Themenseite · Kapitel V DSGVO

Drittlandstransfer

Sobald Microsoft, Google, OpenAI oder ein anderer US-Anbieter im Spiel sind, landet das Thema in der Datenschutzpraxis fast zwangsläufig auf dem Schreibtisch. Die Übermittlung personenbezogener Daten in Drittländer gehört zu den am intensivsten regulierten Gebieten der DSGVO – und seit Schrems II zugleich zu den praktisch anspruchsvollsten. Diese Seite beschreibt das Prüfsystem nach Kapitel V DSGVO, die zentralen Garantien (Angemessenheitsbeschluss, Standardvertragsklauseln, BCR), das EU-US Data Privacy Framework, die Methodik des Transfer Impact Assessment (TIA) und konkrete Praxisbeispiele für typische Drittlandkonstellationen.

Keine Rechtsberatung, kein Ersatz für Einzelfallprüfung: Diese Seite dient der fachlichen Orientierung und kann eine rechtsverbindliche Einzelfallbewertung nicht ersetzen. Sie stellt keine individuelle Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar. Für konkrete Fragen wenden Sie sich bitte an die Landesbeauftragte für den Datenschutz Sachsen-Anhalt oder an eine auf Datenschutzrecht spezialisierte Rechtsanwaltskanzlei.

Persönliche fachliche Auffassung: Ich bin hauptberuflich als Datenschutzmanager an einer öffentlichen Hochschule in Sachsen-Anhalt tätig. Die hier veröffentlichten Inhalte geben ausschließlich meine persönliche fachliche Auffassung wieder und stellen keine offizielle Position meines Arbeitgebers dar.

Praxisbeispiele als didaktische Fallgruppen: Die auf dieser Seite enthaltenen Praxisbeispiele sind didaktische Fallgruppen zur Veranschaulichung typischer Konstellationen. Sie ersetzen keine Bewertung des konkreten Einzelfalls; abweichende Sachverhaltsmerkmale können zu einer anderen rechtlichen Würdigung führen.

Was ist Drittlandstransfer?

Drittlandstransfer ist die Übermittlung personenbezogener Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums (EWR) oder an eine internationale Organisation. Geregelt ist dies in Kapitel V (Art. 44 bis 50) DSGVO.

Der EWR umfasst die EU-Mitgliedstaaten sowie Island, Liechtenstein und Norwegen. Alles außerhalb ist Drittland im Sinne der DSGVO – auch das Vereinigte Königreich, die Schweiz, Andorra und andere europäische Staaten. Für viele dieser Länder bestehen jedoch Angemessenheitsbeschlüsse, die die Übermittlung erleichtern.

Der Begriff der Übermittlung ist in der DSGVO nicht legaldefiniert. Maßgeblich ist die Auslegung des Europäischen Datenschutzausschusses (EDSA) in den Leitlinien 05/2021: Eine Datenübermittlung im Sinne des Kapitels V DSGVO setzt eine aktive Offenlegung gegenüber einem anderen Datenakteur (Verantwortlicher oder Auftragsverarbeiter) voraus – durch Übersendung oder durch Zugriffsgewährung.

Wann liegt keine Datenübermittlung vor?

In der Praxis besteht häufig die Annahme, jeder Berührungspunkt mit einem US-Konzern löse einen Drittlandstransfer aus. Diese Annahme greift im Regelfall zu kurz. Drei Konstellationen können nach hier vertretener – im Schrifttum verbreiteter, aber nicht unumstrittener – Auffassung als keine Datenübermittlung im Sinne des Kapitels V DSGVO einzuordnen sein:

