International

Transatlantischer Datenverkehr

Welche Regelungen gelten für eine rechtskonforme Übermittlung personenbezogener Daten aus der EU in die USA? Was sollten Unternehmen beachten? Der nachfolgende Webartikel gibt Antworten auf diese und weitere Fragen.

Das EU-U.S. Data Privacy Framework als Grundlage transatlantischer Datenübermittlung

Für zahlreiche deutsche Unternehmen ist die Übermittlung personenbezogener Daten in die Vereinigten Staaten ein wesentlicher Bestandteil ihres Geschäftsmodells. Dies gilt insbesondere dann, wenn sie amerikanische Software, (Video-) Konferenzplattformen oder CRM-Systeme einsetzen oder Cloud-Dienste von US-Anbietern nutzen.
Seit Juli 2023 schafft das nach langwierigen Verhandlungen zwischen der Europäischen Kommission und der US-Regierung verabschiedete EU-U.S. Data Privacy Framework (DPF) eine Rechtsgrundlage für den Transfer personenbezogener Daten zwischen der Europäischen Union und den Vereinigten Staaten.
Art. 45 DSGVO ermöglicht die Übermittlung personenbezogener Daten in einen Drittstaat, wenn die Europäische Kommission durch einen Angemessenheitsbeschluss festgestellt hat, dass dort ein der Europäischen Union im Wesentlichen gleichwertiges Datenschutzniveau gewährleistet ist. Liegt ein solcher Beschluss vor, sind Datenübermittlungen ohne zusätzliche Garantien oder besondere Genehmigungen zulässig.
Der Angemessenheitsbeschluss gilt für Datenübermittlungen von öffentlichen und privaten Einrichtungen an US-Unternehmen, die am EU-USA-Datenschutzrahmen teilnehmen. US-Unternehmen müssen zur Teilnahme am Datenschutzrahmen eine Selbstzertifizierung durchlaufen und angeben, dass sie detaillierte Datenschutzpflichten einhalten (hierzu gezielte Suche nach „Active Participants" möglich - Data Privacy Framework List).
Am 3. Juli 2023 hat die damalige US-Handelsministerin erklärt, dass die USA alle Verpflichtungen zur Umsetzung des EU-US Datenschutzrahmens erfüllen. Die Europäische Kommission hat am 10. Juli 2023 einen neuen Angemessenheitsbeschluss (adequacy decision) für den Datenverkehr zwischen der EU und den USA erlassen. Der Beschluss legt fest, dass die USA für personenbezogene Daten ein mit dem europäischen Standard vergleichbares Schutzniveau gewährleisten. Für Datenübermittlungen an nach dem DPF zertifizierte US-Unternehmen bedeutet dies, dass sie auf den Angemessenheitsbeschluss nach Art. 45 DSGVO gestützt werden können und grundsätzlich keiner zusätzlichen Übermittlungsinstrumente bedürfen.
Der Angemessenheitsbeschluss ist zeitlich nicht befristet. Die Europäische Kommission überprüft jedoch regelmäßig, ob das dem Beschluss zugrunde liegende Datenschutzniveau weiterhin gewährleistet wird. Der geltende Datenschutzrahmen ist jedoch spätestens seit Januar 2025 erheblichen Unsicherheiten ausgesetzt.

Institutionelle Veränderungen in den USA und ihre Auswirkungen auf das EU-U.S. Data Privacy Framework

Seit dem Amtsantritt der zweiten Trump-Administration im Januar 2025 ist der Datenschutzrahmen erheblichen Unsicherheiten ausgesetzt, die vor allem auf innenpolitische Entwicklungen in den Vereinigten Staaten zurückzuführen sind.
Der Angemessenheitsbeschluss der Europäischen Kommission beruht auf der Annahme, dass die im EU-U.S. Data Privacy Framework vorgesehenen Datenschutz-, Kontroll-, und Rechtsschutzmechanismen wirksam und unabhängig umgesetzt werden. Werden diese institutionellen Voraussetzungen beeinträchtigt, kann das Zweifel an der Fortgeltung der von der Europäischen Kommission festgestellten Angemessenheit des Datenschutzniveaus begründen.
Bereits am 22. Januar 2025 entließ US-Präsident Donald Trump drei demokratische Mitglieder des Privacy and Civil Liberties Oversight Board (PCLOB). Das PCLOB ist ein unabhängiges Aufsichtsgremium der US-Regierung, das die Einhaltung von Datenschutz- und Bürgerrechtsstandards bei den Tätigkeiten der US-Nachrichtendienste überwachen soll. Seit den Entlassungen besteht das Gremium nur noch aus einem republikanischen Mitglied und ist daher nicht mehr beschlussfähig. Infolgedessen kann das PCLOB seine im Rahmen der DPF vorgesehenen Kontrollfunktion derzeit nicht mehr in vollem Umfang wahrnehmen.
Darüber hinaus wird befürchtet, dass Präsident Trump die von seinem Vorgänger Joe Biden im Jahr 2022 erlassene Executive Order 14086 („Executive Order on Enhancing Safeguards for United States Signals Intelligence Activities“) aufheben könnte. Diese bildet eine wesentliche Grundlage des DPF, da sie den US-Nachrichtendiensten insbesondere Vorgaben zur Verhältnismäßigkeit bei der Verarbeitung personenbezogener Daten auferlegt und den im DPF vorgesehenen Rechtsschutzmechanismus absichert. Eine Aufhebung dieser Executive Order würde zentrale datenschutzrechtliche Garantien entfallen lassen und damit die Grundlage des Angemessenheitsbeschlusses erheblich beeinträchtigen.
Diese Entwicklungen könnten gravierende Auswirkungen auf den transatlantischen Datenverkehr haben. Insbesondere könnten sie die Annahme der Europäischen Kommission infrage stellen, dass in den Vereinigten Staaten ein der Europäischen Union im Wesentlichen gleichwertiges Datenschutzniveau gewährleistet wird.

