Kommentar von Dr. Marc Wilczek, CEO plusserver GmbH
Digitale Infrastrukturen sind längst nicht mehr nur eine Frage von Technologie, von Skalierung oder von Kosten. Sie sind Teil der wirtschaftlichen Handlungsfähigkeit von Unternehmen – und damit auch Teil ihrer Risikostrategie. Wer heute Daten verarbeitet, Anwendungen betreibt oder KI-Modelle nutzt, entscheidet nicht nur über Performance und Effizienz. Er entscheidet auch darüber, welchen Rechtsräumen, politischen Dynamiken und Abhängigkeiten zentrale Geschäftsprozesse ausgesetzt sind.
Genau deshalb verdient ein aktuelles Urteil des U.S. Supreme Court besondere Aufmerksamkeit. Auf den ersten Blick betrifft es amerikanisches Verwaltungsrecht. Auf den zweiten Blick berührt es jedoch eine der zentralen Fragen der europäischen Digitalwirtschaft: Wie belastbar sind transatlantische Datenflüsse, wenn sich die institutionellen Grundlagen in den USA verändern?
Das Urteil selbst lässt die Rechtsgrundlage für Datentransfers nicht automatisch entfallen. Aber es macht sie fragiler.
Das Urteil des U.S. Supreme Court im Fall Trump v. Slaughter ist zunächst eine Entscheidung zum amerikanischen Verwaltungsrecht. Seine wirtschaftliche Bedeutung reicht jedoch weit darüber hinaus: Es verändert die Rahmenbedingungen für die Unabhängigkeit der Federal Trade Commission, einer Institution, auf deren Durchsetzungsrolle sich das EU-US Data Privacy Framework ausdrücklich stützt. Damit ist die Rechtsgrundlage für transatlantische Datentransfers nicht automatisch entfallen. Aber sie ist erneut fragiler geworden.
Denn: Unsere Wirtschaft ist eng mit digitalen Plattformen und Cloud-Diensten aus den USA verbunden. Datenflüsse sind Grundlage globaler Lieferketten, Forschung, Handel und digitaler Geschäftsmodelle. Der Handelsblatt-Artikel „US-Urteil erhöht Risiken für deutsche Firmen massiv“ (Autor: Dietmar Neuerer, Artikel vom 09. Juli) beschreibt deshalb zu Recht die wachsende Sorge deutscher Wirtschaftsverbände: Wenn die rechtliche Stabilität des Data Privacy Frameworks infrage steht, entstehen für Unternehmen zusätzliche Compliance-, Haftungs- und Investitionsrisiken. Gleichzeitig gilt: Das Framework ist derzeit weiterhin gültig. Panik wäre ebenso falsch wie Abwarten.
Die technische Plattformentscheidung wird zur Frage unternehmerischer Resilienz
Die eigentliche Lehre liegt tiefer. Safe Harbor, Privacy Shield und nun das Data Privacy Framework zeigen ein wiederkehrendes Muster: Unternehmen bauen geschäftskritische Prozesse auf einer Rechtsgrundlage auf, deren langfristige Belastbarkeit sie selbst nicht beeinflussen können. Wenn sich politische Mehrheiten, Gerichtsurteile oder regulatorische Rahmenbedingungen ändern, wird aus einer vermeintlich rein technischen Plattformentscheidung plötzlich eine Frage der unternehmerischen Resilienz.
Deutschland muss diese Entwicklung besonders ernst nehmen. Unsere Industrie verarbeitet hochsensible Daten: Konstruktionsdaten, Produktions- und Lieferketteninformationen, Forschungsdaten, Gesundheitsdaten, Kunden- und Beschäftigtendaten. Zugleich sind viele Unternehmen bei zentralen Kollaborations-, Analyse- und Infrastrukturservices stark konzentriert. Das ist nicht grundsätzlich falsch. Hyperscaler bleiben wichtige Innovationspartner, insbesondere bei globaler Skalierung und Plattformdiensten. Problematisch wird es dort, wo ein einzelner Anbieter, eine einzelne technische Plattform oder eine einzelne Rechtsordnung zum unverzichtbaren Fundament nahezu aller kritischen Prozesse wird.
