Wann dürfen personenbezogene Daten in die USA übermittelt werden?
Das EU-US Data Privacy Framework ermöglicht seit Juli 2023 die Übermittlung personenbezogener Daten an bestimmte US-Unternehmen, ohne dass hierfür Standardvertragsklauseln abgeschlossen werden müssen. Voraussetzung ist allerdings, dass der Datenempfänger wirksam zertifiziert ist. Was das DPF regelt, wie Unternehmen die Zertifizierung prüfen und weshalb der Datenschutzrahmen weiterhin rechtlich umstritten ist, erläutert dieser Beitrag.

Inhaltsverzeichnis

  1. Was ist das EU-US Data Privacy Framework?
  2. Warum wurde das DPF eingeführt?
  3. Die Rechtsgrundlage: Der Angemessenheitsbeschluss nach Art. 45 DSGVO
  4. Wie funktioniert die DPF-Zertifizierung?
  5. HR-Daten und Non-HR-Daten: Warum die Unterscheidung beim DPF wichtig ist
  6. Wann dürfen Unternehmen Daten auf Grundlage des DPF übermitteln?
  7. DPF, SCC und TIA: Was ist der Unterschied?
  8. Welche Rechte haben betroffene Personen?
  9. Ist das DPF rechtssicher? Die aktuelle Rechtsprechung
  10. Was passiert, wenn das DPF aufgehoben wird?
  11. Eigene Bewertung: Erleichterung ja, Freibrief nein
  12. Fazit
  13. Rechtsgrundlagen und weiterführende Quellen

1. Was ist das EU-US Data Privacy Framework?

Das EU-US Data Privacy Framework, kurz DPF, ist ein Datenschutzrahmen für die Übermittlung personenbezogener Daten aus der Europäischen Union beziehungsweise dem Europäischen Wirtschaftsraum in die Vereinigten Staaten. Es beruht auf einem Zertifizierungssystem, dem sich bestimmte US-Unternehmen freiwillig anschließen können.

Mit ihrer Zertifizierung verpflichten sie sich zur Einhaltung bestimmter Datenschutzgrundsätze. Hierzu gehören insbesondere Anforderungen an Transparenz, Zweckbindung, Datensicherheit, Betroffenenrechte und die Weitergabe personenbezogener Daten an andere Unternehmen.

Auf dieser Grundlage hat die Europäische Kommission festgestellt, dass für Datenübermittlungen an entsprechend zertifizierte US-Unternehmen ein angemessenes Datenschutzniveau besteht. Das bedeutet: Europäische Unternehmen können personenbezogene Daten an solche Empfänger übermitteln, ohne zusätzlich Standardvertragsklauseln abschließen oder andere Garantien nach Art. 46 DSGVO vorsehen zu müssen.

Das DPF gilt allerdings nicht pauschal für sämtliche Datenübermittlungen in die USA.

Entscheidend ist, ob das konkrete US-Unternehmen zertifiziert ist und die betreffende Übermittlung von dieser Zertifizierung erfasst wird.

2. Warum wurde das DPF eingeführt?

Die datenschutzrechtlichen Beziehungen zwischen der Europäischen Union und den USA haben eine wechselvolle Geschichte. Bereits vor dem DPF gab es zwei Regelungen, die den transatlantischen Datenverkehr erleichtern sollten: Safe Harbor und den EU-US Privacy Shield. Beide wurden durch den Europäischen Gerichtshof für ungültig erklärt.

Safe Harbor und Schrems I

Mit Urteil vom 6. Oktober 2015 (C-362/14, Schrems I) erklärte der EuGH die Safe-Harbor-Entscheidung der Europäischen Kommission für ungültig. Das Gericht beanstandete insbesondere, dass die damaligen Regelungen keinen ausreichenden Schutz vor staatlichen Zugriffen auf personenbezogene Daten gewährleisteten.

