Darf ich als Freelancer US-Cloud-Dienste nutzen? Der Stand 2026
Kurze Antwort: Ja, derzeit legal — aber auf einem Fundament, das gerade an mehreren Stellen bröckelt. Wer heute neu einrichtet, hat einen guten Grund, gleich europäisch anzufangen.
Was gerade gilt
Datenübermittlungen in die USA sind seit 2023 durch das EU-US Data Privacy Framework (DPF) abgedeckt. Die Europäische Kommission hat den USA damit ein angemessenes Datenschutzniveau bescheinigt — vorausgesetzt, der US-Anbieter ist unter dem Framework zertifiziert. 2024 wurde es auf den Europäischen Wirtschaftsraum erweitert.
Praktisch heißt das: Nutzt du einen zertifizierten US-Dienst, brauchst du keine zusätzlichen Garantien wie Standardvertragsklauseln. Das Framework ist 2026 weiterhin in Kraft.
Warum „legal" hier nicht „sicher" heißt
Das DPF ist der dritte Versuch dieser Art. Die beiden Vorgänger — Safe Harbor und das Privacy Shield — wurden vom Europäischen Gerichtshof gekippt. Beim aktuellen Rahmen sieht es so aus:
- Eine erste Klage hat das Framework überstanden, aber nur knapp und in engem Umfang.
- Eine zweite, weiter reichende Klage ist beim Europäischen Gerichtshof anhängig.
- Zwei der US-Schutzmechanismen, auf die sich die EU-Kommission bei ihrer Angemessenheitsentscheidung ausdrücklich gestützt hat, sind seit Anfang 2025 geschwächt. Besonders deutlich: Das Privacy and Civil Liberties Oversight Board (PCLOB) verlor im Januar 2025 durch die Abberufung von drei seiner fünf Mitglieder seine Beschlussfähigkeit.
Das ist keine Panikmache, sondern die nüchterne Lage: Die Angemessenheitsentscheidung ruht auf Zusagen, deren Träger teilweise handlungsunfähig sind.
Was das praktisch für dich bedeutet
Fällt das Framework, verschwindet nicht dein Dienst — aber die Rechtsgrundlage für die Datenübermittlung. Dann musst du kurzfristig auf Standardvertragsklauseln plus eigene Risikoabschätzung umstellen oder den Anbieter wechseln. Genau das ist beim Wegfall des Privacy Shield 2020 tausenden Unternehmen passiert.
Die Rechnung ist einfach:
- Läuft schon: Wenn dein US-Dienst zertifiziert ist und gut funktioniert, musst du nicht heute hektisch wechseln.
- Richtest du neu ein: Ein europäischer Anbieter kostet dich denselben Einrichtungsaufwand — nur ohne die Frage, was passiert, wenn der EuGH entscheidet. Bei gleichem Aufwand die stabilere Variante zu nehmen, ist keine Ideologie, sondern Bequemlichkeit auf Sicht.
Dazu kommt ein Punkt, den das Framework ohnehin nicht löst: Der US CLOUD Act verpflichtet US-Unternehmen, Daten auf Anordnung herauszugeben — auch wenn die Server in Europa stehen. Ein europäischer Anbieter ohne US-Mutterkonzern fällt gar nicht in diesen Anwendungsbereich.
Wo du anfangen kannst
Am meisten bringt der Wechsel dort, wo tatsächlich Kundendaten liegen — nicht bei jedem Werkzeug gleichzeitig:
- E-Mail und Cloud-Speicher — hier liegen Namen, Adressen, Verträge. Siehe die Kategorien E-Mail und Cloud-Speicher im Verzeichnis.
- Newsletter-Versand — Empfängerlisten sind personenbezogene Daten in Reinform.
- Website-Statistik — hier gibt es europäische Alternativen, die zusätzlich das Cookie-Banner erübrigen. Mehr dazu im Artikel Wann du kein Cookie-Banner brauchst.
→ Zum Verzeichnis: 41 Alternativen mit Serverstandort
Keine Rechtsberatung. Dieser Text gibt allgemeine Informationen zum Stand 2026 wieder und ersetzt keine Prüfung deines Einzelfalls. Bei konkreten Fragen — besonders wenn es um besondere Datenkategorien oder größere Datenmengen geht — wende dich an einen Rechtsanwalt oder Datenschutzbeauftragten.