Neues Datenschutzabkommen mit USA: „Trans-Atlantic Data Privacy Framework“

Zuletzt aktualisiert am 1. Juni 2026

Am 25. März 2022 fand die Veröffentlichung eines neuen Datenschutzabkommens zwischen EU und USA statt. Dies ist bereits die dritte Einigung, die die transatlantische Datenübermittlung betrifft. Was genau festgehalten wurde und wie sich dies momentan auf die Praxis auswirkt, erfahren Sie hier.

Warum ein neues Datenschutzabkommen?

Die Verarbeitung von Daten in Drittländern ist ein bekanntes datenschutzrechtliches Problem.

Grundsätzlich bedarf es dazu in dem Drittland (Land außerhalb der EU, also außerhalb des Geltungsbereiches der DSGVO) die Garantie, dass ein mit der DSGVO vergleichbares Schutzniveau für personenbezogene Daten besteht. Hierzu erteilt die EU-Kommission sogenannte Angemessenheitsbeschlüsse. Zuletzt existierte bis Juli 2020 das „Privacy Shield Abkommen“ als solcher Angemessenheitsbeschluss. Nachdem der EuGH feststellte, dass dieses Abkommen jedoch kein dem Unionsrecht (DSGVO) gleichwertiges Schutzniveau bietet (Schrems-II-Urteil), wurde das Abkommen gekippt. Gründe hierfür waren im Einzelnen insbesondere die weitreichenden Zugriffsmöglichkeiten von Geheimdiensten auf Daten in den USA und die fehlende Durchsetzbarkeit von Betroffenenrechten gegenüber den amerikanischen Behörden. Deshalb entstand eine große Unsicherheit bezüglich des Datentransfers in die USA.

Inhalt des neuen Datenschutzabkommens

Das neue Datenschutzabkommen namens „Trans-Atlantic Data Privacy Framework“ soll der Nachfolger des „Privacy Shield“ werden. Damit soll ein freier und sicherer Datenaustausch zwischen EU und USA (beziehungsweise teilnehmenden Unternehmen) möglich sein. Es soll ein neues Regelwerk mit verbindlichen Schutzmaßnahmen enthalten. Hierüber soll auch eine Beschränkung des Zugriffs der amerikanischen Geheimdienste stattfinden. Dieser wäre dann nur noch möglich, wenn er zum Schutz der nationalen Sicherheit notwendig und auch verhältnismäßig wäre.

Zudem soll ein zweistufiges Rechtsbehelfssystem eingeführt werden, damit EU-Bürger wirksame Beschwerden einlegen können.

US-Unternehmen, die Daten aus der EU verarbeiten wollen, sollen außerdem strengeren Verpflichtungen unterliegen. Die Einhaltung dieser soll über eine Selbstzertifizierung bestätigt werden.

Das neue Datenschutzabkommen in der Praxis

Das Weiße Haus spricht von „beispiellosen Verpflichtungen“ zum Schutz von Daten, jedoch bedeutet das nicht, dass ab sofort jegliche Datenübermittlung an die USA problemlos ist. Bei dem neuen Datenschutzabkommen „Trans-Atlantic Data Privacy Framework“ handelt es sich zurzeit lediglich um eine Ankündigung von US-Regierung und EU-Kommission. Bevor diese die volle Rechtskraft entfaltet, sind einige Zwischenschritte notwendig. Ein Datentransfer in die USA ist also vorerst weiterhin einzelfallabhängig zu prüfen. Ob und wann das neue Datenschutzabkommen in Kraft treten wird, bleibt abzuwarten. Die Entwicklung hin bis zu dieser Ankündigung kann aber als erfreulich verbucht werden. Und ganz nach dem Motto „Alle guten Dinge sind drei“ könnte es sich bei diesem dritten Versuch eines Datenschutzabkommens trotz der bestehenden Kritik, dass es die Kritikpunkte aus Schrems-II nicht alle beachtet, um ein die Praxis erleichterndes Abkommen handeln.

Die Vorgängerabkommen: Safe Harbor und Privacy Shield

Um das neue Trans-Atlantic Data Privacy Framework einordnen zu können, lohnt ein Blick auf die gescheiterten Vorgängerabkommen. Das erste Abkommen, das sogenannte Safe-Harbor-Abkommen, war von 2000 bis 2015 in Kraft. Es basierte auf der Selbstzertifizierung von US-Unternehmen, die sich verpflichteten, bestimmte Datenschutzprinzipien einzuhalten. Der EuGH erklärte dieses Abkommen im Oktober 2015 für ungültig (Schrems-I-Urteil), da es keinen ausreichenden Schutz vor dem Zugriff der US-Geheimdienste bot.

