Warum Sie sich nicht auf den ADPPA und Privacy Shield 2.0 verlassen sollten

15. September 2026

Es gab viel Wirbel um eine überparteiliche US- Gesetzgebung, die schließlich zu einem Bundesgesetz zum Datenschutz werden könnte. Darüber hinaus haben die USA und die EU sich auf einen Ersatz für das für ungültig erklärte Privacy-Shield-Abkommen geeinigt.

Allerdings haben wir bei Unternehmen und Kunden, mit denen Sinch Mailgun zusammenarbeitet, eine gewisse Verwirrung darüber festgestellt, was dies wirklich für sie bedeutet.

Unser Fazit? Freuen Sie sich nicht zu früh.

Mit anderen Worten: Wir haben das alles schon einmal gehört und kennen die Erfolgsbilanz des US-Kongresses, wenn es darum geht, Dinge zeitnah zu erledigen. Verlassen Sie sich also nicht auf das, was derzeit als American Data Privacy Protection Act (ADPPA) bekannt ist, und das erwartete Trans-Atlantic Data Privacy Framework … zumindest noch nicht.

Warum nicht? Um für Klarheit zu sorgen, werfen wir einen genaueren Blick darauf, worum es hier geht. Gehen wir der Frage auf den Grund, was E-Mail-Absender und Unternehmen wissen müssen, wenn sie auf der Suche nach konformen Partnern sind, die Datenschutz ernst nehmen.

Inzwischen sind wir alle mit der Datenschutz-Grundverordnung der Europäischen Union (DSGVO). Sie wissen wahrscheinlich auch, dass die Vereinigten Staaten kein bundesweites Datenschutzgesetz haben, das auch nur annähernd so umfassend ist wie die DSGVO.

Und uns allen ist bewusst, dass wir in einer globalen Gemeinschaft leben und arbeiten. Personen und Unternehmen in der EU machen Geschäfte mit Personen und Unternehmen in den USA – und das ständig. Daher müssen US-amerikanische Organisationen, die Daten von EU-Staatsangehörigen verarbeiten, DSGVO-konform sein. Ebenso benötigen EU-Unternehmen in den USA ansässige Partner, die diese Konformität erfüllen. Alle, die personenbezogene Daten verarbeiten, müssen sicherstellen, dass sie die DSGVO vollständig einhalten.

Aber wir müssen in die Anfangszeit der DSGVO zurückgehen, um zu verstehen, wo wir heute stehen.

Vor der DSGVO gab es ein internationales Abkommen, bekannt als Safe Harbor Privacy Principles, das Richtlinien für die Speicherung und den Schutz personenbezogener Daten enthielt, die über den Atlantik zwischen Europa und den Vereinigten Staaten übermittelt wurden.

Nach dem Entwurf der DSGVO wurde jedoch klar, dass dieses Safe-Harbor-Abkommen nicht ausreichen würde. Der Europäische Gerichtshof (EuGH) erklärte es 2015 für ungültig. In der EU-US Privacy Shield war der rechtliche Rahmen, der an seine Stelle trat.

Eine Zeit lang schien alles in bester Ordnung zu sein. Bis ein österreichischer Datenschutzaktivist namens Maximillian Schrems die Dinge aufmischte.

Große Technologieunternehmen wegen unzureichenden Datenschutzes zur Verantwortung zu ziehen, ist gewissermaßen Max Schrems‘ Spezialität. Im Studium schrieb er eine Hausarbeit über das mangelnde Wissen von Facebook im Hinblick auf europäische Datenschutzgesetze. Später reichte er beim irischen Datenschutzbeauftragten eine Beschwerde gegen Facebook ein (dieser Fall ist als Schrems I bekannt).

