Fachbeitrag · Stand September 2026 · Internationaler Datenschutz
Internationaler Datenverkehr EU–USA: DSGVO, Data Privacy Framework und aktueller Rechtsstand 2026
US-Cloud-Dienste, CRM-Systeme, Newsletter-Tools, Videokonferenzen,
Analyse-Dienste und internationale Konzernstrukturen gehören
für viele österreichische Unternehmen zum Alltag.
Sobald dabei personenbezogene Daten in die USA übermittelt werden,
gelten zusätzlich zu den allgemeinen DSGVO-Pflichten
die Regeln für internationale Datenübermittlungen.
Seit Juli 2023 bildet das EU-U.S. Data Privacy Framework
wieder eine wichtige Grundlage für Datentransfers an zertifizierte US-Unternehmen.
Der Rechtsrahmen ist jedoch weiterhin in Bewegung:
Nach einer gerichtlichen Bestätigung 2025 ist 2026 noch ein Rechtsmittel anhängig.
- Data Privacy Framework · SCC · Transferprüfung
- aktualisiert auf Rechtsstand September 2026
- Praxischeck für österreichische Unternehmen
Kurzantwort 2026
Dürfen personenbezogene Daten derzeit in die USA übertragen werden?
Ja. Datentransfers aus der EU beziehungsweise dem EWR in die USA
sind nicht generell verboten.
Für Empfänger, die wirksam unter dem
EU-U.S. Data Privacy Framework zertifiziert sind,
kann die Übermittlung auf den Angemessenheitsbeschluss
der Europäischen Kommission vom 10. Juli 2023 gestützt werden.
Ist der konkrete US-Empfänger nicht vom Framework erfasst,
kommen insbesondere andere Instrumente wie
Standardvertragsklauseln (SCC)
oder in Konzernstrukturen Binding Corporate Rules in Betracht.
Zusätzlich müssen Unternehmen immer prüfen,
ob die eigentliche Datenverarbeitung nach der DSGVO zulässig,
transparent und ausreichend abgesichert ist.
Das Wichtigste in sechs Punkten
EU–USA-Datentransfers 2026 auf einen Blick
- Das EU-U.S. Data Privacy Framework ist im September 2026 weiterhin eine gültige Grundlage für Transfers an teilnehmende US-Unternehmen.
- Die Zertifizierung muss beim konkreten US-Empfänger und für den relevanten Anwendungsbereich tatsächlich bestehen.
- Nicht zertifizierte US-Empfänger können beispielsweise über Standardvertragsklauseln eingebunden werden.
- Bei SCC sind die konkreten Transferumstände und das Schutzniveau weiterhin zu dokumentieren.
- Die US-Schutzmaßnahmen aus dem Data Privacy Framework erleichtern auch Transfers über andere Instrumente wie SCC.
- Vertrag, Datenschutzerklärung, Verarbeitungsverzeichnis und tatsächliche technische Datenflüsse müssen zusammenpassen.
Kapitel V DSGVO
Was bedeutet internationaler Datenverkehr nach der DSGVO?
Die DSGVO schützt personenbezogene Daten nicht nur innerhalb der Europäischen Union.
Werden Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übertragen,
soll das europäische Schutzniveau nicht einfach verloren gehen.
Deshalb sieht Kapitel V DSGVO besondere Regeln
für internationale Datenübermittlungen vor.
Für österreichische Unternehmen wird dieses Thema
insbesondere beim Einsatz internationaler Software- und Cloud-Anbieter relevant.
Eine Übermittlung in die USA braucht dabei zwei Ebenen:
Erstens muss die eigentliche Verarbeitung nach der DSGVO zulässig sein.
Zweitens braucht die Übermittlung in das Drittland
eine Grundlage nach Kapitel V DSGVO.
Ein gültiges Transferinstrument macht eine Verarbeitung
nicht automatisch insgesamt DSGVO-konform.
Zweck, Rechtsgrundlage, Informationspflichten,
Datenminimierung und Sicherheit bleiben zusätzlich zu prüfen.
