Die Woche, in der „DSGVO-konform“ nicht mehr genug war
Von Zanket GroupVeröffentlicht: 7. Juli 2026
Kurz gesagt
Am 29. Juni 2026 entschied der U.S. Supreme Court, dass die gesetzliche Einschränkung der Befugnis des Präsidenten, Mitglieder der Federal Trade Commission zu entlassen, gegen das verfassungsrechtliche Prinzip der Gewaltenteilung verstößt. Die Entscheidung betrifft weit mehr als nur die FTC: Die Europäische Union stützt sich bei der Bewertung von Datenübermittlungen an teilnehmende US-Unternehmen im Rahmen des EU-US Data Privacy Framework teilweise auf eine unabhängige Aufsicht in den Vereinigten Staaten.
Das Framework verschwand dadurch nicht über Nacht. Es bleibt formell in Kraft, solange es nicht aufgehoben oder für ungültig erklärt wird.
Das Urteil hat jedoch eine Frage neu geöffnet, die zuvor relativ geklärt erschien:
Wie stark kann Europa auf die Unabhängigkeit amerikanischer Aufsichtsbehörden vertrauen, wenn es den Schutz von Daten bewertet, die über den Atlantik übertragen werden?
Am 30. Juni forderte die Datenschutzorganisation noyb die Europäische Kommission auf, eine geordnete Aufhebung der aktuellen Angemessenheitsentscheidung vorzubereiten. noyb argumentierte, dass das Urteil eine wichtige Grundlage dieser Entscheidung infrage stelle, bestätigte aber zugleich ausdrücklich, dass die Entscheidung derzeit weiterhin rechtlich gilt.
Dieser Unterschied ist wichtig.
Es geht nicht darum, dass Datenübermittlungen zwischen der EU und den USA plötzlich illegal geworden wären.
Es geht darum, dass eine rechtliche Grundlage erneut unsicherer geworden ist.
Für ExtMoney ist diese Unsicherheit bei den zentralen Finanzdaten deutlich weniger relevant, weil wir das Produkt bewusst so aufgebaut haben, dass ein Großteil dieser Daten den Atlantik gar nicht erst überqueren muss.
Was ist eigentlich passiert?
Seit 2023 bietet das EU-US Data Privacy Framework einen Angemessenheitsmechanismus, der die Übermittlung personenbezogener Daten aus der EU an teilnehmende US-Unternehmen ermöglicht, ohne für jede einzelne Übertragung einen separaten Mechanismus schaffen zu müssen.
Ein Bestandteil dieses Systems ist die Durchsetzung.
Teilnehmende US-Unternehmen verpflichten sich zu bestimmten Datenschutzregeln, und Behörden wie die Federal Trade Commission sind für deren Durchsetzung zuständig. Unabhängigkeit ist dabei wichtig, weil das europäische Datenschutzrecht großen Wert auf wirksame und unabhängige Aufsicht legt.
Dann kam Trump v. Slaughter.
Am 29. Juni 2026 stellte der Supreme Court fest, dass die gesetzliche Regelung, nach der FTC-Mitglieder nur aus wichtigem Grund entlassen werden konnten, gegen die verfassungsrechtliche Gewaltenteilung verstößt. Praktisch verschafft dies dem Präsidenten deutlich mehr Einfluss darauf, ob FTC-Kommissare im Amt bleiben.
Am folgenden Tag wandte sich noyb an die Europäische Kommission und erklärte, dies schaffe ein ernstes Problem für das EU-US Framework. Die Organisation forderte einen geordneten Weg zur Aufhebung der Angemessenheitsentscheidung.
Das bedeutet nicht, dass der Supreme Court das EU-US Data Privacy Framework aufgehoben hat.
Das hat er nicht.
Ebenso wenig bedeutet es, dass ein europäisches Unternehmen plötzlich keinen amerikanischen Cloud-Anbieter mehr nutzen dürfte.
Was sich verändert hat, ist der Grad an Sicherheit hinter einem Satz, der beinahe Routine geworden war:
„Wir stützen uns auf das EU-US Data Privacy Framework.“
Dieser Satz klingt heute weniger selbstverständlich und endgültig als noch vor einem Monat.
Und wir waren schon einmal an diesem Punkt.
Safe Harbor wurde 2015 für ungültig erklärt. Privacy Shield folgte 2020. Etwas mehr als ein Jahrzehnt nach der ersten dieser Entscheidungen steht die rechtliche Architektur für transatlantische Datenübermittlungen erneut vor einer ernsthaften Frage.
Warum wir ExtMoney nicht um diese Brücke herum gebaut haben
Die Kerninfrastruktur von ExtMoney läuft auf Servern in Deutschland.
