Internationaler Datenverkehr

Die Verarbeitung personenbezogener Daten macht in der digitalisierten, globalen Weltwirtschaft an keiner Landesgrenze und auch an der Außengrenze der Europäischen Union nicht Halt. Jeden Tag werden Kundendaten, Beschäftigtendaten oder die personenbezogenen Daten von social-media-Nutzern an Firmen außerhalb Europas übermittelt. Das hat auch die Europäische-Datenschutz-Grundverordnung (DS-GVO) erkannt und deshalb in einem eigenen Kapitel V die Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen geregelt (Art. 44 – Art. 50 DS-GVO).

Eine Datenübermittlung in Drittstaaten, wie z. B. in die Vereinigten Staaten von Amerika (USA), ist dabei nicht frei von Rechtsproblemen: Bereits zwei Mal musste der Europäische Gerichtshof (EuGH) hier Recht sprechen. Im Jahr 2015 (EuGH Urt. Vom 6.10.20215 – C-362/14) erklärte er das Safe-Harbor-Abkommen, das die Datenübermittlung zwischen der europäischen Union und den USA regelte, für unwirksam. Grund dafür war, dass die EU-Kommission seinerzeit die Sicherheit der übermittelten personenbezogenen Daten im Hinblick auf den Zugriff durch us-amerikanische öffentliche Stellen nicht ausreichend in den Fokus genommen hatte. Auch das Nachfolge-Abkommen, das EU/US Privacy Shield und den darauf gründenden Beschluss 2016/1250 erklärte der EuGH 2016 für ungültig (EuGH Urt. V. 16.07.2020- C 311/18), weil die us-amerikanischen Überwachungsprogramme und ihre rechtlichen Grundlagen nicht auf das zwingend erforderliche Maß beschränkt waren und daher gegen den unionsrechtlichen Grundsatz der Verhältnismäßigkeit verstießen.

Seit dem Jahr 2022 verhandelten die US-Administration und die EU-Kommission erneut für ein Nachfolgeabkommen: Einen Entwurf für einen solchen Angemessenheitsbeschluss hat die die EU-Kommission am 13. Dezember 2022 veröffentlicht. Trotz der deutlich geäußerten Kritik ist der Angemessenheitsbeschluss am 10. Juli 2023 unter dem Namen EU-U.S. Data Privacy Framework („EU-U.S. DPF“) in Kraft getreten ist.

Wenn ein EU-U.S. DPF zertifiziertes US-Unternehmen, an das Ihre personenbezogenen Daten übermittelt wurden, Ihrer Meinung nach gegen seine Pflichten aus diesem Data Privacy Framework verstößt oder Rechte, die Ihnen nach dem EU-U.S. DPF zustehen, verletzt hat, können Sie sich mit Ihrer Beschwerde an den TLfDI wenden. Bitte nutzen Sie hierfür das von den Datenschutzbehörden der EU-Mitgliedstaaten entwickelte Beschwerdeformular und übersenden es dem TLfDI. So wird sichergestellt, dass alle Informationen, die für eine Bearbeitung Ihres Anliegens erforderlich sind, zur Verfügung stehen. Das Beschwerdeformular können Sie auch dann nutzen, wenn es noch um Übermittlungen personenbezogener Daten unter dem Vorgängerabkommen EU-U.S. Privacy Shield geht.

Bei ungelösten DPF-Beschwerden von Privatpersonen über den Umgang mit personenbezogenen Daten, die gem. der DS-GVO aus der EU übermittelt wurden, ist das Informelle Gremium der EU-Datenschutzbehörden für die Beratung dieser U.S.-Unternehmen zuständig. Dessen Arbeitsweise ist in einer Geschäftsordnung niedergelegt.

Für Beschwerden in Hinblick auf mögliche Zugriffe Ihrer personenbezogenen Daten durch US-amerikanische Geheimdienste oder Sicherheitsbehörden nutzen Sie bitte dieses gesonderte Beschwerdeformular. Es wurde zusammen mit ergänzenden Hinweise vom Europäischen Datenschutzausschuss erarbeitet.

  • Das Datenschutzrecht der DS-GVO hat es sich zum Ziel gesetzt, das von ihr gesetzte hohe datenschutzrechtliche Niveau auch bei einem Transfer von personenbezogenen Daten in das außereuropäische Ausland (= Drittland) beizubehalten. Dafür hält das Kapitel 5 der DS-GVO eine Reihe von Instrumenten parat, die die Beibehaltung des hohen europäischen Datenschutzniveaus im Drittland garantieren sollen.


  • Eine Datenübermittlung an ein Drittland oder eine internationale Organisation ist gem. Art. 45 Abs. 1 Satz1 DS-GVO zulässig, wenn die Europäische Kommission beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet.


  • Ferner ist eine Datenübermittlung in ein Drittland gem. Art. 46 Abs. 1 DS-GVO zulässig, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zu Verfügung stehen.

    Als solche geeigneten Garantien kommen

    • verbindliche interne Datenschutzvorschriften gem. Art. 46 Abs. 2 Buchstabe b) und Art. 47 DS-GVO (=Binding Corporate Rules, abgekürzt BCR) Mit diesem Instrument kann das an sich nicht gleichwertige Datenschutzniveau im Zielland der Übermittlung kompensiert werden, sodass eine Datenübermittlung zulässig wird.

  • Sofern alle Instrumente einer Datenübermittlung in ein Drittland aus den Art. 46 bis 47 DS-GVO nicht greifen, regelt Art. 49 DS-GVO Ausnahmen für eine Datenübermittlung in ein Drittland in bestimmten Fällen. Einen Ausnahmefall gem. Art. 49 Abs. 1 Buchstabe f) DS-GVO bildet dabei die Datenübermittlung, die zum Schutz lebenswichtiger Interessen der betroffenen Person oder anderer Personen erforderlich ist, sofern die betroffene Person aus physischen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.

    Siehe zu den Ausnahmetatbeständen: https://www.datenschutz.rlp.de/de/themenfelder-themen/ausnahmetatbestaende-nach-art-49-ds-gvo/

    Sowie die Leitlinie des EDSA: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_2_2018_derogations_de.pdf