US-Tools datenschutzkonform nutzen: Data Privacy Framework & Standardvertragsklauseln

Kurz beantwortet: Übermitteln Sie als Softwareunternehmen personenbezogene Daten an einen US-Dienst, brauchen Sie dafür eine eigene Rechtsgrundlage. Am einfachsten ist die Zertifizierung des Empfängers unter dem EU-US Data Privacy Framework (Art. 45 DSGVO). Fehlt sie, braucht der Transfer Standardvertragsklauseln (Art. 46 DSGVO) und häufig zusätzliche technische Maßnahmen.

Wann brauchen Sie überhaupt eine Transfer-Grundlage?

Fast jedes Softwareunternehmen nutzt US-Dienste für Cloud, Analyse, Support oder KI. Sobald dabei personenbezogene Daten in die USA gelangen, ist das ein Drittland-Transfer, der eine eigene Rechtsgrundlage braucht, unabhängig von der ohnehin nötigen AVV mit dem Anbieter. Wer diese Grundlage nicht sauber dokumentiert hat, riskiert genau die Lücke, die der Datenschutz-Check eines großen Kunden zuerst prüft.

Erste Grundlage: Reicht der Angemessenheitsbeschluss?

Am einfachsten ist ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Stellt die Kommission fest, dass ein Land ein angemessenes Schutzniveau bietet, ist der Transfer ohne weitere Genehmigung zulässig. Für die USA gibt es seit 2023 einen solchen Beschluss, das EU-US Data Privacy Framework (DPF). Er gilt jedoch nur für US-Empfänger, die unter dem DPF zertifiziert sind. Ob Ihr konkreter Anbieter zertifiziert ist, lässt sich in der offiziellen Liste prüfen.

Zweite Grundlage: Was gilt ohne Zertifizierung?

Fehlt eine Zertifizierung, braucht der Transfer geeignete Garantien nach Art. 46 DSGVO. In der Praxis sind das fast immer die Standardvertragsklauseln der EU-Kommission, ein standardisiertes Vertragswerk, das der Anbieter mit Ihnen schließt. Sie kommen ohne besondere Behördengenehmigung aus, müssen aber tatsächlich vereinbart und eingehalten werden.

Reichen Standardvertragsklauseln allein aus?

Nach der Rechtsprechung reicht das Unterzeichnen der Standardvertragsklauseln nicht automatisch. Sie müssen prüfen, ob im Zielland ein gleichwertiges Schutzniveau tatsächlich erreicht wird, und gegebenenfalls zusätzliche Maßnahmen ergreifen, etwa Verschlüsselung. Diese Prüfung, oft Transfer Impact Assessment genannt, gehört dokumentiert. Für DPF-zertifizierte Empfänger entfällt sie, weil der Angemessenheitsbeschluss bereits die Grundlage bildet.

Wie prüfen Sie Ihre eigenen US-Tools praktisch?

Diese kurze Bestandsaufnahme erspart die böse Überraschung im Kunden-Audit. Wie der Transfer vertraglich mit Ihrem Subprozessor abgesichert wird, ordnet der Beitrag zum AVV-Abschluss nach Art. 28 DSGVO ein.

Häufige Fragen

Wann liegt ein meldepflichtiger Drittland-Transfer in die USA vor?

Sobald bei der Nutzung eines US-Dienstes personenbezogene Daten in die USA gelangen, handelt es sich um einen Drittland-Transfer. Dieser braucht eine eigene Rechtsgrundlage, unabhängig von der ohnehin nötigen AVV mit dem Anbieter.

Genügt der Angemessenheitsbeschluss für die USA?

Seit 2023 besteht mit dem EU-US Data Privacy Framework ein Angemessenheitsbeschluss nach Art. 45 DSGVO. Er gilt jedoch nur für US-Empfänger, die unter dem Framework zertifiziert sind. Ob Ihr konkreter Anbieter zertifiziert ist, lässt sich in der offiziellen Liste prüfen.

Was gilt, wenn der Anbieter nicht zertifiziert ist?

Fehlt eine Zertifizierung, braucht der Transfer geeignete Garantien nach Art. 46 DSGVO. In der Praxis sind das fast immer die Standardvertragsklauseln der EU-Kommission, die der Anbieter mit Ihnen schließt und die tatsächlich vereinbart und eingehalten werden müssen.

Reichen die Standardvertragsklauseln allein aus?

Nein. Nach der Rechtsprechung genügt das Unterzeichnen nicht automatisch. Sie müssen prüfen, ob im Zielland ein gleichwertiges Schutzniveau tatsächlich erreicht wird, und gegebenenfalls zusätzliche Maßnahmen wie Verschlüsselung ergreifen. Diese Prüfung gehört dokumentiert; für zertifizierte Empfänger entfällt sie.

Sie wollen Ihre US-Tools datenschutzrechtlich absichern? In einem 30-minütigen Erstgespräch klären wir Grundlagen, Zertifizierung und die nötigen Maßnahmen. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen

→ Erstgespräch anfragen