Wer KI-Dienste aus den USA einbindet, stützt sich oft auf das Data Privacy Framework. Es gilt, aber der EuGH entscheidet noch über die Berufung.
Von BlueBranch GmbH
Viele KI-Dienste, die sich in Websites einbinden lassen, sitzen in den USA. Rechtlich tragen sie die Datenübermittlung dorthin häufig mit dem EU-US Data Privacy Framework (DPF), dem Angemessenheitsbeschluss der Kommission von 2023. Solange er gilt, dürfen zertifizierte Unternehmen Daten aus der EU empfangen, ohne dass weitere Garantien nötig sind. Doch sein Schicksal ist offen.
Zwei Vorgänger hat der Europäische Gerichtshof bereits gekippt: Safe Harbor (Schrems I, 2015) und das Privacy Shield (Schrems II, 2020). Das DPF ist der dritte Anlauf. Der französische Abgeordnete Philippe Latombe klagte dagegen, und das Gericht der EU wies die Klage am 3. September 2025 ab (Rechtssache T-553/23). Es bestätigte damit erstmals gerichtlich die Gültigkeit des Beschlusses. Latombe legte am 31. Oktober 2025 Berufung zum Gerichtshof ein (C-703/25 P).
Nach unserer Recherche vom 30. Oktober 2026 ist die Berufung weiterhin anhängig, und ein Termin für die Entscheidung ist nicht bekannt. Latombe rügt vor allem, dass das US-Datenschutzüberprüfungsgericht (Data Protection Review Court) nicht unabhängig genug sei und dass US-Nachrichtendienste Daten in großem Umfang erheben. Die Berufung beschränkt sich auf Rechtsfragen.
Für Unternehmen heißt das: Das DPF gilt weiter, und sie dürfen sich vorerst darauf stützen. Es ist aber eine Grundlage, die nicht endgültig gesichert ist. Heuking rät deshalb, sich bei den USA nicht allein darauf zu verlassen.
Der BlueBranch Chatbot hat keinen Drittlandtransfer: Sprachmodell, Vektorsuche und Spracherkennung laufen auf einem eigenen Server bei Hetzner in Deutschland, es gibt keine Schnittstelle zu US-Modellanbietern. Fällt das DPF, ändert sich für Dich nichts. Mehr zur Technik im Beitrag Lokale KI statt Cloud, die Zusagen im Überblick auf der Seite DSGVO & AVV.
Ein Chatbot, der aus Deinen Inhalten antwortet, ist ein RAG-System. Die Aufsichtsbehörden haben dazu eine Orientierungshilfe geschrieben, mit klaren Hinweisen zur Trennung der Daten.
Die Transparenzpflicht aus Art. 50 der KI-Verordnung gilt, der Digital Omnibus hat sie nicht verschoben. Was Betreiber von Website-Chatbots jetzt tun sollten.
Sprachmodell, Vektorsuche und Spracherkennung laufen auf einem dedizierten Server bei Hetzner. Das kostet Planung, bringt aber Datenschutz und verlässliche Antwortzeiten.
Jetzt starten
Registrieren, API-Schlüssel erzeugen, Erweiterung installieren: Die kostenlose Stufe genügt zum Ausprobieren. Den AVV nach Art. 28 DSGVO schicken wir Dir auf Anfrage.