Die Zukunft „unabhängiger“ US-Behörden nach Trump v. Slaughter

Die Federal Trade Commission (FCT) ist eine weitere unabhängige US-Bundesbehörde, die überwiegend Datenschutz- und Verbraucherschutzvorschriften durchsetzt. Aufgrund ihrer Befugnisse nimmt die FCT eine zentrale Rolle bei der Regulierung digitaler Märkte und beim Schutz personenbezogener Daten in den USA ein.
Im Urteil Trump v. Slaughter, No. 25-332, vom 29. Juni 2026 befasste sich der Supreme Court mit der Frage, ob der Präsident der Vereinigten Staaten Mitglieder der FCT entgegen gesetzlicher Schutzvorschriften ohne besonderen Entlassungsgrund abberufen darf. Hintergrund war die Entlassung der FCT-Kommissarin Rebecca Slaughter durch Präsident Donald Trump zu Beginn seiner zweiten Amtszeit. Nach der bis dahin geltenden Rechtslage konnten FCT-Kommissare nur aus bestimmten Gründen, beispielsweise wegen Pflichtverletzungen oder Amtsmissbrauchs, vorzeitig abberufen werden.
Der Supreme Court entschied mit einer Mehrheit von 6 zu 3 Stimmen, dass die gesetzliche Beschränkung der Abberufungsbefugnis des Präsidenten mit der US-Verfassung unvereinbar ist. Nach Auffassung der Mehrheit unterliegt die FCT als Teil der Executive der Leitungs- und Kontrollgewalt des Präsidenten. Der Präsident müsse die Möglichkeit haben, leitende Amtsträger, die exekutive Aufgaben wahrnehmen, auch ohne Nachweis eines besonderen Fehlverhaltens abzuberufen. Damit gab das Gericht dem Präsidenten eine weitreichendere Kontrolle über unabhängige Regulierungsbehörden und rückte von der jahrzehntelang prägenden Entscheidung Humphrey’s Executor v. United States aus dem Jahr 1935 ab.
Im Zusammenhang mit dem EU-U.S. Data Privacy Framework ist das Urteil maßgeblich von Bedeutung, da der Angemessenheitsbeschluss der Europäischen Kommission primär auf der Annahme beruht, dass die US-Kontroll- und Aufsichtsbehörden hinreichend unabhängig ausgestaltet sind. Eine stärkere politische Kontrolle derartiger Behörden begründen daher nun Zweifel, ob die institutionellen Garantien des DPF weiterhin den Anforderungen des Art. 45 DSGVO entsprechen.

Welche Konsequenzen ergeben sich aus aktuellen Entwicklungen beim transatlantischen Datenverkehr für die Praxis?