Privacy Shield und Schrems II

Als Nachfolgeregelung wurde 2016 der EU-US Privacy Shield eingeführt. Doch auch dieser hielt der gerichtlichen Überprüfung nicht stand. Mit Urteil vom 16. Juli 2020 (C-311/18, Schrems II) erklärte der EuGH den entsprechenden Angemessenheitsbeschluss für ungültig.

Ein zentraler Kritikpunkt waren die Zugriffsmöglichkeiten amerikanischer Nachrichtendienste und die unzureichenden Rechtsschutzmöglichkeiten für betroffene Personen. Der EuGH betonte dabei die Bedeutung eines Schutzniveaus, das dem innerhalb der Europäischen Union gewährleisteten Schutz „der Sache nach gleichwertig“ sein muss.

Der dritte Anlauf: Das Data Privacy Framework

Mit dem DPF sollte eine neue Grundlage für den transatlantischen Datenverkehr geschaffen werden, die den Anforderungen der Rechtsprechung besser Rechnung trägt.

Die USA erließen hierfür unter anderem die Executive Order 14086 vom 7. Oktober 2022. Diese sieht zusätzliche Vorgaben für nachrichtendienstliche Zugriffe auf personenbezogene Daten sowie einen neuen Rechtsbehelfsmechanismus vor.

Auf dieser Grundlage erließ die Europäische Kommission am 10. Juli 2023 ihren neuen Angemessenheitsbeschluss.

3. Die Rechtsgrundlage: Der Angemessenheitsbeschluss nach Art. 45 DSGVO

Die zentrale Rechtsgrundlage ist Art. 45 DSGVO. Nach Art. 45 Abs. 1 DSGVO darf eine Übermittlung personenbezogener Daten an ein Drittland erfolgen, wenn die Europäische Kommission festgestellt hat, dass dort ein angemessenes Schutzniveau besteht.

Die Vorschrift stellt ausdrücklich klar:
„Eine solche Datenübermittlung bedarf keiner besonderen Genehmigung.“
Die Europäische Kommission hat diese Feststellung für das DPF mit dem Durchführungsbeschluss (EU) 2023/1795 getroffen. In dessen Erwägungsgrund 7 ist zu lesen:
Die Kommission hat die Rechtslage und die gängige Praxis in den USA, einschließlich der EO 14086 und des Erlasses des US-Justizministers, sorgfältig analysiert. Aufgrund der in den Erwägungsgründen 9 bis 200 dargelegten Erkenntnisse gelangt die Kommission zu dem Schluss, dass die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten gewährleisten, die im Rahmen des Datenschutzrahmens EU-USA von einem Verantwortlichen oder Auftragsverarbeiter in der Europäischen Union (14) an zertifizierte Organisationen in den Vereinigten Staaten übermittelt werden.

Besonders wichtig ist Art. 1 des Beschlusses. Die Feststellung gilt ausschließlich für US-Organisationen, die in der vom amerikanischen Handelsministerium geführten Data Privacy Framework List aufgeführt sind.

Damit ist nicht das gesamte Datenschutzniveau der USA pauschal als angemessen anerkannt worden. Der Beschluss ist auf die erfassten Übermittlungen an zertifizierte Unternehmen beschränkt.

4. Wie funktioniert die DPF-Zertifizierung?

Die Zertifizierung erfolgt gegenüber dem US-amerikanischen Handelsministerium, dem Department of Commerce.

Teilnehmende Unternehmen verpflichten sich zur Einhaltung der sogenannten DPF Principles. Dazu gehören unter anderem die Verpflichtung zur Information betroffener Personen, die Begrenzung der Datenverwendung auf zulässige Zwecke, Anforderungen an die Datensicherheit und die Bereitstellung von Beschwerdemöglichkeiten.

Die Zertifizierung muss jährlich erneuert werden.