Transferinstrumente
Welche Grundlagen gibt es für Datenübermittlungen in Drittländer?
Die DSGVO stellt unterschiedliche Instrumente bereit.
Welches geeignet ist, hängt von Empfänger und Transferstruktur ab.
Angemessenheitsbeschluss
Die Europäische Kommission kann feststellen,
dass ein Drittland oder ein bestimmter Rahmen
ein angemessenes Datenschutzniveau bietet.
Standardvertragsklauseln
Von der Kommission genehmigte Vertragsklauseln
können geeignete Garantien für internationale Transfers schaffen.
Binding Corporate Rules
Verbindliche interne Datenschutzvorschriften
können insbesondere für internationale Unternehmensgruppen relevant sein.
Ausnahmen nach Art. 49
Für bestimmte besondere Situationen
sieht die DSGVO begrenzte Ausnahmetatbestände vor.
Sie sind kein pauschaler Ersatz für ein reguläres Transferinstrument.
Von Safe Harbor zu Schrems II
Warum war der Datentransfer EU–USA jahrelang so umstritten?
Der transatlantische Datenverkehr hat eine lange rechtliche Vorgeschichte.
Zunächst bestand mit „Safe Harbor“ ein Angemessenheitsmechanismus.
Dieser wurde 2015 durch den Europäischen Gerichtshof aufgehoben.
Danach folgte das EU-US Privacy Shield.
Auch dieses System wurde mit dem
Schrems-II-Urteil des EuGH vom 16. Juli 2020
für unwirksam erklärt.
Wesentliche Kritikpunkte betrafen den Zugriff
von US-Nachrichtendiensten auf personenbezogene Daten
sowie die Frage, ob betroffenen Personen aus der EU
ein mit europäischem Recht vergleichbarer Rechtsschutz zur Verfügung stand.
Standardvertragsklauseln blieben grundsätzlich verwendbar,
mussten aber durch eine Prüfung des tatsächlichen Schutzniveaus
und gegebenenfalls zusätzliche Maßnahmen ergänzt werden.
Seit 10. Juli 2023
Was ist das EU-U.S. Data Privacy Framework?
Mit dem Durchführungsbeschluss (EU) 2023/1795
stellte die Europäische Kommission fest,
dass die USA für personenbezogene Daten,
die an teilnehmende US-Organisationen übertragen werden,
unter dem Data Privacy Framework
ein angemessenes Schutzniveau gewährleisten.
Grundlage waren unter anderem neue US-Schutzmaßnahmen
für Zugriffe im Bereich der Nachrichtendienste.
Dazu gehören Anforderungen an Notwendigkeit und Verhältnismäßigkeit
sowie ein neuer Rechtsbehelfsmechanismus
mit dem Data Protection Review Court.
- Angemessenheitsbeschluss nach Art. 45 DSGVO
- Selbstzertifizierung teilnehmender US-Unternehmen
- verbindliche Datenschutzprinzipien für zertifizierte Organisationen
- Kontroll- und Durchsetzungsmechanismen in den USA
- Rechtsbehelfsmechanismus für Personen aus der EU
Aktueller Rechtsstand September 2026
Ist das Data Privacy Framework 2026 noch gültig?
Ja. Der Angemessenheitsbeschluss ist im September 2026 weiterhin in Kraft.
Allerdings sollte die weitere gerichtliche und politische Entwicklung beobachtet werden.
Erste Überprüfung durch die EU-Kommission
Die Kommission kam im Oktober 2024 zu dem Ergebnis,
dass die notwendigen Strukturen und Verfahren eingerichtet wurden
und das Framework wirksam funktioniert.
Gleichzeitig kündigte sie eine fortlaufende Beobachtung wichtiger Entwicklungen an.
EDSA-Bericht
Der Europäische Datenschutzausschuss
begrüßte verschiedene Umsetzungsschritte,
wies aber ebenfalls darauf hin,
dass die praktische Anwendung und behördliche Zugriffsmöglichkeiten
weiter beobachtet werden müssen.
