Recht und Steuern
Datenschutz: Übermittlung personenbezogener Daten in die USA
Seit Juli 2023 können Unternehmen personenbezogene Daten auf Grundlage des EU-US Data Privacy Framework (DPF) an teilnehmende und zertifizierte US-Unternehmen übermitteln. Das DPF ist ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Voraussetzung ist insbesondere, dass der konkrete US-Datenempfänger über eine aktive DPF-Zertifizierung verfügt und die konkrete Datenverarbeitung von dieser Zertifizierung erfasst wird.
Der Angemessenheitsbeschluss zum DPF gilt weiterhin. Seine gerichtliche Überprüfung ist allerdings noch nicht endgültig abgeschlossen.
Für US-Unternehmen, die nicht am DPF teilnehmen, kommen insbesondere die Standardvertragsklauseln der EU-Kommission als Übermittlungsinstrument in Betracht.
Datenschutz bei Übermittlungen in Drittländer
Die Datenschutz-Grundverordnung (DSGVO) unterscheidet zwischen Datenverarbeitungen innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EWR) und Übermittlungen personenbezogener Daten in sogenannte Drittländer. Eine Übermittlung personenbezogener Daten in ein Drittland ist grundsätzlich nur zulässig, wenn die hierfür geltenden Voraussetzungen nach Kapitel V der DSGVO erfüllt sind.
Eine Möglichkeit für eine Übermittlung ist ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Damit stellt die Kommission fest, dass für die übermittelten personenbezogenen Daten in dem betreffenden Drittland ein angemessenes Schutzniveau gewährleistet ist.
Für die USA besteht seit dem 10. Juli 2023 ein solcher Angemessenheitsbeschluss für kommerzielle US-Organisationen, die am EU-US Data Privacy Framework teilnehmen.
Vom Privacy Shield zum Data Privacy Framework
Bereits 2016 hatte die Europäische Kommission mit dem EU-US Privacy Shield einen Angemessenheitsbeschluss für Datenübermittlungen an teilnehmende US-Unternehmen erlassen.
Der EuGH erklärte diesen Beschluss mit Urteil vom 16. Juli 2020 in der Rechtssache C-311/18 („Schrems II“) jedoch für ungültig. Nach Auffassung des EuGH gewährleistete das Privacy Shield insbesondere wegen der Zugriffsmöglichkeiten US-amerikanischer Sicherheitsbehörden und der Rechtsschutzmöglichkeiten für betroffene Personen kein im Wesentlichen gleichwertiges Schutzniveau.
Datenübermittlungen in die USA konnten daher seit dem Urteil nicht mehr auf das Privacy Shield gestützt werden. Nach dem Urteil nahmen die Europäische Kommission und die US-Regierung Verhandlungen über einen neuen Rahmen für transatlantische Datenübermittlungen auf.
Am 10. Juli 2023 erließ die Europäische Kommission den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF). Die Kommission stellte darin fest, dass die Vereinigten Staaten für personenbezogene Daten, die im Rahmen des DPF an teilnehmende US-Organisationen übermittelt werden, ein angemessenes Schutzniveau gewährleisten.
Wichtig: Das DPF gilt nicht für jedes US-Unternehmen.
Das DPF erfasst nicht pauschal sämtliche Datenübermittlungen in die USA.
Unternehmen sollten vor einer Übermittlung prüfen, ob der konkrete US-Datenempfänger aktuell am DPF teilnimmt und ob seine Zertifizierung die konkrete Datenverarbeitung und die betreffenden Daten erfasst. Die offizielle Liste der teilnehmenden Unternehmen ist über die Website des U.S. Department of Commerce abrufbar. Der Zertifizierungsstatus sollte bei Bedarf, insbesondere bei neuen Dienstleistern oder Änderungen der Verarbeitung, überprüft werden.
Ist ein US-Datenempfänger entsprechend zertifiziert und erfasst die Zertifizierung die konkrete Verarbeitung, kann die Übermittlung auf den Angemessenheitsbeschluss nach Art. 45 DSGVO gestützt werden. Weitere Übermittlungsinstrumente wie Standardvertragsklauseln sind dann grundsätzlich nicht erforderlich.
Das DPF ersetzt jedoch nicht die übrigen Anforderungen der DSGVO. Insbesondere benötigt das Unternehmen weiterhin eine Rechtsgrundlage für die eigentliche Verarbeitung personenbezogener Daten. Auch die sonstigen Anforderungen der DSGVO, beispielsweise an Transparenz, Zweckbindung und Datenminimierung, bleiben bestehen.
Was gilt, wenn der US-Dienstleister nicht DPF-zertifiziert ist?
Ist ein US-Unternehmen nicht am DPF beteiligt oder erfasst seine Zertifizierung die konkrete Datenverarbeitung nicht, kann die Übermittlung nicht auf den DPF-Angemessenheitsbeschluss gestützt werden. Unternehmen müssen dann prüfen, ob ein anderes Instrument nach Kapitel V der DSGVO zur Verfügung steht.
In der Praxis kommen insbesondere die sogenannten Standardvertragsklauseln (oder auch: Standarddatenschutzklauseln = SCC) nach Art. 46 DSGVO in Betracht. Das Schrems-II-Urteil betraf auch diese Standardvertragsklauseln. Der EuGH erklärte sie zwar nicht generell für unwirksam, stellte jedoch klar, dass Unternehmen bei ihrer Verwendung prüfen müssen, ob im jeweiligen Drittland tatsächlich ein Schutzniveau gewährleistet werden kann, das dem unionsrechtlich erforderlichen Niveau im Wesentlichen gleichwertig ist. Die Europäische Kommission hat im Juni 2021 neue Standardvertragsklauseln für internationale Datenübermittlungen erlassen.
Bei der Verwendung der Standardvertragsklauseln müssen Unternehmen die konkreten Umstände der Übermittlung und insbesondere das Recht und die Praxis des Drittlands berücksichtigen. Je nach Ergebnis dieser Prüfung können zusätzliche technische, organisatorische oder vertragliche Maßnahmen erforderlich sein.
Die Ausnahmevorschriften des Art. 49 DSGVO gelten nur unter den dort genannten engen Voraussetzungen und sind kein allgemeiner Ersatz für einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
Aktuelle gerichtliche Überprüfung
Das EU-US Data Privacy Framework ist weiterhin Gegenstand gerichtlicher Überprüfung.
Mit Urteil vom 3. September 2025 hat das Gericht der Europäischen Union (EuG) eine Klage gegen den Angemessenheitsbeschluss der Europäischen Kommission zum DPF abgewiesen (Rechtssache T-553/23). Das EuG sah die Voraussetzungen für eine Aufhebung des Angemessenheitsbeschlusses nicht als gegeben an und bestätigte damit dessen Fortbestand auf der Ebene des erstinstanzlichen Unionsgerichts.
Gegen das Urteil wurde am 31. Oktober 2025 ein Rechtsmittel beim EuGH eingelegt. Das Verfahren wird unter dem Aktenzeichen C-703/25 P geführt und ist derzeit noch anhängig.
Das DPF gilt somit weiterhin. Unternehmen sollten allerdings die weitere Entwicklung der europäischen und US-amerikanischen Rechtslage beobachten.