Nicht jedes US-Unternehmen kann sich zertifizieren lassen

Die Teilnahme setzt grundsätzlich voraus, dass das Unternehmen der Aufsicht der Federal Trade Commission (FTC) oder des Department of Transportation (DoT) unterliegt. Bestimmte Organisationen, beispielsweise manche Banken, Versicherungen oder gemeinnützige Einrichtungen, können deshalb nicht ohne Weiteres teilnehmen.

Die offizielle DPF-Liste

Ob ein Unternehmen zertifiziert ist, lässt sich über die offizielle Website überprüfen:

https://www.dataprivacyframework.gov/

Dort können Unternehmen anhand ihres Namens gesucht werden. Für die Praxis ist entscheidend, nicht nur festzustellen, ob ein Unternehmen irgendwann einmal zertifiziert war. Vielmehr sollte geprüft werden, ob die Zertifizierung aktuell aktiv ist und ob sie die betreffende Datenverarbeitung erfasst.

Besondere Aufmerksamkeit verdienen beispielsweise Personaldaten, für die der Geltungsbereich der Zertifizierung gesondert zu prüfen ist.

5. HR-Daten und Non-HR-Daten: Warum die Unterscheidung beim DPF wichtig ist

Nicht jede Zertifizierung nach dem EU-US Data Privacy Framework erfasst automatisch sämtliche Kategorien personenbezogener Daten.

Das DPF unterscheidet insbesondere zwischen HR-Daten (Human Resources Data) und Non-HR-Daten. Diese Unterscheidung ist wichtig, weil die Zertifizierung eines US-Unternehmens auf bestimmte Datenkategorien beschränkt sein kann.

Was sind HR-Daten?

Unter HR-Daten versteht das DPF personenbezogene Daten, die im Zusammenhang mit einem Beschäftigungsverhältnis erhoben und aus der EU an ein US-Unternehmen zur Verwendung im Beschäftigungskontext übermittelt werden.
Hierzu können beispielsweise gehören:
  • Personalstammdaten und Beschäftigungsinformationen
  • Gehalts- und Abrechnungsdaten
  • Angaben zu Arbeitszeiten und Urlaub
  • Leistungsbeurteilungen
  • Bewerbungs- und Personalverwaltungsdaten
Entscheidend ist dabei nicht allein, dass sich die Daten auf einen Arbeitnehmer beziehen. Maßgeblich ist auch, in welchem Zusammenhang die Daten erhoben und für welchen Zweck sie übermittelt werden.
Die DPF-Grundsätze formulieren die besondere Anforderung an HR-Daten wie folgt:
„human resources personal information transferred from the EU for use in the context of an employment relationship“
Die Formulierung verdeutlicht, dass der Beschäftigungskontext für die Einordnung maßgeblich ist.

Was sind Non-HR-Daten?

Non-HR-Daten sind personenbezogene Daten, die nicht unter die besondere HR-Kategorie des DPF fallen. Hierzu gehören beispielsweise Kunden-, Nutzer- und Geschäftspartnerdaten sowie personenbezogene Informationen, die im Rahmen gewöhnlicher geschäftlicher Dienstleistungen verarbeitet werden.

Auch Gesundheitsdaten können Non-HR-Daten sein. Die Unterscheidung zwischen HR und Non-HR richtet sich nicht danach, ob Daten besonders sensibel sind. Beispielsweise sind Gesundheitsdaten von Patienten, die ein US-Dienstleister im Auftrag einer deutschen Apotheke verarbeitet, grundsätzlich keine HR-Daten im Sinne des DPF, sofern sie nicht im beschriebenen Beschäftigungskontext übermittelt werden.

Für Gesundheitsdaten gelten unabhängig davon die besonderen Anforderungen des Art. 9 DSGVO.

Warum müssen HR-Daten gesondert zertifiziert sein?

US-Unternehmen, die ihre DPF-Zertifizierung auch auf HR-Daten erstrecken möchten, müssen dies bei ihrer Zertifizierung ausdrücklich angeben. Zusätzlich gelten besondere Verpflichtungen.