Digitale Souveränität bedeutet deshalb nicht digitale Abschottung. Sie bedeutet Wahlfreiheit: die Fähigkeit, Daten, Anwendungen und kritische Workloads dort zu betreiben, wo rechtliche, technische und wirtschaftliche Anforderungen am besten erfüllt werden – und sie bei Bedarf auch verlagern zu können. Souverän ist nicht, wer alles selbst betreibt. Souverän ist, wer keine systemischen Abhängigkeiten und Risiken eingeht.
Für Unternehmen ergeben sich daraus vier konkrete Aufgaben:
-
Sourcing zur Managementaufgabe machen:
Die Entscheidung über Cloud-Architekturen ist keine reine IT-Frage. Sie betrifft Compliance, Risikomanagement, Einkauf, Geschäftsmodell und letztlich die Wettbewerbsfähigkeit eines Unternehmens. -
Abhängigkeiten transparent machen:
Welche Daten, Anwendungen und Geschäftsprozesse liegen bei welchem Anbieter und unter welcher Rechtsordnung? Ohne ein belastbares Mapping bleibt Risikomanagement Bauchgefühl. -
Kritische Workloads differenzieren:
Nicht jede Anwendung muss sofort verlagert werden. Bei personenbezogenen Daten, Geschäftsgeheimnissen, regulierten Informationen oder zentralen Produktionsprozessen sind jedoch europäische beziehungsweise deutsche Betriebs- und Rechtsräume besonders relevant. Dabei ist allerdings nicht allein der Speicherort der Daten entscheidend, sondern welchem Rechtsrahmen und staatlichen Durchgriff der Anbieter unterliegt. Auch die Rückführung von Anwendungen, Daten oder Workloads aus der Public Cloud („Cloud Repatriation“) kann Teil der Antwort sein. -
Multi-Sourcing und Exit-Fähigkeit verbindlich planen:
Offene Schnittstellen, die Nutzung von Open Source, Datenportabilität, dokumentierte Exit-Szenarien und getestete Wiederanlaufpläne gehören auf den Prüfstand und sollten in laufenden Betriebskonzepten ebenso wie bei neuen Ausschreibungen und berücksichtigt werden.
Für deutsche Cloud-Anbieter ist genau das der Kern einer zukunftsfähigen Cloud-Strategie: nicht „Deutschland statt Welt“, sondern eine belastbare Architektur aus globaler Innovationsfähigkeit und lokaler Kontrolle. Unternehmen brauchen die Freiheit, Hyperscaler gezielt dort einzusetzen, wo sie Mehrwert schaffen – und zugleich für sensible sowie geschäftskritische Workloads auf Infrastruktur zu setzen, die in Deutschland betrieben wird, ausschließlich europäischem Recht unterliegt und transparente Kontrollmöglichkeiten bietet.
Das Urteil aus Washington ist kein Anlass für blinden Aktionismus. Es ist aber ein Weckruf und Auftrag, die eigene Sourcing-Strategie kritisch zu überprüfen. Wer jetzt diversifiziert, Exit-Fähigkeit aufbaut und rechtliche wie technische Abhängigkeiten reduziert, schafft nicht nur Datenschutz-Compliance. Er schafft strategischen Handlungsspielraum.
Hintergrund und Bonusmaterial
Der Hintergrund
Ein historisches Urteil des U.S. Supreme Court vom 29. Juni 2026 hat die Unabhängigkeit der großen US-Regulierungsbehörden gekippt. Demnach darf der US-Präsident die Chefs unabhängiger Behörden wie der FTC (Federal Trade Commission) und künftig auch der FCC jederzeit und grundlos entlassen. Das Urteil verändert die rechtlichen Rahmenbedingungen für unabhängige US-Regulierungsbehörden und wirft neue Fragen zur langfristigen Stabilität des EU-US Data Privacy Framework auf.
Was ist passiert?
Mit dem wegweisenden Urteil im Fall Trump v. Slaughter urteilte der Supreme Court, dass ein 91 Jahre alter Präzedenzfall verfassungswidrig sei. Bisher durften Kommissare nur bei „wichtigem Grund“ entlassen werden. Nun sind diese Behörden direkt der Exekutive und den politischen Launen des Weißen Hauses unterstellt.
Warum betrifft das die FCC und FTC?