Gericht bestätigt Angemessenheitsbeschluss
Das Gericht der Europäischen Union
wies am 3. September 2025
die Klage auf Nichtigerklärung
des Data Privacy Framework ab.
Rechtsmittel weiterhin anhängig
Gegen das Urteil wurde beim Gerichtshof
ein Rechtsmittel eingelegt.
Das Verfahren C-703/25 P
ist im September 2026 noch anhängig.
Das Framework kann derzeit verwendet werden.
Gleichzeitig sollte dokumentiert werden,
auf welches Transferinstrument man sich stützt,
und bei wesentlichen rechtlichen Änderungen eine Neubewertung erfolgen.
DPF-Prüfung
Wie prüft man, ob ein US-Unternehmen unter dem Data Privacy Framework zertifiziert ist?
Die Teilnahme am Data Privacy Framework
wird über die offizielle Liste des US Department of Commerce dokumentiert.
Unternehmen sollten dort nicht nur nach dem Markennamen suchen,
sondern den tatsächlichen Vertragspartner beziehungsweise Datenempfänger prüfen.
Relevant sind insbesondere der aktuelle Zertifizierungsstatus,
die konkrete juristische Gesellschaft
und der Umfang der Zertifizierung.
Bei Beschäftigtendaten sollte zusätzlich geprüft werden,
ob der entsprechende HR-Datenbereich von der Selbstzertifizierung erfasst ist.
Vertragspartner identifizieren
Nicht nur Produktname,
sondern genaue US-Gesellschaft und Empfänger feststellen.
DPF-Liste prüfen
Aktiven Status
und relevanten Zertifizierungsumfang
auf der offiziellen DPF-Website prüfen.
Nachweis dokumentieren
Prüfung intern nachvollziehbar festhalten
und bei Änderungen regelmäßig aktualisieren.
Zertifiziert – und dann?
Reicht die DPF-Zertifizierung allein für DSGVO-Compliance?
Nein. Das Data Privacy Framework beantwortet
primär die Frage der internationalen Datenübermittlung.
Die übrigen DSGVO-Anforderungen bleiben bestehen.
Das Unternehmen muss weiterhin prüfen,
ob eine Rechtsgrundlage für die Verarbeitung besteht,
ob ein Auftragsverarbeitungsverhältnis vorliegt,
welche Daten tatsächlich erforderlich sind
und ob Informationspflichten korrekt erfüllt werden.
Auch technische Einstellungen
und der konkrete Funktionsumfang eines Dienstes
können darüber entscheiden,
ob zusätzliche Datenschutzfragen entstehen.
Alternative zum DPF
Wann werden Standardvertragsklauseln benötigt?
Ist ein US-Empfänger nicht wirksam unter dem
EU-U.S. Data Privacy Framework zertifiziert,
können die Standardvertragsklauseln der Europäischen Kommission
eine Grundlage nach Art. 46 DSGVO sein.
Die 2021 modernisierten SCC
sind modular aufgebaut und enthalten
konkrete Regelungen zu Datenübermittlungen,
Betroffenenrechten, Behördenzugriffen
und Sicherheitsmaßnahmen.
Wichtig ist,
die passenden Module zu wählen
und die Anhänge tatsächlich auszufüllen.
Eine bloße Verlinkung auf die Standardvertragsklauseln
oder ein unvollständiges Vertragsdokument genügt nicht.
Transfer Impact Assessment
Braucht man bei SCC weiterhin eine Transferprüfung?
Ja. Die Standardvertragsklauseln enthalten
weiterhin eine Bewertungspflicht zur konkreten Transfersituation.
Diese wird häufig als Transfer Impact Assessment – TIA – bezeichnet.
Dabei werden unter anderem
die Umstände der Übermittlung,
die Rechtslage im Empfängerland,
mögliche Behördenzugriffe
und vorhandene zusätzliche Schutzmaßnahmen bewertet.
Wichtig für USA-Transfers:
Die von den USA im Zusammenhang mit dem Data Privacy Framework
eingeführten Schutzmaßnahmen im Bereich der nationalen Sicherheit
gelten nach Angaben der Europäischen Kommission
für alle DSGVO-Datenübermittlungen an Unternehmen in den USA –
unabhängig davon, ob DPF, SCC oder andere Transferinstrumente verwendet werden.
