Datenschutz
Internationaler Datenschutz – Tipps für den Datentransfer ins Ausland
Internationaler Datenschutz betrifft jedes Unternehmen. Wir verraten Ihnen, wie Sie folgenschwere Fehler vermeiden.
Datenschutz
Internationaler Datenschutz betrifft jedes Unternehmen. Wir verraten Ihnen, wie Sie folgenschwere Fehler vermeiden.
Für den internationalen Datenschutz gilt in erster Linie die DSGVO (Kapitel V, Art. 44 ff.). Personenbezogene Daten dürfen nur in Länder außerhalb der EU übermittelt werden, wenn dort ein angemessenes Schutzniveau besteht und geeignete Garantien wie bspw. ein Angemessenheitsbeschluss der EU-Kommission oder vereinbarte Standardvertragsklauseln vorliegen. Die DSGVO gilt dabei auch für Unternehmen außerhalb der EU, wenn diese Personen in der EU Waren oder Dienstleistungen anbieten (sog. Marktortprinzip, Art. 3 DSGVO).
Andere Länder, andere Datenschutzgesetze. Internationaler Datenschutz ist ein Thema, das nicht nur global agierende Konzerne betrifft. Im Gegenteil: Jede Firma, die eine Website betreibt oder Softwarelösungen amerikanischer Anbieter verwendet, ist damit konfrontiert.
Jedoch zeigt die Praxis, dass das Bewusstsein für die damit verbundenen Herausforderungen umso geringer ausfällt, je kleiner ein Unternehmen ist. Das kann sich rächen. Schließlich drohen seit Einführung der DSGVO hohe Bußgelder bei Datenschutzverstößen. Viele Betriebe aber wissen gar nicht, dass sie gegen den Datenschutz verstoßen.
Die gesetzlichen Vorgaben für den internationalen Datenschutz unterscheiden sich danach, zwischen welchen Ländern Daten transferiert werden. Im Folgenden erhalten Sie einen Überblick darüber, welche Vorgaben beim Datenaustausch innerhalb der EU, der Datenübermittlung in Drittländer sowie dem Datentransfer speziell in die USA gelten.
Innerhalb der EU schafft die seit 2018 geltende EU-Datenschutzgrundverordnung (DSGVO) einen einheitlichen Rahmen.
Staaten außerhalb der EU lassen sich in zwei Gruppen einteilen. Der Transfer in solche Drittländer (Drittstaatentransfer) ist in Art. 44 ff. DSGVO geregelt.
Infolge des Brexits und mit Wirkung vom 31. Januar 2021 schied das Vereinigte Königreich (UK) aus der EU aus. Seit Ende der Übergangsphase am 31. Dezember 2020 gilt dort die "EU-DSGVO" nicht mehr zum Schutz der Rechte und Freiheiten von EU-Bürgerinnen und -Bürgern. Am 28. Juni 2021 verabschiedete die EU-Kommission deshalb einen befristeten Angemessenheitsbeschluss für Transfers personenbezogener Daten nach UK. Nachdem das Vereinigte Königreich sein Datenschutzrecht mit dem Data (Use and Access) Act 2025 angepasst hatte, stellte die Kommission die Angemessenheit erneut fest. Datenübermittlungen nach UK sind damit voraussichtlich bis Dezember 2031 ohne zusätzliche Garantien möglich.
Eine besondere Rolle für den internationalen Datenaustausch spielen die USA. Schließlich handelt es sich bei großen IT- und Internetkonzernen wie Google oder Microsoft um US-amerikanische Unternehmen. Das gleiche gilt für viele einschlägige Newsletter-Dienste oder gar Cloud-Anbieter. Datentransfers zwischen Deutschland und den USA sind damit gang und gäbe.
Der Haken daran: Auch die USA stellen aus europäischer Sicht ein unsicheres Drittland dar. Um dieses Problem zu lösen, gab es in der Vergangenheit zunächst das Safe-Harbor-Abkommen und dann das EU-US Privacy Shield. Diese Regelungen zwischen der EU und den USA ermöglichten die Übermittlung personenbezogener Daten, bis der Europäische Gerichtshof 2015 und 2020 urteilte, dass sie nicht ausreichen („Schrems I“ und „Schrems II“).
Für Transfers an Empfänger, die nicht unter das DPF fallen, bieten Standardvertragsklauseln eine solide Basis zur Absicherung. Hier sollten Unternehmen zusätzlich prüfen, ob amerikanische Behörden auf die Daten zugreifen können, und gegebenenfalls ergänzende Schutzmaßnahmen treffen.
Als Lösung gilt seit 2023 das EU-US Data Privacy Framework (DPF): Die EU-Kommission stellte am 10. Juli 2023 fest, dass für Datenübermittlungen an DPF-zertifizierte US-Unternehmen ein angemessenes Schutzniveau besteht. Eine Klage gegen diesen Beschluss wies das Gericht der EU im September 2025 ab; dagegen ist ein Rechtsmittel beim EuGH anhängig. Das DPF ist damit derzeit eine gültige, aber nicht endgültig gesicherte Transfergrundlage. Datenschützer sehen es weiterhin teilweise kritisch.
