abgedeckt, kurz DPF. Die Europäische Kommission hat den USA damit ein angemessenes Datenschutzniveau bescheinigt, vorausgesetzt der Anbieter ist unter dem Framework zertifiziert. 2024 wurde es auf den Europäischen Wirtschaftsraum erweitert.
Für dich heißt das, dass du bei einem zertifizierten US-Dienst keine zusätzlichen Garantien wie Standardvertragsklauseln brauchst. Das Framework ist 2026 weiterhin in Kraft.
Warum „legal" hier nicht „stabil" heißt
Das DPF ist der dritte Versuch dieser Art. Die beiden Vorgänger, Safe Harbor und das Privacy Shield, wurden vom Europäischen Gerichtshof gekippt. Beim aktuellen Rahmen sieht es so aus.
- Das Gericht der Europäischen Union hat eine Nichtigkeitsklage gegen das Framework am 03.09.2025 abgewiesen, Rechtssache T-553/23, eingereicht vom französischen Abgeordneten Philippe Latombe. Das Framework hat diese Runde also überstanden.
- Latombe hat am 31.10.2025 Rechtsmittel eingelegt. Das Verfahren läuft beim Europäischen Gerichtshof unter C-703/25 P, ein Verhandlungstermin war im Mai 2026 noch nicht angesetzt.
- Das Privacy and Civil Liberties Oversight Board, kurz PCLOB, verlor im Januar 2025 durch die Abberufung von drei seiner fünf Mitglieder die Beschlussfähigkeit. Es war eine der Aufsichtsinstanzen, auf die sich die EU-Kommission bei ihrer Entscheidung ausdrücklich gestützt hatte.
- Am 29.06.2026 entschied der US Supreme Court in Trump v. Slaughter, dass die Unabhängigkeit der Federal Trade Commission gegen die US-Verfassung verstößt, und kippte damit einen Präzedenzfall von 1935. Die FTC ist die Behörde, die das Framework auf US-Seite durchsetzen soll, und ihre Unabhängigkeit war Teil der Begründung für die Angemessenheitsentscheidung von 2023.
- Am 12.06.2026 lief Section 702 des Foreign Intelligence Surveillance Act aus, weil der Kongress sie nicht verlängert hat. Am Framework ändert das zunächst nichts, weil es auf einer Anordnung des US-Präsidenten steht und nicht auf dieser Vorschrift. Warum die Erfassung trotzdem weiterläuft, steht im Artikel FISA 702 ist ausgelaufen.
Die Angemessenheitsentscheidung ruht damit auf Zusagen, deren Träger teilweise handlungsunfähig oder in ihrer Unabhängigkeit beschnitten sind. Betroffen wären über 3.000 zertifizierte US-Unternehmen. Wie lange das noch trägt, weiß niemand — Einschätzungen aus der Anwaltschaft nennen eine Spanne von sechs bis vierundzwanzig Monaten, das sind aber Vermutungen und keine Termine.
Das ist keine Panikmache. Es ist die nüchterne Lage.
Was das praktisch bedeutet
Fällt das Framework, verschwindet nicht dein Dienst, sondern die Rechtsgrundlage für die Datenübermittlung. Du müsstest dann kurzfristig auf Standardvertragsklauseln plus eigene Risikoabschätzung umstellen oder den Anbieter wechseln. Beim Wegfall des Privacy Shield 2020 ist genau das tausenden Unternehmen passiert, mitten im laufenden Betrieb.
Daraus folgt eine einfache Unterscheidung. Wenn dein US-Dienst zertifiziert ist und gut läuft, musst du heute nicht hektisch wechseln. Richtest du aber gerade neu ein, kostet dich ein europäischer Anbieter denselben Einrichtungsaufwand — ohne die Frage im Hinterkopf, was passiert, wenn der EuGH entscheidet. Bei gleichem Aufwand die haltbarere Variante zu nehmen ist keine Ideologie, sondern Bequemlichkeit auf Sicht.
Dazu kommt ein Punkt, den das Framework ohnehin nicht löst. Der US CLOUD Act verpflichtet US-Unternehmen, Daten auf Anordnung herauszugeben, auch wenn die Server in Europa stehen. Ein europäischer Anbieter ohne US-Mutterkonzern fällt gar nicht in diesen Anwendungsbereich.
Wo du anfangen kannst
Am meisten bringt der Wechsel dort, wo tatsächlich Kundendaten liegen. Nicht bei jedem Werkzeug gleichzeitig.
- E-Mail und Cloud-Speicher. Hier liegen Namen, Adressen, Verträge.
- Newsletter-Versand. Eine Empfängerliste ist personenbezogene Daten in Reinform.
- Website-Statistik. Hier gibt es europäische Werkzeuge, die zusätzlich das Cookie-Banner erübrigen.
- Terminbuchung. Wird oft vergessen, obwohl dort Name, E-Mail und manchmal die Telefonnummer deiner Kunden landen.
Der Rest kann warten. Ein Bildbearbeitungsprogramm, das keine Kundendaten sieht, ist kein dringender Fall.
Zum Verzeichnis, 78 Alternativen mit Serverstandort
Keine Rechtsberatung. Dieser Text gibt allgemeine Informationen zum Stand 2026 wieder und ersetzt keine Prüfung deines Einzelfalls. Bei konkreten Fragen, besonders wenn es um besondere Datenkategorien oder größere Datenmengen geht, wende dich an einen Rechtsanwalt oder Datenschutzbeauftragten.