Recherche-Ratgeber · Recht/DSGVO

US-Tools und Data Privacy Framework: Was Selbstständige 2026 wissen müssen

Recherche-Ratgeber · Stand Okt 2026 · veröffentlicht 18.10.2026 · 8 Min · CompareAI Editorial

Teil der Themenübersicht Recht & Datenschutz für Freelancer: Alle Ratgeber im Überblick

Hinweis: Dieser Beitrag ist eine Recherche auf Basis öffentlicher Anbieterangaben und Gesetzestexte (Stand Okt 2026), kein Praxistest. Preise und Limits können sich ändern, prüfe sie vor dem Kauf auf der verlinkten Quelle. Keine Rechts- oder Steuerberatung.

Viele beliebte Tools kommen aus den USA: KI-Assistenten, Terminbuchung, Newsletter, Meeting-Notizen. Wer damit personenbezogene Daten von Kunden verarbeitet, übermittelt sie in ein Drittland. Die DSGVO erlaubt das nur unter bestimmten Voraussetzungen. Dieser Ratgeber erklärt den aktuellen Rahmen (Stand Okt 2026). Er ist keine Rechtsberatung.

Die Grundregel

Nach Art. 44 ff. DSGVO dürfen personenbezogene Daten nur dann in ein Land außerhalb der EU übermittelt werden, wenn dort ein angemessenes Schutzniveau besteht oder geeignete Garantien vorliegen. Die wichtigsten Grundlagen sind:

Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO)
Standardvertragsklauseln (Art. 46 DSGVO)
in Ausnahmefällen eine ausdrückliche Einwilligung (Art. 49 DSGVO)

Das EU-US Data Privacy Framework

Am 10. Juli 2023 hat die EU-Kommission mit dem Durchführungsbeschluss (EU) 2023/1795 festgestellt, dass die USA für Unternehmen, die unter dem EU-US Data Privacy Framework (DPF) zertifiziert sind, ein angemessenes Schutzniveau bieten. Für Übermittlungen an zertifizierte Unternehmen brauchst du dann keine zusätzlichen Garantien.

Stand des Verfahrens

Datum	Ereignis
10.07.2023	Angemessenheitsbeschluss (EU) 2023/1795
03.09.2025	Das Gericht der EU (EuG) weist die Klage von Philippe Latombe ab (T-553/23)
31.10.2025	Latombe legt Rechtsmittel beim EuGH ein (C-703/25 P)
Okt 2026	Verfahren beim EuGH anhängig; der Beschluss gilt weiter

Die Vorgänger-Regelungen „Safe Harbor“ (2015) und „Privacy Shield“ (2020) wurden vom EuGH gekippt. Ein ähnliches Ergebnis ist beim DPF nicht ausgeschlossen. Wer langfristig plant, sollte deshalb wissen, welche Tools er im Ernstfall ersetzen oder auf Standardvertragsklauseln umstellen müsste.

So prüfst du ein US-Tool

Zertifizierung prüfen: Auf der offiziellen Liste unter dataprivacyframework.gov nach dem Unternehmensnamen suchen. Status „Active“ und abgedeckte Datenarten beachten.
AVV prüfen: Gibt es einen Auftragsverarbeitungsvertrag für deinen Tarif? Enthält er Standardvertragsklauseln als Rückfallebene?
EU-Hosting-Option: Manche Anbieter bieten Datenresidenz in der EU an. Bei OpenAI gilt das laut Anbieter für Enterprise, Edu, API und neue Business-Workspaces.
Dokumentieren: Grundlage in deiner Dienstleister-Übersicht und Datenschutzerklärung festhalten.

Beispiele

ChatGPT: Privat-Tarife werden laut OpenAI auch in den USA verarbeitet; ein DPA gibt es nur für Business, Enterprise und API.
Calendly, Kit: US-Anbieter; Zertifizierung und AVV-Status vor der Nutzung selbst prüfen – in unserer Recherche nicht verifiziert.
Brevo: Server laut eigener Hilfe in Frankreich, Deutschland und Belgien – eine Alternative, wenn EU-Hosting wichtig ist.

Auch EU-Anbieter nutzen US-Dienste

Ein Anbieter mit Sitz in der EU kann Unterauftragsverarbeiter in den USA einsetzen, etwa für E-Mail-Versand, Support oder KI-Funktionen. Ein Blick in die Liste der Unterauftragsverarbeiter lohnt sich daher auch bei europäischen Tools.

Praktische Strategie für Selbstständige

Für sensible Kundendaten (Verträge, Gesundheitsdaten, Finanzdaten) möglichst EU-gehostete Tools wählen.
Für US-Tools: DPF-Zertifizierung und AVV prüfen, Datenschutzerklärung anpassen.
Personenbezogene Daten vor der Eingabe in KI-Tools ersetzen, wenn kein AVV besteht (siehe Kundendaten anonymisieren).
Einmal im Jahr prüfen, ob sich am DPF oder an den Bedingungen deiner Tools etwas geändert hat.

Was passiert, wenn der EuGH das DPF kippt?

Dann entfällt die Grundlage für Übermittlungen, die sich allein auf das DPF stützen. Anbieter würden voraussichtlich auf Standardvertragsklauseln ausweichen, die zusätzliche Prüfungen (Transfer Impact Assessment) erfordern. Wer schon heute weiß, welche Tools betroffen wären, kann schneller reagieren.

Anbieterseiten

Affiliate-Hinweis (Werbung): Links mit Partnerstatus sind als „sponsored“ markiert. Für dich ändert sich der Preis nicht.

ChatGPT öffnen Profil
Calendly öffnen Profil
Kit öffnen Profil
Brevo öffnen Profil

FAQ

Darf ich US-Tools nutzen?

Ja, wenn eine Grundlage für die Übermittlung besteht, etwa eine DPF-Zertifizierung des Anbieters oder Standardvertragsklauseln, und ein AVV vorliegt.

Gilt das Data Privacy Framework noch?

Ja, Stand Okt 2026. Das Rechtsmittel C-703/25 P gegen das EuG-Urteil ist beim EuGH anhängig.

Wo prüfe ich die Zertifizierung?

Auf der offiziellen Liste unter dataprivacyframework.gov.

Reicht die DPF-Zertifizierung allein?

Sie regelt die Übermittlung. Einen AVV nach Art. 28 DSGVO brauchst du zusätzlich, wenn der Anbieter in deinem Auftrag verarbeitet.