Internationale Datenübermittlungen nach dem Data Privacy Framework

Internationale Datenübermittlung nach dem Data Privacy Framework

Jede internationale Datenübermittlung aus Deutschland in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) unterliegt Kapitel V der Datenschutz-Grundverordnung (DSGVO). Eine Übermittlung ist nur zulässig, wenn für das Zielland ein Angemessenheitsbeschluss besteht (Art. 45 DSGVO), wenn geeignete Garantien wie Standardvertragsklauseln (Standard Contractual Clauses, SCC) oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) vorhanden sind (Art. 46 DSGVO) oder wenn eine eng auszulegende Ausnahme eingreift (Art. 49 DSGVO).

Für die Vereinigten Staaten ist seit dem 10.7.2023 das EU-US Data Privacy Framework (DPF) das zentrale Instrument: Der Angemessenheitsbeschluss der Europäischen Kommission (Durchführungsbeschluss (EU) 2023/1795) erlaubt Übermittlungen an US-Organisationen, die sich nach dem Rahmen selbst zertifiziert haben. Im September 2025 hat das Gericht der Europäischen Union den Beschluss gegen eine Klage bestätigt, und der Rahmen gilt auch im November 2026 fort.

Eine internationale Datenübermittlung beschränkt sich nicht auf offensichtliche Fälle wie das Versenden von Dateien an einen ausländischen Kunden. Sie liegt immer dann vor, wenn personenbezogene Daten einem Empfänger außerhalb des EWR zugänglich gemacht werden – über Cloud-Dienste, Software-Support, Konzern-IT, ausgelagerte Callcenter, Recruiting-Plattformen, Analysetools und KI-Dienste. In einem typischen deutschen Unternehmen gibt es Dutzende solcher Datenflüsse, und für jede einzelne internationale Datenübermittlung muss eine tragfähige Rechtsgrundlage nach Kapitel V DSGVO vorliegen.

Für deutsche Unternehmen stellen sich in der Praxis folgende Fragen: Welcher Mechanismus gilt für den jeweiligen Datenfluss, ist ein Transfer Impact Assessment erforderlich, wie geht man mit US-Cloud-Anbietern und Konzerngesellschaften um, und was ist zu tun, falls das DPF für ungültig erklärt würde, so wie seine Vorgänger in Schrems I (2015) und Schrems II (2020)?

Das Data Privacy Framework und das Latombe-Urteil

Das DPF beruht auf Zusagen der USA in der Executive Order 14086 vom 7.10.2022, die die Garantien für nachrichtendienstliche Tätigkeiten (Signals Intelligence) verstärkt hat, sowie auf einem neuen Rechtsbehelfsmechanismus einschließlich des Data Protection Review Court (DPRC). US-Organisationen zertifizieren sich beim US-Handelsministerium (Department of Commerce) selbst, verpflichten sich auf die DPF-Grundsätze und werden öffentlich gelistet; Für eine internationale Datenübermittlung an gelistete Organisationen im Rahmen ihrer Zertifizierung sind keine weiteren Garantien erforderlich.

Ein französischer Abgeordneter hat den Angemessenheitsbeschluss vor dem Gericht der Europäischen Union angefochten. Mit Urteil vom 3.9.2025 in der Rechtssache Latombe/Kommission, T-553/23, hat das Gericht die Klage abgewiesen.

Nach der Pressemitteilung des Gerichts stellte es fest, dass die Richter des DPRC über Garantien verfügen, die ihre Unabhängigkeit sichern – sie können nur vom Attorney General und nur aus wichtigem Grund abberufen werden –, und dass Schrems II keine vorherige unabhängige Genehmigung der Massenerhebung verlangt, sofern zumindest eine nachträgliche gerichtliche Kontrolle besteht, die der DPRC gewährleistet. Das Gericht betonte zudem, dass die Kommission den US-Rechtsrahmen fortlaufend überwachen muss und den Beschluss aussetzen, ändern oder aufheben kann, wenn sich dieser ändert. Gegen das Urteil wurde ein Rechtsmittel zum Gerichtshof eingelegt, das letzte Wort ist also noch nicht gesprochen.

Standardvertragsklauseln und Transfer Impact Assessments

Wenn kein Angemessenheitsbeschluss die Übermittlung erfasst, verwenden die meisten Unternehmen die Standardvertragsklauseln der Kommission von 2021, die Module für Übermittlungen von Verantwortlichem zu Verantwortlichem, von Verantwortlichem zu Auftragsverarbeiter, von Auftragsverarbeiter zu Auftragsverarbeiter und von Auftragsverarbeiter zu Verantwortlichem bieten. Seit Schrems II müssen Datenexporteure prüfen, ob Recht und Praxis des Ziellandes es dem Importeur erlauben, die Klauseln einzuhalten – das Transfer Impact Assessment (TIA) –, und erforderlichenfalls ergänzende Maßnahmen ergreifen, etwa eine Verschlüsselung mit in der EU verwahrten Schlüsseln oder eine Pseudonymisierung.

Bei Übermittlungen an US-Empfänger ohne DPF-Zertifizierung ist die Bewertung des US-Überwachungsrechts und der Rechtsbehelfe im Rahmen des DPF auch für TIAs relevant, weil die Executive Order 14086 und der DPRC für alle Übermittlungen in die USA gelten, unabhängig vom Übermittlungsinstrument. Viele Unternehmen stützen sich daher bei der Dokumentation von TIAs für SCC-basierte US-Übermittlungen auf die Feststellungen der Kommission. Die Bewertung sollte gleichwohl den konkreten Empfänger berücksichtigen: die Art der Daten, ob der Importeur besonderen Überwachungsgesetzen unterliegt und welche vertraglichen und technischen Garantien er bietet.

Cloud- und SaaS-Anbieter

Die meisten Fälle internationaler Datenübermittlung finden heute über Cloud- und Softwareanbieter statt. Zu den zentralen Fragen für deutsche Kunden gehören:

• Wo werden Daten gespeichert und verarbeitet, auch für Support, Wartung und Backups?
• Welche verbundenen Unternehmen und Unterauftragsverarbeiter in Drittländern haben Zugriff, und auf Grundlage welches Instruments?
• Ist der Anbieter (oder seine US-Muttergesellschaft) DPF-zertifiziert, und erfasst die Zertifizierung die betreffenden Daten, einschließlich Personaldaten?
• Wie geht der Anbieter mit Zugriffsersuchen ausländischer Behörden um, und welche Transparenzberichte und Zusagen zur Anfechtung solcher Ersuchen bietet er?
• Welche technischen Maßnahmen – Verschlüsselung, Schlüsselverwaltung, EU-Datengrenzen – stehen zur Verfügung?

Ein Fernzugriff aus einem Drittland, etwa durch einen Support-Techniker, ist eine Übermittlung, auch wenn die Daten auf Servern in der EU verbleiben. Auftragsverarbeitungsverträge nach Art. 28 DSGVO müssen mit den Übermittlungsklauseln abgestimmt sein, und Kunden sollten prüfen, ob ihre Prüf- und Benachrichtigungsrechte auch Unterauftragsverarbeiter im Ausland erfassen. Bietet ein Anbieter Dienste mit EU-Datengrenze an, sollten die vertraglichen Zusagen und ihre Ausnahmen sorgfältig gelesen werden.

Personaldaten, Weiterübermittlungen und Umfang der Zertifizierung

Personaldaten verdienen besondere Aufmerksamkeit. US-Organisationen müssen Personaldaten (HR-Daten) ausdrücklich in ihre DPF-Zertifizierung aufnehmen, wenn sie Beschäftigtendaten auf Grundlage des Rahmens empfangen wollen; viele Zertifizierungen erfassen nur Nicht-Personaldaten. Deutsche Arbeitgeber, die Beschäftigtendaten für globale HR-Systeme, Vergütung oder Talentmanagement an eine US-Muttergesellschaft übermitteln, müssen daher den Umfang der Zertifizierung der Muttergesellschaft prüfen oder Standardvertragsklauseln verwenden. Parallel gelten die Mitbestimmungsrechte des Betriebsrats bei technischen Einrichtungen, die zur Überwachung von Beschäftigten geeignet sind; siehe unsere Seite zu Betriebsräten.

