US-Tools datenschutzkonform nutzen: Data Privacy Framework & Standardvertragsklauseln

Kurz beantwortet: Übermitteln Sie als Softwareunternehmen personenbezogene Daten an einen US-Dienst, brauchen Sie dafür eine eigene Rechtsgrundlage. Am einfachsten ist die Zertifizierung des Empfängers unter dem EU-US Data Privacy Framework (Art. 45 DSGVO). Fehlt sie, braucht der Transfer Standardvertragsklauseln (Art. 46 DSGVO) und häufig zusätzliche technische Maßnahmen.

Wann brauchen Sie überhaupt eine Transfer-Grundlage?

Fast jedes Softwareunternehmen nutzt US-Dienste für Cloud, Analyse, Support oder KI. Sobald dabei personenbezogene Daten in die USA gelangen, ist das ein Drittland-Transfer, der eine eigene Rechtsgrundlage braucht, unabhängig von der ohnehin nötigen AVV mit dem Anbieter. Wer diese Grundlage nicht sauber dokumentiert hat, riskiert genau die Lücke, die der Datenschutz-Check eines großen Kunden zuerst prüft.

Erste Grundlage: Reicht der Angemessenheitsbeschluss?

Am einfachsten ist ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Stellt die Kommission fest, dass ein Land ein angemessenes Schutzniveau bietet, ist der Transfer ohne weitere Genehmigung zulässig. Für die USA gibt es seit 2023 einen solchen Beschluss, das EU-US Data Privacy Framework (DPF). Er gilt jedoch nur für US-Empfänger, die unter dem DPF zertifiziert sind. Ob Ihr konkreter Anbieter zertifiziert ist, lässt sich in der offiziellen Liste prüfen.

Das Gericht der EU hat die Nichtigkeitsklage gegen diesen Angemessenheitsbeschluss am 3. September 2025 abgewiesen (EuG, Urt. v. 03.09.2025 – T-553/23, Latombe/Kommission). Gegen das Urteil ist ein Rechtsmittel beim EuGH anhängig (C-703/25 P). Der Beschluss gilt damit fort, eine spätere Entscheidung des EuGH bleibt aber abzuwarten. Halten Sie deshalb für wichtige US-Dienste Standardvertragsklauseln als Rückfallebene bereit.

Zweite Grundlage: Was gilt ohne Zertifizierung?

Fehlt eine Zertifizierung, braucht der Transfer geeignete Garantien nach Art. 46 DSGVO. In der Praxis sind das fast immer die Standardvertragsklauseln der EU-Kommission, ein standardisiertes Vertragswerk, das der Anbieter mit Ihnen schließt. Sie kommen ohne besondere Behördengenehmigung aus, müssen aber tatsächlich vereinbart und eingehalten werden.

Reichen Standardvertragsklauseln allein aus?

Nach der Rechtsprechung reicht das Unterzeichnen der Standardvertragsklauseln nicht automatisch. Sie müssen prüfen, ob im Zielland ein gleichwertiges Schutzniveau tatsächlich erreicht wird, und gegebenenfalls zusätzliche Maßnahmen ergreifen, etwa Verschlüsselung. Diese Prüfung, oft Transfer Impact Assessment genannt, gehört dokumentiert. Für DPF-zertifizierte Empfänger entfällt sie, weil der Angemessenheitsbeschluss bereits die Grundlage bildet.

Wie prüfen Sie Ihre eigenen US-Tools praktisch?

Diese kurze Bestandsaufnahme erspart die böse Überraschung im Kunden-Audit. Wie der Transfer vertraglich mit Ihrem Subprozessor abgesichert wird, ordnet der Beitrag zum AVV-Abschluss nach Art. 28 DSGVO ein.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Eine Eventagentur mit rund 35 Mitarbeitenden organisiert Fachkongresse und nutzt dafür mehrere US-Dienste, darunter eine Registrierungsplattform, ein Videokonferenz-Tool, ein CRM und eine KI-Transkription. Ein Konzernkunde will vor der Vergabe per Fragebogen für jedes Tool die Grundlage des Datentransfers wissen. Zu klären ist zuerst, bei welchen Tools personenbezogene Daten in die USA gelangen. Für jeden dieser Transfers braucht die Agentur eine eigene Rechtsgrundlage, zusätzlich zur ohnehin nötigen Vereinbarung über die Auftragsverarbeitung mit dem Anbieter.

Danach trennen sich die Wege. Ist der Anbieter unter dem EU-US Data Privacy Framework zertifiziert, trägt der Angemessenheitsbeschluss den Transfer; weil gegen das Urteil, das den Beschluss bestätigt hat, ein Rechtsmittel beim EuGH anhängig ist, werden Standardvertragsklauseln als Rückfallebene bereitgehalten. Fehlt die Zertifizierung, braucht es Standardvertragsklauseln und eine dokumentierte Prüfung, ob im Zielland ein gleichwertiges Schutzniveau erreicht wird, gegebenenfalls mit zusätzlichen Maßnahmen wie Verschlüsselung. Am Ende steht eine Liste mit der Grundlage je Tool, die Verarbeitungsverzeichnis und Fragebogen speist. Wie vollständig Ihre eigene Datenschutzdokumentation ist, zeigt das Rechtliche Audit.

Häufige Fragen

Wann liegt ein Drittland-Transfer in die USA vor?

Sobald bei der Nutzung eines US-Dienstes personenbezogene Daten in die USA gelangen, handelt es sich um einen Drittland-Transfer. Dieser braucht eine eigene Rechtsgrundlage, unabhängig von der ohnehin nötigen AVV mit dem Anbieter.

Genügt der Angemessenheitsbeschluss für die USA?

Seit 2023 besteht mit dem EU-US Data Privacy Framework ein Angemessenheitsbeschluss nach Art. 45 DSGVO. Er gilt jedoch nur für US-Empfänger, die unter dem Framework zertifiziert sind. Ob Ihr konkreter Anbieter zertifiziert ist, lässt sich in der offiziellen Liste prüfen. Das EuG hat den Beschluss am 3. September 2025 bestätigt (T-553/23); das Rechtsmittel beim EuGH (C-703/25 P) ist anhängig.

Was gilt, wenn der Anbieter nicht zertifiziert ist?

Fehlt eine Zertifizierung, braucht der Transfer geeignete Garantien nach Art. 46 DSGVO. In der Praxis sind das fast immer die Standardvertragsklauseln der EU-Kommission, die der Anbieter mit Ihnen schließt und die tatsächlich vereinbart und eingehalten werden müssen.

Reichen die Standardvertragsklauseln allein aus?

Nein. Nach der Rechtsprechung genügt das Unterzeichnen nicht automatisch. Sie müssen prüfen, ob im Zielland ein gleichwertiges Schutzniveau tatsächlich erreicht wird, und gegebenenfalls zusätzliche Maßnahmen wie Verschlüsselung ergreifen. Diese Prüfung gehört dokumentiert; für zertifizierte Empfänger entfällt sie.

Welche US-Tools personenbezogene Daten erhalten und auf welcher Grundlage, weiß die Geschäftsführung oft nur ungefähr. Das Rechtliche Audit erfasst Ihre Tools gemeinsam mit Auftragsverarbeitung und Datenschutzdokumentation und zeigt, welche Lücken zuerst zu schließen sind. Rechtliches Audit: Ihre US-Tools im Überblick

Sie wollen Ihre US-Tools datenschutzrechtlich absichern? In einem 60-minütigen Strategiegespräch klären wir Grundlagen, Zertifizierung und die nötigen Maßnahmen. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen