EU-US Data Privacy Framework: Neue Grundlage für Datentransfers in die USA
Der Datentransfer zwischen der EU und den USA war jahrelang ein datenschutzrechtliches Minenfeld. Nach dem Scheitern von Safe Harbor (2015) und EU-US Privacy Shield (2020 — Schrems II) gibt es seit Juli 2023 eine neue Grundlage: das EU-US Data Privacy Framework. Was ändert sich — und was müssen Unternehmen beachten?
Was ist das EU-US Data Privacy Framework?
Am 10. Juli 2023 hat die EU-Kommission das EU-US Data Privacy Framework (DPF) als Angemessenheitsbeschluss nach Art. 45 DSGVO angenommen. Grundlage war eine Executive Order des US-Präsidenten Joe Biden vom 7. Oktober 2022, die US-Geheimdiensten Grenzen bei der Nutzung von EU-Daten setzt.
Das DPF ermöglicht den Datentransfer zu zertifizierten US-Unternehmen, ohne dass zusätzliche Schutzmaßnahmen wie Standardvertragsklauseln (SCC) oder Transfer Impact Assessments (TIA) zwingend erforderlich sind — sofern das US-Unternehmen unter dem Framework zertifiziert ist.
Wer ist zertifiziert — und wie kann ich das prüfen?
US-Unternehmen können sich beim US-Handelsministerium unter dem Data Privacy Framework zertifizieren lassen. Die Liste zertifizierter Unternehmen ist öffentlich zugänglich unter dataprivacyframework.gov.
Große Anbieter wie Microsoft, Google, Amazon Web Services und Meta sind zertifiziert. Unternehmen sollten vor jeder Datenweitergabe prüfen, ob der jeweilige US-Anbieter tatsächlich zertifiziert ist.
Ist das DPF stabil — oder droht Schrems III?
Max Schrems und seine Organisation NOYB haben bereits angekündigt, das DPF vor dem EuGH anfechten zu wollen. Eine Klage ist wahrscheinlich. Ob und wann der EuGH entscheidet, ist offen.
Empfehlung für Unternehmen: Das DPF als Rechtsgrundlage nutzen — aber parallel weiterhin Standardvertragsklauseln und ein Transfer Impact Assessment dokumentieren. So sind Sie auch im Fall einer erneuten EuGH-Entscheidung abgesichert.
Was Unternehmen konkret tun müssen
- Zertifizierungsstatus US-amerikanischer Dienstleister unter dem DPF prüfen
- Bestehende Auftragsverarbeitungsverträge (AVV) auf aktuelle Standardvertragsklauseln prüfen
- Transfer Impact Assessment als ergänzende Dokumentation beibehalten
- Datenschutzerklärung aktualisieren — Rechtsgrundlage für Drittlandtransfers nennen
Wir unterstützen Sie bei der rechtssicheren Gestaltung Ihrer Datentransfers in die USA — von der Zertifizierungsprüfung bis zur Dokumentation. Jetzt Erstgespräch vereinbaren — kostenfrei und ohne Verpflichtung.