Für die Bereiche, in denen Ihre eigentliche Finanzhistorie gespeichert wird — Transaktionen, Konten, Salden, Schulden und Nettovermögensberechnungen — hält unsere Standardarchitektur die Daten in Europa.
Damit benötigen wir keinen transatlantischen Übertragungsmechanismus nur dafür, Ihren Kontostand zu speichern oder Ihr Nettovermögen zu berechnen.
Hier zeigt sich, dass zwei Begriffe, die oft gleichgesetzt werden, etwas Unterschiedliches bedeuten:
DSGVO-konform
und
In der EU gehostet
DSGVO-Konformität beschreibt, ob Daten gemäß den geltenden gesetzlichen Anforderungen verarbeitet werden.
Der Datenstandort beantwortet eine andere, viel einfachere Frage:
Wo befinden sich die Daten tatsächlich?
Das eine ersetzt das andere nicht.
EU-Hosting macht einen Dienst nicht automatisch DSGVO-konform, und DSGVO-Konformität bedeutet nicht zwingend, dass jedes Byte innerhalb Europas bleibt.
Wenn jedoch die zentralen Finanzdaten in Europa bleiben, reduziert sich von vornherein die Zahl internationaler Übertragungen, die eine zusätzliche rechtliche und technische Begründung benötigen.
Genau dieser Unterschied ist für uns entscheidend.
Wir brauchen Ihre Finanzdaten nicht, um Geld zu verdienen
Datenschutzarchitektur beginnt lange vor der Verschlüsselung.
Sie beginnt beim Geschäftsmodell.
ExtMoney verdient Geld mit Abonnements.
Nicht mit Werbung.
Nicht mit dem Verkauf von Einblicken in Ihr Ausgabeverhalten.
Nicht mit Werbeprofilen auf Grundlage Ihrer Einkäufe.
Nicht mit einem zweiten, im Hintergrund aufgebauten Geschäftsmodell rund um Ihr Finanzverhalten.
Das ist wichtig, weil Produktanreize irgendwann zu technischen Entscheidungen werden.
Wenn eine zusätzliche Datenkategorie für die gewünschte Funktion nicht benötigt wird und kein Werbegeschäft darauf wartet, diese Daten später zu verwenden, gibt es deutlich weniger Gründe, sie überhaupt zu sammeln.
Unser Ziel ist deshalb einfach:
Erfassen, was das Produkt braucht. Es angemessen schützen. Es nur so lange speichern, wie es dafür einen Grund gibt.
Dahinter stehen bewusst unspektakuläre Sicherheitsmaßnahmen:
- TLS 1.3 für Daten während der Übertragung;
- AES-256-Verschlüsselung für Backups;
- getrennte Speicherung der Backups von der primären Infrastruktur;
- Zwei-Faktor-Authentifizierung;
- keine versteckte Werbetelemetrie rund um Finanzverhalten.
Keine dieser Maßnahmen ist eine magische Datenschutzfunktion.
Genau darum geht es.
Gute Sicherheit besteht meist aus unspektakulären Schichten, von denen jede eine Aufgabe zuverlässig erfüllt.
Einige Daten überqueren dennoch den Atlantik
Wir könnten den Artikel hier beenden und den Eindruck erwecken, dass jedes Byte, das ExtMoney verarbeitet, dauerhaft in Europa bleibt.
Das wäre die sauberere Marketinggeschichte.
Es wäre aber nicht wahr.
Einige ExtMoney-Funktionen profitieren von großen Sprachmodellen, darunter Teile der KI-gestützten Finanzanalyse. Je nach Anbieter kann daher ein Teil der Verarbeitung außerhalb der EU stattfinden.
Unser sinnvoller Datenschutzanspruch lautet deshalb nicht:
„Ihre Daten verlassen Europa niemals.“
Sondern:
„Wir wissen genau, wann es passiert, warum es passiert und was wir senden.“
Wenn ein externer Verarbeiter erforderlich ist, gelten mehrere Regeln.
1. Der Anbieter wird offengelegt
Externe Verarbeiter sollten als Unterauftragsverarbeiter benannt werden, einschließlich des Grundes, warum sie Daten erhalten.
„Vertrauenswürdige Partner“ ist keine ausreichende Antwort auf die Frage:
Wer kann meine Informationen tatsächlich verarbeiten?
2. Wir verlassen uns nicht blind auf einen einzigen Übertragungsmechanismus
Standardvertragsklauseln sind ein eigenständiges Übertragungsinstrument nach der DSGVO und können für geeignete Übertragungen außerhalb des EWR verwendet werden.
Sie machen jedoch nicht jede Übertragung automatisch sicher und beseitigen nicht die Pflicht, die konkreten Umstände zu bewerten und bei Bedarf zusätzliche Schutzmaßnahmen einzusetzen.
