Die Demokraten haben bei den US-Zwischenwahlen am 3. November 2026 beide Kammern des Kongresses gewonnen. Für Europas digitale Souveränität ändert das an den Grundproblemen nichts: Die rechtlichen Zugriffsbefugnisse der USA, die Machtkonzentration in der Exekutive und Europas technologische Abhängigkeit bleiben bestehen.

Laut den Projektionen von CBS News und CNN übernehmen die Demokraten ab Jahresbeginn 2027 Repräsentantenhaus und Senat. Im Senat hielten sie nach dem Stand vom Mittwochmorgen 54 Sitze gegen 44 der Republikaner, zwei Rennen (Alaska, Mississippi) waren noch offen. Die Associated Press rief das Repräsentantenhaus in der Nacht auf Mittwoch für die Demokraten aus (Forbes).

In europäischen IT-Abteilungen liegt jetzt eine bequeme Schlussfolgerung nahe: Der Druck lässt nach, die Exit-Strategie aus US-Clouds kann warten. Diese Schlussfolgerung ist falsch. Ein Wechsel der Mehrheiten verändert den politischen Ton und einige Verfahren in Washington. Er verändert nicht die Rechtslage, auf der das Risiko für europäische Daten beruht.
Was sich tatsächlich ändert

Der Kongress gewinnt Kontrollmacht gegenüber dem Weißen Haus. Ausschüsse können Anhörungen ansetzen, Dokumente anfordern und Haushaltsmittel an Bedingungen knüpfen. Für Europa ist das vor allem bei drei Themen relevant.

  • Erstens die Überwachungsbefugnisse nach Section 702 FISA. Das Gesetz ist am 12. Juni 2026 erstmals seit 2008 ausgelaufen. Die Überwachung läuft trotzdem weiter, weil der FISA Court die Zertifizierungen am 17. März 2026 genehmigt hat und diese bis 17. März 2027 gelten (Brennan Center). Die Verlängerung muss also der neue Kongress verhandeln. Im Frühjahr scheiterten Verlängerungen vor allem am Streit über eine Richtervorbehaltspflicht für Abfragen mit Bezug zu US-Bürgerinnen und -Bürgern (Washington Times).
  • Zweitens die Handels- und Digitalpolitik. Drohungen mit Zöllen gegen europäische Digitalregulierung wie DMA und DSA gehen von der Exekutive aus. Ein demokratisch geführter Kongress kann sie politisch begleiten und kritisieren, die Zollkompetenz des Präsidenten aber nicht ohne Weiteres zurücknehmen.
  • Drittens die Aufsicht über Bundesbehörden. Anhörungen zu FTC, PCLOB oder Justizministerium werden wahrscheinlicher. Das schafft Transparenz, aber keine neuen Garantien.
Was sich nicht ändert

Die Rechtsgrundlagen für den Zugriff auf Daten in US-Hand sind überparteilich gewachsen und überstehen jeden Mehrheitswechsel.

Der CLOUD Act von 2018 verpflichtet US-Anbieter, Daten auf behördliche Anordnung herauszugeben, unabhängig vom Speicherort. Ein Rechenzentrum in Frankfurt oder Wien ändert daran nichts, solange der Betreiber der US-Jurisdiktion unterliegt. Eine Mehrheit im Kongress, die dieses Gesetz einschränken will, ist nicht in Sicht.

Section 702 FISA wurde seit 2008 von wechselnden Mehrheiten mehrfach verlängert. Auch Demokraten haben im April 2026 für eine dreijährige Verlängerung gestimmt: 42 von ihnen votierten mit Ja (5 Calls). Der Streit dreht sich um den Schutz von US-Personen. Der Schutz von Nicht-US-Personen, also von Europäerinnen und Europäern, ist in Washington kein mehrheitsfähiges Thema.

Dazu kommt eine strukturelle Veränderung, die nicht vom Kongress abhängt. Der Supreme Court hat am 29. Juni 2026 in Trump v. Slaughter mit 6 zu 3 entschieden, dass der Präsident FTC-Kommissare ohne Grund abberufen darf, und damit den Präzedenzfall Humphrey's Executor von 1935 aufgegeben (Faegre Drinker). Die Unabhängigkeit von Aufsichtsbehörden ist damit verfassungsrechtlich geschwächt, egal wer im Kongress die Mehrheit hat.

Schließlich beruht der Rechtsschutz für Europäer im Bereich der Nachrichtendienste auf der Executive Order 14086. Eine Executive Order kann jeder Präsident mit einer Unterschrift ändern oder aufheben. Der Kongress hat sie nie in ein Gesetz überführt.
Data Privacy Framework: Angemessenheit auf Widerruf

Das EU-US Data Privacy Framework (Angemessenheitsbeschluss nach Art. 45 DSGVO) ist gültig, steht aber auf drei wackeligen Beinen, die keine Kongresswahl stabilisiert.

Baustein

Stand November 2026

Abhängig vom Kongress?