Obwohl die Entscheidung formal die FTC betrifft, dürfte sie nach Einschätzung vieler Verfassungsrechtler erhebliche Auswirkungen auch auf andere unabhängige Behörden wie die Federal Communications Commission (FCC) und andere Agenturen haben. Die Behörden regeln essenzielle Bereiche des US-internen und internationalen Telekommunikations- und Datenmarktes.
Der letzte Weckruf für Europa?
Europäische Institutionen und Wirtschaftsverbände werten das Urteil als Alarmsignal. Die Bayerische Staatskanzlei warnt, dass das Fundament transatlantischer IT-Zusammenarbeit ins Wanken gerät. Europa muss nun eigene, souveräne Cloud-Strukturen (wie Gaia-X) vorantreiben und sich rechtlich wappnen, um den Datenfluss europäischer Bürger und Unternehmen verlässlich zu schützen.
Bonus: Ihre Checkliste mit den wichtigsten konkreten Sofortmaßnahmen für Ihre IT- und Compliance-Strategie
- Dateninventur und Risikoanalyse
- Datenflüsse kartieren: Alle genutzten US-Cloud-Dienste, SaaS-Tools und deren Serverstandorte lückenlos dokumentieren.
- Sensibilität prüfen: Genau ermitteln, ob personenbezogene Daten (z. B. Kundendaten, HR-Daten) in die USA fließen.
- TIA durchführen: Für jeden US-Dienstleiter ein Transfer Impact Assessment (Transatlantische Risikoabwägung) erstellen.
- Rechtliche Absicherung (Fallback-Optionen)
- Standardvertragsklauseln (SCCs): Verträge mit US-Anbietern sofort auf die aktuellen Standardvertragsklauseln der EU-Kommission umstellen.
- Zusatzvereinbarungen: Ergänzende Klauseln fordern, die den Anbieter verpflichten, behördliche US-Datenanfragen gerichtlich anzufechten.
- Prüfpflicht: SCCs allein reichen nach dem neuen Urteil oft nicht mehr aus; sie müssen durch technische Maßnahmen gestützt werden.
- Technische Schutzmaßnahmen („Schrems-II-Konformität“)
- Starke Verschlüsselung: Daten müssen vor dem Transfer in die USA verschlüsselt werden (Bring Your Own Key / BYOK).
- Schlüsselgewalt: Die Krypto-Schlüssel dürfen niemals in die Hände des US-Anbieters oder US-Mutterkonzerns gelangen.
- Anonymisierung: Daten nach Möglichkeit vor der Cloud-Übermittlung vollständig anonymisieren oder pseudonymisieren.
- Migration und Provider-Strategie
- EU-Sovereign-Clouds: Insbesondere mit kritischen und sensiblen Workloads zu Diensten wechseln, die vertraglich und technisch garantieren, Daten ausschließlich in der EU zu verarbeiten (anstelle hektischer Komplettmigration).
- Lokales Hosting: Wo immer möglich, auf SaaS-Modelle aus Europa oder direkt Deutschland nutzen.
- Multi-Cloud-Ansatz: Die Abhängigkeit von einzelnen US-Hyperscalern (AWS, Microsoft Azure, Google Cloud) reduzieren.
Über den Autor
Dr. Marc Wilczek ist Vorsitzender der Geschäftsführung der plusserver-Gruppe und verfügt über langjährige Führungserfahrung in der IT-Branche. Zuvor war er als Geschäftsführer bei Controlware und Link11 sowie im Management bei T-Systems, CompuGroup Medical und Sophos bzw. Utimaco tätig. Nach seinem Abschluss als Diplom-Kaufmann erlangte er einen MSc an der London Business School sowie einen MBA in Technologie-Management an der UNSW Sydney. Nach Gastaufenthalten an der Columbia University und der Universität St. Gallen folgte die Promotion an der Universität Danzig. Er ist Autor zahlreicher Fachbeiträge und engagiert sich weiterhin am Lehrstuhl für Wirtschaftsinformatik der Goethe-Universität Frankfurt in Forschung und Lehre.
Erfahren Sie mehr
Blog
100 Tage als CEO bei plusserver: „Was jetzt zählt, ist Fokus, Konsequenz und Klarheit“
Interview mit Dr. Marc Wilczek nach den ersten 100 Tagen als CEO von plusserver.
