Was ist eine Drittlandübermittlung?
Du trägst eine E-Mail-Adresse in dein Newsletter-Tool ein. Das Tool sitzt in den USA. Schon hast du Daten übermittelt — und zwar in ein Drittland, also ein Land außerhalb der EU und des Europäischen Wirtschaftsraums.
Die DSGVO regelt das in Kapitel V, Artikel 44 bis 49. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, prüft in zwei Stufen: Erst braucht die Verarbeitung selbst eine Rechtsgrundlage, etwa eine Einwilligung. Dann braucht die Übermittlung zusätzlich ein eigenes Instrument aus Kapitel V.
Eine Übermittlung ist nicht nur das Hochladen auf einen US-Server. Auch der Zugriff aus dem Drittland zählt, etwa wenn der Support des Anbieters aus den USA auf deine Daten schaut.
Welche Grundlagen gibt es?
Instrument
Was es heißt
Angemessenheitsbeschluss
Die EU-Kommission bestätigt: Das Land schützt Daten vergleichbar gut. Dann ist nichts weiter nötig.
Standardvertragsklauseln
Mustervertrag der Kommission zwischen dir und dem Empfänger, plus eigene Risikoprüfung
Ausnahmen
Etwa eine ausdrückliche Einwilligung — nur für Einzelfälle
Einen Angemessenheitsbeschluss haben 16 Länder und Gebiete, dazu die Europäische Patentorganisation. Darunter sind die Schweiz, das Vereinigte Königreich, Japan, Kanada (nur für Unternehmen) und seit Anfang 2026 auch Brasilien. Die Liste führt die EU-Kommission.
Die Standardvertragsklauseln (englisch SCC) stammen von 2021 und sind in Module aufgeteilt. Wer sie nutzt, muss vorher die Rechtslage im Zielland bewerten. Diese Prüfung heißt Transfer Impact Assessment (TIA).
Sonderfall USA: das Data Privacy Framework
Die USA sind für Marketer das wichtigste Drittland. Google, Meta, Mailchimp, HubSpot — fast alles sitzt dort. Zweimal hat der Europäische Gerichtshof die Grundlage dafür gekippt: 2015 Safe Harbor (Schrems I), 2020 den Privacy Shield (Schrems II). Grund waren die weitreichenden Zugriffe der US-Geheimdienste.
Seit dem 10. Juli 2023 gilt das EU-US Data Privacy Framework (DPF). Es ist ein Angemessenheitsbeschluss, aber nur für US-Unternehmen, die sich beim US-Handelsministerium selbst zertifiziert haben und auf der DPF-Liste stehen. Mehr als 3.500 Unternehmen hatten sich bis März 2026 angemeldet.
Hält das? Am 3. September 2025 hat das Gericht der EU eine Klage gegen das DPF abgewiesen (Rechtssache Latombe, T-553/23). Gegen dieses Urteil ist ein Rechtsmittel beim EuGH anhängig. Die DSK rät ausdrücklich, sich auf ein mögliches Aus einzustellen.
Beispiele aus der Praxis
Zwei Fälle zeigen, wie weit die Folgen auseinanderliegen können: eine Behördenentscheidung ohne Bußgeld und die höchste DSGVO-Strafe bisher.
Fall A · Social Media
Meta, Facebook-Daten in die USA
1,2 Mrd. €
Bußgeld
5 Monate
Frist zum Aussetzen
Verstoß gegen Art. 46 DSGVO
Irische Datenschutzbehörde, Mai 2023. Standardvertragsklauseln allein reichten nach Schrems II nicht aus.
Fall B · Webanalyse
Website in Österreich mit Google Analytics
101
Musterbeschwerden von noyb
0 €
Bußgeld
Nutzung rechtswidrig
Datenschutzbehörde Österreich, Januar 2022 — vor dem DPF. Heute deckt das DPF Google, solange es gelistet ist.
Häufige Fehler
Fehler 1 · „Seit dem DPF ist jedes US-Tool okay“
Nur zertifizierte Unternehmen sind gedeckt. Ein kleines US-Tool ohne Eintrag braucht Standardvertragsklauseln und eine Risikoprüfung. Schau vor jedem neuen Tool auf die DPF-Liste.
Fehler 2 · „Server in Frankfurt, also kein Problem“
Der Standort des Servers allein entscheidet nicht. Greift der Anbieter aus den USA zu, etwa für Support oder Wartung, kann das schon eine Übermittlung sein. Frag nach, wer von wo zugreift.
Fehler 3 · „Der AVV regelt das schon“
Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 regelt, dass der Anbieter nach deiner Weisung arbeitet. Die Drittlandfrage ist eine eigene Prüfung. Sitzt der Anbieter im Drittland, brauchst du beides.
Fehler 4 · Die Einwilligung als Dauerlösung
Die Einwilligung nach Art. 49 ist eine Ausnahme für Einzelfälle. Für den täglichen Datenfluss zu deinem Newsletter-Tool taugt sie nicht. Ein Satz im Cookie-Banner ersetzt kein Instrument aus Kapitel V.
So gehst du vor
- Bestand aufnehmen: Welche Tools nutzt du, wo sitzt der Anbieter, wer greift zu?
- US-Anbieter prüfen: Auf der DPF-Liste (dataprivacyframework.gov) nach dem Unternehmen suchen, Status „Active“.
- Nicht gelistet? Standardvertragsklauseln abschließen und ein Transfer Impact Assessment dokumentieren.
- Dokumentieren: Drittländer und Garantien gehören in die Datenschutzerklärung und ins Verzeichnis von Verarbeitungstätigkeiten.
- Plan B bereithalten: Für wichtige Tools eine EU-Alternative kennen, falls das DPF fällt.
Verstöße gegen Kapitel V gehören zur höchsten Bußgeldstufe der DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.
Häufige Fragen
Darf ich Google Analytics noch nutzen?
Für die Übermittlung in die USA ja, über das Data Privacy Framework, solange Google dort gelistet ist. Das ersetzt aber nicht die Einwilligung für das Tracking selbst. Die brauchst du weiterhin über dein Cookie-Banner.
Woran erkenne ich, ob ein US-Anbieter zertifiziert ist?
Auf der offiziellen DPF-Liste unter dataprivacyframework.gov. Such nach dem Unternehmen, nicht nach dem Produktnamen — Mailchimp etwa gehört zu Intuit. Wichtig ist der Status „Active“, denn die Zertifizierung muss jährlich erneuert werden.
Was passiert, wenn der EuGH das DPF kippt?
Dann fällt die Grundlage für zertifizierte US-Anbieter sofort weg. Du brauchst dann Standardvertragsklauseln mit Risikoprüfung oder musst die Übermittlung stoppen. Beim Privacy Shield 2020 gab es keine Schonfrist.
Brauche ich beim DPF ein Transfer Impact Assessment?
Nein. Beim DPF hat die EU-Kommission das Schutzniveau schon bewertet. Bei Standardvertragsklauseln ist die Risikoprüfung Pflicht. Für die USA darfst du dich dabei laut DSK auf die Bewertung der Kommission stützen.
Sind die Schweiz und Großbritannien Drittländer?
Ja, aber unproblematische. Beide haben einen Angemessenheitsbeschluss. Der für das Vereinigte Königreich wurde im Dezember 2025 verlängert. Du kannst Daten dorthin ohne weitere Garantien übermitteln.