Konstellationen, in denen keine Datenübermittlung vorliegen dürfte

Direkterhebung durch einen ausländischen Verantwortlichen unmittelbar bei der betroffenen Person im EWR. In diesem Fall greift das Marktortprinzip nach Art. 3 Abs. 2 DSGVO, das die DSGVO unmittelbar anwendbar macht – Kapitel V ist dann nicht zusätzlich zu prüfen.
Bloße abstrakte gesetzliche Zugriffsmöglichkeit ausländischer Behörden (etwa nach US CLOUD Act oder FISA Section 702) ohne tatsächlichen Datenabruf. Nach einer in der Aufsichtspraxis und im Schrifttum verbreiteten Lesart begründet erst der aktive Zugriff oder die aktive Übermittlung eine Datenübermittlung im Sinne des Kapitels V. Diese Lesart ist allerdings umstritten: Die deutsche Datenschutzkonferenz (DSK) und mehrere Aufsichtsbehörden bewerten die abstrakte Zugriffsmöglichkeit bereits selbst als relevante Risikolage und verlangen ergänzende Schutzmaßnahmen – insbesondere harte technische Maßnahmen wie kundenseitiges Schlüsselmanagement (Bring-Your-Own-Key, BYOK) –, sobald eine EU-Tochter eines US-Mutterkonzerns auf Anweisung der Mutter gezwungen werden könnte, Daten herauszugeben. Die Einordnung sollte deshalb stets im Rahmen einer dokumentierten Risikobewertung erfolgen; allein auf den Aspekt „kein tatsächlicher Zugriff" zu vertrauen, ist nicht risikolos.
Datenspeicherung und -verarbeitung ausschließlich in der EU durch EU-Niederlassungen (etwa Microsoft EU Data Boundary, Google Cloud EU). Hier liegt nach der verbreiteten Lesart kein Transfer vor, sofern die Beschränkung auf den EWR vertraglich und technisch zuverlässig gesichert ist und die Möglichkeit eines anweisungsgetriebenen Zugriffs durch eine US-Muttergesellschaft durch ergänzende technische Maßnahmen ausgeschlossen ist.

Die zweite Konstellation ist praxisrelevant, aber nicht risikolos: Sie entlastet Verantwortliche zwar von der Annahme, dass jeder US-Anbieter automatisch einen Drittlandstransfer auslöst – sie ersetzt aber nicht die Risikobewertung im Hinblick auf anweisungsgetriebene Zugriffsmöglichkeiten und die ergänzenden technischen Maßnahmen, die die Aufsichtsbehörden für US-Cloud-Lösungen mit Serverstandort EU regelmäßig erwarten.

Wer ist Datenexporteur?

Eine in der Praxis oft missverstandene Frage: Wer ist bei großen Cloud-Diensten (Microsoft 365, Google Workspace, AWS u. a.) eigentlich Datenexporteur und damit für das Transfer Impact Assessment zuständig?

Wird der Vertrag mit der EU-Niederlassung des Konzerns geschlossen (z. B. Microsoft Ireland Operations Limited), spricht nach hier vertretener – und im Schrifttum verbreiteter – Auffassung vieles dafür, die EU-Niederlassung als Datenexporteurin und die US-Mutter (z. B. Microsoft Corporation) als Datenimporteurin zu bewerten. Die Standardvertragsklauseln und ergänzenden Maßnahmen werden dann zwischen diesen beiden Konzerneinheiten abgeschlossen und über den Auftragsverarbeitungsvertrag an die Kundin weitergegeben (vgl. EDSA-Leitlinien 05/2021).

Die Auffassung ist nicht risikolos: Die Verantwortliche muss in jedem Fall eigenständig prüfen, ob die gewählte Transferarchitektur tatsächlich tragfähig ist und ob nicht doch eine eigene Übermittlungs- oder Zugriffskonstellation zwischen der Kundin und dem US-Konzern vorliegt. Soweit die Architektur trägt, beschränkt sich die Aufgabe auf eine sorgfältige Plausibilitätsprüfung der im AVV enthaltenen Garantien:

Sind die SCC korrekt eingebunden?
Welche ergänzenden technischen, vertraglichen und organisatorischen Maßnahmen werden zugesichert?
Werden diese Maßnahmen auch der Kundin gegenüber verbindlich übertragen?
Bestätigt der Anbieter aktuelle Transparenzberichte und Bewertungen unabhängiger Stellen?
Welche Konfigurationen sichern den EU-Bezug technisch ab? Beispiele: EU Data Boundary (vertraglich-technische Beschränkung der Datenverarbeitung auf den EWR), Customer Lockbox (Genehmigungsmechanismus für Anbieter-Zugriffe) und Bring-Your-Own-Key/BYOK (Schlüsselverwaltung in eigener Hand der Kundin).

Ausnahme: Wird der Vertrag direkt mit einem US-Anbieter ohne EU-Niederlassung geschlossen (typisch bei kleineren US-Dienstleistern oder bei direkten API-Verträgen, etwa mit OpenAI), ist die Kundin selbst Datenexporteurin und muss SCC unmittelbar abschließen sowie ein eigenes TIA durchführen.

Verantwortlichkeit bleibt – auch wenn die TIA-Pflicht wandert

Die Klarstellung ist wichtig: Wer einen AVV mit einer EU-Niederlassung schließt, bleibt nach Art. 28 DSGVO Verantwortliche der Verarbeitung. An der eigenen Rechenschafts-, AVV-Prüf- und Auswahlpflicht ändert sich nichts. Was wandert, ist allein die Pflicht zur Durchführung des Transfer Impact Assessments im Verhältnis EU-Niederlassung ↔ US-Mutter; diese wird vom Anbieter geleistet und über den AVV an die Kundin weitergereicht.

Verantwortliche müssen daher zwar regelmäßig kein eigenes TIA gegenüber der US-Mutter erstellen, wohl aber:

die durchgeführten TIA-Ergebnisse und ergänzenden Maßnahmen des Anbieters auf Plausibilität prüfen,
die AVV-Klauseln zum Drittlandstransfer auf inhaltliche Übereinstimmung mit den SCC kontrollieren,
die EU-Datenresidenz technisch und vertraglich verifizieren,
Sub-Auftragsverarbeiter-Listen regelmäßig auswerten,
die Auswahl des Anbieters nach Art. 28 Abs. 1 DSGVO dokumentieren.

Die Drei-Stufen-Prüfung nach Schrems II

Mit dem Urteil EuGH C-311/18 vom 16.07.2020 (Schrems II) wurde der vormalige EU-US Privacy Shield für ungültig erklärt und zugleich klargestellt: Auch beim Einsatz von Standardvertragsklauseln müssen Verantwortliche im Einzelfall prüfen, ob das Schutzniveau im Drittland tatsächlich dem europäischen entspricht. Daraus hat sich ein dreistufiges Prüfsystem etabliert:

Stufe 1 – Anwendbarkeit der DSGVO und Vorliegen einer Übermittlung Werden personenbezogene Daten an einen Empfänger in einem Drittland übermittelt oder von dort aus zugänglich gemacht? Wenn ja, weiter zu Stufe 2. Art. 44 DSGVO
Stufe 2 – Geeignete Garantie Liegt ein Angemessenheitsbeschluss (Art. 45) oder eine geeignete Garantie nach Art. 46 (insb. SCC, BCR) vor? Wenn nein, ist die Übermittlung nur über eine der engen Ausnahmen des Art. 49 zulässig. Art. 45, 46, 49 DSGVO
Stufe 3 – Transfer Impact Assessment (TIA) Bei Stützung auf SCC oder BCR: Bewertung, ob das Recht des Drittlands ein im Wesentlichen gleichwertiges Schutzniveau gewährleistet. Falls nicht: ergänzende technische und organisatorische Maßnahmen erforderlich. Wenn diese das Schutzniveau nicht herstellen können, ist die Übermittlung kaum tragfähig. EuGH C-311/18 (Schrems II); EDSA-Empfehlungen 01/2020

Abb. 1 – Drei-Stufen-Prüfung nach Schrems II (vereinfachte Darstellung)

Drittlandtransfer – Entscheidungspfad nach Schrems II Eigene Darstellung nach Kapitel V DSGVO (Art. 44–46), EuGH C-311/18 (Schrems II) und EDPB Recommendations 01/2020. Schematisch.

Angemessenheitsbeschluss (Art. 45 DSGVO)

Erkennt die Europäische Kommission an, dass ein Drittland ein angemessenes Schutzniveau bietet, kann die Übermittlung dorthin ohne zusätzliche Garantien erfolgen. Die Kommission veröffentlicht die Liste auf der Webseite der GD JUST.

Mit Stand Q2/2026 bestehen Angemessenheitsbeschlüsse u. a. für Andorra, Argentinien, Färöer-Inseln, Guernsey, Insel Man, Israel, Japan (für privatwirtschaftliche Stellen), Jersey, Kanada (für privatwirtschaftliche Stellen), Neuseeland, Schweiz, Südkorea, Uruguay, Vereinigtes Königreich (DSGVO und LED) sowie für die Vereinigten Staaten von Amerika auf Grundlage des EU-US Data Privacy Framework (DPF).

EU-US Data Privacy Framework (DPF)

Mit Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 hat die Kommission den DPF als Nachfolger des Privacy Shield für angemessen erklärt. Der DPF ist allerdings kein „Freifahrtschein" für jeden Transfer in die USA: Er gilt nur für Übermittlungen an zertifizierte Empfänger in den USA. Die Liste der zertifizierten Unternehmen wird vom US-Handelsministerium auf dataprivacyframework.gov geführt und sollte vor jedem Transfer geprüft werden.

Mit Urteil vom 03.09.2025 – T-553/23 (Latombe gegen Kommission) hat das Gericht der Europäischen Union die Nichtigkeitsklage gegen den DPF abgewiesen und den Angemessenheitsbeschluss bestätigt. Der Kläger hat gegen das Urteil das Rechtsmittel zum EuGH eingelegt; die zweite Instanz – teilweise als „Schrems III" bezeichnet – ist seit dem ersten Quartal 2026 anhängig und damit nicht endgültig abgeschlossen. Bis zu einer etwaigen Ungültigerklärung ist der DPF wirksam, und Verantwortliche dürfen sich darauf stützen. Zusätzlicher Beobachtungspunkt: Die Reauthorization von FISA Section 702 (US-Überwachungsregime) befindet sich Mitte 2026 in Verhandlung; eine substantielle Änderung des US-Rechtsrahmens könnte den Adäquanzbefund neu in Frage stellen. Empfohlen wird daher, sich für einen Wegfall vorzubereiten – etwa durch parallele SCC-Verträge mit ergänzenden Maßnahmen.

Die sieben DPF-Grundsätze

Die Selbstzertifizierung nach dem DPF verpflichtet US-Empfänger auf sieben Grundsätze, die unmittelbar an den materiellen Schutzgehalt der DSGVO anknüpfen. Sie sind das inhaltliche Pendant zu den Betroffenenrechten und sollten bei jeder Anbieterprüfung als Checkliste herangezogen werden:

Notice (Information) Der zertifizierte Empfänger informiert die betroffenen Personen über Art und Zweck der Verarbeitung sowie über die Rechte und Beschwerdemöglichkeiten unter dem Framework.
Choice (Wahlmöglichkeit) Betroffene haben das Recht, der Übermittlung an Dritte und der Verwendung für Zwecke, die wesentlich von den ursprünglichen Zwecken abweichen, zu widersprechen.
Accountability for Onward Transfer Eine Weiterübermittlung an Dritte ist nur zulässig, wenn diese vertraglich an die DPF-Grundsätze gebunden werden; Verantwortung und Haftung verbleiben beim ursprünglichen Empfänger.
Security (Sicherheit) Angemessene technische und organisatorische Schutzmaßnahmen gegen unbefugten Zugriff, Verlust und Veränderung – inhaltlich vergleichbar mit Art. 32 DSGVO.
Data Integrity & Purpose Limitation Daten dürfen nur für vereinbarte und damit vereinbare Zwecke verarbeitet werden; sie sind richtig, vollständig und aktuell zu halten.
Access (Auskunft und Berichtigung) Betroffene können Auskunft über die zu ihrer Person gespeicherten Daten verlangen sowie deren Berichtigung, Änderung oder Löschung, soweit die Daten unrichtig oder entgegen den Grundsätzen verarbeitet werden.
Recourse, Enforcement & Liability Effektive Rechtsbehelfe inkl. unabhängiger Streitbeilegungsstelle, Aufsicht durch die Federal Trade Commission (FTC) bzw. das Department of Transportation (DoT) sowie ein bindendes Schiedsverfahren. U.S. Department of Commerce, EU-U.S. Data Privacy Framework Principles, Annex I zum Durchführungsbeschluss (EU) 2023/1795

Praktische Konsequenz: Vor einem Transfer an einen DPF-zertifizierten Empfänger lohnt nicht nur die Prüfung der Listenführung auf dataprivacyframework.gov, sondern auch ein Blick in die Selbstverpflichtungserklärung des Empfängers darauf, welche Datenkategorien und welche Zertifizierungspfade (DPF, UK Extension, Swiss-U.S. DPF) konkret erfasst sind.

