Die Rechtsgrundlage für deine Vereinsdaten hat einen Riss bekommen

In deinem Vereins-Google-Drive liegt vermutlich eine Tabelle. Namen, Adressen, Geburtsdaten, bei einem Sportverein noch die Handynummern der Eltern. In der Personalablage eines kleinen Betriebs steht das Gleiche in Microsoft 365, nur mit ein paar Spalten mehr. Das ist alles völlig legal. Es ruht allerdings auf einer einzigen juristischen Konstruktion, und an der zweifelt seit dem 31. Juli 2026 das Gremium aller europäischen Datenschutzaufsichtsbehörden selbst.

Das sind dieselben Stellen, die deinen Verein im Ernstfall prüfen würden.

Ein Streit über Behördenchefs in Washington, und am Ende steht deine Mitgliederliste

Am 29. Juni 2026 hat der Oberste Gerichtshof der USA im Verfahren Trump v. Slaughter entschieden, dass der Präsident die Spitze der Federal Trade Commission jederzeit entlassen darf. Die FTC ist die amerikanische Handels- und Verbraucherschutzaufsicht, ungefähr das, was bei uns Kartellamt und Verbraucherschutzbehörde zusammen wären. Seit 1935 galt für ihre fünf Kommissar*innen ein Kündigungsschutz eigener Art: rausgeworfen werden konnten sie nur wegen „inefficiency, neglect of duty, or malfeasance in office“, also wegen Untätigkeit, Pflichtverletzung oder Amtsmissbrauch. Nicht, weil ihre Entscheidungen dem Weißen Haus nicht passen.

Diese Schranke ist weg. Die FTC übe „unquestionably executive power“ aus, heißt es im Urteil, sie habe „accumulated vast rulemaking, enforcement and adjudicatory powers“ und müsse deshalb vom Präsidenten kontrolliert werden. Übersetzt: Wer Regeln setzt, sie durchsetzt und über sie richtet, gehört unter die Fuchtel der Regierung.

Für amerikanische Verhältnisse ist das eine Debatte über Gewaltenteilung. Für deine Mitgliedertabelle ist es etwas anderes.

Warum eine amerikanische Behörde die Grundlage deiner Datenablage ist

Wenn personenbezogene Daten die EU verlassen, braucht das eine Rechtsgrundlage. Der bequemste Weg dafür heißt Angemessenheitsbeschluss: Die EU-Kommission stellt förmlich fest, dass ein Land außerhalb Europas ein im Kern gleichwertiges Datenschutzniveau bietet. Danach dürfen Daten dorthin fließen, ohne dass irgendjemand noch etwas nachweisen muss. Es funktioniert wie die Anerkennung eines ausländischen Führerscheins: Man vertraut darauf, dass die Prüfung drüben etwas taugt, und spart sich die eigene.

Für die USA gibt es so einen Beschluss seit dem 10. Juli 2023, er heißt Durchführungsbeschluss (EU) 2023/1795 und trägt den Namen EU-US Data Privacy Framework. Auf ihm ruht praktisch jede Nutzung von Microsoft 365, Google Workspace, Gmail, Zoom, Dropbox oder Amazon Web Services in einem deutschen Verein oder Kleinbetrieb, meistens ohne dass die Beteiligten je davon gehört haben.

Und in diesem Beschluss, in den Erwägungsgründen 58 bis 60, steht als Argument für die Gleichwertigkeit ausdrücklich, dass die FTC-Kommissar*innen nur aus jenen drei benannten Gründen entlassen werden können. Genau der Satz, den der Oberste Gerichtshof am 29. Juni kassiert hat. Die Begründung des Beschlusses beruft sich also auf eine Absicherung, die es nicht mehr gibt.

Wer diesmal fragt, macht den Unterschied

Diese Analyse lag seit Ende Juni auf dem Tisch. Die Datenschutzorganisation noyb hat die Kommission schon am 30. Juni schriftlich aufgefordert, den Beschluss geordnet aufzuheben, mit Übergangsfristen, und eine Klage vor dem Europäischen Gerichtshof angekündigt. Das ließ sich noch als das abtun, was es ist: eine NGO, die genau dieses Ziel seit Jahren verfolgt und darin ziemlich erfolgreich war.

Am 31. Juli hat dann Anu Talus geschrieben, die Vorsitzende des Europäischen Datenschutzausschusses. In diesem Gremium sitzen die Datenschutzaufsichtsbehörden aller EU-Staaten, also auch die Landesbeauftragten, die im Zweifel deinem Verein einen Brief schreiben. Adressat: Michael McGrath, EU-Kommissar für Demokratie, Justiz, Rechtsstaatlichkeit und Verbraucherschutz. Betreff: das Urteil.