Hierzu gehört insbesondere die Zusammenarbeit mit den zuständigen europäischen Datenschutzaufsichtsbehörden bei Beschwerden und Fragen zur Verarbeitung von Beschäftigtendaten.

Die Verpflichtungen ergeben sich aus den DPF-Grundsätzen, insbesondere aus dem ergänzenden Grundsatz Nr. 9 (Human Resources Data) sowie den Regelungen zur Selbstzertifizierung und zur Zusammenarbeit mit Datenschutzaufsichtsbehörden.

Eine Zertifizierung ausschließlich für Non-HR-Daten reicht deshalb nicht aus, um eine Übermittlung von HR-Daten auf den DPF-Angemessenheitsbeschluss zu stützen.

Praxisbeispiel: US-amerikanischer Cloud-Anbieter

Ein deutsches Unternehmen nutzt einen US-amerikanischen Cloud-Dienst für seine Kundenverwaltung. Der Anbieter ist nach dem DPF zertifiziert. Die Zertifizierung umfasst Non-HR-Daten. Für die Übermittlung gewöhnlicher Kundendaten kann der Angemessenheitsbeschluss grundsätzlich genutzt werden, sofern die übrigen Voraussetzungen der DSGVO erfüllt sind.

Später möchte das Unternehmen denselben Cloud-Dienst auch für die Personalverwaltung einsetzen. Dabei sollen Beschäftigtendaten aus Deutschland in die USA übertragen werden. Nun muss gesondert geprüft werden, ob die DPF-Zertifizierung des Anbieters auch HR-Daten umfasst. Ist dies nicht der Fall und handelt es sich um HR-Daten im Sinne des DPF, kann die Übermittlung nicht allein auf den DPF-Angemessenheitsbeschluss gestützt werden.

Stattdessen muss eine andere zulässige Übermittlungsgrundlage geprüft werden, beispielsweise Standardvertragsklauseln nach Art. 46 DSGVO einschließlich der erforderlichen Bewertung der Übermittlung.

Wie lässt sich der Zertifizierungsumfang überprüfen?

Die offizielle Data Privacy Framework List enthält Angaben zum Geltungsbereich der jeweiligen Zertifizierung.

Unter der Rubrik „Data Collected“ wird ausgewiesen, ob die Zertifizierung HR Data, Non-HR Data oder beide Kategorien umfasst.

Bei der Prüfung sollte deshalb nicht nur der Status „Active“ kontrolliert werden, sondern auch die erfasste Datenkategorie.

Für die Praxis gilt: Wer Beschäftigtendaten an einen US-Dienstleister übermittelt, sollte ausdrücklich dokumentieren, ob die konkrete Übermittlung unter die HR-Kategorie fällt und ob die Zertifizierung diese Kategorie abdeckt.

6. Wann dürfen Unternehmen Daten auf Grundlage des DPF übermitteln?

Für eine Übermittlung auf Grundlage des DPF sollten Unternehmen insbesondere folgende Voraussetzungen prüfen.

a) Der konkrete Empfänger ist zertifiziert

Zunächst muss das US-Unternehmen, das die personenbezogenen Daten erhält, in der offiziellen DPF-Liste aufgeführt sein. Dabei kommt es auf die konkrete juristische Person an. Dass ein internationaler Konzern eine zertifizierte US-Gesellschaft besitzt, bedeutet nicht automatisch, dass sämtliche Konzerngesellschaften von dieser Zertifizierung erfasst werden.

b) Die Zertifizierung ist aktuell und einschlägig

Die Zertifizierung muss zum Zeitpunkt der Übermittlung wirksam sein. Außerdem muss sie den betreffenden Datenbereich erfassen. Bei einer Übermittlung von Personaldaten ist beispielsweise zu prüfen, ob die Zertifizierung auch HR-Daten umfasst.

c) Die übrigen Anforderungen der DSGVO sind erfüllt

Hier liegt ein häufiger Irrtum. Das DPF schafft eine Grundlage für die Drittlandübermittlung. Es ersetzt jedoch nicht die datenschutzrechtliche Rechtsgrundlage für die eigentliche Verarbeitung. Wer beispielsweise Kundendaten an einen amerikanischen Dienstleister übermittelt, benötigt weiterhin eine Rechtsgrundlage nach Art. 6 DSGVO.