Geeignete Garantien (Art. 46 DSGVO)

Liegt kein Angemessenheitsbeschluss vor, kann die Übermittlung auf geeignete Garantien gestützt werden. Praxisrelevant sind vor allem zwei Instrumente:

Standardvertragsklauseln (SCC)

Mustervertragsklauseln, die von der Europäischen Kommission mit Durchführungsbeschluss (EU) 2021/914 vom 04.06.2021 verabschiedet wurden. Sie decken vier Modulkonstellationen ab:

Modul 1: Controller-to-Controller (Verantwortlicher EU → Verantwortlicher Drittland)
Modul 2: Controller-to-Processor (Verantwortlicher EU → Auftragsverarbeiter Drittland)
Modul 3: Processor-to-Processor (Auftragsverarbeiter EU → Subauftragsverarbeiter Drittland)
Modul 4: Processor-to-Controller (Auftragsverarbeiter EU → Verantwortlicher Drittland)

Die SCC sind unverändert zu übernehmen; abweichende oder ergänzende Bestimmungen sind nur zulässig, soweit sie den Garantieinhalt nicht schwächen. Wichtig: Allein der Abschluss der SCC reicht seit Schrems II nicht aus – ein TIA ist zwingend.

Verbindliche interne Datenschutzvorschriften (BCR)

Binding Corporate Rules nach Art. 47 DSGVO sind interne Datenschutzregeln eines Konzerns, die von einer Aufsichtsbehörde genehmigt sein müssen. Praxisrelevant sind sie vor allem für multinationale Unternehmensgruppen mit umfangreichem konzerninternem Datenverkehr. Für Hochschulen und öffentliche Verwaltungen sind sie in der Regel nicht das richtige Instrument.

Ausnahmen für bestimmte Fälle (Art. 49 DSGVO)

Wenn weder ein Angemessenheitsbeschluss noch geeignete Garantien vorliegen, ist eine Übermittlung nur auf Grundlage einer der eng auszulegenden Ausnahmen des Art. 49 zulässig:

ausdrückliche Einwilligung der betroffenen Person mit Hinweis auf die Risiken (lit. a),
Erforderlichkeit für die Vertragserfüllung mit der betroffenen Person (lit. b),
Erforderlichkeit für den Abschluss oder die Erfüllung eines Vertrags im Interesse der betroffenen Person (lit. c),
wichtige Gründe des öffentlichen Interesses (lit. d),
Erforderlichkeit für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (lit. e),
lebenswichtige Interessen der betroffenen Person, wenn sie nicht einwilligungsfähig ist (lit. f),
Übermittlung aus einem öffentlichen Register (lit. g).

Die Ausnahmen sind nach EDSA-Empfehlungen eng und einzelfallbezogen anzuwenden – sie taugen nicht als Dauerlösung für regelmäßige, massenhafte Datenflüsse. Insbesondere die Einwilligung scheitert häufig an der Freiwilligkeit und an der Pflicht zur Aufklärung über die spezifischen Risiken im Drittland.

Transfer Impact Assessment (TIA)

Das TIA ist die strukturierte Bewertung, ob das Schutzniveau im Drittland im Einzelfall dem europäischen entspricht. Methodisch hat sich das sechsstufige Vorgehen der EDSA-Empfehlungen 01/2020 etabliert:

