Drittlandtransfer und US-Tools – Datenübermittlung nach Art. 44 ff. DSGVO

Kaum ein Unternehmen kommt ohne Dienste aus den USA oder anderen Ländern außerhalb der EU aus: Cloud-Speicher, Office-Pakete, CRM, Videokonferenzen, Analyse-Tools, KI-Assistenten. Jede Übermittlung personenbezogener Daten in ein Drittland braucht eine tragfähige Grundlage nach Kapitel V der DSGVO. Wir prüfen Ihre Datenflüsse, wählen das passende Transferinstrument und dokumentieren es so, dass es einer Prüfung standhält.

Das Grundprinzip

Eine Übermittlung in ein Drittland ist nur zulässig, wenn neben einer Rechtsgrundlage für die Verarbeitung selbst auch die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Das Schutzniveau der DSGVO darf durch die Übermittlung nicht untergraben werden. Als Übermittlung gilt auch der Fernzugriff, etwa durch einen Support-Dienstleister in Indien auf Ihre Server in Frankfurt.

Die Transferinstrumente im Überblick

• Angemessenheitsbeschlüsse (Art. 45): Die EU-Kommission hat für eine Reihe von Staaten ein angemessenes Schutzniveau festgestellt, etwa für die Schweiz, das Vereinigte Königreich, Japan, Südkorea und Kanada (für den kommerziellen Bereich). Übermittlungen dorthin sind wie innerhalb der EU möglich.
• EU-US Data Privacy Framework (DPF): Seit dem Angemessenheitsbeschluss vom 10. Juli 2023 dürfen Daten an US-Unternehmen übermittelt werden, die nach dem DPF zertifiziert sind. Prüfen Sie die Zertifizierung des konkreten Anbieters in der offiziellen DPF-Liste.
• Standardvertragsklauseln (Art. 46 Abs. 2 lit. c): Die von der Kommission 2021 erlassenen Klauseln (Durchführungsbeschluss (EU) 2021/914) sind das wichtigste Instrument für nicht zertifizierte Empfänger und für andere Drittländer. Sie erfordern eine Bewertung der Rechtslage im Empfängerland (Transfer Impact Assessment) und gegebenenfalls zusätzliche Maßnahmen.
• Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, Art. 47) für Konzerne.
• Ausnahmen nach Art. 49, etwa die ausdrückliche Einwilligung oder die Erforderlichkeit für die Vertragserfüllung. Sie eignen sich nur für gelegentliche, nicht für regelmäßige Massenübermittlungen.

Von Schrems II zum Data Privacy Framework

Mit dem Urteil vom 16. Juli 2020 (C-311/18, „Schrems II“) erklärte der EuGH den Vorgänger, das EU-US Privacy Shield, für ungültig, weil US-Überwachungsgesetze keinen gleichwertigen Schutz boten. Standardvertragsklauseln blieben zulässig, aber nur mit Einzelfallprüfung. Nach US-Reformen (Executive Order 14086, Data Protection Review Court) erließ die Kommission den DPF-Angemessenheitsbeschluss. Das Gericht der EU hat eine Nichtigkeitsklage dagegen mit Urteil vom 3. September 2025 abgewiesen (T-553/23, Latombe). Gegen dieses Urteil war ein Rechtsmittel zum EuGH möglich; der Angemessenheitsbeschluss gilt fort, solange er nicht aufgehoben wird.

Verlassen Sie sich nicht allein auf das DPF. Vereinbaren Sie mit US-Anbietern zusätzlich Standardvertragsklauseln als Rückfallebene; viele große Anbieter haben das in ihre Vertragswerke ohnehin aufgenommen. Fällt das DPF, müssen Sie dann nicht kurzfristig umstellen.

Typische Prüffälle

• Office- und Kollaborations-Suiten mit Datenresidenz in der EU, aber Support- und Telemetriedaten in die USA,
• Website-Tools wie Analytics, Schriften, Videos und Werbepixel (siehe Cookie-Banner und Consent),
• CRM- und Marketing-Automation-Plattformen,
• KI-Dienste, bei denen Eingaben an Modelle außerhalb der EU gesendet werden (siehe KI und Datenschutz),
• Personaldaten in internationalen Konzern-HR-Systemen,
• Entwicklungs- und Supportdienstleister in Drittstaaten ohne Angemessenheitsbeschluss.

Unser Vorgehen

1. Wir erfassen, welche Daten an wen in welches Land fließen, einschließlich der Unterauftragsverarbeiter.
2. Wir wählen das passende Instrument: Angemessenheitsbeschluss, DPF, Standardvertragsklauseln (passendes Modul) oder Ausnahme.
3. Wir erstellen das Transfer Impact Assessment und legen zusätzliche Maßnahmen fest, etwa Verschlüsselung mit Schlüsselhoheit in der EU oder Pseudonymisierung.
4. Wir stimmen AV-Vertrag und Klauseln aufeinander ab.
5. Wir passen die Angaben in der Datenschutzerklärung und im Verarbeitungsverzeichnis an.

Häufige Fragen

Ist ein Server-Standort in der EU ausreichend?

Nicht immer. Entscheidend ist, ob Daten tatsächlich in ein Drittland übermittelt oder von dort abgerufen werden, etwa durch Support, Administration oder Unterauftragsverarbeiter. Zudem kann US-Recht Anbieter zur Herausgabe verpflichten; das ist im Transfer Impact Assessment zu berücksichtigen.

Was gilt für das Vereinigte Königreich und die Schweiz?

Für beide Staaten bestehen Angemessenheitsbeschlüsse der EU-Kommission. Übermittlungen sind daher ohne zusätzliche Garantien möglich; maßgeblich ist der jeweils aktuelle Stand der Beschlüsse.