Digitale Souveränität – Illusion oder machbare Alternative?

Drohenden Datentransfers in die USA durch die Einrichtung von „European Clouds“ oder „Boundaries“ in europäischen Rechenzentren vorzubeugen, könnte theoretisch rechtlich möglich sein, so Schrems bei einer Podiumsdiskussion der Fachkonferenz PriSec 2025 im November. Diese Modelle würden in der Praxis aber auf Hindernisse stoßen. Viele dieser Angebote seien „PR-Sprech“, da sie die grundlegenden Probleme rund um Compliance und Resilienz nicht lösen würden.

Der Datenschützer führt an, dass die behauptete Kontrolle und Separierung von Infrastrukturregionen oft nicht unabhängig verifizierbar sind. So können europäische Unternehmen diese Systeme nicht prüfen, wie von der DSGVO vorgeschrieben, sondern müssen sich mit einer Prüfung von Mock-up-Systemen zufriedengeben. Der Nachweis, dass diese Modelle keine gewollten Sicherheitslücken („Backdoors“) enthalten, ist dem Experten zufolge kaum zu erbringen, zumal ein umfassendes Audit Kosten von ein bis zehn Millionen Euro verursachen kann.

Eine generelle Bedrohung für die Resilienz europäischer Unternehmen liegt laut Schrems aber weniger bei den Serviceangeboten von US-Unternehmen – „am liebsten wäre es mir und das wäre auch das effizienteste, wenn die Daten sauber und frei hin und her fließen können. Das wollen auch die meisten US-Konzerne.“ –, sondern in der politischen und juristischen Instabilität der USA. Die internationalen Datentransferabkommen sind auf tönernen Füßen gebaut, einem „Kartenhaus gebaut in der Hoffnung, dass es irgendwie stehen bleibt“. Eine aktuelle Klage vor dem Supreme Court könnte alle unabhängigen US-Aufsichtsbehörden als verfassungswidrig erklären. Da die EU-Kommission ihre Entscheidungen auf eben jene Behörden wie die FTC stützt, würde der Wegfall dieser Instanzen das gesamte Datentransferabkommen ad hoc zusammenbrechen lassen.

Das sogenannte „Project 2025“ - ein politischer Plan zur Umgestaltung der US-Regierung und Konsolidierung der Exekutivgewalt – kritisiert die Executive Orders, auf denen die aktuellen Transferabkommen basieren. US-Präsident Trump könnte diese Orders wie bereits angekündigt jederzeit per Pressekonferenz widerrufen und die Datentransfers damit sofort beenden.

Neben der Unsicherheit durch US-Geopolitik bergen auch die aktuellen legislativen Prozesse in der EU Risiken. Die Diskussion über eine mögliche Änderung der Definition personenbezogener Daten in einem Sekundärrechtsakt („Omnibus-Verordnung“) wird bei Umsetzung Gerichte über Jahre beschäftigen, um die genauen Anwendungsbereiche zu klären. Diese juristischen Unklarheiten könnten weite Teile des Online-Tracking-Bereichs potenziell aus der Regulierung herausfallen lassen.

Angesichts der massiven Compliance-Bürden und der existenziellen politischen Unsicherheit, die mit US-Anbietern verbunden sind, rät Schrems Unternehmen, verstärkt europäische Lösungen in Betracht zu ziehen – vor allem bei Neuinvestitionen. Selbst wenn diese 5 % teurer sind, könnten die Kosten für den Compliance-Overhead und die Vermeidung des rechtlichen „Kopfzerbrechens“ diese Mehrkosten mehr als aufwiegen. Doch fehlt derzeit der politische Plan, um diese Investitionen in Europa zu fördern.