Nachdem die DSGVO im Mai 2018 in Kraft getreten war, reichte Max Schrems Beschwerden gegen Google, Facebook, Amazon, Netflix, Spotify, YouTube und andere Unternehmen wegen mutmaßlicher Verstöße gegen die Vorschrift ein. Dies ist bekannt als Schrems II, ein Fall, den der irische High Court an den Europäischen Gerichtshof (EuGH) verwies.

Letztendlich erklärte der EuGH den Privacy Shield für ungültig im Jahr 2020 als Folge von Schrems II. Er bezeichnete den Rahmen als unzureichendes Schutzabkommen zwischen den USA und der EU in Bezug auf die DSGVO. Das größte Problem mit dem Privacy Shield ist, dass er es Unternehmen ermöglicht, personenbezogene Daten von EU-Staatsangehörigen an US-amerikanische Geheimdienste weiterzugeben – ohne angemessenen Schutz für diese Daten.

Genauer gesagt bieten US-amerikanische Überwachungsgesetze (FISA, CLOUD Act) keinen angemessenen Schutz für Nicht-US- Staatsangehörige. Menschen in der EU können also nicht herausfinden, ob Strafverfolgungsbehörden oder Geheimdienste ihre personenbezogenen Daten einsehen oder warum sie diese benötigen – und sie haben keine rechtliche Handhabe, um gegen die Überwachungsanfragen vorzugehen. Zudem sind viele US-amerikanische Unternehmen nicht in der Lage, Anfragen dieser Behörden auf Zugriff auf Daten von EU-Staatsangehörigen abzulehnen.

Darüber hinaus war der Privacy Shield von Anfang an nie eine besonders solide Lösung, um DSGVO-Konformität zu garantieren. Zum einen basierte er auf einem Selbstzertifizierungsprozess. Im Grunde musste ein Unternehmen lediglich einen Online-Antrag mit grundlegenden Informationen und ein paar Absätzen aus seiner Datenschutzerklärung ausfüllen, um im Rahmen des Privacy Shield als zertifiziert zu gelten. Es gab keine echten Überprüfungen oder Audits, die die tatsächliche DSGVO-Konformität belegten.

Nach der Aufhebung des Privacy Shield gerieten große Technologieunternehmen in die Kritik, weil sie den Rahmen als Mechanismus zur Zertifizierung des Schutzes von aus der EU übermittelten Daten nutzten. Zum Beispiel, Google ist nach dem Privacy Shield zertifiziert. Anfang dieses Jahres entschied jedoch eine Datenschutzbehörde in Frankreich, dass Google Analytics gegen die DSGVO verstößt. Dänemark hat aus dem gleichen Grund ebenfalls kürzlich ein Verbot für Gmail, Google Workspace und Chromebooks in Schulen verhängt und ist damit das vierte EU-Land, das diesen Schritt geht.

Natürlich betrifft das nicht nur Google oder die GAFA. Zwischen Januar 2021 und 2022 stiegen die DSGVO-Bußgelder um das Siebenfacheund beliefen sich auf insgesamt rund 1,2 Milliarden US-Dollar. Aber um das klarzustellen …

In der Zwischenzeit arbeiteten die US- Regierung und die EU an einem neuen Rahmen, der informell als Privacy Shield 2.0 bezeichnet wird. Der aktuelle Privacy-Shield-Rahmen bleibt jedoch bestehen, auch wenn die Privacy-Shield-FAQs einräumen , dass der EuGH das Abkommen für unzureichend befunden hat. Die US- Regierung erklärt, dass Unternehmen durch die Aufhebung der EU nicht von ihren Verpflichtungen entbunden sind.

Das führt uns dorthin, wo wir heute stehen …

Nahezu alle Beteiligten sind sich einig, dass es viel einfacher wäre, den Datenschutz in einem globalen Umfeld in den Griff zu bekommen, wenn es mehr standardisierte Regeln gäbe. Ein großes Problem in den USA ist zum Beispiel, dass es kein bundesweites Datenschutzgesetz gibt.

