Übermittlung in Drittländer
Data Privacy Framework, Standardvertragsklauseln, CLOUD Act, US-Anbieter.
Eine Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums braucht eine eigene Grundlage, zusätzlich zu der für die Verarbeitung selbst. In Betracht kommen ein Angemessenheitsbeschluss der Europäischen Kommission, geeignete Garantien wie die Standardvertragsklauseln oder eine ausdrückliche Einwilligung.
Für die USA ist die Geschichte wechselhaft. Der Europäische Gerichtshof hat 2015 das Safe-Harbour-Abkommen und 2020 im Verfahren Schrems II das Privacy Shield gekippt, jeweils wegen der Zugriffsmöglichkeiten der Nachrichtendienste. Seit Juli 2023 gilt das EU-US Data Privacy Framework, auf das sich zertifizierte US-Unternehmen berufen können. Gegen den zugrunde liegenden Beschluss läuft ein Verfahren.
Die Standardvertragsklauseln sind kein Ersatz, der ohne weiteres funktioniert. Nach Schrems II und den Empfehlungen des Europäischen Datenschutzausschusses muss der Verantwortliche prüfen, ob im Empfängerland ein vergleichbares Schutzniveau tatsächlich erreicht wird, und gegebenenfalls zusätzliche Maßnahmen ergreifen.
Ein Punkt wird dabei oft übersehen: Ein Serverstandort in der Europäischen Union schließt einen Zugriff aus den USA nicht aus. Der CLOUD Act verpflichtet US-Unternehmen zur Herausgabe unabhängig vom Speicherort, und er erfasst auch europäische Töchter. Wer diesen Punkt vermeiden will, wählt einen Anbieter ohne US-Mutterkonzern.
5 Entscheidungen zu diesem Thema
- Verfahren vor dem EuGHGerichte der Europäischen Union, 01.09.2023Verfahren läuft
Klage gegen den Angemessenheitsbeschluss zum Data Privacy Framework
Die Europäische Kommission hat 2023 für das EU-US Data Privacy Framework ein angemessenes Schutzniveau festgestellt. Gegen diesen Beschluss läuft ein Verfahren, das der französische Abgeordnete Philippe Latombe angestrengt hat.
Stand der Prüfung: 06.09.2026
- Aufsichtspraxismehrere europäische Aufsichtsbehörden, 01.01.2022überholt
Aufsichtsbehörden beanstandeten Google Analytics nach dem Wegfall des Privacy Shield
Mehrere europäische Aufsichtsbehörden beanstandeten 2022 den Einsatz von Google Analytics in der damaligen Ausgestaltung, weil die Übermittlung in die USA nach dem Wegfall des Privacy Shield keine tragfähige Grundlage hatte.
Stand der Prüfung: 06.09.2026
- LeitlinieEuropäischer Datenschutzausschuss, 18.06.2021rechtskräftig
Übermittlung an nicht zertifizierte Empfänger in Drittländern
Ist ein Empfänger in einem Drittland weder von einem Angemessenheitsbeschluss erfasst noch zertifiziert, braucht die Übermittlung eine geeignete Garantie, in der Praxis die Standardvertragsklauseln. Der Verantwortliche muss zusätzlich prüfen, ob im Empfängerland ein vergleichbares Schutzniveau tatsächlich erreicht wird.
Stand der Prüfung: 06.09.2026
- GerichtsurteilEuGH, C-311/18, 16.07.2020rechtskräftig
Der EuGH kippt das Privacy Shield
Der Gerichtshof erklärte den Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig, weil die Zugriffsmöglichkeiten US-amerikanischer Nachrichtendienste nicht auf das notwendige Maß beschränkt waren. Standardvertragsklauseln bleiben gültig, verlangen aber eine Prüfung im Einzelfall.
Stand der Prüfung: 06.09.2026
- GesetzesänderungGesetzgeber der Vereinigten Staaten, 23.03.2018rechtskräftig
US-Mutterkonzerne und der CLOUD Act
Der CLOUD Act verpflichtet US-Unternehmen, US-Behörden auf Anordnung Daten herauszugeben, unabhängig davon, in welchem Land die Daten gespeichert sind. Er gilt auch für europäische Tochtergesellschaften US-amerikanischer Konzerne.
Stand der Prüfung: 06.09.2026
Weitere Themen
- Cookies und Einwilligung 7
- Tracking und Reichweitenmessung 5
- Externe Ressourcen und Schriften 2
- Auftragsverarbeitung und gemeinsame Verantwortlichkeit 3
- Informationspflichten und Datenschutzerklärung 5
- Auskunftsrecht und Betroffenenrechte 1
- Schadensersatz und Abmahnung 6
- Newsletter und Werbung 1
- Onlineshop und Zahlung 1
- Bewerbung und Beschäftigte 1
- Social Media und Plugins 3
- Künstliche Intelligenz 2
Betrifft Sie das?
Der Generator sagt Ihnen, welche der genannten Dienste auf Ihrer Liste stehen, und setzt die passenden Textbausteine zusammen.
Generator öffnen