Diese Schutzmaßnahmen können deshalb
auch bei einer Transferbewertung auf Basis von SCC berücksichtigt werden.
Die vertraglich vorgesehene Bewertung der konkreten Übermittlung
wird dadurch aber nicht einfach ersatzlos gestrichen.
Wer SCC verwendet,
sollte die Transferbewertung dokumentieren
und nicht lediglich einen Standardvertrag ablegen.
Zusätzliche Maßnahmen
Wann braucht es technische oder organisatorische Zusatzmaßnahmen?
Wenn eine Transferbewertung zeigt,
dass vertragliche Garantien allein
für die konkrete Verarbeitung nicht ausreichen,
können ergänzende technische,
organisatorische oder vertragliche Maßnahmen erforderlich sein.
Verschlüsselung
Wirksame Verschlüsselung kann Risiken reduzieren,
wenn Schlüssel kontrolliert
und Zugriffe angemessen begrenzt werden.
Pseudonymisierung
Daten können vor dem Transfer so verarbeitet werden,
dass eine Zuordnung ohne zusätzliche Informationen erschwert wird.
Datenminimierung
Je weniger Daten übertragen werden,
desto geringer kann das Risiko des Transfers sein.
Zugriffsbeschränkung
Rollen, Berechtigungen
und Zugriffsmöglichkeiten des Anbieters
sollten technisch begrenzt werden.
Subdienstleister
Warum endet die Prüfung nicht beim direkten US-Anbieter?
Digitale Dienste bestehen häufig aus komplexen Lieferketten.
Ein europäischer Vertragspartner kann selbst
US-Unternehmen als Unterauftragnehmer einsetzen.
Deshalb sollte geprüft werden,
ob personenbezogene Daten tatsächlich
nur innerhalb des EWR verarbeitet werden
oder ob Speicherungen, Supportzugriffe,
Fernwartung oder Subprozessoren
einen Drittlandtransfer auslösen.
Relevant ist dabei nicht nur,
wo ein Rechenzentrum steht.
Auch ein Zugriff aus einem Drittland
kann datenschutzrechtlich als internationale Übermittlung relevant sein.
„EU-Server“ bedeutet nicht automatisch,
dass keinerlei Zugriff aus den USA
oder durch weitere internationale Unternehmen stattfindet.
Dokumentation
Wo müssen USA-Datentransfers im Unternehmen dokumentiert werden?
Internationale Datenübermittlungen
sollten nicht als isoliertes Vertragsdetail behandelt werden.
Sie müssen in die gesamte Datenschutzorganisation eingebunden sein.
Das Verzeichnis von Verarbeitungstätigkeiten,
die Dienstleisterdokumentation,
Verträge und Datenschutzinformationen
sollten dieselben tatsächlichen Datenflüsse widerspiegeln.
Wird das Transferinstrument geändert –
etwa von SCC auf Data Privacy Framework –
sollte geprüft werden,
welche Unterlagen ebenfalls angepasst werden müssen.
Website und Cloud
Wo begegnen österreichischen Unternehmen USA-Datentransfers besonders häufig?
Drittlandtransfers sind längst kein Spezialthema internationaler Konzerne.
Schon alltägliche digitale Dienste
können US-Empfänger oder US-Unterauftragnehmer einbeziehen.
- Cloud-Speicher und Hosting
- Microsoft- und Google-Dienste
- CRM- und SaaS-Systeme
- Newsletter- und Marketingplattformen
- Videokonferenz- und Kommunikationstools
- Support- und Ticketing-Systeme
- Website-Analytics und Tracking
- KI- und Automatisierungsdienste
Praxischeck 2026
Wie sollten Unternehmen ihre EU–USA-Datentransfers heute prüfen?
Ein strukturierter Prozess verhindert,
dass einzelne Verträge oder Zertifikate
ohne Bezug zur tatsächlichen Verarbeitung abgelegt werden.
