Was ist ein Drittlandtransfer?

Einfach erklärt

In der EU und im Europäischen Wirtschaftsraum (EU sowie Island, Liechtenstein und Norwegen) gilt dasselbe Datenschutzrecht. Verlassen personenbezogene Daten diesen Raum, ist das ein Drittlandtransfer. Er ist erlaubt, braucht aber eine Grundlage, die sicherstellt, dass der Schutz unterwegs nicht verloren geht. Wie bei einer Warensendung ins Ausland: Sie darf raus, braucht aber die passenden Papiere.

Wo das im Alltag passiert

Typische Fälle sind Cloud-Dienste mit Servern in den USA, Videokonferenz- und Newsletter-Werkzeuge oder Support aus einem anderen Land. Auch wenn jemand außerhalb der EU nur per Fernzugriff auf Ihre Daten schaut, kann das ein Drittlandtransfer sein.

Die drei Wege

1. Angemessenheitsbeschluss: Die EU-Kommission hat festgestellt, dass ein Land ein vergleichbares Schutzniveau hat, zum Beispiel die Schweiz, Japan oder das Vereinigte Königreich. Für die USA gilt das nur für Unternehmen, die im EU-US Data Privacy Framework zertifiziert sind.
2. Standardvertragsklauseln: ein von der EU vorgegebener Vertrag mit dem Empfänger. Dazu gehört eine Prüfung, ob das Recht im Zielland den Vertrag aushebelt.
3. Ausnahmen im Einzelfall: etwa eine ausdrückliche Einwilligung. Für den Dauerbetrieb eines Dienstes sind sie nicht gedacht.

Was Sie tun können

Fragen Sie bei jedem Dienst, wo die Daten verarbeitet werden und auf welcher Grundlage. Die Angaben gehören in den AVV oder in die Liste der Unterauftragsverarbeiter.

Achtung: Der Rahmen für die USA steht unter Druck. Nach einem Urteil des obersten US-Gerichts vom Juni 2026 hat der Europäische Datenschutzausschuss die EU-Kommission gebeten, die Folgen zu prüfen. Stand 28. Oktober 2026 gilt der Rahmen weiter. Fragen Sie Ihre US-Anbieter, ob zusätzlich Standardvertragsklauseln vereinbart sind, die bei einem Wegfall greifen.

Einordnung: Welche Grundlage für einen bestimmten Dienst trägt, klären Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt.

Prüfreihenfolge nach Kapitel V

Art. 44 DSGVO: Jede Übermittlung an ein Drittland oder eine internationale Organisation braucht eine Grundlage aus Kapitel V, zusätzlich zur Rechtsgrundlage der Verarbeitung selbst. Wann eine Übermittlung vorliegt, beschreiben die EDPB-Leitlinien 05/2021 (Version 2.0 vom 14. Februar 2023). Auch Fernzugriff aus einem Drittland kann darunter fallen.

Empfänger außerhalb des EWR?
  nein  -> kein Drittlandtransfer
  ja    -> Angemessenheitsbeschluss nach Art. 45?
           ja    -> zulässig (USA: nur bei aktiver DPF-Zertifizierung des Empfängers)
           nein  -> geeignete Garantien nach Art. 46?
                    Standardvertragsklauseln (EU) 2021/914 oder BCR nach Art. 47,
                    jeweils mit Transfer Impact Assessment
                    sonst nur Ausnahmen nach Art. 49, eng auszulegen

Angemessenheitsbeschlüsse bestehen laut EU-Kommission (Stand Oktober 2026) für 17 Staaten, Gebiete und Organisationen, darunter das Vereinigte Königreich (im Dezember 2025 erneuert) und Brasilien (seit Januar 2026).

Standardvertragsklauseln

Die Klauseln aus dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 bestehen aus vier Modulen, je nachdem, ob Verantwortliche oder Auftragsverarbeiter übermitteln und empfangen. Wer sie nutzt, prüft nach den EDPB-Empfehlungen 01/2020 (Version 2.0 vom 18. Juni 2021), ob Recht und Praxis im Zielland die Klauseln unterlaufen, und ergänzt bei Bedarf Maßnahmen wie eine Verschlüsselung mit Schlüsseln in der EU.

Stand des EU-US Data Privacy Framework

• Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023. Er gilt nur für Organisationen, die auf der DPF-Liste des US-Handelsministeriums aktiv geführt sind.
• Das Gericht der EU hat die Nichtigkeitsklage eines französischen Abgeordneten am 3. September 2025 abgewiesen (T-553/23). Das Rechtsmittel beim Gerichtshof ist anhängig (C-703/25 P).
• Am 29. Juni 2026 hat der US Supreme Court in Trump v. Slaughter den Kündigungsschutz der FTC-Mitglieder für verfassungswidrig erklärt. Der Angemessenheitsbeschluss verweist ausdrücklich auf diese Unabhängigkeit der FTC. Der EDPB hat die Kommission am 31. Juli 2026 gebeten, die Folgen für den Beschluss zu prüfen.
• Stand 28. Oktober 2026 gilt der Beschluss unverändert.

Typische Fehler

• DPF ohne Blick in die Liste. Die Zertifizierung gilt je Organisation und kann auslaufen. Personaldaten deckt sie nur ab, wenn das in der Zertifizierung angegeben ist.
• EU-Region gleich kein Transfer. Support- und Administrationszugriffe aus Drittländern bleiben möglich.
• Standardvertragsklauseln ohne Prüfung des Ziellands. Das Transfer Impact Assessment fehlt oder ist nie aktualisiert worden.
• Art. 49 als Dauerlösung. Die Ausnahmen tragen keinen regelmäßigen Betrieb eines Dienstes.

Prüfen

Ob ein US-Empfänger zertifiziert ist, zeigt die Data Privacy Framework List↗ (öffnet in einem neuen Tab). Dort auf den Status „Active“ und auf den Geltungsbereich (HR- oder Non-HR-Daten) achten. Den Rechtsrahmen für US-Behördenzugriffe beschreibt der Eintrag zum CLOUD Act.