Das Problem mit einer Datenverarbeitung durch US Unternehmen (zum Beispiel sog. Cloud-Anwendungen, bei denen die Server in den USA stehen) liegt darin, dass der Datenschutzstandard in den USA erheblich niedriger ist als in der EU (auf Grundlage der DSGVO) und, dass deshalb die datenschutzrechtlichen Verpflichtungen, die in der EU bestehen bei einer Übermittlung der Daten in ein Land außerhalb der EU bzw. des EWR nicht immer gewährleistet sind. In den USA kommt hinzu, dass staatliche Behörden aufgrund der dortigen Anti-Terror-Gesetzes umfassende Zugriffsmöglichkeiten auf personenbezogene Daten haben. Daher muss in diesen Fällen mit dem Auftragsverarbeiter eine vertragliche Vereinbarung getroffen werden, wonach die Daten innerhalb der EU gehostet werden oder aber der US-Anbieter muss nach dem sogenannten Privacy Shield zertifiziert sein und die Verträge müssen entsprechend angepasst sein. Hier sollte unbedingt die aktuelle Gesetzesentwicklung auf europäischer Ebene beobachtet werden, da verschiedene Verordnungen geplant sind, die dies detailliert regeln sollen.