In der Praxis gilt der Angemessenheitsbeschluss der EU-Kommission weiterhin, bis er von der EU-Kommission aufgehoben oder vom EuGH für ungültig erklärt wird.
Im April 2025 hat die Kommission auf eine parlamentarische Anfrage eines Abgeordneten des Europäischen Parlaments (E-000520/2025 [ASW]) hin erklärt, dass sie davon ausgehe, dass die Executive Order 14086 in den Vereinigten Staaten weiterhin in Kraft bleibe und Garantien für den Datenschutz im transatlantischen Datenverkehr biete.
Insgesamt scheint die EU-Kommission bestrebt, den mit der Biden-Administration mühsam erzielten Kompromiss ungeachtet der drohenden datenschutzrechtlichen Defizite in den USA infolge der Handlungsunfähigkeit des PCLOB nicht zu gefährden, um Unternehmen in der EU weiterhin eine erleichterte Datenübermittlung in die USA zu ermöglichen. Die weiteren Entwicklungen in den Vereinigten Staaten – insbesondere eine immer noch mögliche förmliche Aufhebung der Executive Order 14086 – werden zeigen, ob die EU-Kommission an diesem Kurs festhalten wird.
Langfristig ist angesichts der aktuellen Entwicklungen in den USA davon auszugehen, dass das EU-U.S. Data Privacy Framework als Grundlage für die Übermittlung personenbezogener Daten in die USA entfällt.
Ein solcher Wegfall würde dazu führen, dass Datenübermittlungen in die Vereinigten Staaten nicht mehr ohne Weiteres auf Art. 45 DSGVO gestützt werden könnten. Unternehmen müssten dann auf alternative Übermittlungsinstrumente zurückgreifen und zusätzliche Prüfungen hinsichtlich des Datenschutzniveaus in den USA durchführen. Ein erneuter Wechsel der Rechtsgrundlage würde dann nicht nur zusätzlichen administrativen Aufwand verursachen, sondern auch die Anpassung bestehender Verträge, technische Änderungen und eine erneute Bewertung der Datenflüsse erforderlich machen.
In der Vergangenheit hat der Europäische Gerichtshof (EuGH) bereits am 16. Juli 2020 die frühere Rechtsgrundlage für die Datenübermittlung in die USA aufgrund des unzureichenden Datenschutzniveaus gekippt. Das sogenannte „Privacy Shield Abkommen“ ermöglichte davor vielen Unternehmen in der EU, personenbezogene Daten von Kunden/-innen, Mitarbeitenden oder auch für die Nutzung von Internetdiensten in die USA zu transportieren und dort verarbeiten zu lassen. Weil sich ein Datenzugriff durch US-Nachrichtendienste nicht ausschließen ließ, sah der EuGH allerdings keine Möglichkeit, ein dem europäischen Recht angemessenes Datenschutzniveau in den USA anzuerkennen.
Unternehmen, die ihre Daten damals in den USA selbst verarbeiteten oder durch einen IT-Dienstleister in den Vereinigten Staaten verarbeiten ließen, mussten nach Aufkündigung des Privacy Shield Abkommens genau prüfen, ob ihr Vertragspartner jenseits des Atlantiks ein Datenschutzniveau gewährleistete, das dem der EU gleichwertig war. Dafür konnten die Standarddatenschutzklauseln die Grundlage sein. In der Regel mussten aber noch zusätzliche Vereinbarungen getroffen werden, um die Daten zu schützen. Konnte die Gleichwertigkeit nicht hergestellt werden, durften die Daten nicht in die USA übermittelt werden.

Was sollten Unternehmen beim transatlantischen Datenverkehr beachten?

Aufgrund der politischen und institutionellen Unsicherheiten empfiehlt sich eine vorausschauende Vorbereitung auf mögliche Änderungen des rechtlichen Rahmens.
Unternehmen sollten prüfen, welche personenbezogenen Daten tatsächlich in die Vereinigten Staaten übermittelt werden, welche Dienstleister dabei eingebunden sind und ob diese weiterhin über eine gültige Zertifizierung nach dem EU-U.S. Data Privacy Framework verfügen.
Darüber hinaus sollten Unternehmen alternative Übermittlungsmechanismen vorbereiten. Hierzu gehört vor allem die Prüfung, ob für einzelne Datenflüsse eine Absicherung durch Standardvertragsklauseln EU-DS-GVO: Datentransfer in Drittländer nach Art. 46 DSGVO erforderlich wäre und ob ergänzende technische und organisatorische Maßnahmen, etwa Verschlüsselung oder Zugriffsbeschränkungen, umgesetzt werden können.
Eine entsprechende Vorbereitung kann das Risiko reduzieren, dass bei einer kurzfristigen Änderung der Rechtslage erhebliche betriebliche Anpassungen notwendig werden.
Unternehmen müssen derzeit noch nicht automatisch alle US-Datentransfers einstellen oder auf Standardvertragsklauseln umstellen: Sie sollten jedoch ihre Datenflüsse dokumentieren, die DPF-Zertifizierung ihrer Anbieter kontrollieren und Notfallstrategien für einen möglichen Wegfall des Angemessenheitsbeschlusses vorbereiten.

Transatlantischer Datenverkehr: Checkliste für Unternehmen

  • Datenflüsse analysieren: Welche personenbezogenen Daten werden in die USA übermittelt und welche internen Prozesse oder Dienstleister sind daran beteiligt?
  • Rechtsgrundlage prüfen: Erfolgt die Übermittlung auf Grundlage des EU-U.S. Data Privacy Framework oder eines anderen Transferinstruments?
  • DPF-Zertifizierung kontrollieren: Ist der eingesetzte US-Dienstleister weiterhin nach dem EU-U.S. Data Privacy Framework zertifiziert?
  • Verträge überprüfen: Enthalten bestehende Vereinbarungen mit US-Anbietern geeignete Datenschutz- und Anpassungsklauseln für Änderungen der Rechtslage?
  • Alternative Absicherung vorbereiten: Können betroffene Datenübermittlungen gegebenenfalls kurzfristig auf Standardvertragsklauseln (SCCs) oder andere geeignete Datenschutzvorschriften (BCRs) umgestellt werden?
  • Technische Schutzmaßnahmen bewerten: Sind zusätzliche Maßnahmen wie Verschlüsselung, Zugriffsbeschränkungen oder Datenminimierung sinnvoll und umsetzbar?
  • Entwicklungen beobachten: Werden Änderungen des EU-U.S. Data Privacy Framework, Entscheidungen der Europäischen Kommission und relevante Entwicklungen in den USA regelmäßig verfolgt?
Stand: Juli 2026