Das ist ein wichtiger Unterschied.
Das Ziel besteht nicht darin, eine juristische Formulierung zu finden, mit der man aufhören kann, über das Problem nachzudenken.
Zuerst sollte die Übertragung minimiert werden. Danach werden auf das verbleibende Minimum die passenden rechtlichen und technischen Schutzmaßnahmen angewendet.
3. Daten werden vor der Übermittlung minimiert
Ein externes KI-Modell muss normalerweise nicht wissen, wer Sie sind, um die angeforderte Aufgabe zu erfüllen.
Identifizierende Informationen können deshalb durch undurchsichtige Token ersetzt werden, bevor die Anfrage unsere Infrastruktur verlässt.
Beispiel:
Eugene Kononenko → USER_7F21
Das externe Modell sieht nur den Token.
Die Zuordnung zwischen Token und echtem Wert bleibt unter unserer Kontrolle.
Wenn die Antwort zurückkommt, kann der Originalwert bei Bedarf lokal wieder zugeordnet werden.
Das ist Tokenisierung/Pseudonymisierung und keine Behauptung, dass der externe Verarbeiter überhaupt keine sensiblen Informationen erhält.
Das Prinzip ist einfacher:
Wenn ein Verarbeiter eine Information nicht braucht, um seine Aufgabe zu erfüllen, senden Sie sie nicht.
Einwilligung ist kein Häkchen. Sie ist ein Nachweis.
Eine Datenschutzerklärung, in der steht:
„Wir holen Ihre Einwilligung ein.“
ist ein Versprechen.
Ein System, das beantworten kann:
- wozu Sie eingewilligt haben;
- wann Sie eingewilligt haben;
- welche Textversion Sie gesehen haben;
- für welche Funktion die Einwilligung galt;
liefert einen Nachweis.
ExtMoney ist nach diesem zweiten Modell aufgebaut.
Einwilligungsereignisse für Funktionen wie:
- Sprachverarbeitung;
- Belegscan;
- KI-gestützte Analysen;
- Marketing;
werden in einer append-only Einwilligungshistorie gespeichert, die mit dem damals angezeigten Wortlaut verknüpft ist.
Das ist wichtig, weil sich Datenschutzhinweise ändern.
Sechs Monate später lautet die relevante Frage nicht:
„Was steht heute auf unserem Einwilligungsbildschirm?“
Sondern:
„Wozu hat dieser Nutzer an diesem Tag tatsächlich eingewilligt?“
Das sind zwei sehr unterschiedliche Fragen.
„Nein“ sollte wirklich „Nein“ bedeuten
Einwilligung muss auch das Verhalten des Produkts verändern.
Wenn ein Nutzer eine optionale KI-Funktion deaktiviert, sollte das nicht bedeuten:
„Die Schaltfläche ausschalten, aber im Hintergrund fast dieselbe Verarbeitung weiterlaufen lassen.“
Es bedeutet, dass die optionale KI-Verarbeitung endet.
Das heißt nicht, dass jede nützliche Funktion verschwinden muss.
Die Anomalieerkennung von ExtMoney kann beispielsweise mit statistischen Methoden funktionieren, ohne ein LLM zu benötigen. KI kann darüber hinaus Erklärungen oder zusätzliche Interaktion ermöglichen, doch die Grundfunktion muss nicht davon abhängig sein.
Das ist ein wichtiges Produktprinzip:
Datenschutzentscheidungen dürfen keine Scheinentscheidungen sein.
Ein Nutzer sollte eine optionale Verarbeitung ablehnen können und trotzdem ein nützliches Produkt behalten.
Vier Datenschutzfragen, die man jeder Finanz-App stellen sollte
1. Wo befinden sich die Daten tatsächlich?
Fragen Sie nicht nur:
„Sind Sie DSGVO-konform?“
Fragen Sie auch:
„Wo werden meine Transaktionen und Kontodaten gespeichert?“
Beide Fragen sind wichtig, beantworten aber etwas Unterschiedliches.
2. Wie verdient das Unternehmen Geld?
Eine Datenschutzerklärung sagt, was ein Unternehmen verspricht.
Das Geschäftsmodell zeigt, wozu es wirtschaftlich motiviert ist.
Fragen Sie, ob das Produkt finanziert wird durch:
- Abonnements;
- Werbung;
- Vermittlungsprovisionen;
- Verkauf von Finanzprodukten;
- Verhaltensdaten;
- oder eine Kombination daraus.
Keine dieser Varianten beweist automatisch gute oder schlechte Datenschutzpraxis.
Aber die Antwort sollte bekannt sein.