Der Ton ist so höflich, wie Behördenpost eben ist. Die Aufsichtsbehörden bitten die Kommission, „closely assess whether this development affects the functioning“ des Beschlusses, also genau zu prüfen, ob das Urteil seine Funktionsfähigkeit beeinträchtigt. Sie berufen sich dabei auf Artikel 45 Absatz 2 Buchstabe b der DSGVO, wonach das Vorhandensein und das wirksame Funktionieren unabhängiger Aufsichtsbehörden im Zielland zu den Punkten gehört, die bei einer Angemessenheitsprüfung zählen. Eine Frist nennt der Brief nicht. Eine Aufhebung fordert er nicht. Berichtet hat darüber am 3. August heise online.

Was der Brief trotzdem ist: Aktenmaterial. Der Datenschutzausschuss ist das Gremium, dessen Stellungnahme die Kommission bei Angemessenheitsbeschlüssen einholen muss. Wenn dieselbe Frage in ein paar Jahren in Luxemburg verhandelt wird, liegt dieses Schreiben auf dem Tisch.

Zum dritten Mal dieselbe Baustelle

Safe Harbor, das erste transatlantische Datenabkommen, kippte der Europäische Gerichtshof 2015. Der Nachfolger Privacy Shield hielt bis 2020. Beide Male klagte Max Schrems, beide Male hieß es vorher, alles sei sicher, beide Male standen danach zehntausende Unternehmen ohne Rechtsgrundlage da und mussten in Windeseile Verträge nachziehen.

Das Data Privacy Framework von 2023 ist der dritte Anlauf. Im September 2025 hat das Gericht der Europäischen Union die erste direkte Klage dagegen abgewiesen, eingereicht vom französischen Abgeordneten Philippe Latombe, und dabei den Data Protection Review Court für hinreichend unabhängig gehalten, ein eigens für Beschwerden aus Europa geschaffenes amerikanisches Gericht. Dieses Urteil erging vor dem Spruch aus Washington und auf der damaligen Rechtslage. Es sagt über heute wenig.

Die Gegenrede, und was von ihr bleibt

Es gibt sie, und sie gehört hierher. Die International Association of Privacy Professionals, der weltweite Berufsverband der Datenschutzfachleute, hat am 3. August einen Beitrag veröffentlicht mit dem Titel „No, Trump v. Slaughter does not undo the EU-US data-transfer redress mechanism“. Das Argument: Wenn eine Person aus Europa sich beschweren will, weil amerikanische Nachrichtendienste ihre Daten angefasst haben, läuft das über zwei ganz andere Stellen. Über den Data Protection Review Court, also genau jenes Gericht, das die Luxemburger Richter*innen 2025 durchgewinkt haben, und über den Bürgerrechtsbeauftragten der US-Geheimdienstaufsicht ODNI. Mit der FTC hat dieser Weg nichts zu tun. Das Urteil trifft ihn also nicht.

Der Einwand stimmt, soweit er reicht. Nur reicht er nicht sehr weit. Die FTC ist im Data Privacy Framework die Stelle, die Unternehmen kontrolliert, die sich dem Abkommen unterworfen haben, und sie taucht in der Begründung des Beschlusses genau deshalb an prominenter Stelle auf. Die DSGVO fragt in Artikel 45 nicht danach, ob irgendein Beschwerdeweg noch funktioniert, sondern danach, ob unabhängige Aufsicht vorhanden ist und wirksam arbeitet. Eine Behörde, deren Leitung der Präsident nach Belieben austauschen kann, ist keine unabhängige Aufsicht. Wie die Kommission das bewertet, weiß niemand, sie hat sich bis heute nicht geäußert. Entscheiden wird es am Ende ohnehin ein Gericht, nicht ein Berufsverband, nicht noyb und auch nicht ich.

„Es gilt doch alles weiter“

Ja. Der Beschluss ist in Kraft, nichts ist ausgesetzt, nichts ist für ungültig erklärt, es gibt keine Frist und keinen Grund, heute Abend hektisch Daten zu verschieben. Wer dir etwas anderes erzählt, verkauft dir vermutlich gerade eine Compliance-Beratung.

Ein Riss im Dachbalken ist auch kein Grund, sofort aus dem Haus zu ziehen. Er verschwindet nur nicht von allein, und die Handwerker sind später teurer und ausgebucht.

