Worum es in Teil 2 geht
Im ersten Teil unserer Linkedin-Serie haben wir die Ausgangslage und den deutschen Rechtsrahmen skizziert. Der eigentliche Kern der Debatte liegt aber jenseits des Atlantiks: Es geht um die Frage, ob und wie US-Behörden auf Daten zugreifen können und ob Übermittlungen in die USA zulässig sind. Auch dieser Teil ist eine fachliche Einordnung und keine Rechtsberatung.
Zwei US-Normen strukturieren die Debatte
Der CLOUD Act aus dem Jahr 2018 verpflichtet US-Anbieter, Daten in ihrem Besitz oder unter ihrer Kontrolle auf behördliche Anordnung herauszugeben, unabhängig vom Speicherort. Eine europäische Datengrenze ändert an dieser Rechtspflicht des Anbieters nichts. Sie verändert nur die tatsächlichen und vertraglichen Rahmenbedingungen. Bemerkenswert ist eine Aussage des Rechtsdirektors von Microsoft France, der im Juni 2025 vor dem französischen Senat unter Eid einräumte, nicht garantieren zu können, dass Daten französischer Bürger niemals ohne Zustimmung an US-Behörden übermittelt werden. Microsoft verweist dem gegenüber auf seine vertraglichen Zusagen, Anordnungen anzufechten und Kunden soweit rechtlich zulässig zu informieren.
Die zweite Norm ist FISA Section 702, die zentrale Rechtsgrundlage der US-Auslandsüberwachung und ein Kernkritikpunkt des Europäischen Gerichtshofs im Schrems-II-Urteil. Sie wurde 2024 mit Auslaufdatum 20. April 2026 verlängert. Hochaktuell und offen: Im Frühjahr 2026 konnte sich der US-Kongress nicht auf eine langfristige Neuregelung einigen, sodass Section 702 nach mehreren kurzen Verlängerungen zum Redaktionsschluss Mitte Juni 2026 erneut auszulaufen drohte. Diese US-Rechtslage ist stark in Bewegung; der hier wiedergegebene Stand ist eine Momentaufnahme. Dieser Schwebezustand ist in beide Richtungen relevant. Eine Reform mit stärkerer richterlicher Kontrolle könnte die Transferlage verbessern, eine unveränderte Verlängerung zementiert die bekannte Kritik.
Vom Privacy Shield zum Data Privacy Framework
Mit dem Schrems-II-Urteil von 2020 erklärte der Europäische Gerichtshof den Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig. Die US-Überwachungsprogramme seien nicht auf das zwingend erforderliche Maß beschränkt, und Betroffenen fehle ein wirksamer Rechtsbehelf. Standardvertragsklauseln blieben gültig, verlangen aber eine einzelfallbezogene Prüfung des Schutzniveaus und gegebenenfalls zusätzliche Maßnahmen.
Die Antwort der EU-Kommission war der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von 2023, gestützt auf US-Reformen und einen neu geschaffenen Rechtsbehelfsmechanismus. Microsoft ist unter diesem Framework zertifiziert, sodass Übermittlungen auf seiner Grundlage nach derzeitiger Rechtslage grundsätzlich tragfähig erscheinen.
Die erste gerichtliche Prüfung ist bestanden, die zweite läuft
Das Framework hat seine erste gerichtliche Prüfung überstanden. Das Gericht der Europäischen Union wies im September 2025 eine Nichtigkeitsklage ab und hielt den neu geschaffenen Data Protection Review Court für hinreichend unabhängig. Aus Schrems II folge keine Pflicht zu einer vorherigen Genehmigung von Massendatenerhebungen, eine wirksame nachträgliche gerichtliche Kontrolle genüge.
Zwei Risikofaktoren bleiben und gehören dokumentiert. Gegen dieses Urteil ist seit Oktober 2025 ein Rechtsmittel beim Europäischen Gerichtshof anhängig. Nach Safe Harbor und Privacy Shield wäre eine erneute Aufhebung die dritte in Folge. Und die zuständigen US-Aufsichtsgremien sind institutionell geschwächt, was die Kritik an der Belastbarkeit des Frameworks nährt. Vorsichtige Verantwortliche halten deshalb die Standardvertragsklauseln samt Transfer-Folgenabschätzung als Rückfallebene dokumentiert vor, so wie es auch das Vertragswerk von Microsoft als Fallback vorsieht.
Die deutschen Gerichte: Kein Ausschluss wegen bloßer Konzernzugehörigkeit
Für die Praxis wichtig ist ein Beschluss des Oberlandesgerichts Karlsruhe vom 7. September 2022 (Aktenzeichen 15 Verg 8/22). Eine Vergabekammer hatte zuvor den Ausschluss eines Angebots verlangt, weil als Unterauftragnehmerin die Luxemburger Tochter eines US-Konzerns mit Hosting in Frankfurt vorgesehen war und allein deshalb ein latentes Zugriffsrisiko bestehe. Das Oberlandesgericht hob diese Entscheidung auf. Die bloße Konzernzugehörigkeit zu einer US-Mutter und ein abstraktes Zugriffsrisiko rechtfertigen keinen Ausschluss, und die bloße Zugriffsmöglichkeit ist noch keine Übermittlung im Sinne der Artikel 44 folgende.
Diese Linie entlastet den Einsatz von EU-Einheiten US-amerikanischer Anbieter, entbindet aber nicht von der konkreten Prüfung. Die Datenschutzkonferenz hat in ihrer Reaktion darauf betont, dass die Zugriffsmöglichkeit von Drittlandsbehörden zwar keine Übermittlung darstellt, bei der Zuverlässigkeitsprüfung des Auftragsverarbeiters aber mit besonders hohen Anforderungen zu berücksichtigen ist.
Ein Befund, der selbst ein Befund ist
Bemerkenswert ist, was sich nicht finden lässt. Eine höchstrichterliche deutsche Entscheidung, die die DSGVO-Konformität von Microsoft 365 selbst zum Gegenstand hätte, existiert nach unserer Recherche nicht. Auch verwaltungsgerichtliche Entscheidungen speziell zu M365 mit verifizierbarem Aktenzeichen konnten wir nicht auffinden. Die bekannten Konflikte verliefen aufsichtsbehördlich, nicht gerichtlich. Die vielzitierte Rechtsunsicherheit ist damit bislang vor allem eine aufsichtsbehördliche und wissenschaftliche Debatte, keine judizierte.
Zwischenfazit
Die Transferfrage ist nicht erledigt, sondern vertagt. Das Data Privacy Framework gilt und hat die erste Instanz überstanden, steht aber erneut vor dem Europäischen Gerichtshof, während FISA 702 in den USA nur befristet verlängert war und der CLOUD Act unverändert fortgilt. Verantwortliche bewegen sich auf einer derzeit tragfähigen, aber nicht abschließend gesicherten Grundlage. Wie Microsoft dieser Lage auf der technischen Ebene begegnet, mit der EU Data Boundary, und wie die Aufsichtsbehörden sie bewerten, ist Thema von Teil 3.
Beachten Sie an dieser Stelle auch die aktuellste Entwicklung, die wir in einem eigenen Beitrag verlinkt haben und welche die Situation in Deutschland noch einmal verschärft: US-Urteil Trump v. Slaughter setzt EU-US-Datentransfer unter Druck.
In dieser Serie
Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit.
Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.
Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Mitte Juni 2026 wieder und stellt keine Rechtsberatung dar.