Werden Gesundheitsdaten verarbeitet, muss zusätzlich eine Voraussetzung des Art. 9 Abs. 2 DSGVO erfüllt sein.

Handelt der US-Dienstleister als Auftragsverarbeiter, ist außerdem ein Vertrag nach Art. 28 DSGVO erforderlich.

Auch Informationspflichten nach Art. 13 und 14 DSGVO bleiben bestehen.

Ein zertifizierter US-Dienstleister darf also nicht allein deshalb beliebige personenbezogene Daten erhalten, weil er am DPF teilnimmt.

d) Die Zertifizierung wird dokumentiert und überprüft

Ich empfehle, die Prüfung der Zertifizierung zu dokumentieren. Hierzu gehören insbesondere das Datum der Prüfung, die genaue Bezeichnung des Empfängers und der relevante Geltungsbereich der Zertifizierung. Die Zertifizierung sollte außerdem regelmäßig beziehungsweise bei relevanten Änderungen erneut kontrolliert werden.

7. DPF, SCC und TIA: Was ist der Unterschied?

Das DPF wird häufig mit Standardvertragsklauseln und dem Transfer Impact Assessment in einem Atemzug genannt.
Die Instrumente erfüllen jedoch unterschiedliche Aufgaben.

Data Privacy Framework (DPF)

Das DPF ist ein Zertifizierungssystem, auf dessen Grundlage die Europäische Kommission einen Angemessenheitsbeschluss nach Art. 45 DSGVO erlassen hat. Ist der konkrete Empfänger wirksam zertifiziert und die Übermittlung erfasst, kann diese auf den Angemessenheitsbeschluss gestützt werden. Ein zusätzliches TIA nach dem für Standardvertragsklauseln geltenden Prüfprogramm ist hierfür grundsätzlich nicht erforderlich.

Standardvertragsklauseln (SCC)

Standardvertragsklauseln sind vertragliche Datenschutzgarantien nach Art. 46 DSGVO.
Sie kommen insbesondere dann in Betracht, wenn kein einschlägiger Angemessenheitsbeschluss besteht.
Anders als das DPF beruhen sie auf vertraglichen Verpflichtungen zwischen den beteiligten Unternehmen.
Weiterführend: Die Voraussetzungen und die praktische Anwendung erläutern wir im Wiki-Beitrag zu den Standardvertragsklauseln (SCC).

Transfer Impact Assessment (TIA)

Ein TIA dient der Prüfung, ob das gewählte Übermittlungsinstrument unter den konkreten Umständen der Datenübermittlung wirksam ist. Bei der Verwendung von Standardvertragsklauseln spielt diese Prüfung insbesondere nach Klausel 14 der SCC eine zentrale Rolle. Bei einer vom DPF-Angemessenheitsbeschluss erfassten Übermittlung ist dagegen grundsätzlich kein zusätzliches TIA erforderlich.

Weiterführend: Wann eine solche Prüfung erforderlich wird und wie sie durchgeführt wird, erläutern wir im Wiki-Beitrag „Transfer Impact Assessment (TIA): Wann ist eine Drittlandprüfung nach der DSGVO erforderlich?“.

8. Welche Rechte haben betroffene Personen?

Das DPF sieht verschiedene Schutzmechanismen für Personen vor, deren Daten an zertifizierte US-Unternehmen übermittelt werden. Dazu gehören unter anderem Informationspflichten, Auskunfts- und Berichtigungsmöglichkeiten sowie Beschwerdeverfahren. Zertifizierte Unternehmen müssen den betroffenen Personen bestimmte Möglichkeiten zur Durchsetzung ihrer Rechte eröffnen.

