Drittlandübermittlung und EU-US Data Privacy Framework – Datentransfer nach DSGVO


Was ist eine Drittlandübermittlung?

Eine Drittlandübermittlung liegt vor, wenn personenbezogene Daten an einen Empfänger außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums (EWR) gehen oder dort abrufbar sind. Die DSGVO erlaubt das nur, wenn das Schutzniveau der Daten auch im Drittland gewahrt bleibt (Art. 44 ff. DSGVO). Die wichtigste Grundlage für Übermittlungen in die USA ist derzeit das EU-US Data Privacy Framework (DPF).

Eine Übermittlung ist nicht nur der bewusste Versand einer Datei. Auch wenn ein Cloud-Dienst Daten in den USA speichert, ein Support-Team aus Indien per Fernwartung zugreift oder eine Website Schriftarten und Tracking-Skripte von US-Servern lädt, können Daten in ein Drittland fließen.

Wann ist eine Übermittlung in ein Drittland erlaubt?

Die DSGVO prüft in zwei Stufen: Zuerst braucht jede Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO. Zusätzlich muss für das Drittland eine der folgenden Grundlagen vorliegen.

1. Angemessenheitsbeschluss

Die EU-Kommission kann feststellen, dass ein Land ein angemessenes Datenschutzniveau bietet (Art. 45 DSGVO). Dann dürfen Daten dorthin fließen wie innerhalb der EU. Solche Beschlüsse gibt es unter anderem für die Schweiz, Japan, Kanada und Südkorea. Für die USA gilt der Beschluss nur für Unternehmen, die nach dem Data Privacy Framework zertifiziert sind.

2. Standardvertragsklauseln

Gibt es keinen Angemessenheitsbeschluss, werden meist die Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 DSGVO, Durchführungsbeschluss (EU) 2021/914). Seit dem Schrems-II-Urteil des EuGH von 2020 reicht der Vertrag allein aber nicht: Der Exporteur muss prüfen, ob das Recht im Zielland den Schutz unterläuft, und bei Bedarf zusätzliche Maßnahmen ergreifen. Diese Prüfung heißt Transfer Impact Assessment (TIA).

3. Verbindliche interne Datenschutzvorschriften

Konzerne können für den Datenaustausch innerhalb der Unternehmensgruppe genehmigte Binding Corporate Rules (BCR) nutzen (Art. 47 DSGVO). Für den Mittelstand spielen sie selten eine Rolle.

4. Ausnahmen im Einzelfall

Art. 49 DSGVO erlaubt Übermittlungen ausnahmsweise, etwa mit ausdrücklicher Einwilligung oder wenn sie für die Erfüllung eines Vertrags mit der betroffenen Person nötig sind, zum Beispiel bei einer Hotelbuchung im Ausland. Für regelmäßige Übermittlungen sind diese Ausnahmen nicht gedacht.

Was ist das EU-US Data Privacy Framework?

Das EU-US Data Privacy Framework ist ein Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795). US-Unternehmen können sich beim US-Handelsministerium zertifizieren lassen und verpflichten sich damit zu bestimmten Datenschutzgrundsätzen. Daten dürfen dann ohne Standardvertragsklauseln an sie übermittelt werden.

Das DPF ist der dritte Anlauf: Die Vorgänger Safe Harbor und Privacy Shield hat der EuGH 2015 und 2020 gekippt, weil US-Behörden zu weitreichend auf Daten zugreifen konnten. Mit dem DPF hat die USA unter anderem den Zugriff der Nachrichtendienste begrenzt und ein Beschwerdeverfahren für EU-Bürger eingerichtet.

Wie sicher ist das Data Privacy Framework?

Das Gericht der Europäischen Union (EuG) hat das DPF am 3. September 2025 bestätigt und eine Nichtigkeitsklage abgewiesen (T-553/23, Latombe). Gegen das Urteil wurde Ende Oktober 2025 Rechtsmittel beim EuGH eingelegt (C-703/25 P). Das Verfahren läuft noch. Bis zu einer anderslautenden Entscheidung bleibt das DPF wirksam.

Ein Restrisiko bleibt also. Viele Unternehmen sichern sich deshalb doppelt ab und vereinbaren mit ihren US-Dienstleistern zusätzlich Standardvertragsklauseln. Fällt das DPF, ist die Übermittlung so weiter abgesichert.

Welche Pflichten haben Unternehmen bei Drittlandübermittlungen?