Was du an einem Nachmittag herausfinden kannst

Fang mit der langweiligsten Frage an: Wo liegen eure Daten überhaupt? Nicht gefühlt, sondern nachgesehen. Mitgliederlisten, Elternkontakte, Bewerbungen, Krankmeldungen, Fotos vom Sommerfest, das Postfach des Vorstands. Typische Fundorte sind Microsoft 365, Google Workspace samt Gmail und Google Drive, Zoom, Dropbox, Mailchimp für den Newsletter, die Werbekonten bei Meta und Amazon Web Services hinter irgendeiner Vereinssoftware, von der niemand weiß, wo sie eigentlich läuft.

Dann die zweite Frage: Worauf stützt sich diese Übermittlung eigentlich? Wenn die Antwort ausschließlich „auf den Angemessenheitsbeschluss“ lautet, hast du kein zweites Standbein. Die Alternative sind Standardvertragsklauseln, also von der EU-Kommission vorformulierte Vertragstexte, die europäisches Datenschutzniveau vertraglich absichern. Die allein genügen aber nicht: Dazu gehört ein Transfer Impact Assessment, eine schriftliche eigene Einschätzung, ob das versprochene Schutzniveau im Zielland tatsächlich zu halten ist. Und in dieser Einschätzung prüfst du exakt dieselbe Frage nach unabhängiger Aufsicht, die gerade in Washington beantwortet wurde. Wer so ein Dokument hat, sollte es aktualisieren. Wer keines hat, hat jetzt einen Anlass.

Wohin ich umziehen würde, und in welcher Reihenfolge

Meine Empfehlung für einen Verein oder einen kleinen Betrieb ist klar, und sie beginnt nicht beim E-Mail-Server. Sie beginnt bei der Dateiablage, weil dort die sensiblen Listen liegen und weil der Umzug dort am wenigsten wehtut. Nextcloud bei einem europäischen Anbieter, Hetzner, IONOS, OVHcloud, STACKIT oder Scaleway, ist für die allermeisten der richtige Weg: gemeinsame Ordner, Kalender, Kontakte, Videokonferenz, alles unter europäischem Recht. Selbst hosten ist schöner, aber nur, wenn jemand die Kiste dauerhaft pflegt. Ein vergessener Server im Vereinsheim ist ein größeres Datenschutzproblem als Google Drive.

Beim Office schließt sich LibreOffice oder OnlyOffice an, für gemeinsames Arbeiten im Browser Collabora, in der Verwaltung openDesk. Beim Postfach sind Mailbox.org, Posteo und Tuta seit Jahren die Antwort auf Gmail und Outlook, und der Wechsel kostet einen Nachmittag statt eines Projekts.

Das ist Arbeit, die niemand gern macht, und sie fällt garantiert nicht in die vereinsfreie Zeit. Der Unterschied liegt darin, dass du sie dir jetzt selbst einteilen kannst.

Drei Jahre klingen nach viel Zeit

Nach dem Aus für den Privacy Shield 2020 hat es rund drei Jahre gedauert, bis ein Nachfolger stand. Ein neues Verfahren vor dem Europäischen Gerichtshof würde ähnlich lange laufen, und noyb hat eines angekündigt. Diese Zeitspanne ist die eigentliche Nachricht. Wer jetzt anfängt, migriert freiwillig, in der eigenen Reihenfolge, mit Zeit für Tests und für die Leute, die sich an neue Oberflächen gewöhnen müssen. Wer wartet, migriert irgendwann zusammen mit allen anderen, unter Frist, und zahlt dann die Preise, die in solchen Wochen aufgerufen werden.

Die Frage ist, ob du beim vierten Anlauf eines transatlantischen Datenabkommens wieder dabei sein willst.

Wenn du wissen willst, welche US-Dienste in deinem Verein oder deinem Betrieb wirklich laufen und was ein Umzug zu Nextcloud, LibreOffice und einem europäischen Postfach konkret bedeutet: Genau dabei begleite ich Leute, vom ersten Kassensturz bis zu dem Tag, an dem der letzte Ordner umgezogen ist.

Reden wir über deine Daten.

Schreib mir eine E-Mail: Kurz beschreiben, was du vorhast oder was dich beschäftigt. Ich melde mich in der Regel innerhalb eines Werktages. hallo@chrislo.de

Kein Kontaktformular, keine Pflichtfelder, keine Datenspur. Einfach schreiben.