Datenflüsse erfassen
Welche Dienste,
Empfänger und Subdienstleister
erhalten personenbezogene Daten?
Transferinstrument festlegen
DPF-Zertifizierung,
SCC oder anderes Instrument
für den konkreten Empfänger prüfen.
Gesamtdokumentation abstimmen
Verträge,
TIA, Verarbeitungsverzeichnis,
TOMs und Datenschutzerklärung aktualisieren.
Typische Fehler
Was läuft bei EU–USA-Datentransfers häufig schief?
DPF ungeprüft angenommen
Ein Anbieter wird als zertifiziert behandelt,
ohne den konkreten Vertragspartner
und den aktuellen Listenstatus zu prüfen.
SCC nur abgelegt
Standardvertragsklauseln sind vorhanden,
Anhänge und Transferbewertung
wurden aber nicht ausreichend ausgefüllt.
Subprozessoren übersehen
Der direkte Anbieter sitzt in Europa,
nutzt aber US-Unterauftragnehmer
oder internationale Supportstrukturen.
Datenschutzerklärung widerspricht Verträgen
Empfänger und Drittlandtransfers
werden online anders dargestellt
als intern dokumentiert.
Alte Rechtslage weiterverwendet
Dokumente sprechen noch vom Privacy Shield
oder berücksichtigen das Data Privacy Framework nicht.
Transferinstrument mit Rechtsgrundlage verwechselt
DPF oder SCC werden als Rechtfertigung
für die gesamte Verarbeitung behandelt,
obwohl Art. 6 DSGVO separat zu prüfen ist.
Datenschutz, Vertrag und Unternehmenspraxis
Internationale Datentransfers richtig einordnen
Dr. Thomas Ollinger ist zertifizierter Datenschutzbeauftragter
und Unternehmensberater.
Er unterstützt Unternehmen dabei,
internationale Datenflüsse,
eingesetzte Tools und Datenschutzdokumentation
praktisch zu erfassen und zu strukturieren.
Rechtsanwältin Dr. Nina Ollinger, LL.M.
ergänzt die anwaltliche Prüfung
von Vertragsgrundlagen,
internationalen Übermittlungen
und datenschutzrechtlichen Rechtsfragen.
Gerade beim internationalen Datenverkehr
müssen technische Realität,
Vertragsgestaltung und rechtliche Grundlage zusammenpassen.
Tools, Empfänger und Subdienstleister erfassen
DPF, SCC oder andere Grundlage prüfen
Verträge und internationale Datenschutzfragen
TIA, VVT und Datenschutzerklärung abstimmen
Passende Vertiefung
Weitere Themen zum internationalen Datenschutz
SCC und Dienstleisterverträge prüfen
Rollen,
Verträge und internationale Datenübermittlungen rechtlich einordnen.
Art. 28 und Drittlandtransfer zusammendenken
AVV,
Subprozessoren und Transferinstrumente sauber unterscheiden.
Datentransfers nachvollziehbar dokumentieren
VVT,
Dienstleister und Transfergrundlagen aktuell halten.
Drittlandtransfers transparent informieren
Empfänger,
Transfergrundlagen und internationale Datenflüsse korrekt beschreiben.
USA-Transfer bei Webanalyse prüfen
Consent,
Analytics-Konfiguration und internationale Datenübermittlung gemeinsam beurteilen.
Internationale Tools sicher einführen
Datenschutz,
Recht und Unternehmensprozesse gemeinsam strukturieren.
Häufige Fragen
FAQ zum internationalen Datenverkehr EU–USA
Ist das EU-U.S. Data Privacy Framework 2026 noch gültig?
Ja. Im September 2026 ist der Angemessenheitsbeschluss weiterhin in Kraft.
Das Gericht der Europäischen Union hat eine dagegen gerichtete Klage
im September 2025 abgewiesen.
Gegen dieses Urteil ist allerdings noch ein Rechtsmittel beim Gerichtshof anhängig.
Dürfen Daten damit an jedes US-Unternehmen übertragen werden?