Weiterübermittlungen sind eine weitere häufige Lücke. Ein DPF-zertifizierter US-Empfänger darf Daten nur nach dem Grundsatz der Weiterübermittlung (Onward Transfer) des Rahmens an Dritte weitergeben, der Verträge mit gleichwertigem Schutz verlangt. Bei SCC-basierten Übermittlungen regeln die Klauseln selbst die Weiterübermittlung. Exporteure sollten deshalb von den Empfängern ihre Listen der Unterauftragsverarbeiter und Weiterübermittlungen anfordern und regelmäßig aktualisieren.

Notfallplanung: Was, wenn das DPF fällt?

Angesichts der Geschichte von Safe Harbor und Privacy Shield planen umsichtige Unternehmen für eine mögliche Ungültigerklärung. Praktische Schritte sind, Standardvertragsklauseln mit US-Anbietern als Rückfallebene beizubehalten (viele Anbieter nehmen sie in ihre Bedingungen auf), TIAs aktuell zu halten, zu prüfen, welche Daten in der EU lokalisiert werden könnten, und ergänzende Maßnahmen zu dokumentieren. Würde der Rahmen für ungültig erklärt, verlöre jede internationale Datenübermittlung, die sich allein auf ihn stützt, sofort ihre Rechtsgrundlage, während SCC-basierte Übermittlungen neu bewertet werden müssten, aber fortgesetzt werden könnten, soweit das TIA sie trägt.

Übermittlungen in andere Länder

Angemessenheitsbeschlüsse bestehen auch für Länder wie das Vereinigte Königreich, die Schweiz, Japan, Südkorea, Kanada (für kommerzielle Organisationen), Israel und weitere, und die Kommission überprüft und ergänzt die Liste regelmäßig. Für China, Indien und viele andere wichtige Märkte stützt sich die internationale Datenübermittlung in der Regel auf Standardvertragsklauseln und TIAs, mitunter kombiniert mit lokalen Datenexportvorschriften des Ziellandes. Weltweit tätige Konzerne sollten verbindliche interne Datenschutzvorschriften für konzerninterne Übermittlungen in Betracht ziehen; siehe unseren Beitrag zu konzerninternem Datenaustausch und Datenübermittlungen.

Nicht personenbezogene Daten und der Data Act

Die internationale Datenübermittlung nicht personenbezogener Daten unterliegt nicht der DSGVO, der Data Act fügt aber für Anbieter von Datenverarbeitungsdiensten eine eigene Ebene hinzu. Nach dem Data Act müssen Cloud- und andere Anbieter von Datenverarbeitungsdiensten angemessene technische, organisatorische und rechtliche Maßnahmen ergreifen, um einen internationalen behördlichen Zugriff auf in der EU gespeicherte nicht personenbezogene Daten zu verhindern, wenn ein solcher Zugriff im Widerspruch zum Unionsrecht oder zum nationalen Recht stünde, und sie müssen Informationen über ihre Schutzmaßnahmen veröffentlichen. Für deutsche Unternehmen, die Cloud-Dienste für Industrie- und Betriebsdaten nutzen, schafft dies zusätzliche Sicherheit und eine bessere Verhandlungsposition. Siehe unseren Beitrag zum Cloud-Wechsel nach dem Data Act.

Dokumentation und Rechenschaftspflicht

Der Grundsatz der Rechenschaftspflicht verlangt, dass Exporteure die Einhaltung der Vorschriften nachweisen können. In der Praxis bedeutet das: ein Verzeichnis von Verarbeitungstätigkeiten, das Drittlandübermittlungen ausweist, ein Übermittlungsregister mit Instrumenten und Bewertungen, Kopien der unterzeichneten Standardvertragsklauseln und der Zertifizierungsprüfungen, regelmäßig überprüfte TIAs und Nachweise über ergänzende Maßnahmen. Behörden und Prüfer achten häufig darauf, ob TIAs tatsächlich auf die konkrete Übermittlung zugeschnitten sind oder nur generische Vorlagen darstellen. Eine kurze, spezifische Bewertung je Übermittlungskategorie überzeugt in der Regel mehr als ein langes generisches Dokument, das keinen Bezug zu den tatsächlichen Datenflüssen erkennen lässt.

