In den USA gehostet. Nach der GDPR rechtmäßig.

Beide wurden aus denselben Gründen gekippt: US-Recht gab den Nachrichtendiensten breiten Zugriff und Menschen in Europa keinen Rechtsweg. Die Executive Order 14086 hat das US-Recht in beiden Punkten geändert, und der Data Protection Review Court existiert.

Das Gericht der EU hat genau diese Punkte geprüft und den Angemessenheitsbeschluss am 3. September 2025 bestätigt. Der Fall liegt jetzt beim Gerichtshof (C-703/25 P), der noch nicht entschieden hat. Bis ein Gericht anders entscheidet, ist der Beschluss in jedem Mitgliedstaat verbindliches EU-Recht.

Beide Gesetze gibt es, und wir tun nicht so, als wäre es anders. Datenerhebung nach FISA Section 702 ist jetzt an die Executive Order 14086 gebunden: an definierte Ziele geknüpft, notwendig, verhältnismäßig und durch den Data Protection Review Court überprüfbar. Die Kommission hat das in ihrem Angemessenheitsbeschluss bewertet.

Beim CLOUD Act geht es um strafrechtliche Ermittlungen. Er funktioniert über rechtliche Verfahren für konkrete Konten, etwa einen Durchsuchungsbeschluss oder eine gerichtliche Anordnung, nicht über Massenerhebung. Er gilt für jeden Anbieter unter US-Gerichtsbarkeit, egal wo die Server stehen. Wie jedes Unternehmen kann Cal.com verpflichtet sein, Daten aufgrund rechtmäßiger Anfragen öffentlicher Behörden offenzulegen.

Dann brauchen Übermittlungen ein anderes Instrument, wie die DSK in ihren Anwendungshinweisen feststellt. Unseres ist bereits eingerichtet: Der AVV enthält die Standardvertragsklauseln von 2021, und sie gelten für jede Übermittlung, die das Framework nicht abdeckt (AVV-Abschnitt 12).

Die Schutzmaßnahmen der Executive Order 14086 sind US-Recht. Sie gelten für alle Daten, die in die USA gesendet werden, unabhängig vom Übermittlungsinstrument, wie der Europäische Datenschutzausschuss betont. Organisationen, die überhaupt keine Übermittlungsfrage wollen, können mit uns über Cal.eu sprechen.

Nein. Eine TIA und zusätzliche Maßnahmen gehören zu Übermittlungen, die auf Instrumenten nach Artikel 46 wie Standardvertragsklauseln beruhen. Für Übermittlungen an gelistete Unternehmen ist der Informationsvermerk des Europäischen Datenschutzausschusses eindeutig: kein Instrument nach Artikel 46 und keine zusätzlichen Maßnahmen.

Nicht für die Übermittlung. Artikel 45 GDPR ist die Grundlage dafür, daher kommt die Einwilligungsausnahme in Artikel 49 nicht zum Tragen. Die Buchung selbst braucht eine Rechtsgrundlage nach Artikel 6, wie bei jedem Terminplanungstool in jedem Land.

Unter dem Framework bedeuten HR-Daten personenbezogene Daten über die eigenen Mitarbeitenden eines zertifizierten Unternehmens, die im Beschäftigungsverhältnis erhoben werden. Die DSK weist darauf hin, dass die US-Seite den Begriff so versteht. Cal.com verarbeitet Konto- und Buchungsdaten als Dienst für seine Kunden; das sind Nicht-HR-Daten.

Deutsche Behörden verlangen von Exporteuren, Mitarbeiterdaten genau zu prüfen, die im Beschäftigungskontext gesendet werden. Wenn du die strengere Sichtweise zugrunde legst, decken die Standardvertragsklauseln in unserem AVV diese Übermittlung ab.

Das Vereinigte Königreich: ja. Cal.com, Inc. ist unter der UK Extension to the EU-U.S. Data Privacy Framework zertifiziert, in Kraft seit dem 12. Oktober 2023. Schweiz: Cal.com ist nicht unter dem Swiss-U.S. Data Privacy Framework zertifiziert. Übermittlungen aus der Schweiz stützen sich auf die Standardvertragsklauseln mit den Schweizer Ergänzungen in unserem SCC-Anhang.

Schreibe zuerst an [email protected]. Wir beantworten Beschwerden zum Framework innerhalb von 45 Tagen. Wenn das die Sache nicht klärt, hat Cal.com sich verpflichtet, mit dem Gremium der EU-Datenschutzbehörden zusammenzuarbeiten und dessen Empfehlungen zu befolgen. Für die Person, die Beschwerde einlegt, ist das kostenlos.

Eine Beschwerde über den Zugriff durch US-Nachrichtendienste geht an deine nationale Datenschutzbehörde, die sie über den Europäischen Datenschutzausschuss weiterleitet. Unsere Datenschutzerklärung enthält die Details.

Nein. Das ist unsere Auslegung der unten aufgeführten öffentlichen Quellen. Das Datum der letzten Prüfung steht oben auf dieser Seite. Dein Datenschutzbeauftragter entscheidet für deine Organisation, und wir beantworten Fragen dazu gerne unter [email protected].