Was ist das Data Privacy Framework?
Das Data Privacy Framework, kurz DPF, regelt, wann du personenbezogene Daten an Unternehmen in den USA schicken darfst. Rechtlich ist es ein Angemessenheitsbeschluss der EU-Kommission: ein Beschluss, der feststellt, dass Daten beim Empfänger ähnlich gut geschützt sind wie in der EU.
Erlassen wurde er am 10. Juli 2023 als Durchführungsbeschluss (EU) 2023/1795. Der Haken steckt im Detail: Er gilt nicht für die USA als Ganzes, sondern nur für US-Unternehmen, die sich selbst zertifiziert haben und auf der DPF-Liste des US-Handelsministeriums stehen. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, nennt ihn deshalb „sektoral“.
Das DPF ist der dritte Versuch. Safe Harbor kippte der Europäische Gerichtshof (EuGH) 2015, den Nachfolger Privacy Shield 2020 im Urteil „Schrems II“. Beide Male ging es um den Zugriff von US-Geheimdiensten. Neu sind diesmal eine US-Verordnung des Präsidenten mit Grenzen für die Überwachung und ein eigenes Beschwerdegericht, der Data Protection Review Court.
Wer macht mit?
Zur ersten Überprüfung im Herbst 2024 zählte die EU-Kommission über 2.800 zertifizierte Unternehmen. Bemerkenswert: 70 % davon waren kleine und mittlere Unternehmen, 47 % kamen aus IT und Kommunikation. Im März 2026 sprach der Programmleiter im US-Handelsministerium von über 3.500 Teilnehmern.
Erste Überprüfung 2024
Wert
Teilnehmer
2.892
mit EU-Behörde als Beschwerdestelle
1.511
Beschwerden bei BBB National Programs
87
davon zulässig
2
Die Zahlen stehen im Bericht der Kommission vom 9. Oktober 2024. Die nächste Überprüfung ist nach drei Jahren angesetzt, also 2027.
Was heißt das für deine Tools?
Du nutzt Google Analytics, ein US-Newsletter-Tool oder ein CRM aus Kalifornien? Dann ist das DPF dein erster Prüfpunkt. So gehst du vor:
- Liste prüfen: Auf dataprivacyframework.gov den Anbieter suchen. Der Status muss „Active“ sein — die Zertifizierung läuft jährlich ab.
- Richtige Firma: Steht genau die US-Gesellschaft drauf, mit der du den Vertrag hast? Konzerne haben oft mehrere.
- Datenart: Beschäftigtendaten sind nur erfasst, wenn im Eintrag „HR Data“ steht.
- Dokumentieren: Screenshot mit Datum ablegen und in der Datenschutzerklärung das DPF als Grundlage der Übermittlung nennen.
Große Anbieter fahren zweigleisig. Google zum Beispiel ist zertifiziert und nutzt zusätzlich Standardvertragsklauseln, wo nötig. Das ist der Plan B, falls das DPF fällt.
Häufige Fehler
Fehler 1 · „Die USA sind jetzt sicher“
Nein. Für US-Empfänger, die nicht auf der Liste stehen, brauchst du weiter Standardvertragsklauseln und ein Transfer Impact Assessment, also eine Prüfung der Rechtslage im Zielland.
Fehler 2 · Einmal geprüft, nie wieder
Zertifizierungen laufen ab. Die DSK verlangt, den aktuellen Eintrag zu prüfen. Schau einmal im Jahr nach, am besten mit deinem Verzeichnis von Verarbeitungstätigkeiten als Checkliste.
Fehler 3 · DPF als Freibrief
Das DPF regelt nur den Weg über den Atlantik. Ob du die Daten überhaupt verarbeiten darfst, ist eine eigene Frage nach Art. 6 DSGVO. Fürs Tracking brauchst du weiter eine Einwilligung, und den Vertrag zur Auftragsverarbeitung ersetzt das DPF auch nicht.
Fehler 4 · Branchen übersehen
Mitmachen können nur Firmen, die unter die Aufsicht der FTC oder des US-Verkehrsministeriums fallen. Banken, Versicherungen, Telekommunikationsanbieter und gemeinnützige Organisationen gehören laut DSK meist nicht dazu.
Häufige Fragen
Darf ich Google Analytics mit dem DPF nutzen?
Für den Transfer in die USA ja, Google ist zertifiziert. Das DPF regelt aber nur die Übermittlung. Für das Tracking selbst brauchst du weiter eine Einwilligung über deinen Cookie-Banner.
Woran erkenne ich, ob ein US-Anbieter zertifiziert ist?
Auf dataprivacyframework.gov unter „DPF List“ nach dem Firmennamen suchen. Achte auf den Status „Active“, die richtige Gesellschaft und darauf, welche Datenarten erfasst sind.
Was passiert, wenn der EuGH das DPF kippt?
Dann fällt die Grundlage für Übermittlungen weg, die nur auf dem DPF beruhen. Wer zusätzlich Standardvertragsklauseln vereinbart hat, kann weitermachen, muss aber die Rechtslage in den USA selbst bewerten.
Gilt das DPF auch für die Schweiz und Großbritannien?
Es gibt eigene Ableger: die UK Extension für Großbritannien und das Swiss-U.S. DPF für die Schweiz. Ob ein Anbieter dort mitmacht, steht ebenfalls in seinem Eintrag auf der DPF-Liste.
Quellen
- EUR-Lex: Durchführungsbeschluss (EU) 2023/1795
- Datenschutzkonferenz: Anwendungshinweise zum Datenschutzrahmen EU-USA
- EU-Kommission: Bericht zur ersten Überprüfung des Datenschutzrahmens EU-USA
- Gerichtshof der EU: Pressemitteilung zum Urteil T-553/23 Latombe
- Europäischer Datenschutzausschuss: Brief an die Kommission zum Urteil des US Supreme Court
- Google: Datenschutzrahmen und Standardvertragsklauseln
- US-Handelsministerium: Data Privacy Framework List