Als Nachfolger trat im August 2016 das Privacy-Shield-Abkommen in Kraft. Dieses sah zusätzliche Schutzmaßnahmen vor, darunter die Einrichtung einer Ombudsperson. Doch auch dieses Abkommen wurde vom EuGH im Juli 2020 für ungültig erklärt (Schrems-II-Urteil). Die Richter bemängelten erneut, dass die US-Überwachungsgesetze keinen ausreichenden Schutz für die Daten von EU-Bürgern gewährleisteten.

Die Ungültigerklärung des Privacy Shield löste erhebliche Unsicherheit bei Unternehmen aus, die auf die Übermittlung personenbezogener Daten in die USA angewiesen waren. Viele Unternehmen griffen auf alternative Übermittlungsinstrumente wie Standardvertragsklauseln zurück.

Neue Schutzmaßnahmen im Detail

Das Trans-Atlantic Data Privacy Framework soll die Mängel der Vorgängerabkommen beheben. Die wichtigste Neuerung betrifft die Beschränkung des Zugriffs der US-Geheimdienste auf die Daten von EU-Bürgern. US-Präsident Biden unterzeichnete zu diesem Zweck eine Executive Order, die die Signalaufklärung auf ein notwendiges und verhältnismäßiges Maß beschränkt.

Außerdem wurde ein neues zweistufiges Rechtsbehelfssystem eingeführt. In der ersten Stufe prüft ein Civil Liberties Protection Officer die Beschwerde. In der zweiten Stufe kann ein unabhängiges Data Protection Review Court die Entscheidung überprüfen und verbindliche Abhilfemaßnahmen anordnen, einschließlich der Löschung unrechtmäßig erhobener Daten.

Für die Unternehmenspraxis bedeutet das neue Abkommen eine erhebliche Vereinfachung der transatlantischen Datenübermittlung. US-Unternehmen, die sich unter dem neuen Rahmenwerk selbst zertifizieren, können als geeignete Empfänger personenbezogener Daten aus der EU gelten.

Kritik und offene Fragen

Trotz der Verbesserungen gibt es erhebliche Kritik am neuen Framework. Der österreichische Datenschutzaktivist Max Schrems kündigte an, auch das neue Abkommen rechtlich anzufechten. Er kritisierte insbesondere, dass die Executive Order jederzeit durch einen zukünftigen Präsidenten aufgehoben werden könne und keine gesetzgeberische Grundlage habe.

Auch europäische Datenschutzbehörden und das Europäische Parlament äußerten Bedenken. Die grundsätzliche Problematik der US-Überwachungsgesetze, insbesondere Section 702 des Foreign Intelligence Surveillance Act (FISA), bleibe bestehen.

Für Unternehmen bedeutet dies eine gewisse Rechtsunsicherheit. Es empfiehlt sich daher, neben dem neuen Framework auch weiterhin auf Standardvertragsklauseln und andere Absicherungen zu setzen.

Handlungsempfehlungen für Unternehmen

Unternehmen, die personenbezogene Daten in die USA übermitteln, sollten mehrere Maßnahmen ergreifen. Zunächst sollten sie prüfen, ob ihre US-Dienstleister unter dem neuen Framework zertifiziert sind. Außerdem empfiehlt es sich, eine Transfer-Folgenabschätzung (Transfer Impact Assessment) durchzuführen, um die Risiken der Datenübermittlung systematisch zu bewerten.

Schließlich sollten Unternehmen ihre Datenschutzdokumentation, einschließlich des Verarbeitungsverzeichnisses und der Datenschutzhinweise, aktualisieren, um die neue Rechtsgrundlage für die Datenübermittlung in die USA korrekt abzubilden.

Standardvertragsklauseln als Absicherung

Angesichts der Unsicherheit über die Beständigkeit des neuen Datenschutzabkommens empfehlen Datenschutzexperten, weiterhin Standardvertragsklauseln (Standard Contractual Clauses, SCCs) als zusätzliche Absicherung zu verwenden. Die EU-Kommission hat im Juni 2021 neue Standardvertragsklauseln veröffentlicht, die an die Anforderungen der DSGVO und des Schrems-II-Urteils angepasst sind.

Die neuen SCCs bestehen aus einem modularen System mit vier verschiedenen Modulen, die je nach Konstellation der Datenübermittlung eingesetzt werden. Modul 1 betrifft die Übermittlung von Verantwortlichem zu Verantwortlichem, Modul 2 die Übermittlung von Verantwortlichem zu Auftragsverarbeiter, Modul 3 die Übermittlung von Auftragsverarbeiter zu Auftragsverarbeiter und Modul 4 die Übermittlung von Auftragsverarbeiter zu Verantwortlichem.