Datentransfer kennen Welche Daten werden übermittelt? An wen, in welches Land, zu welchem Zweck, in welchem Volumen, in welcher Frequenz?
Übermittlungsinstrument identifizieren Auf welcher Grundlage des Kapitels V DSGVO erfolgt die Übermittlung (Angemessenheitsbeschluss, SCC, BCR, Ausnahme)?
Recht und Praxis des Drittlands prüfen Welche Gesetze ermöglichen staatliche Zugriffe (CLOUD Act, FISA Section 702 etc.)? Wie sieht die tatsächliche Praxis aus? Quellen: EDSA-Listen, EDPS-Empfehlungen, Aufsichtsbehörden, Veröffentlichungen US-amerikanischer NGOs.
Lückenanalyse Bestehen Lücken zwischen dem nominellen SCC-Schutz und der tatsächlichen Drittland-Lage?
Ergänzende Maßnahmen Falls Lücken bestehen: Welche technischen, vertraglichen oder organisatorischen Maßnahmen können sie schließen? Beispiele: Ende-zu-Ende-Verschlüsselung mit Schlüsselverwaltung im EWR, Pseudonymisierung, vertragliche Verpflichtung des Empfängers zur Information bei behördlichem Zugriff, restriktive Zugriffsbeschränkungen.
Wiederholung und Dokumentation Das TIA ist regelmäßig zu wiederholen und vollständig zu dokumentieren. Es ist Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Wann reichen ergänzende Maßnahmen nicht?

Wenn der Empfänger den Klartext der Daten zur Aufgabenerfüllung benötigt (Verschlüsselung verhindert dann den Zweck).
Wenn der Empfänger den Schlüssel hält oder die Schlüsselverwaltung nicht im EWR kontrolliert wird.
Wenn die ergänzenden Maßnahmen rechtlich oder faktisch durch staatliche Zugriffsbefugnisse umgangen werden können.
Wenn der Anbieter sich vertraglich nicht zu Gegenmaßnahmen oder Transparenz verpflichten lässt.

Praxisbeispiele

Microsoft 365 / Cloud-Office

Einführung von Microsoft 365 oder Google Workspace

Eine öffentliche Stelle schließt einen Auftragsverarbeitungsvertrag mit einer EU-Niederlassung (z. B. Microsoft Ireland Operations Limited, Google Ireland Limited). Die Daten werden in europäischen Rechenzentren der EU-Niederlassung verarbeitet (z. B. über Microsoft EU Data Boundary).

Bewertungsansatz: Die Kundin ist nicht Datenexporteurin. Ein Drittlandstransfer findet – wenn er stattfindet – zwischen der EU-Niederlassung und der US-Mutter statt. Verantwortlich für das TIA und die Standardvertragsklauseln ist insoweit die EU-Niederlassung; die Garantien werden über den AVV an die Kundin weitergegeben. Eigene Prüfaufgaben der Kundin: AVV-Klauseln zum Drittlandstransfer überprüfen, EU-Datenresidenz vertraglich und technisch absichern (EU Data Boundary), Liste der Sub-Auftragsverarbeiter prüfen, DPF-Zertifizierung der US-Mutter verifizieren, technische Konfiguration wählen (Customer Lockbox, Bring-Your-Own-Key, restriktive Telemetrie).

Generative KI / LLM-API

Nutzung von ChatGPT, Claude oder Gemini über die Anbieter-API

Eine Forschungsgruppe nutzt eine US-basierte LLM-API für die Verarbeitung wissenschaftlicher Texte. Die Daten werden direkt an die US-Server des Anbieters übermittelt.

Bewertungsansatz: Direkter Drittlandstransfer in die USA. DPF-Status des konkreten Anbieters prüfen (nicht alle KI-Anbieter sind zertifiziert). SCC erforderlich, wo DPF nicht greift; TIA verpflichtend. Personenbezug streng minimieren oder Pseudonymisierung; idealerweise EU-Hosting wählen, wo verfügbar. Bei Forschung mit personenbezogenen Daten zusätzlich § 27 DSAG LSA bzw. die landesrechtliche Forschungsnorm beachten.

Re-Identifikationsrisiko durch Modell-Inferenz: Bei stark strukturierten Daten – insbesondere Gesundheits-, Genom- oder Befragungsdaten i. S. d. Art. 9 DSGVO – kann ein als anonymisiert oder pseudonymisiert geführter Datensatz im Zusammenspiel mit der Modellausgabe wieder identifizierbar werden (Stichworte Memorization, Membership Inference, Model Inversion). Die Pseudonymisierung beim Versand an die API ersetzt deshalb nicht die eigenständige Risikoanalyse, ob die Modellverarbeitung zur Re-Identifikation beitragen kann; in besonders sensiblen Konstellationen kommen ergänzende Maßnahmen in Betracht (lokales Vor-Anonymisieren über einen Pre-Processing-Guardrail, differential-privacy-basierte Aggregation, Verzicht auf direkte API-Nutzung).

