Drittlandtransfer bei KI: Was das FTC-Urteil für ChatGPT, Claude und Gemini bedeutet

Die kurze Antwort: Die Datenbrücke in die USA steht noch, aber sie wankt. Ein Urteil des Obersten Gerichtshofs der USA vom 29. Juni 2026 (Trump v. Slaughter) hat die Unabhängigkeit der US-Aufsichtsbehörde FTC beendet — und genau auf diese Unabhängigkeit stützt sich das Abkommen, das den Datenverkehr zwischen EU und USA erlaubt. Wer ChatGPT, Claude oder Gemini im Büro nutzt, muss deshalb nicht in Panik verfallen. Aber er sollte drei Dinge klären: Auf welcher Grundlage fließen meine Daten in die USA? Brauche ich ein Transfer Impact Assessment — vielleicht sogar schon heute? Und welches Ausweichmodell habe ich, falls das Abkommen kippt?

Was ist beim Drittlandtransfer eigentlich das Problem?

Die DSGVO schützt personenbezogene Daten innerhalb der EU. Sobald Daten die EU verlassen, spricht das Gesetz von einem Drittlandtransfer — und der ist nur unter Bedingungen erlaubt (Art. 44 ff. DSGVO). Die USA sind ein solches Drittland. Und ein Prompt ist eine Datenübermittlung: Wer eine Mieter-E-Mail in ein KI-Chatfenster kopiert, schickt diese Daten auf Server des Anbieters — bei US-Diensten meist in die USA.

Für den Weg über die Grenze gibt es drei Möglichkeiten. Erstens eine Brücke: Die EU-Kommission bescheinigt einem Land per Angemessenheitsbeschluss (Art. 45 DSGVO), dass Daten dort ähnlich sicher sind wie zu Hause. Für die USA heißt diese Brücke EU-US Data Privacy Framework (DPF), in Kraft seit Juli 2023. Zweitens eine Ersatzbrücke aus Verträgen: Standardvertragsklauseln (SCC, Art. 46 DSGVO), bei denen sich der US-Anbieter vertraglich zu EU-Datenschutz verpflichtet — plus ein schriftlicher Sicherheits-Check vor der Überfahrt, das Transfer Impact Assessment (TIA). Drittens Ausnahmen für Einzelfälle (Art. 49 DSGVO) — für den Büroalltag untauglich.

Warum wankt die Datenbrücke gerade jetzt?

Die Brücke ruht auf einem Pfeiler: der Federal Trade Commission (FTC). Sie ist die US-Behörde, die überwacht, ob sich US-Firmen an die Datenschutz-Zusagen halten — eine Art Schiedsrichter. Seit 1935 galt: Der US-Präsident darf diesen Schiedsrichter nicht einfach feuern. Genau dieses Prinzip hat der Supreme Court am 29. Juni 2026 mit 6 zu 3 Stimmen gekippt. Die FTC ist damit gegenüber dem Weißen Haus direkt weisungsgebunden.

Für das Abkommen ist das ein Problem, denn die EU-Kommission beruft sich darin an 259 Stellen auf die unabhängige FTC. Die Datenschutzorganisation noyb um Max Schrems hat die EU-Kommission deshalb offiziell aufgefordert, das Abkommen geordnet zu beenden. Schrems hat diese Brücke schon zweimal zum Einsturz gebracht: Safe Harbor fiel 2015, der Nachfolger Privacy Shield 2020 (EuGH C-311/18, „Schrems II“).

Wichtig für Ihre Einordnung: Das Abkommen gilt weiter — so lange, bis die EU-Kommission den Angemessenheitsbeschluss aufhebt oder der EuGH ihn für nichtig erklärt. Es gibt also keinen akuten Rechtsbruch, aber ein absehbares Risiko mit Vorlaufzeit.

Brauche ich heute schon ein Transfer Impact Assessment?