Unternehmen, die SCCs einsetzen, müssen zusätzlich eine Transfer-Folgenabschätzung (Transfer Impact Assessment, TIA) durchführen. Dabei wird bewertet, ob das Datenschutzniveau im Empfängerland tatsächlich dem der EU gleichwertig ist. Werden Defizite festgestellt, müssen ergänzende Maßnahmen wie Verschlüsselung, Pseudonymisierung oder vertragliche Zusicherungen getroffen werden.

Praktische Auswirkungen auf den Einsatz von US-Cloud-Diensten

Das Trans-Atlantic Data Privacy Framework hat unmittelbare Auswirkungen auf den Einsatz von US-Cloud-Diensten wie Microsoft 365, Google Workspace, Amazon Web Services und Salesforce. Diese Dienste werden von einer Vielzahl europäischer Unternehmen genutzt und waren nach dem Schrems-II-Urteil datenschutzrechtlich in einer Grauzone.

Mit dem neuen Abkommen können Unternehmen diese Dienste wieder auf einer soliden Rechtsgrundlage nutzen, sofern der jeweilige US-Anbieter unter dem Framework zertifiziert ist. Die großen Cloud-Anbieter haben sich bereits zertifizieren lassen, was die Nutzung ihrer Dienste erheblich vereinfacht.

Dennoch sollten Unternehmen nicht blind auf das neue Abkommen vertrauen. Es empfiehlt sich, die Datenschutzeinstellungen der genutzten Cloud-Dienste sorgfältig zu konfigurieren, die Datenverarbeitung auf das erforderliche Minimum zu beschränken und regelmäßig zu überprüfen, ob der Anbieter weiterhin zertifiziert ist. Die Einbindung eines Datenschutzbeauftragten bei der Auswahl und Konfiguration von Cloud-Diensten ist dabei wichtig.

Das Framework im Kontext der geopolitischen Entwicklungen

Das Trans-Atlantic Data Privacy Framework muss auch im Kontext der geopolitischen Entwicklungen betrachtet werden. Die zunehmenden Spannungen zwischen den USA und anderen Weltmächten, insbesondere im Technologiebereich, haben direkte Auswirkungen auf den internationalen Datentransfer. Die US-Regierung hat in den vergangenen Jahren verschiedene Maßnahmen ergriffen, die den Zugriff auf Daten ausländischer Unternehmen und Bürger ermöglichen, darunter den CLOUD Act von 2018.

Der CLOUD Act erlaubt es US-Behörden, von US-Unternehmen die Herausgabe von Daten zu verlangen, unabhängig davon, wo diese Daten physisch gespeichert sind. Dies betrifft auch Daten, die auf Servern innerhalb der EU gespeichert werden. Der Widerspruch zwischen dem CLOUD Act und der DSGVO wurde im Rahmen des Trans-Atlantic Data Privacy Framework nicht vollständig aufgelöst, was Kritiker als wesentlichen Schwachpunkt des Abkommens betrachten.

Für europäische Unternehmen bedeutet dies, dass sie bei der Nutzung von US-Diensten auch nach dem Inkrafttreten des neuen Abkommens sorgfältig abwägen müssen, welche Daten sie in US-amerikanische Systeme übermitteln. Besonders sensible Daten, wie Gesundheitsdaten, Finanzdaten oder Geschäftsgeheimnisse, sollten nach Möglichkeit auf europäischen Servern verarbeitet werden. Die zunehmende Verfügbarkeit europäischer Cloud-Alternativen wie Gaia-X bietet hier vielversprechende Möglichkeiten zur Reduzierung der Abhängigkeit von US-Anbietern.

Das Trans-Atlantic Data Privacy Framework stellt einen wichtigen Schritt zur Lösung der jahrelangen Unsicherheit beim transatlantischen Datentransfer dar. Ob es dauerhaft Bestand haben wird, bleibt abzuwarten. Unternehmen sollten das Abkommen als willkommene Erleichterung nutzen, gleichzeitig aber vorbereitet sein für den Fall, dass der EuGH auch dieses dritte Abkommen für ungültig erklärt. Eine diversifizierte Datentransferstrategie, die mehrere Rechtsgrundlagen kombiniert und die Abhängigkeit von einem einzigen Abkommen minimiert, bietet den besten Schutz gegen regulatorische Unsicherheiten.

Die kontinuierliche Beobachtung der regulatorischen Entwicklungen auf beiden Seiten des Atlantiks ist für Unternehmen mit transatlantischem Datentransfer nötig, um rechtzeitig auf Änderungen reagieren zu können.

Letztlich unterstreicht das neue Datenschutzabkommen die Bedeutung eines vorausschauenden und vollständigen Datenschutzmanagements in einer zunehmend globalisierten digitalen Wirtschaft.

Sie wünschen Beratung und Hilfe zu datenschutzkonformen Abläufen in Ihrem Unternehmen? Unser Team an Experten steht Ihnen gerne zur Seite!