Videokonferenz

Einsatz einer US-basierten Videokonferenzplattform

Eine Hochschule nutzt eine US-amerikanische Videokonferenzplattform (z. B. Zoom). Die Plattform bietet EU-Datenresidenz an, der Anbieter ist DPF-zertifiziert; der Vertrag wird mit der EU-Niederlassung geschlossen.

Bewertungsansatz: Wie beim Microsoft-365-Beispiel ist die Hochschule grundsätzlich nicht Datenexporteurin, wenn der AVV mit der EU-Niederlassung geschlossen wird und die Verarbeitung dort verbleibt. Die DPF-Zertifizierung und SCC betreffen die konzerninterne Übermittlung zwischen EU-Tochter und US-Mutter. Eigene Prüfaufgaben: AVV-Klauseln, EU-Datenresidenz aktiv konfigurieren, Aufzeichnungen restriktiv handhaben, Sub-AV-Liste regelmäßig prüfen. Alternative: europäische Anbieter wie BigBlueButton (Self-Hosted) oder DFNconf für Hochschulen.

UK-Transfer

Wissenschaftliche Kooperation mit britischer Universität

Eine deutsche Hochschule kooperiert mit einer britischen Universität und übermittelt im Rahmen des Forschungsprojekts personenbezogene Daten der Studienteilnehmenden.

Bewertungsansatz: Das Vereinigte Königreich ist Drittland. Für die Übermittlung aus dem EWR besteht jedoch ein Angemessenheitsbeschluss der Kommission (Durchführungsbeschluss (EU) 2021/1772 vom 28.06.2021). Dieser wurde durch den Durchführungsbeschluss (EU) 2025/2574 vom 19.12.2025 bis zum 27.12.2031 verlängert. Der Transfer ist damit zulässig, solange der Beschluss zum Zeitpunkt der Übermittlung gültig ist. SCC oder TIA sind in diesem Fall nicht erforderlich.

Drittland ohne Garantien

Übermittlung an eine Universität in einem Land ohne Angemessenheitsbeschluss und ohne SCC

Eine Hochschule möchte Studierendendaten an eine Partnerhochschule in einem Drittland übermitteln. Es liegt weder ein Angemessenheitsbeschluss vor, noch wurden SCC abgeschlossen.

Bewertungsansatz: Übermittlung nur über Art. 49 DSGVO denkbar – etwa wenn die Studienteilnahme eine ausdrückliche Einwilligung mit Risikoaufklärung umfasst, oder die Übermittlung für die Vertragserfüllung gegenüber der oder dem Studierenden erforderlich ist. Sonst ist die Übermittlung kaum tragfähig. Empfehlung: SCC abschließen und TIA durchführen.

Worauf es beim Drittlandstransfer schiefgeht

Acht typische Fallen, in die Verantwortliche bei Drittlandkonstellationen geraten – und worauf es bei jeder ankommt:

