Daten in die USA: der Stand nach drei Anläufen
Zweimal hat der EuGH ein Abkommen gekippt, seit 2023 gilt das dritte. Was das für eingebundene Dienste bedeutet, welche Prüfung trotzdem nötig bleibt – und warum die Frage nicht mit einem Häkchen erledigt ist.
Die DSGVO erlaubt eine Übermittlung außerhalb der EU nur unter Bedingungen. Der einfachste Weg ist ein Angemessenheitsbeschluss: Die Kommission stellt fest, dass ein Land ein vergleichbares Schutzniveau bietet, und die Übermittlung dorthin ist so behandelt wie eine innerhalb der EU. Für die USA hat dieser Weg eine bewegte Geschichte.
Drei Abkommen in zehn Jahren
- 2000Safe Harbor tritt in Kraft – eine Selbstverpflichtung amerikanischer Unternehmen.
- 2015Der EuGH kippt es (Schrems I). Grund: unverhältnismäßiger Zugriff durch Behörden.
- 2016Der Nachfolger Privacy Shield tritt in Kraft.
- 2020Auch dieses fällt (Schrems II) – aus demselben Grund. Standardvertragsklauseln bleiben, brauchen aber eine zusätzliche Prüfung.
- 2023Das Data Privacy Framework tritt in Kraft, gestützt auf eine Anordnung des US-Präsidenten und ein neues Beschwerdegericht.
Was heute konkret gilt
Eine Übermittlung an ein US-Unternehmen ist zulässig, wenn dieses Unternehmen unter dem Data Privacy Framework zertifiziert ist. Die Zertifizierung ist öffentlich einsehbar und muss jährlich erneuert werden – sie ist also kein Dauerzustand, sondern ein Status, der ablaufen kann.
Entscheidend ist zudem der Umfang: Eine Zertifizierung kann auf bestimmte Datenarten beschränkt sein. Ein Unternehmen, das nur für Personaldaten zertifiziert ist, deckt damit keine Website-Daten ab.
Wenn keine Zertifizierung vorliegt
Die verbleibenden Wege, in der Reihenfolge der Praxistauglichkeit
- Standardvertragsklauseln plus PrüfungDer übliche Weg. Die Klauseln allein genügen seit Schrems II nicht – hinzu kommt eine dokumentierte Einschätzung der Rechtslage im Zielland.
- Zusätzliche SchutzmaßnahmenVerschlüsselung, bei der der Schlüssel in der EU bleibt, oder Verarbeitung ausschließlich in pseudonymisierter Form.
- Einwilligung für den EinzelfallNur für gelegentliche Übermittlungen gedacht und mit Hinweis auf die Risiken. Für den laufenden Betrieb einer Website untauglich.
- AnbieterwechselDer Weg, der die Frage auflöst statt sie zu verwalten. Für die meisten Dienstarten gibt es Anbieter mit Verarbeitung innerhalb der EU.
Für die Praxis folgt daraus eine einfache Empfehlung zur Bestandsaufnahme: Jeder eingebundene Dienst wird daraufhin angesehen, wo der Dienst verarbeitet und ob eine gültige Zertifizierung vorliegt. Das Ergebnis gehört in die Datenschutzerklärung – und die Zertifizierungen gehören in eine Wiedervorlage, weil sie jährlich ablaufen.
Zwei gekippte Abkommen in fünfzehn Jahren sind ein Muster, keine Ausnahme. Wer die Frage dauerhaft loswerden will, verlagert die Verarbeitung – wer sie verwaltet, plant die nächste Prüfung mit ein.