Beschwerden gegen zertifizierte Unternehmen

Betroffene Personen können sich bei Problemen mit der Verarbeitung ihrer Daten an das betreffende Unternehmen wenden. Darüber hinaus bestehen weitere Beschwerdemöglichkeiten, unter anderem über unabhängige Streitbeilegungsstellen und unter bestimmten Voraussetzungen unter Einbeziehung europäischer Datenschutzaufsichtsbehörden.

Beschwerden über nachrichtendienstliche Zugriffe

Ein besonderer Bestandteil des neuen Datenschutzrahmens ist der Rechtsbehelfsmechanismus für bestimmte Zugriffe amerikanischer Nachrichtendienste. Hierfür wurde ein mehrstufiges Verfahren geschaffen, an dem unter anderem der Civil Liberties Protection Officer und der sogenannte Data Protection Review Court beteiligt sind.

Dieser Mechanismus soll es betroffenen Personen ermöglichen, bestimmte Beschwerden über rechtswidrige nachrichtendienstliche Zugriffe überprüfen zu lassen. Gerade dieser Rechtsschutzmechanismus war für die Angemessenheitsentscheidung der Europäischen Kommission von erheblicher Bedeutung.

9. Ist das DPF rechtssicher? Die aktuelle Rechtsprechung

Die entscheidende Frage ist, ob das DPF den Anforderungen standhält, an denen bereits Safe Harbor und Privacy Shield gescheitert sind.

Das Urteil des Gerichts vom 3. September 2025

Das Gericht der Europäischen Union hat mit Urteil vom 3. September 2025 in der Rechtssache T-553/23 (Latombe/Kommission) eine Klage gegen den DPF-Angemessenheitsbeschluss abgewiesen. Das Gericht kam zu dem Ergebnis, dass die Vereinigten Staaten zum Zeitpunkt des Erlasses des angefochtenen Beschlusses ein angemessenes Schutzniveau für die vom DPF erfassten Übermittlungen gewährleisteten.

Die zeitliche Einschränkung ist wichtig: Das Gericht hat die Rechtmäßigkeit des Beschlusses anhand der maßgeblichen Verhältnisse bei seinem Erlass beurteilt. Es hat damit keine Garantie dafür ausgesprochen, dass sämtliche rechtlichen und tatsächlichen Voraussetzungen dauerhaft unverändert bleiben.

Das Rechtsmittel vor dem EuGH

Gegen das Urteil wurde am 31. Oktober 2025 Rechtsmittel eingelegt. Das Verfahren wird unter dem Aktenzeichen C-703/25 P geführt. Zum Stand dieses Beitrags ist das Rechtsmittelverfahren nach den veröffentlichten Verfahrensinformationen noch anhängig.

Damit bleibt eine weitere gerichtliche Überprüfung des DPF möglich.

Was bedeutet das für Unternehmen?

Der Angemessenheitsbeschluss ist weiterhin wirksam. Unternehmen dürfen ihn deshalb grundsätzlich für die davon erfassten Datenübermittlungen nutzen. Eine anhängige Klage oder ein Rechtsmittel führt nicht automatisch dazu, dass ein Angemessenheitsbeschluss unwirksam wird. Gleichwohl sollten Unternehmen die weitere Entwicklung beobachten, insbesondere wenn sie umfangreiche oder besonders sensible Datenverarbeitungen auf US-Dienstleister stützen.

10. Was passiert, wenn das DPF aufgehoben wird?

Die Geschichte von Safe Harbor und Privacy Shield zeigt, dass ein Angemessenheitsbeschluss keine dauerhafte Bestandsgarantie besitzt. Sollte das DPF künftig aufgehoben oder in seinem Anwendungsbereich eingeschränkt werden, könnten betroffene Unternehmen ihre Datenübermittlungen nicht mehr ohne Weiteres auf den bisherigen Beschluss stützen.