Für Unternehmen stellt sich damit die Frage: Wie lassen sich Datenschutzverstöße bei Transfers in die USA und in alle anderen Drittländer vermeiden, auch wenn sich die Rechtslage erneut ändern sollte?
Wenn klar ist, dass Rechtssysteme beim Datenschutz aufeinanderprallen, sollten Unternehmen so viel tun wie möglich. Das heißt zum Beispiel:
Viele Unternehmen übermitteln über ihre eingesetzte Software unbemerkt Daten in Drittländer. Handelt es sich um personenbezogene Daten, bedeutet das häufig einen Verstoß gegen die Datenschutzverordnung. Eine Patentlösung gibt es nicht, doch Unternehmen können die Datennutzung zumindest so sicher wie möglich gestalten.
Große Konzerne mit Tochtergesellschaften in anderen Ländern haben eine weitere Option: Sie können interne Unternehmensregeln (Binding Corporate Rules, kurz: BCR) aufstellen, die festhalten, dass ausländische Tochtergesellschaften das europäische Datenschutzrecht einhalten. Auch diese Option stößt aber an ihre Grenzen, wenn die unternehmensinterne Regelung mit Regelungen in anderen Ländern in Konflikt gerät.
Letztendlich gilt: Wenn Unternehmen alle Möglichkeiten ausschöpfen, um für maximale Sicherheit zu sorgen, haben sie gute Chancen, den Missbrauch personenbezogener Daten zu vermeiden und nicht ins Visier von Aufsichtsbehörden zu gelangen.
Das setzt voraus, am Ball zu bleiben. Das Thema internationaler Datenschutz lässt sich nicht einmalig abschließen. Unternehmen müssen es kontinuierlich beobachten, denn es gibt immer wieder neue Entwicklungen und Änderungen. Dazu zählen die Urteile des EuGH zu Schrems I und II, das anhängige Verfahren zum Data Privacy Framework und die Empfehlungen des Europäischen Datenschutzausschusses (EDSA). So oder so gibt es keine hundertprozentige Sicherheit im internationalen Datenschutz, heute nicht und vermutlich in Zukunft genauso wenig.
Bis zum 16.7.2020 galt für Unternehmen bei der Übermittlung von personenbezogenen Daten in die USA das „EU-US Privacy Shield“-Abkommen. Dann kam das sogenannte „Schrems-II-Urteil“, durch das der EuGH dieses Abkommen für ungültig erklärt hat.
Damit liegt es in der Verantwortung des Datenexporteurs, zu prüfen, ob die Rechte der betroffenen Personen im Drittland ein gleichwertiges Schutzniveau wie in der EU genießen. Gegebenenfalls muss man mit zusätzlichen Maßnahmen sicherstellen, dass das Schutzniveau dort dem der EU gleichwertig ist. Ist dies nicht möglich, darf die Datenübermittlung nicht erfolgen. Details erfahren Sie in unserem Webinar: Internationaler Datentransfer gem. Art.44 ff. DSGVO – Datenschutz bei der Übermittelung personenbezogener Daten in Drittländer.
Maßgeblich ist die DSGVO, dort vor allem Kapitel V (Art. 44 ff.). Sie erlaubt die Übermittlung in ein Drittland, wenn die EU-Kommission dort ein angemessenes Schutzniveau festgestellt hat oder geeignete Garantien wie Standardvertragsklauseln bestehen.
Ja, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten (Marktortprinzip, Art. 3 Abs. 2 DSGVO).
Sichere Drittländer sind Staaten, für die die EU-Kommission einen Angemessenheitsbeschluss erlassen hat, zum Beispiel Japan, die Schweiz, Südkorea, das Vereinigte Königreich und Brasilien. Für die USA gilt dies nur für Unternehmen mit Zertifizierung unter dem Data Privacy Framework.
Nicht immer. Auch bei Servern in Europa kann ein Zugriff aus einem unsicheren Drittland erfolgen, etwa durch Administratorinnen und Administratoren oder über Back-up-Server. Deshalb sollte sich auch der Administrationsservice in einem Land mit anerkanntem Datenschutzniveau befinden.
Für sichere Drittländer liegt ein Angemessenheitsbeschluss der EU-Kommission vor, die Daten dürfen ohne weitere Genehmigung übermittelt werden. In unsicheren Drittländern sind zusätzliche Garantien nötig, zum Beispiel Standardvertragsklauseln oder Binding Corporate Rules.
Bereit für den nächsten Karriereschritt? Wir bieten Ihnen praxisnahes Wissen und wertvolle Impulse!
Berufliche Weiterbildung hat viele Gesichter und trägt maßgeblich zum Erfolg der Mitarbeitenden sowie des ganzen Unternehmens bei. In unserem Blog "Wissen kompakt" lesen Sie Fachbeiträge zu aktuellen Fragestellungen, die jetzt und in der Zukunft Ihre Arbeitswelt bestimmen.
Unser Blog richtet sich an Fach- und Führungskräfte jeden Alters und jeder Unternehmensgröße, an berufliche Einsteiger genauso wie an erfahrene Arbeitskräfte.
Unser Podcast ist die Antwort auf den Wunsch, unsere Inhalte in einem modernen Format zugänglich zu machen, das bequem nebenbei konsumiert werden kann.