Rechtsschutz über den Data Protection Review Court

Grundlage ist EO 14086, nicht ein Gesetz

Nein, Exekutive

Aufsicht durch die FTC

Unabhängigkeit seit Trump v. Slaughter aufgehoben

Nein, Verfassungsrecht

Section 702 FISA

Gesetz ausgelaufen, Zertifizierung bis 17. März 2027

Ja, aber Schutz von Nicht-US-Personen kein Thema

Gerichtliche Prüfung

Rechtsmittel Latombe (C-703/25 P) beim EuGH anhängig

Nein

Das EuG hat die Klage von Philippe Latombe im September 2025 abgewiesen, das Rechtsmittel ist seit 31. Oktober 2025 beim EuGH anhängig (EDPL). noyb hat nach Trump v. Slaughter die Kommission aufgefordert, den Angemessenheitsbeschluss zurückzuziehen, und argumentiert, dieselbe Logik treffe auch das PCLOB (PPC Land). Der EDSA hat die Kommission ersucht, die Auswirkungen auf das DPF zu prüfen (Faegre Drinker).

Die Gegenposition verdient Erwähnung: Fachleute wie die Autoren eines IAPP-Beitrags halten das DPRC für nicht unmittelbar betroffen, weil die FTC keine Zuständigkeit für Nachrichtendienste hat. Ob der EuGH dem folgt, ist offen. Gerade diese Offenheit ist das Risiko: Wer Datenübermittlungen allein auf das DPF stützt, baut auf einer Grundlage, die Schrems I und Schrems II in ähnlicher Konstellation schon zweimal zu Fall gebracht haben.

Das eigentliche Problem liegt in Europa

Die größte Schwachstelle ist nicht die Politik in Washington, sondern Europas eigene Abhängigkeit. Nach einer von der Kommission zitierten Zahl bezieht die EU mehr als 80 Prozent ihrer zentralen digitalen Produkte, Dienste, Infrastruktur und Schutzrechte aus Drittstaaten (Silicon Canals).

Mit dem am 3. Juni 2026 vorgelegten Cloud and AI Development Act (CADA, COM(2026) 502) reagiert die Kommission darauf. Der Vorschlag sieht einen EU-weiten Souveränitätsrahmen mit vier Assurance-Stufen für Cloud-Dienste vor, verpflichtet die Mitgliedstaaten zu Souveränitäts-Risikobewertungen und soll die Rechenzentrumskapazität in der EU verdreifachen (Jones Day). Zu den Bewertungskriterien gehören ausdrücklich die Exposition gegenüber Drittstaatsrecht, Eigentum und Kontrolle sowie die Fähigkeit, Eingriffe aus Drittstaaten abzuwehren (Wilson Sonsini).

Das ist der richtige Ansatz, weil er an der Kontrolle ansetzt und nicht am Speicherort. Aber es ist ein Vorschlag im ordentlichen Gesetzgebungsverfahren, und er betrifft zunächst die öffentliche Beschaffung. Ob Rat und Parlament die stärkeren Stufen halten, wenn der Lobbydruck zunimmt, entscheidet sich in den kommenden Monaten. Eine neue Mehrheit in Washington nimmt Europa diese Entscheidung nicht ab und rechtfertigt auch kein Nachlassen.

Was Unternehmen jetzt tun sollten

Die Risikolandschaft ist nach der Wahl dieselbe wie davor. Wer seine Planung an US-Mehrheiten koppelt, macht ein Rechtsrisiko zum politischen Wettschein. Konkret empfehlen sich fünf Schritte:

  1. Transfer Impact Assessments aktualisieren: Die Bewertung nach Art. 46 DSGVO und den EDSA-Empfehlungen 01/2020 muss Trump v. Slaughter und das Auslaufen von Section 702 ausdrücklich berücksichtigen.
  2. Übermittlungsgrundlagen doppelt absichern: DPF-gestützte Transfers zusätzlich mit Standardvertragsklauseln unterlegen, damit ein Wegfall des Angemessenheitsbeschlusses nicht zum Stillstand führt.
  3. Abhängigkeiten inventarisieren: Welche Prozesse hängen an US-Anbietern, und unterliegen diese dem CLOUD Act? Das ist für NIS2-Einrichtungen ohnehin Teil des Lieferkettenrisikos nach Art. 21 Abs. 2 lit. d NIS2 bzw. § 32 NISG 2026, für Finanzunternehmen nach Art. 28 DORA.
  4. Exit-Strategien belastbar machen: Daten- und Workload-Portabilität testen, die Wechselrechte nach Art. 23 ff. Data Act nutzen, Verschlüsselung mit Schlüsselhoheit außerhalb der US-Jurisdiktion umsetzen.
  5. Den CADA-Rahmen vorwegnehmen: Bei neuen Ausschreibungen schon heute nach Kontrolle, Eigentum und Drittstaatsrecht fragen, nicht nur nach dem Standort des Rechenzentrums.

Die Fristen, die zählen, sind der 17. März 2027 für Section 702 und eine EuGH-Entscheidung im Fall Latombe, die Kommentatoren eher 2027 als früher erwarten. Beides liegt außerhalb des Einflusses europäischer Unternehmen. Die eigene Resilienz liegt innerhalb.

Fazit

Die Midterms verändern die politische Temperatur in Washington, nicht die Architektur des Risikos. CLOUD Act, FISA 702, die Abhängigkeit des Rechtsschutzes von einer Executive Order und die geschwächte Unabhängigkeit der Aufsichtsbehörden bleiben. Auch eine demokratische Mehrheit wird den Schutz europäischer Daten nicht zu ihrem Projekt machen, weil er in der US-Innenpolitik keine Wählerschaft hat.

Digitale Souveränität ist deshalb keine Reaktion auf eine bestimmte US-Regierung. Sie ist eine Frage der Kontrolle über die eigenen Daten, Systeme und Abhängigkeiten. Diese Frage beantwortet Europa selbst, oder sie wird für Europa beantwortet.

Quellen