Stattdessen haben einzelne Bundesstaaten eigene lokale Gesetze oder sind dabei, diese zu entwerfen. Das bekannteste davon ist der California Consumer Privacy Act (CCPA), der der DSGVO in vielerlei Hinsicht ähnelt.

Es gab in der Vergangenheit bereits Versuche, ein Bundesgesetz auf den Weg zu bringen. Aber jetzt scheint endlich ein Gesetzesentwurf an Fahrt zu gewinnen. Der American Data Privacy Protection Act (ADPPA) passierte einen Ausschuss des Repräsentantenhauses mit einem überwiegend überparteilichen Votum von 53:2. Das bedeutet jedoch nur, dass der Gesetzgeber entschieden hat, dass es sich lohnt, darüber abzustimmen. Es ist ein langer Weg, bis dies offiziell wird. Der Gesetzentwurf muss noch eine vollständige Abstimmung im Repräsentantenhaus durchlaufen, woraufhin er an den Senat gehen könnte und möglicherweise als Gesetz verabschiedet wird.

Gleichzeitig haben sich die EU und die USA vorläufig auf einen neuen rechtlichen Mechanismus geeinigt, der offiziell als Trans-Atlantic Data Privacy Framework (auch bekannt als Privacy Shield 2.0) bezeichnet wird. Er baut auf dem EU-US-Privacy-Shield-Rahmen auf und enthält zusätzliche Zusicherungen bezüglich des Zugriffs von US- Geheimdiensten und Schutzmaßnahmen für EU-Daten.

Dennoch wird es sich weiterhin um einen Selbstzertifizierungsprozess handeln. Und das ist keine Garantie für den Schutz vor rechtlichen Problemen. So wird beispielsweise in einer Klage der Federal Trade Commission (FTC) behauptet, dass Twitter sich bei der Selbstzertifizierung auf der Privacy-Shield-Website fälschlicherweise als konform mit dem Abkommen dargestellt hat.

Wir haben noch keinen Entwurf des neu vorgeschlagenen Rahmens gesehen, gehen aber davon aus, dass er mit dem ADPPA in Einklang steht. Bis wir mehr Gewissheit oder konkrete Formulierungen haben, ist das Trans-Atlantic Data Privacy Framework nur eine Art „Handschlag-Abkommen“ zwischen der EU-Kommission und den USA. Regierung.

Das Fact Sheet des Weißen Hauses zum neuen Rahmen besagt:

Das ist also eine ziemlich große Sache. Zweifellos steht hier viel Geld auf dem Spiel.

Jede Organisation, die E-Mail-Adressen von EU-Staatsangehörigen erfasst oder verarbeitet, muss die DSGVO-Konformität berücksichtigen, einschließlich der Frage, wie diese Daten übertragen werden, wo sie gespeichert werden, wie sie geschützt werden und wer darauf zugreifen darf.

Es gibt einige Technologieunternehmen, die behaupten, dass Absender sich angesichts des in Planung befindlichen Privacy Shield 2.0 und des ADPPA keine Sorgen machen müssen. Aber das stimmt einfach nicht. Wie wir an Twitter sehen können, bedeutet eine „Zertifizierung“ unter einem solchen Rahmen nicht viel, wenn man sie selbst durchführt. Und diese Unternehmen haben immer noch nicht bewiesen, wie sie personenbezogene Daten aus der EU schützen.

Das Trans-Atlantic Data Privacy Framework wird natürlich hilfreich sein, da es sich um eine globale Lösung handelt, die Bedenken hinsichtlich der US- Überwachung ausräumt. Dennoch müssen Unternehmen auf beiden Seiten des Ozeans die Verantwortung für die vollständige DSGVO-Konformität übernehmen.

Hier ist der andere Punkt …

Wer weiß, wie lange es dauern wird, bis der ADPPA Gesetz wird (vorausgesetzt, dies geschieht tatsächlich) oder bis das Privacy-Shield-2.0-Abkommen abgeschlossen ist?

