Datentransfer in Drittländer

Start › IT-Recht › Datenschutz › Datentransfer in Drittländer

US-Cloud, Support aus Indien, Konzernmutter in der Schweiz oder Großbritannien: Sobald personenbezogene Daten den Europäischen Wirtschaftsraum verlassen oder von dort aus abrufbar sind, gelten die Art. 44 ff. DSGVO. Wir prüfen Datenflüsse, wählen das passende Transferinstrument und erstellen die nötige Dokumentation.

Drittlandtransfer: Die zwei Prüfstufen

Jede Übermittlung braucht zunächst eine Rechtsgrundlage nach Art. 6 DSGVO, wie jede andere Verarbeitung. Zusätzlich muss für das Zielland ein angemessenes Schutzniveau gesichert sein. Als Übermittlung gilt auch der Fernzugriff aus einem Drittland, etwa durch Supportmitarbeiter eines Dienstleisters.

EU-US Data Privacy Framework: Stand November 2026

Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss (EU) 2023/1795 zum EU-US Data Privacy Framework. Übermittlungen an US-Unternehmen, die sich beim US-Handelsministerium zertifiziert haben, sind damit ohne weitere Garantien zulässig. Ob ein Empfänger zertifiziert ist und welche Datenkategorien (etwa HR-Daten) erfasst sind, lässt sich in der offiziellen DPF-Liste prüfen.

Das Gericht der EU hat die Nichtigkeitsklage des französischen Abgeordneten Philippe Latombe am 3. September 2025 abgewiesen (T-553/23). Gegen das Urteil ist ein Rechtsmittel beim EuGH anhängig (C-703/25 P). Ein Urteil liegt Stand November 2026 nicht vor. Das Rechtsmittel hat keine aufschiebende Wirkung; der Beschluss gilt weiter. Daneben bleibt eine Vorlage nationaler Gerichte an den EuGH möglich, und die Kommission überprüft den Rahmen regelmäßig. Ein Wegfall wie bei Safe Harbor 2015 und Privacy Shield 2020 ist deshalb nicht ausgeschlossen.

Angemessenheitsbeschlüsse

Für eine Reihe von Staaten hat die Kommission ein angemessenes Schutzniveau festgestellt, darunter die Schweiz, das Vereinigte Königreich, Japan, Südkorea, Kanada (für den privaten Sektor im Anwendungsbereich von PIPEDA), Israel und Neuseeland. Übermittlungen dorthin werden behandelt wie innerhalb der EU. Die Liste und die Laufzeiten einzelner Beschlüsse, etwa für das Vereinigte Königreich, sollten vor jedem Projekt aktuell geprüft werden.

Standardvertragsklauseln und Transfer Impact Assessment

Ohne Angemessenheitsbeschluss sind die Standardvertragsklauseln der Kommission von 2021 (Durchführungsbeschluss (EU) 2021/914) das übliche Instrument. Sie haben vier Module für die Konstellationen Verantwortlicher und Auftragsverarbeiter auf beiden Seiten. Die Klauseln dürfen nicht abgeändert werden; ergänzende Regelungen sind zulässig, soweit sie nicht widersprechen.

Seit dem Schrems-II-Urteil des EuGH (C-311/18) muss der Exporteur prüfen, ob Recht und Praxis im Zielland die Einhaltung der Klauseln verhindern, insbesondere durch Zugriffe von Behörden. Das Ergebnis wird im Transfer Impact Assessment festgehalten. Reicht das Schutzniveau nicht, sind zusätzliche Maßnahmen nötig, etwa Verschlüsselung mit Schlüssel im EWR oder Pseudonymisierung. Für Übermittlungen in die USA an zertifizierte Empfänger ist eine solche Prüfung nicht erforderlich; für nicht zertifizierte US-Empfänger kann das TIA nach Auffassung des Europäischen Datenschutzausschusses auf die Bewertung der US-Rechtslage im Angemessenheitsbeschluss zurückgreifen.

Weitere Instrumente

• Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) für Konzerne, genehmigt durch die Aufsichtsbehörde (Art. 47).
• Ausnahmen nach Art. 49, etwa ausdrückliche Einwilligung oder Erforderlichkeit für die Vertragserfüllung. Sie tragen nur gelegentliche Übermittlungen, keine laufenden Datenflüsse.
• Verhaltensregeln und Zertifizierungen nach Art. 46 Abs. 2 lit. e und f, in der Praxis bisher selten.

US CLOUD Act und europäische Rechenzentren

Ein Serverstandort in der EU schließt nicht aus, dass US-Behörden den US-Mutterkonzern zur Herausgabe verpflichten. Das ist kein Übermittlungstatbestand im engeren Sinn, aber ein Risiko, das in der Datenschutz-Folgenabschätzung und bei der Anbieterauswahl zu bewerten ist. Der Data Act verpflichtet Cloud-Anbieter zudem, über ihre Schutzmaßnahmen gegen unrechtmäßige Drittstaatenzugriffe zu informieren.

So gehen wir vor

1. Erfassung der Datenflüsse einschließlich Unterauftragnehmern und Fernzugriffen.
2. Zuordnung des Transferinstruments je Empfänger.
3. Abschluss der Standardvertragsklauseln und Erstellung der Transfer Impact Assessments.
4. Aktualisierung von Datenschutzhinweisen und Verzeichnis der Verarbeitungstätigkeiten.

Häufige Fragen

Reicht die DPF-Zertifizierung des Anbieters aus?

Für die Drittlandfrage ja, solange der Angemessenheitsbeschluss gilt. Auftragsverarbeitungsvertrag, Rechtsgrundlage und Informationspflichten bleiben daneben erforderlich.

Was passiert, wenn der EuGH das DPF kippt?

Übermittlungen, die nur darauf beruhen, würden unzulässig. Wer Standardvertragsklauseln als Rückfallebene vereinbart hat, kann weiterarbeiten, muss aber das Transfer Impact Assessment neu bewerten.

Ist die Nutzung von Tools mit US-Bezug auf der Website ein Drittlandtransfer?

Meist ja, etwa bei Analyse-, Schrift- oder Videodiensten, die IP-Adressen an US-Server senden. Neben dem Transfer ist dort die Einwilligung nach § 25 TDDDG zu prüfen.

Verwandte Themen

• Auftragsverarbeitung
• Microsoft 365 und Copilot
• Cloud Computing
• Digitale Souveränität
• Data Act