Fallbeispiel

Fallbeispiel: Ein hypothetischer deutscher Mittelständler aus dem Maschinenbau nutzt eine US-basierte CRM-Plattform, einen US-Cloud-Anbieter für sein ERP-System und einen indischen IT-Dienstleister für den Second-Level-Support. Der CRM-Anbieter ist DPF-zertifiziert, auch für Personaldaten, sodass die Übermittlungen auf dem Angemessenheitsbeschluss beruhen. Die EU-Tochtergesellschaft des Cloud-Anbieters hostet die Daten, US-Techniker können aber für Supportzwecke darauf zugreifen; die Bedingungen des Anbieters enthalten Standardvertragsklauseln und eine Verschlüsselung mit kundenverwalteten Schlüsseln, dokumentiert in einem TIA. Der indische Dienstleister unterzeichnet mit dem Auftragsverarbeiter des deutschen Unternehmens das Modul für Übermittlungen von Auftragsverarbeiter zu Auftragsverarbeiter, gestützt auf ein TIA und Zugriffskontrollen.

Durchsetzung und Risiken

Eine rechtswidrige internationale Datenübermittlung unterliegt der höheren Bußgeldstufe der DSGVO (Art. 83 Abs. 5 lit. c DSGVO) und kann zu Aussetzungsanordnungen führen. Deutsche Aufsichtsbehörden haben Übermittlungen an US-Anbieter beim Website-Tracking, bei Cloud-Diensten und bei HR-Systemen geprüft. Betroffene Personen können Schadensersatz wegen rechtswidriger Übermittlungen verlangen, und Wettbewerber oder Verbraucherverbände greifen Übermittlungen gelegentlich in Zivilverfahren an. Das Risiko ist am höchsten, wenn Übermittlungen systematisch erfolgen, sensible Daten betreffen und keinerlei dokumentierte Bewertung vorliegt. Siehe unseren Beitrag zu DSGVO-Bußgeldern in Deutschland.

KI-Dienste und internationale Datenübermittlung

Generative KI-Dienste bringen eine neue Kategorie von Übermittlungen mit sich, die in der Datenschutzdokumentation gesondert erfasst werden sollte. Prompts, Dokumente und Daten, die in KI-Tools eingegeben werden, können von Anbietern außerhalb der EU verarbeitet, zur Missbrauchsüberwachung gespeichert oder zur Modellverbesserung genutzt werden, sofern dies nicht vertraglich ausgeschlossen ist. Vor der Einführung von KI-Tools sollten Unternehmen die Verarbeitungsorte, das Übermittlungsinstrument und die Speichereinstellungen des Anbieters ermitteln und Enterprise-Versionen entsprechend konfigurieren. Siehe unsere Seite zur KI-Verordnung.

So unterstützt TRW & Co bei der internationalen Datenübermittlung

Wir beraten Unternehmen zu jeder Form der internationalen Datenübermittlung aus Deutschland und der EU: Erfassung der Datenflüsse, Auswahl der Übermittlungsinstrumente, Entwurf von Standardvertragsklauseln und Auftragsverarbeitungsverträgen, Erstellung von TIAs, Verhandlungen mit Cloud- und SaaS-Anbietern sowie Entwicklung verbindlicher interner Datenschutzvorschriften. Außerdem erstellen wir Notfallpläne für Änderungen am DPF und vertreten Mandanten in aufsichtsbehördlichen Verfahren zu Übermittlungen. Siehe unsere Seite zu DSGVO und Datenschutz und unseren US-Desk oder kontaktieren Sie uns.