Rollen- und Verantwortungsverwechslung: In der Praxis halten sich Verantwortliche häufig selbst für Datenexporteur gegenüber der US-Mutter, obwohl der Vertrag mit einer EU-Niederlassung geschlossen wurde. Datenexporteurin ist in solchen Fällen die EU-Niederlassung; der Verantwortliche prüft SCC und TIA dann indirekt über den AVV.
Abstrakte Zugriffsmöglichkeit als Übermittlung behandelt: Die bloße gesetzliche Zugriffsbefugnis ausländischer Behörden (CLOUD Act, FISA 702) begründet nach EDSA-Auslegung noch keine Datenübermittlung im Sinne des Kapitels V. Erforderlich ist nach hier vertretener Auffassung eine aktive Offenlegung oder Zugriffsgewährung durch den Verantwortlichen oder dessen Auftragsverarbeiter.
SCC ohne TIA: Allein der Abschluss der Standardvertragsklauseln reicht seit der Schrems-II-Entscheidung in aller Regel nicht mehr aus. Empfohlen wird, ergänzend ein dokumentiertes Transfer Impact Assessment durchzuführen.
DPF als Universalbescheinigung: Der EU-US Data Privacy Framework gilt nur für die im Register zertifizierten US-Empfänger und nur für die dort eingetragenen Datenkategorien. Es wird empfohlen, die Zertifizierung des konkreten Empfängers vor jedem Transfer zu verifizieren.
Einwilligung für Massentransfer: Art. 49 Abs. 1 lit. a DSGVO trägt als Ausnahmevorschrift selten, wenn eine Einwilligung als laufender Übermittlungsgrund eingesetzt werden soll. Empfohlen wird, alternative Übermittlungsinstrumente vorzuziehen.
Verschlüsselung als Allheilmittel: Eine Verschlüsselung entfaltet ihre Schutzwirkung nur dort voll, wo der Empfänger den Klartext nicht benötigt und der Schlüssel im EWR verbleibt. Im klassischen Cloud-Service-Modell mit aktivem Empfängerzugriff erscheint sie als ergänzende Maßnahme häufig nicht ausreichend.
Fehlende Aktualisierung: SCC, DPF-Status, Sub-Auftragsverarbeiter-Listen und TIA bedürfen regelmäßiger Überprüfung. Eine Einmalbewertung wird der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO selten gerecht.
Kein Notfallplan: Sollte der DPF erneut in Frage gestellt werden (mögliches Schrems III), wäre eine kurzfristige Compliance-Lücke denkbar. Es wird empfohlen, vorausschauend eine alternative Stützung über SCC und ergänzende Maßnahmen vorzubereiten.

Vertiefende Quellen

Rechtsquellen

Verordnung (EU) 2016/679 (DSGVO) – Kapitel V, Art. 44–50 (Übermittlungen in Drittländer und an internationale Organisationen).
Durchführungsbeschluss (EU) 2023/1795 – Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (DPF).
Durchführungsbeschluss (EU) 2021/914 – aktuelle Standardvertragsklauseln (SCC) für Drittlandsübermittlungen.

Rechtsprechung

EuGH, Urteil v. 16.07.2020 – C-311/18 (Schrems II) – Kippung des Privacy Shield, Maßstab für ergänzende Schutzmaßnahmen.
EuG, Urteil v. 03.09.2025 – T-553/23 (Latombe/Kommission) – Bestätigung des DPF-Angemessenheitsbeschlusses; Rechtsmittel zum EuGH eingelegt, zweite Instanz seit Q1/2026 anhängig („Schrems III").

Aufsichtspraxis

EDPB, Empfehlungen 01/2020 zu ergänzenden Maßnahmen für Übermittlungstools – Methodik und Beispielmaßnahmen für TIAs.
U.S. Department of Commerce, Data Privacy Framework Programm – Liste der zertifizierten US-Empfänger.
LfD Sachsen-Anhalt, Orientierungshilfen und Hinweisdokumente – aufsichtsbehördliche Praxis im Land Sachsen-Anhalt.

Querverweise auf eigene Themenseiten

Auftragsverarbeitung (Art. 28 DSGVO) – AVV mit Drittlandsbezug und SCC-Anlage.
Microsoft 365 an öffentlichen Hochschulen – Drittlandsbezug bei zentralen Cloud-Diensten.
Generative KI in Standard-Software (Schatten-KI) – KI-Backends im Drittland als Risikofaktor.
KI-Transkription – Übermittlung von Audio-/Transkriptionsdaten an Drittlandsanbieter.

Stand: Q2/2026 · letzte inhaltliche Pflege; anbieter- und produktbezogene Aussagen sind dynamisch und vor produktiver Nutzung an aktuellen Primärquellen zu prüfen.

★

Interaktiv: Drittlandtransfer-Schnellprüfung

★ Interaktiv – Drittlandtransfer-Schnellprüfung

Der Drittlandtransfer-Schnellprüfung steht jetzt als eigene Seite im Werkzeugkasten zur Verfügung. Eingaben bleiben lokal im Browser; am Ende erzeugt der Wizard ein druckfertiges Workpaper für die Akte.

★ Drittlandtransfer-Schnellprüfung öffnen

Weitere Themenseiten zu Datenschutz, KI-Verordnung und Informationssicherheit.

Zur Themenübersicht

Fragen zu dieser Seite?

Hinweise, Fehlerkorrekturen oder Anregungen zur Erweiterung dieser Seite nehme ich gerne entgegen.

kontakt@dennisawinkler.de