3. Was passiert, wenn ich eine optionale Funktion ablehne?
Wenn Sie KI-Verarbeitung ablehnen, werden die Daten dann nicht mehr an den KI-Anbieter gesendet?
Wenn Sie Ihre Marketing-Einwilligung widerrufen, endet dann die Marketingverarbeitung?
Das Verhalten des Produkts nach Ihrem „Nein“ sagt mehr aus als das Design des Einwilligungsbuttons.
4. Wer sind die Unterauftragsverarbeiter?
Fragen Sie nach Namen.
Fragen Sie, was jeder von ihnen tut.
Welche Daten er erhält.
Wo die Verarbeitung stattfindet.
Eine konkrete Antwort ist hilfreicher als ein Absatz über „sorgfältig ausgewählte vertrauenswürdige Partner“.
Wo wir unsere eigenen Aussagen bewusst begrenzen
Datenschutzmarketing wird gefährlich, wenn jede Architekturentscheidung als absolute Garantie verkauft wird.
Deshalb sollten einige Dinge klar gesagt werden.
Wir sind keine Anwälte
Nichts hiervon ist Rechtsberatung.
Der rechtliche Rahmen für internationale Datenübertragungen kann sich ändern, und unsere Compliance-Praxis muss sich entsprechend weiterentwickeln.
Wir haben die Architektur so gestaltet, dass unnötige Abhängigkeiten von internationalen Datenübertragungen reduziert werden.
Wir behaupten jedoch nicht, dass ExtMoney dadurch gegen zukünftige regulatorische Änderungen immun wäre.
Ein Teil der Verarbeitung findet weiterhin außerhalb der EU statt
Das ist heute so.
Entscheidend ist, dass wir versuchen, diese Übertragungen:
- notwendig;
- begrenzt;
- offengelegt;
- minimiert;
- durch geeignete Übertragungsmechanismen und Schutzmaßnahmen abgesichert
zu halten.
Wir erklären lieber die Ausnahmen, als sie hinter einem schöneren Slogan zu verstecken.
EU-Hosting ist nicht dasselbe wie perfekter Datenschutz
Die Speicherung zentraler Daten in Deutschland beseitigt einen Teil unnötiger grenzüberschreitender Komplexität.
Sie löst jedoch nicht jedes Datenschutz- oder Sicherheitsproblem.
Schlechte Zugriffskontrollen auf einem Server in Deutschland bleiben schlechte Zugriffskontrollen.
Schlechte Aufbewahrungspraktiken in Europa bleiben schlechte Aufbewahrungspraktiken.
Datenstandort ist eine Schicht.
Nicht das ganze System.
Ein append-only Einwilligungsprotokoll erzwingt nicht automatisch gute Entscheidungen
Eine korrekte Einwilligungsaufzeichnung liefert einen Nachweis darüber, was passiert ist.
Die technische Umsetzung muss diese Einwilligung aber weiterhin an den richtigen Stellen prüfen.
Ein gutes Schema ermöglicht korrektes Verhalten.
Es ersetzt keine Disziplin.
ExtMoney ist neu
Hier beschreiben wir die Architektur, die wir gebaut haben, und die Prinzipien dahinter.
Es ist noch keine Aussage, die auf zehn Jahren Betrieb oder jahrelanger regulatorischer Prüfung im großen Maßstab beruht.
Auch das sollte offen gesagt werden.
„DSGVO-konform“ ist weiterhin wichtig. Es ist nur nicht die ganze Frage.
Die Lehre aus der aktuellen Debatte über EU-US-Datenübertragungen lautet nicht, dass DSGVO-Konformität plötzlich bedeutungslos wäre.
Das ist sie nicht.
Die Lehre lautet:
Compliance-Labels allein sagen nicht genug darüber aus, wie eine Finanz-App mit Ihren Daten umgeht.
Sie sollten zusätzlich fragen können:
Wo werden sie gespeichert?
Wann verlassen sie diesen Ort?
Wer erhält sie?
Warum werden sie benötigt?
Was passiert, wenn ich Nein sage?
Wie verdient das Unternehmen Geld?
Diese Antworten beschreiben die tatsächliche Datenschutzarchitektur hinter der Datenschutzerklärung.
Für ExtMoney ist das Ziel klar:
Zentrale Finanzdaten standardmäßig in der EU hosten. Durch Abonnements statt durch Nutzerdaten finanziert werden. Offen benennen, wo externe Verarbeitung weiterhin notwendig ist. Und nachweisen können, wozu ein Nutzer tatsächlich eingewilligt hat — statt nur ein Häkchen zu speichern.
Auf diesen Standard arbeiten wir hin.
Und wenn Sie wissen möchten, wie ein Teil davon technisch funktioniert, fragen Sie uns. Wir gehen gern tiefer.