Was ist ein Angemessenheitsbeschluss?
Personenbezogene Daten dürfen die EU nicht einfach so verlassen. Die DSGVO verlangt für jede Drittlandübermittlung eine eigene Grundlage. Der einfachste Weg ist der Angemessenheitsbeschluss: Die EU-Kommission prüft ein Land und stellt fest, dass sein Datenschutz mit dem der EU vergleichbar ist.
Art. 45 DSGVO sagt dazu: Eine solche Übermittlung braucht keine besondere Genehmigung. Für dich heißt das: Du behandelst den Empfänger im Kern wie einen Anbieter aus der EU. Standardvertragsklauseln und eine eigene Risikoprüfung entfallen für diesen Transfer.
Ewig gilt so ein Beschluss nicht. Er muss eine Überprüfung mindestens alle vier Jahre vorsehen. Die Kommission kann ihn ändern, aussetzen oder widerrufen. Und der Europäische Gerichtshof kann ihn kippen.
Welche Länder haben einen Angemessenheitsbeschluss?
Die Liste der Kommission nennt aktuell 17 Einträge. Für Marketing zählen vor allem diese:
Land
Besonderheit
USA
nur zertifizierte Firmen
Großbritannien
im Dezember 2025 erneuert
Schweiz
ohne Einschränkung
Kanada
nur kommerzielle Firmen
Brasilien
neu seit Januar 2026
Dazu kommen Andorra, Argentinien, die Färöer, Guernsey, Israel, die Isle of Man, Japan, Jersey, Neuseeland, die Republik Korea und Uruguay. Der 17. Eintrag ist kein Land: die Europäische Patentorganisation. Die Liste ändert sich, schau deshalb auf der Seite der Kommission nach.
Gilt der Beschluss für die USA noch?
Ja, Stand November 2026 gilt er. Sicher ist er aber nicht. Der Beschluss (EU) 2023/1795 vom 10. Juli 2023 trägt das EU-US Data Privacy Framework, kurz DPF. Er gilt nur für US-Firmen, die sich dort selbst zertifiziert haben.
Zwei Vorgänger hat der EuGH schon gekippt: Safe Harbour 2015 (Schrems I) und Privacy Shield 2020 (Schrems II). Beim DPF ist die Lage offen:
- September 2025: Das Gericht der EU weist die Klage des Abgeordneten Latombe ab (T-553/23). Bewertet wurde der Stand am Tag des Beschlusses.
- Oktober 2025: Latombe legt Rechtsmittel beim EuGH ein (C-703/25 P). Das Verfahren läuft.
- Juni 2026: Der US Supreme Court erlaubt in Trump v. Slaughter, Mitglieder der Handelsbehörde FTC ohne Grund zu entlassen. Der Beschluss stützt sich aber auf die Aufsicht der FTC.
- Juli 2026: Der Europäische Datenschutzausschuss bittet die Kommission, das zu prüfen.
Häufige Fehler
Fehler 1 · „US-Anbieter heißt zertifiziert“
Dein konkreter Vertragspartner muss aktiv auf der DPF-Liste stehen. Die Zertifizierung läuft jährlich aus. Ehemalige Teilnehmer stehen als „inactive“ weiter dort, darauf kannst du dich nicht berufen. Bei Tochterfirmen prüf, ob die Zertifizierung der Mutter sie abdeckt.
Fehler 2 · „Der Beschluss ersetzt alles“
Er regelt nur den Weg ins Ausland. Du brauchst weiter eine Rechtsgrundlage für die Verarbeitung und einen Auftragsverarbeitungsvertrag. In deine Datenschutzerklärung gehören Empfänger und Beschluss ebenfalls.
Fehler 3 · Beschäftigtendaten übersehen
Die Zertifizierung unterscheidet zwischen HR-Daten und anderen Daten. Nutzt du ein US-Tool für Bewerber oder Mitarbeitende, muss genau das abgedeckt sein.
Fehler 4 · Einmal prüfen, nie wieder
Eine Prüfung von vor zwei Jahren sagt nichts über heute. Und falsche Transfers sind teuer: Verstöße gegen Art. 44 bis 49 DSGVO können bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes kosten.
So prüfst du einen Anbieter
- Sitz klären: Wer ist dein Vertragspartner, und wohin gehen die Daten wirklich? Der Auftragsverarbeitungsvertrag nennt Unterauftragnehmer.
- Liste prüfen: EU-Länder fallen raus, Drittländer schaust du in der Kommissionsliste nach, US-Firmen auf dataprivacyframework.gov.
- Umfang prüfen: Status aktiv? Passt der Datentyp?
- Dokumentieren: Datum und Screenshot ins Verzeichnis von Verarbeitungstätigkeiten. Einmal im Jahr wiederholen.
- Plan B hinterlegen: Achte darauf, dass im Vertrag zusätzlich Standardvertragsklauseln stehen.
Häufige Fragen
Brauche ich bei einem Angemessenheitsbeschluss noch Standardvertragsklauseln?
Für den Transfer selbst nicht, der Beschluss reicht. Als Rückfallebene sind sie trotzdem sinnvoll, vor allem bei US-Anbietern. Das ist eine Empfehlung aus der Beratungspraxis, keine Pflicht aus dem Gesetz.
Ist Großbritannien nach dem Brexit ein sicheres Drittland?
Ja, die EU-Kommission hat ihren Beschluss für das Vereinigte Königreich im Dezember 2025 erneuert. Daten dürfen also weiter ohne Zusatzgarantien dorthin. Prüf bei Bedarf, wie lange die aktuelle Fassung läuft.
Was passiert, wenn der Beschluss für die USA fällt?
Dann fehlt die Grundlage für Transfers, die nur darauf beruhen. Du müsstest auf Standardvertragsklauseln mit Risikoprüfung umstellen oder den Anbieter wechseln. Nach Schrems II gab es keine Schonfrist vom Gericht. Halte deshalb eine Liste deiner US-Tools bereit.
Ist jede US-Firma über den Beschluss abgedeckt?
Nein. Teilnehmen können nur Firmen, die der Aufsicht der FTC oder des US-Verkehrsministeriums unterliegen. Banken, Versicherungen und gemeinnützige Organisationen fallen deshalb oft heraus. Für sie brauchst du einen anderen Weg.