Auch wenn der ADPPA-Gesetzentwurf als überparteilich gilt, ist der US- Kongress nicht für seine Schnelligkeit und Effizienz bekannt. Schließlich müssen sich die Gesetzgeber im Jahr 2022 auch um die Zwischenwahlen (Midterms) kümmern. Es ist zudem davon auszugehen, dass die Lobbyisten großer Technologieunternehmen versuchen werden, die Details des Gesetzesentwurfs während des Gesetzgebungsverfahrens zu beeinflussen.

Ein weiteres potenzielles Hindernis ist, dass der ADPPA bestehende bundesstaatliche Gesetze zum Datenschutz verdrängen wird. Datenschützer in Bundesstaaten wie Kalifornien sind über diese Idee nicht erfreut. Gesetzgeber, die Staaten mit strengeren Gesetzen als dem ADPPA vertreten, könnten sich daher dagegen wehren.

Selbst wenn das Gesetz bis Ende 2022 unterzeichnet wird, wird es dauern, bis es in Kraft tritt. In einem Interview auf TheMarkUp.org, bestätigte der ehemalige US- Handelsminister Cameron Kerry, dass Unternehmen zwei Jahre Zeit hätten, um die Compliance mit dem ADPPA herzustellen. Das bedeutet, dass die USA frühestens im Jahr 2025 mit dem Inkrafttreten eines bundesweiten Datenschutzgesetzes rechnen können.

Wer weiß, ob das Trans-Atlantic Data Privacy Framework einer strengen Prüfung standhalten wird? Zuvor gingen offensichtlich alle davon aus, dass die bisherigen Rahmenbedingungen ausreichten … bis sie es nicht mehr taten.

Könnte Schrems III auf dem Weg sein? Anfang dieses Jahres hat der Aktivist eine Erklärung veröffentlicht , die darauf hindeutet, dass er vom neuen Rahmen wenig beeindruckt war.

Man kann sich nicht auf Hoffnungen und Erwartungen verlassen. Aber Sie können zuverlässige Unternehmen finden, mit denen Sie zusammenarbeiten und die Ihnen weiterhelfen.

Wie bereits erwähnt, nutzen Unternehmen in der EU und den USA ohne eine Alternative zum Privacy Shield SCCs, um die DSGVO-Konformität bei Datenübermittlungen über den Atlantik hinweg zu gewährleisten. Aber das ist nicht alles, was erforderlich ist.

Was Sie wirklich brauchen, ist ein vollständiges Compliance-Programm, das die ergänzenden Maßnahmen beinhaltet, die der Europäische Datenschutzausschuss (EDSA) verabschiedet hat. Diese stehen im Zusammenhang mit Artikel 46 der DSGVO.

1. Datenexporteure müssen alle Übermittlungen in andere Länder dokumentieren.
2. Die zur Datenübermittlung verwendeten Tools müssen als angemessen verifiziert werden.
3. Datenexporteure müssen prüfen, ob in Drittländern Gesetze existieren, die den Schutz von Daten von EU-Staatsangehörigen beeinträchtigen könnten.
4. Implementierung von Maßnahmen zur Erhöhung des Schutzniveaus, falls Gesetze die DSGVO-Standards beeinträchtigen.
5. Einleitung formeller Verfahrensschritte zur Umsetzung der erforderlichen ergänzenden Maßnahmen.
6. Regelmäßige Neubewertung des Datenschutzes durch Dritte.

Was sind also einige Beispiele für „ergänzende Maßnahmen“? Dazu könnte eine interne risikobasierte Analyse gehören, um die Wirksamkeit der SCCs zu bewerten. Datenverarbeiter in den USA könnten zudem Einschränkungen dahingehend festlegen, wer auf Daten von EU-Staatsangehörigen zugreifen darf. Effektive Formen der Datenverschlüsselung und weitere organisatorische Sicherheitsmaßnahmen sind zusätzliche Beispiele.

