Personenbezogene Daten dürfen Sie in ein Land außerhalb von EU und EWR nur übermitteln, wenn zusätzlich zu den allgemeinen Regeln der DSGVO eine Grundlage nach Kapitel V besteht: ein Angemessenheitsbeschluss der EU-Kommission, geeignete Garantien wie Standarddatenschutzklauseln oder in Einzelfällen eine Ausnahme nach Art. 49 DSGVO. Für die USA gilt seit Juli 2023 das EU-U.S. Data Privacy Framework, aber nur für zertifizierte Unternehmen.
Die zweistufige Prüfung
- Stufe 1: Die Verarbeitung selbst ist nach der DSGVO zulässig, es gibt eine Rechtsgrundlage nach Art. 6 DSGVO und die übrigen Pflichten sind erfüllt.
- Stufe 2: Für die Übermittlung ins Drittland besteht eine Grundlage nach Art. 44 bis 49 DSGVO.
Eine Übermittlung liegt nicht nur beim Versand von Daten vor. Auch ein Fernzugriff aus einem Drittland, etwa durch den Support eines Dienstleisters, zählt.
Grundlage 1: Angemessenheitsbeschluss (Art. 45 DSGVO)
Hat die EU-Kommission einem Land ein angemessenes Schutzniveau bescheinigt, sind Übermittlungen ohne weitere Genehmigung zulässig. Beschlüsse bestehen unter anderem für Japan, Kanada (für Stellen unter dem Bundesgesetz PIPEDA), die Schweiz, die Republik Korea und das Vereinigte Königreich. Die Beschlüsse für das Vereinigte Königreich hat die Kommission im Dezember 2025 bis Ende 2031 verlängert.
USA: Der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework vom 10.07.2023 erfasst nur US-Unternehmen, die sich beim US-Handelsministerium zertifiziert haben. Prüfen Sie die Zertifizierung auf der offiziellen Liste. Das Gericht der EU hat eine Klage gegen den Beschluss im September 2025 abgewiesen (EuG, T-553/23). Ein Rechtsmittel beim EuGH ist anhängig. Beobachten Sie die Entwicklung und halten Sie eine Ausweichlösung bereit.
Grundlage 2: Geeignete Garantien (Art. 46 DSGVO)
- Standarddatenschutzklauseln (SCC) der EU-Kommission, seit 2021 in der aktuellen Fassung. Sie sind das häufigste Instrument.
- Verbindliche interne Datenschutzvorschriften (BCR) für Konzerne, von der Aufsichtsbehörde genehmigt (Art. 47 DSGVO).
- Genehmigte Verhaltensregeln oder Zertifizierungen.
Seit dem Schrems-II-Urteil des EuGH (16.07.2020, C-311/18) gilt: Wer Standarddatenschutzklauseln nutzt, muss prüfen, ob das Recht des Empfängerlandes den Schutz der Daten in der Praxis untergräbt, etwa durch weitreichende Zugriffe von Behörden. Diese Prüfung heißt Transfer Impact Assessment. Reicht der Schutz nicht, sind ergänzende Maßnahmen nötig, etwa eine Verschlüsselung, bei der der Schlüssel in der EU bleibt. Lässt sich kein angemessener Schutz erreichen, muss die Übermittlung unterbleiben. Das gleiche Urteil hat das frühere EU-US Privacy Shield für ungültig erklärt.
Grundlage 3: Ausnahmen für bestimmte Fälle (Art. 49 DSGVO)
Nur im Einzelfall und eng auszulegen:
- ausdrückliche Einwilligung nach Aufklärung über die Risiken,
- Erfüllung eines Vertrags mit der betroffenen Person, etwa eine Hotelbuchung im Ausland,
- wichtige Gründe des öffentlichen Interesses,
- Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen,
- lebenswichtige Interessen.
Für regelmäßige Übermittlungen, etwa den dauerhaften Einsatz einer Software, sind diese Ausnahmen nicht gedacht.
Pflichten in der Praxis
- Transparenz: In den Datenschutzhinweisen nennen Sie die Absicht der Übermittlung und die Grundlage (Art. 13 Abs. 1 lit. f DSGVO).
- Verzeichnis: Übermittlungen in Drittländer gehören ins Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. e DSGVO).
- Auftragsverarbeitung: Der AVV legt fest, in welche Länder Daten gehen dürfen.
- Bußgeld: Unzulässige Übermittlungen fallen unter die höhere Stufe bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. c DSGVO).
Typische Fälle
| Dienst | Worauf Sie achten |
|---|---|
| Microsoft 365, Google Workspace, Zoom | Zertifizierung unter dem Data Privacy Framework, Datenspeicherung in der EU wählen, AVV |
| Newsletter- und CRM-Tools aus den USA | Zertifizierung prüfen, sonst Standarddatenschutzklauseln |
| Support-Dienstleister in Indien oder anderen Ländern ohne Beschluss | Standarddatenschutzklauseln, Transfer Impact Assessment |
| Konzernmutter außerhalb der EU | BCR oder Standarddatenschutzklauseln innerhalb des Konzerns |
Checkliste
- Alle Dienste und Dienstleister erfassen, bei denen Daten die EU verlassen oder von außerhalb zugänglich sind.
- Grundlage je Übermittlung festhalten.
- Bei Standarddatenschutzklauseln die Bewertung des Empfängerlandes dokumentieren.
- Datenschutzhinweise und Verzeichnis anpassen.
- Entwicklung beim Data Privacy Framework beobachten.
Welche Dienste in Ihrem Unternehmen Daten in Drittländer übermitteln, zeigt ein Datenschutz-Audit.