Ein TIA ist eine dokumentierte Prüfung mit einer einfachen Kernfrage: Sind die Daten beim Empfänger im Drittland wirklich sicher — auch vor dem Zugriff dortiger Behörden (Stichwort FISA 702 und CLOUD Act)? Die Methode dafür geben die EDPB-Empfehlungen 01/2020 in sechs Schritten vor. Pflicht ist das TIA immer dann, wenn der Transfer auf Standardvertragsklauseln beruht statt auf der Brücke. Und da unterscheiden sich die drei großen Anbieter deutlich:

Anbieter	DPF-Zertifizierung?	Grundlage heute	TIA nötig?
OpenAI (ChatGPT)	ja, aktiv	DPF	erst wenn das Abkommen kippt
Google (Gemini)	ja	DPF	erst wenn das Abkommen kippt
Anthropic (Claude)	nein	Standardvertragsklauseln	ja, schon heute

Wer Claude direkt bei Anthropic nutzt, braucht das TIA jetzt — nicht erst, wenn das Abkommen fällt. Anthropic hat keine DPF-Zertifizierung und stützt den Transfer allein auf Standardvertragsklauseln im Auftragsverarbeitungsvertrag. Bei ChatGPT und Gemini gilt: Prüfen Sie auf dataprivacyframework.gov, ob Ihr konkreter Vertragspartner dort aktiv gelistet ist, und dokumentieren Sie das. Eine TIA-Vorlage sollten Sie trotzdem in der Schublade haben.

Was passiert, wenn das Abkommen kippt?

Kein Blackout. Die Enterprise-Verträge aller drei Anbieter enthalten Standardvertragsklauseln als Ersatzbrücke — die Datenflüsse werden nicht über Nacht rechtlos. Aber: Das TIA wird dann für alle Pflicht, und es wird schwerer zu bestehen, weil das zentrale Argument „unabhängige US-Aufsicht“ gerade vom Supreme Court entkernt wurde. Genau daran sind nach Schrems II schon viele Prüfungen gescheitert.

Auch die EU-Angebote der Anbieter lösen das nur teilweise. OpenAI speichert für Enterprise-Kunden Daten auf Wunsch in der EU — die eigentliche Verarbeitung der Prompts läuft aber in den USA. Google bietet in Workspace EU-Datenregionen. Claude läuft in der EU nur über Umwege wie AWS Bedrock (z. B. Frankfurt) oder Google Vertex AI. Wer sich heute fest an einen US-Verarbeitungsweg bindet, hat beim Kippen des Abkommens wenig Spielraum.

Was heißt das konkret für Ihr Büro?

Vier Schritte, alle ohne Zeitdruck machbar: Erstens festhalten, welche Daten über welche KI-Dienste in die USA fließen. Zweitens den DPF-Status Ihrer Vertragspartner prüfen und das Ergebnis ablegen. Drittens eine TIA-Vorlage vorbereiten — bei direkter Claude-Nutzung: jetzt ausfüllen. Viertens ein Ausweichmodell benennen, das nicht in den USA verarbeitet.

Der vierte Punkt ist der, an dem sich Werkzeuge unterscheiden. Wer seinen Workflow fest in einen einzelnen US-Dienst eingebaut hat, steht beim Kippen des Abkommens vor einem Projekt. porthor arbeitet deshalb nach dem Prinzip „eigener KI-Zugang“: Sie wählen den Anbieter selbst — 13 stehen zur Auswahl, darunter EU-gehostete wie Azure OpenAI EU oder ein selbst gehostetes Modell im eigenen Haus. Der Wechsel ist ein Konfigurationswechsel, kein Umbau. Und weil porthor Namen und Kennungen lokal pseudonymisiert, bevor irgendetwas das Haus verlässt, verliert die Drittland-Frage einen Großteil ihrer Schärfe: Was übermittelt wird, sind Platzhalter — nicht die Originalangaben Ihrer Mieter und Kunden. Wie sich das vom rein vertraglichen Weg unterscheidet, zeigt porthor vs. ChatGPT Enterprise.