Darauf läuft alles hinaus:

• Datenverantwortliche in der EU müssen US-amerikanische Datenverarbeiter finden, die über Maßnahmen für die DSGVO-Konformität verfügen.
• US-amerikanische Datenverantwortliche mit Kunden (oder Abonnenten) in der EU müssen über angemessene Datenübermittlungs-Tools verfügen, um den Datenschutz zu gewährleisten.
• US-amerikanische Datenverarbeiter, die mit EU-Unternehmen zusammenarbeiten, müssen die Verantwortung für die DSGVO-Konformität übernehmen, einschließlich der Absicherung von Datenübermittlungen aus Europa.

Letztlich sollte sich kein Unternehmen auf einen neuen rechtlichen Rahmen verlassen, der auf Selbstzertifizierung basiert, und auch sollte niemand erwarten, dass der ADPPA alle Datenschutzprobleme lösen wird.

Dieses Unternehmen nimmt DSGVO-Konformität sehr ernst. Unsere Schwestermarke Sinch Mailjet war das weltweit allererste Unternehmen, das eine AFNOR-Zertifizierung für die DSGVO.

Sinch Mailgun hat seinen Hauptsitz in den USA, aber wir verfügen über Rechenzentren in der Europäischen Union, was uns einen schönen Vorteil bietet.

Beispielsweise wäre ein Unternehmen, das ausschließlich über Rechenzentren in den Vereinigten Staaten verfügt, gezwungen, Anfragen von US- Geheimdiensten oder Strafverfolgungsbehörden auf Zugriff auf Daten von EU-Staatsangehörigen nachzukommen, und könnte diesen Zugriff möglicherweise nicht verweigern. Sie müssten Zugriff gewähren, da dies gesetzlich vorgeschrieben ist, und hätten keine rechtliche Grundlage, um sich gegen die Gewährung des Zugriffs zu wehren. Diese Anbieter möchten jedoch möglicherweise nicht, dass Sie sich darüber Sorgen machen. Daher werden sie versuchen, Ihre Bedenken zu zerstreuen, indem sie behaupten, der ADPPA und der Privacy Shield 2.0 würden alles richten. (Tut uns leid. Das ist falsch. Aber danke fürs Mitspielen!)

Da Mailgun jedoch über Rechenzentren in der EU verfügt, können wir diese Daten vor unerwünschtem Zugriff schützen, der gegen die DSGVO verstoßen würde. Tatsächlich kann Mailgun unseren Kunden Abonnements anbieten, bei denen die Daten ausschließlich in der EU gehostet werden (oder auf Wunsch in den USA).

Darüber hinaus befolgen wir den Grundsatz der Datenminimierung, bei dem nur eingeschränkte und bedarfsgerechte Rollen Zugriff auf Kundendaten erhalten.

Um unser Engagement für die DSGVO-Konformität zu beweisen, hat Mailgun Zertifizierungen von Drittanbietern (ISO 27701) erhalten und unterzieht sich jährlich SOC 2 Typ II-Audits. Beide umfassen DSGVO-spezifische Kontrollen als Teil der Bewertung. Weitere Informationen zu diesen Maßnahmen finden Sie im Sicherheitsportal von Mailgun.

Bei Mailgun warten wir nicht auf Gesetze oder Rahmenbedingungen. Wir streben danach, beim Datenschutz der Entwicklung immer einen Schritt voraus zu sein. Unsere Haltung ist es, Änderungen beim Datenschutz und bei Vorschriften vorauszusehen, anstatt darauf zu reagieren.

Falls Sie jemals Fragen zu Sicherheit und Compliance haben, stehen wir Ihnen jederzeit mit Antworten zur Verfügung. Und als Data Privacy Officer (DPO) von Mailgun hören Sie vielleicht sogar direkt von mir.