Dann müsste geprüft werden, ob eine andere zulässige Übermittlungsgrundlage besteht. In Betracht kämen insbesondere Standardvertragsklauseln nach Art. 46 DSGVO. Bei deren Verwendung wäre wiederum zu prüfen, ob sie unter den konkreten Umständen der Übermittlung wirksam sind und ob zusätzliche Schutzmaßnahmen erforderlich werden. Es kann deshalb sinnvoll sein, für wichtige US-Dienstleister bereits im Vorfeld zu überlegen, welche technischen und vertraglichen Alternativen verfügbar wären.

Das bedeutet nicht, dass vorsorglich für jede DPF-Übermittlung zusätzlich Standardvertragsklauseln abgeschlossen werden müssen. Eine solche allgemeine Verpflichtung besteht nicht.

11. Eigene Bewertung: Erleichterung ja, Freibrief nein

Das DPF erleichtert den transatlantischen Datenverkehr erheblich. Für Unternehmen entfällt bei erfassten Übermittlungen die Notwendigkeit, allein wegen des Drittlandtransfers Standardvertragsklauseln abzuschließen und ein entsprechendes TIA durchzuführen.

Das ist insbesondere für kleinere und mittlere Unternehmen eine spürbare Entlastung. Allerdings darf die Erleichterung nicht mit einer vollständigen datenschutzrechtlichen Freistellung verwechselt werden.

In der Praxis bestehen vor allem drei Probleme.

Erstens: Die Zertifizierung wird nicht ausreichend geprüft.

Häufig wird lediglich festgestellt, dass ein Anbieter auf seiner Website mit einer DPF-Zertifizierung wirbt.
Das genügt nicht. Entscheidend ist die tatsächlich bestehende Zertifizierung der konkreten juristischen Person.

Zweitens: Das DPF wird mit einer allgemeinen Rechtsgrundlage verwechselt.

Ein Angemessenheitsbeschluss legitimiert nicht jede Datenverarbeitung. Auch bei einem zertifizierten Anbieter müssen die Anforderungen der Art. 5, 6 und gegebenenfalls Art. 9 DSGVO erfüllt werden.

Drittens: Die Abhängigkeit von einzelnen Dienstleistern wird unterschätzt.

Gerade bei Cloud-Diensten, Kommunikationsplattformen oder der Verarbeitung sensibler Daten kann es problematisch werden, wenn eine wesentliche Geschäfts- oder Versorgungsleistung ausschließlich von einem US-Anbieter abhängt und die Übermittlungsgrundlage später wegfällt.

Unternehmen sollten deshalb die rechtliche Zulässigkeit und die technische Abhängigkeit voneinander unterscheiden.

Das DPF kann eine Datenübermittlung rechtlich erleichtern. Ob ein bestimmter Dienstleister für die konkrete Verarbeitung die beste Wahl ist, bleibt eine eigenständige Entscheidung.

12. Fazit

Das EU-US Data Privacy Framework ist derzeit eine wichtige Grundlage für die rechtmäßige Übermittlung personenbezogener Daten in die Vereinigten Staaten.

Für wirksam zertifizierte und vom Angemessenheitsbeschluss erfasste US-Unternehmen können personenbezogene Daten grundsätzlich ohne zusätzliche Standardvertragsklauseln oder ein Transfer Impact Assessment übermittelt werden.

Unternehmen müssen jedoch die Zertifizierung prüfen, die übrigen Anforderungen der DSGVO einhalten und die weitere rechtliche Entwicklung im Blick behalten.

Das Urteil des Gerichts vom September 2025 hat den Angemessenheitsbeschluss zunächst bestätigt. Wegen des anhängigen Rechtsmittels ist die gerichtliche Auseinandersetzung aber noch nicht abgeschlossen.

Für die Praxis gilt daher: Das DPF ist eine nutzbare Übermittlungsgrundlage – aber kein Ersatz für eine sorgfältige Prüfung des konkreten Dienstleisters und seiner Datenverarbeitung.

13. Rechtsgrundlagen und weiterführende Quellen