Datenübermittlungen in die USA sind seit Jahren ein Dauerthema. Nach dem Ende von Safe Harbor 2015 und Privacy Shield 2020 durch den Europäischen Gerichtshof ist das Data Privacy Framework der dritte Anlauf, einen verlässlichen Rahmen zu schaffen. Für Schweizer und europäische Unternehmen, die US-Cloud-Dienste nutzen, ist es heute der wichtigste Mechanismus.
Wie es funktioniert
US-Unternehmen zertifizieren sich selbst beim US-Handelsministerium und verpflichten sich zu bestimmten Datenschutzgrundsätzen. Die Zertifizierung ist öffentlich in der DPF-Liste einsehbar. Die Angemessenheit gilt nur für zertifizierte Unternehmen und nur für die Datenkategorien, für die sie zertifiziert sind. Ein Anbieter mit Sitz in den USA, der nicht zertifiziert ist, fällt nicht darunter.
EU und Schweiz
Die Europäische Kommission hat im Juli 2023 einen Angemessenheitsbeschluss für den EU-US DPF erlassen. Die Schweiz hat die USA für Unternehmen, die unter dem Swiss-US DPF zertifiziert sind, per 15. September 2024 in die Liste der Staaten mit angemessenem Datenschutz aufgenommen. Wichtig: Für Daten aus der Schweiz muss das Unternehmen ausdrücklich auch für den Swiss-US DPF zertifiziert sein, nicht nur für den EU-US-Teil.
Wie man einen Anbieter prüft
In der öffentlichen DPF-Liste nach dem Unternehmen suchen, prüfen, ob die Zertifizierung aktiv ist und den Swiss-US DPF umfasst, und ob sie die relevanten Daten abdeckt, etwa auch Personaldaten. Das Ergebnis mit Datum dokumentieren. Bei Unterauftragsbearbeitern gilt dieselbe Prüfung für jede Stufe. Fehlt eine Zertifizierung, braucht es andere Garantien wie Standardvertragsklauseln.
Welche Risiken bleiben
Das Framework ist rechtlich umstritten. Eine Klage gegen den EU-Angemessenheitsbeschluss wurde vom Gericht der EU im September 2025 abgewiesen; weitere Verfahren sind möglich, und die Vorgänger sind beide gescheitert. Wer zentrale Systeme ausschliesslich auf das DPF stützt, sollte einen Plan B kennen. Unabhängig davon bleibt die Frage, ob US-Recht wie der CLOUD Act Zugriffe auf Daten erlaubt, die bei US-Konzernen in europäischen Rechenzentren liegen; das DPF beantwortet die Frage der Übermittlung, nicht die der Datenresidenz.
Praktische Einordnung
Für viele Standardwerkzeuge ist das DPF heute die saubere Grundlage. Für sensible Daten oder Kunden mit hohen Vertrauensanforderungen ist Datenhaltung in der Schweiz oder der EU bei einem Anbieter ohne US-Mutter die robustere Wahl. Die Entscheidungshilfe Schweizer Hosting oder EU-Hosting wägt die Optionen ab.