Nein. Für eine Übermittlung auf Basis des Data Privacy Framework
muss der konkrete US-Empfänger
wirksam am Framework teilnehmen
und vom relevanten Zertifizierungsumfang erfasst sein.
Wo kann man die DPF-Zertifizierung überprüfen?
Auf der offiziellen Data-Privacy-Framework-Website
des US Department of Commerce.
Geprüft werden sollte die konkrete juristische Gesellschaft,
nicht nur der Produkt- oder Markenname.
Was passiert, wenn ein Anbieter nicht DPF-zertifiziert ist?
Dann können je nach Konstellation
andere Transferinstrumente wie Standardvertragsklauseln
oder Binding Corporate Rules in Betracht kommen.
Braucht man bei DPF zusätzlich Standardvertragsklauseln?
Für eine Übermittlung,
die wirksam auf den Angemessenheitsbeschluss
und die DPF-Zertifizierung des Empfängers gestützt wird,
sind SCC als zusätzliches Transferinstrument grundsätzlich nicht erforderlich.
Verträge nach Art. 28 DSGVO können davon unabhängig weiterhin notwendig sein.
Braucht man bei SCC noch ein Transfer Impact Assessment?
Die SCC verlangen weiterhin
eine dokumentierte Bewertung der konkreten Transfersituation.
Dabei können die aktuellen US-Schutzmaßnahmen,
die auch außerhalb des DPF gelten,
in die Bewertung einbezogen werden.
Gelten die neuen US-Schutzmaßnahmen nur für DPF-zertifizierte Unternehmen?
Nein. Nach Angaben der Europäischen Kommission
gelten die im Bereich der nationalen Sicherheit
eingeführten Schutzmaßnahmen
für alle DSGVO-Datenübermittlungen an Unternehmen in den USA,
unabhängig vom verwendeten Transferinstrument.
Ist Privacy Shield wieder gültig?
Nein. Das frühere EU-US Privacy Shield
wurde 2020 durch den EuGH für unwirksam erklärt.
Das heutige Data Privacy Framework
ist ein neuer und rechtlich eigenständiger Mechanismus.
Reicht ein Serverstandort in der EU aus, um Drittlandtransfers auszuschließen?
Nicht automatisch.
Auch Supportzugriffe,
Konzernzugriffe oder Unterauftragnehmer außerhalb des EWR
können internationale Datenübermittlungen auslösen.
Muss der USA-Transfer in der Datenschutzerklärung stehen?
Soweit die Informationspflichten greifen,
müssen relevante internationale Datenübermittlungen
und die dafür verwendeten Garantien
transparent dargestellt werden.
Was bedeutet das anhängige Verfahren C-703/25 P für Unternehmen?
Derzeit ändert das anhängige Rechtsmittel
nichts daran, dass der Angemessenheitsbeschluss gilt.
Unternehmen sollten die Entwicklung jedoch beobachten
und bei einer Änderung des Rechtsrahmens
ihre Transfergrundlagen neu bewerten.
Offizielle Quellen · Stand September 2026
Weiterführende Informationen zum EU–USA-Datentransfer
Die Europäische Kommission informiert über den
EU-U.S. Data Privacy Framework und EU-US-Datentransfers
.
Die aktuelle Teilnahme eines US-Unternehmens kann über die
offizielle Data Privacy Framework List
geprüft werden.
Die
Europäischen Standardvertragsklauseln
stehen bei der Europäischen Kommission zur Verfügung.
Informationen zur ersten Überprüfung des DPF
veröffentlicht ebenfalls die Europäische Kommission.
Der aktuelle gerichtliche Verfahrensstand
zum Rechtsmittel C-703/25 P
ist über den
Gerichtshof der Europäischen Union
abrufbar.
US-Datentransfers strukturiert prüfen
Internationalen Datenverkehr rechtssicher organisieren
Sie nutzen US-Cloud-Dienste,
internationale Software oder Anbieter mit US-Subdienstleistern?
Wir prüfen Datenflüsse, Transferinstrumente,
Verträge und Datenschutz-Dokumentation gemeinsam.