  • Übermittlungen kennen: Für jeden Dienstleister prüfen, wo die Daten gespeichert und von wo sie abgerufen werden, auch bei Unterauftragnehmern.
  • Zertifizierung prüfen: Bei US-Anbietern in der offiziellen Data Privacy Framework List nachsehen, ob die Zertifizierung aktiv ist und den jeweiligen Dienst abdeckt, und das Ergebnis dokumentieren.
  • Verträge abschließen: Mit Dienstleistern einen Auftragsverarbeitungsvertrag (AV-Vertrag) schließen und, wo nötig, Standardvertragsklauseln ergänzen.
  • Dokumentieren: Drittlandübermittlungen gehören ins Verzeichnis von Verarbeitungstätigkeiten (VVT).
  • Informieren: In der Datenschutzerklärung angeben, dass Daten in Drittländer übermittelt werden und auf welcher Grundlage.
  • Risiken senken: Verschlüsselung, bei der nur Sie den Schlüssel haben, oder die Wahl eines Anbieters mit Rechenzentrum in der EU verringern das Risiko deutlich.

Aus der Praxis

Wenn wir ein Datenschutzmandat übernehmen, finden wir Drittlandübermittlungen oft dort, wo niemand sie vermutet: auf der eigenen Website. Plugins und eingebundene Dienste senden Daten ungefragt an Drittanbieter, viele davon außerhalb der EU. Deshalb überwachen wir die Websites unserer Mandanten automatisiert rund um die Uhr und melden uns, sobald ein neuer Dienst auftaucht. Bei Software-Projekten prüfen wir zudem früh, ob es einen Anbieter mit Datenhaltung in der EU gibt oder ob sich die Lösung lokal betreiben lässt, wie bei unseren lokalen KI-Lösungen.

Häufige Fragen zur Drittlandübermittlung

Ist die Nutzung von US-Cloud-Diensten erlaubt?

Ja, wenn eine Grundlage nach Art. 44 ff. DSGVO besteht. Bei US-Anbietern ist das in der Regel die DPF-Zertifizierung oder es sind Standardvertragsklauseln mit zusätzlichen Schutzmaßnahmen.

Reicht ein Rechenzentrum in der EU?

Es hilft, löst aber nicht jedes Problem. Greift etwa ein Support-Team aus einem Drittland auf die Daten zu, liegt trotzdem eine Übermittlung vor. Auch der Zugriff von US-Behörden auf US-Unternehmen ist nicht allein durch den Serverstandort ausgeschlossen.

Wie prüfe ich, ob ein US-Anbieter zertifiziert ist?

In der öffentlichen Data Privacy Framework List des US-Handelsministeriums. Dort ist auch vermerkt, für welche Daten die Zertifizierung gilt.

Was ist mit Großbritannien und der Schweiz?

Für beide Länder bestehen Angemessenheitsbeschlüsse der EU-Kommission. Den Beschluss für das Vereinigte Königreich hat die Kommission im Dezember 2025 erneuert, er gilt bis Ende 2031. Übermittlungen sind damit ähnlich einfach wie innerhalb der EU.

Was passiert, wenn das DPF gekippt wird?

Dann entfällt die Grundlage für alle Übermittlungen, die nur auf dem DPF beruhen. Wer zusätzlich Standardvertragsklauseln vereinbart hat, kann diese Übermittlungen in der Regel fortsetzen, muss aber das Risiko im Zielland neu bewerten.

Fazit

Drittlandübermittlungen sind im Alltag kaum zu vermeiden, sei es durch Cloud-Dienste, Software-Support oder die eigene Website. Erlaubt sind sie, wenn eine Grundlage wie das Data Privacy Framework oder Standardvertragsklauseln besteht und das Unternehmen sie kennt und dokumentiert. Wer seine Dienstleister regelmäßig prüft und doppelt absichert, ist auch auf eine mögliche Entscheidung des EuGH vorbereitet.

Verwandte Begriffe im Glossar

Quellen und Rechtsgrundlagen

Wissen Sie, wohin Ihre Daten fließen?

Wir prüfen Ihre Dienstleister, Cloud-Dienste und Ihre Website auf Drittlandübermittlungen und sichern sie rechtlich ab.

  • Prüfung von DPF-Zertifizierungen, AV-Verträgen und Standardvertragsklauseln
  • Website-Monitoring rund um die Uhr inklusive
  • Als Teil unseres Datenschutzmandats ab 179 € netto im Monat

Sprechen Sie uns an – wir beraten Sie gern.

Beratung anfragen

Unser Angebot: Datenschutzbeauftragter

Telefon 02941 / 9787-0 · E-Mail info@hmcplus.de

Zur Glossar-Übersicht