Das US-Überwachungsgesetz ist ausgelaufen, überwacht wird trotzdem
Seit dem 12. Juni 2026 gibt es Section 702 nicht mehr. Wer daraus schließt, dass US-Dienste jetzt unbedenklich geworden sind, hat den entscheidenden Absatz überlesen.
Was passiert ist
Section 702 des Foreign Intelligence Surveillance Act ist die Vorschrift, auf die sich die amerikanische Auslandsaufklärung stützt, wenn sie bei US-Anbietern Kommunikationsdaten abgreift. Sie ist der Grund, warum der Europäische Gerichtshof 2020 das Privacy Shield gekippt hat, und sie taucht in jeder Diskussion über US-Cloud und DSGVO irgendwann auf.
Am 11. Juni 2026 hat das Repräsentantenhaus eine kurze Verlängerung abgelehnt. Einen Tag später lief die Vorschrift aus. Zum ersten Mal seit ihrer Einführung 2008.
Warum sich in der Praxis nichts geändert hat
Ein Gesetz kann auslaufen, ohne dass die Praxis darunter endet. Das zuständige FISA-Gericht hatte die laufenden Zertifizierungen am 17. März 2026 für ein Jahr erteilt, und eine Übergangsregel im Gesetz selbst sagt, dass eine einmal erteilte Zertifizierung bis zu ihrem Ablaufdatum gültig bleibt, auch wenn die Rechtsgrundlage darunter verschwindet. Die Erfassung kann also bis etwa März 2027 weiterlaufen.
Offen ist etwas anderes, und darüber wird in Washington gestritten. Anbieter, die bei der Erfassung mitwirken, standen bisher unter einem gesetzlichen Haftungsschutz. Ob der ohne Gesetz weiterträgt, ist ungeklärt. US-Senatoren haben in der Debatte um die Verlängerung ausdrücklich davor gewarnt, dass Unternehmen ohne diese Immunität zurückhaltender werden. Ob sie es tatsächlich sind, kannst du als Kunde nicht nachprüfen.
Was mit dem Data Privacy Framework ist
Nichts. Der Angemessenheitsbeschluss der Europäischen Kommission von Juli 2023 ruht auf der Executive Order 14086, also auf einer Anordnung des US-Präsidenten, und nicht auf Section 702. Er bleibt in Kraft, bis die Kommission ihn aussetzt oder aufhebt oder bis der Europäische Gerichtshof ihn für ungültig erklärt. Beides ist bisher nicht geschehen. Zertifizierte US-Anbieter dürfen weiterhin auf dieser Grundlage Daten aus Europa empfangen.
Das Rechtsmittel des französischen Abgeordneten Philippe Latombe liegt weiter beim Gerichtshof, Rechtssache C-703/25 P, ein Verhandlungstermin ist nicht angesetzt. Der Europäische Datenschutzausschuss hatte schon in seiner Überprüfung im November 2024 angemerkt, dass ihm die Änderungen an Section 702 nicht weit genug gehen. Dass die Vorschrift nun ganz weg ist, räumt diesen Einwand nicht ab, solange die Erfassung unter alten Zertifizierungen weiterläuft.
Der Punkt, den die Schlagzeile verdeckt
Section 702 war ohnehin nur die eine Hälfte. Der CLOUD Act von 2018 ist ein eigenes Gesetz, an dem der Kongress nichts geändert hat. Er verpflichtet amerikanische Unternehmen zur Herausgabe von Daten, auch wenn die Server in Frankfurt stehen und der Vertrag mit einer deutschen Tochter geschlossen wurde. Wer seine Kundendaten bei einem US-Konzern liegen hat, steht damit heute an derselben Stelle wie im Mai.
Genau deshalb ist die Frage nach dem Serverstandort allein zu kurz gegriffen. Es geht um den Eigentümer dahinter. Ein Anbieter ohne US-Mutterkonzern fällt in den Anwendungsbereich des CLOUD Act gar nicht erst hinein, und für ihn ist es gleichgültig, was der Kongress im nächsten Anlauf beschließt.
Was du damit machst
Für einen Betrieb mit einem zertifizierten US-Dienst ist die Rechtslage heute dieselbe wie vor dem 12. Juni. Die Meldung gibt dir also weder einen Anlass zum Aufatmen noch einen zum hektischen Umzug. Wer gerade neu einrichtet, hat weiterhin denselben Grund, es gleich europäisch zu tun. Eine ausführlichere Einordnung dazu steht im Artikel über US-Cloud-Dienste und die DSGVO.
Was im März 2027 passiert, wenn die Zertifizierungen ablaufen und darunter kein Gesetz mehr steht, weiß im Moment niemand. Der Kongress kann bis dahin ein neues beschließen, und die Wahrscheinlichkeit dafür ist nicht klein. Falls nicht, wird die Angemessenheitsentscheidung an einem Punkt hängen, für den es in Europa noch keine Rechtsprechung gibt.
Zum Verzeichnis, 74 Alternativen mit Serverstandort
Keine Rechtsberatung. Dieser Text gibt allgemeine Informationen zum Stand September 2026 wieder und ersetzt keine Prüfung deines Einzelfalls. Die Wirkung eines ausgelaufenen US-Gesetzes auf einzelne Übermittlungen ist rechtlich ungeklärt, und die Einschätzungen dazu gehen auseinander. Wenn bei dir größere Datenmengen oder besondere Datenkategorien in die USA gehen, wende dich an einen Rechtsanwalt oder Datenschutzbeauftragten.