Datenschutz in Unternehmen: Personenbezogene Daten in den USA
Die durch die Verarbeitung mögliche Übermittlung von personenbezogenen Daten in die USA und andere Drittländer im Datenschutz stellt für Unternehmen weiterhin eine Herausforderung dar. Die aktuellen Maßnahmen haben wir Ihnen in unserem Blog noch einmal zusammengefasst.
Inhaltsverzeichnis
Personenbezogene Daten bei Anwendungen in den USA verarbeiten
Internationale Geschäftsprozesse, cloudbasierte Software und digitale Geschäftsmodelle führen dazu, dass personenbezogene Daten regelmäßig über Ländergrenzen hinweg verarbeitet werden. Besonders häufig betrifft dies US-amerikanische Anbieter von Cloud-, Analyse-, Kommunikations- und Geschäftsdiensten.
Für Unternehmen entsteht dadurch eine anspruchsvolle datenschutzrechtliche Situation: Sobald personenbezogene Daten aus der Europäischen Union oder dem Europäischen Wirtschaftsraum in die USA übermittelt werden oder von dort aus auf diese Daten zugegriffen werden kann, handelt es sich grundsätzlich um eine Drittlandübermittlung im Sinne der Datenschutz-Grundverordnung (DS-GVO). Dabei spielt es keine entscheidende Rolle, ob die Daten auf Servern innerhalb der EU gespeichert werden. Auch ein Fernzugriff durch ein US-Unternehmen oder eine US-Muttergesellschaft kann datenschutzrechtlich relevant sein.
BLOG-TIPP: EU-STANDARDVERTRAGSKLAUSELN – WAS IST ZU BEACHTEN?
Warum Datenübermittlungen in die USA besonders sensibel sind
Die rechtliche Bewertung von Datenübermittlungen in die USA wurde maßgeblich durch die Entscheidungen des Europäischen Gerichtshofs geprägt. Das Safe-Harbor-Abkommen wurde 2015 im Urteil „Schrems I“ für ungültig erklärt. Im Jahr 2020 erklärte der Europäische Gerichtshof auch das EU-US Privacy Shield im Urteil „Schrems II“ für unwirksam.
Im Mittelpunkt stand die Frage, ob US-Behörden unter bestimmten Voraussetzungen auf personenbezogene Daten zugreifen können und ob betroffene Personen dagegen ausreichende Rechtsschutzmöglichkeiten besitzen. In der Folge gewannen die Standardvertragsklauseln (SCCs), sowie zusätzliche technische und organisatorische Maßnahmen an Bedeutung.
Das EU-US Data Privacy Framework
Am 10. Juli 2023 trat das EU-US Data Privacy Framework (DPF) in Kraft. Auf Grundlage des dazu erlassenen Angemessenheitsbeschlusses können personenbezogene Daten grundsätzlich an US-Unternehmen übermittelt werden, die aktiv am DPF teilnehmen und für die konkrete Verarbeitung zertifiziert sind.
Die Zertifizierung erfolgt über eine Selbstzertifizierung beim US-Handelsministerium und muss regelmäßig erneuert werden. Unternehmen in Europa sollten daher vor einer Übermittlung prüfen, ob der konkrete Dienstleister in der offiziellen DPF-Liste eingetragen ist, ob die Zertifizierung noch gültig ist und ob sie die tatsächlich geplante Verarbeitung abdeckt. Entscheidend ist dabei nicht nur der Name des eingesetzten Tools, sondern insbesondere das Unternehmen, das den Dienst anbietet.
Die Europäische Kommission hat die erste Überprüfung des DPF am 9. Oktober 2024 veröffentlicht. Eine weitere Überprüfung ist für 2026 vorgesehen. Auch der Europäische Datenschutzausschuss stellt klar, dass das Framework nur für US-Organisationen gilt, die über eine aktive Selbstzertifizierung verfügen.
Das DPF schafft damit derzeit eine wichtige Rechtsgrundlage, garantiert jedoch keine dauerhafte Rechtssicherheit.
BLOG-TIPP: CHECKLISTE FÜR UNTERNEHMEN UND ORGANISATIONEN – DATENSCHUTZ RICHTIG UMSETZEN
Standardvertragsklauseln
Ist ein US-Dienstleister nicht nach dem DPF zertifiziert, kommen regelmäßig die Standardvertragsklauseln der Europäischen Kommission zum Einsatz. Sie regeln unter anderem die Pflichten des Datenexporteurs und des Datenimporteurs, die Rechte betroffener Personen, Anforderungen an die Datensicherheit sowie den Umgang mit behördlichen Anfragen und Unterauftragsverarbeitern.
Mit dem Abschluss der SCCs ist die Prüfung jedoch nicht abgeschlossen. Zusätzlich muss bewertet werden, ob die Klauseln im Empfängerland tatsächlich eingehalten werden können. Dabei sollte dokumentiert werden, welche personenbezogenen Daten übertragen werden, welchem Zweck die Übermittlung dient, welche Zugriffsmöglichkeiten bestehen und welche Rechtsvorschriften im Empfängerland relevant sein können. Ebenso sollten Verschlüsselung, Pseudonymisierung, Zugriffsrechte, Unterauftragnehmer und technische Schutzmaßnahmen bewertet werden.
„Wasserdichte“ SCCs gibt es allerdings nicht. Vertragliche Vereinbarungen können zwingendes Recht des Empfängerlandes nicht ausschließen. Ein höheres Schutzniveau kann deshalb nur durch ein Zusammenspiel aus Vertragsklauseln, technischen Maßnahmen und organisatorischen Kontrollen erreicht werden. Dazu zählen beispielsweise eine Ende-zu-Ende-Verschlüsselung, eine getrennte Verwaltung der Schlüssel, Pseudonymisierung vor der Übermittlung, eingeschränkte Zugriffsrechte und eine regelmäßige Kontrolle der Datenzugriffe.
Der EU Data Act verändert den Umgang mit Daten
Der EU Data Act ist seit dem 12. September 2025 anwendbar. Er soll den Zugang zu und die Nutzung von Daten innerhalb der Europäischen Union stärker regeln. Im Mittelpunkt stehen unter anderem Daten, die durch vernetzte Produkte und verbundene Dienste entstehen. Außerdem enthält der Data Act Vorgaben für Anbieter von Datenverarbeitungsdiensten, insbesondere für Cloud- und vergleichbare Infrastrukturdienste.
Der Data Act ersetzt die DS-GVO nicht. Personenbezogene Daten müssen weiterhin nach den datenschutzrechtlichen Vorgaben verarbeitet werden. Unternehmen müssen deshalb künftig mehrere Regelungsbereiche miteinander verbinden: Datenschutz, Datenzugang, Datenteilung, Cloud-Verträge, IT-Sicherheit und internationale Datenübermittlungen.
BLOG-TIPP: GRUNDLAGEN IM DATENSCHUTZ: WO KÖNNEN DATEN ÜBERALL VERARBEITET WERDEN?
Datenflüsse und Zugriffsrechte müssen nachvollziehbar sein
Unternehmen sollten nicht nur dokumentieren, welche personenbezogenen Daten verarbeitet werden. Es muss auch nachvollziehbar sein, aus welchem System die Daten stammen, wer auf sie zugreifen darf, welche Dienstleister und Unterauftragnehmer beteiligt sind und in welchen Ländern Daten gespeichert oder technisch erreichbar sind.
Besonders wichtig ist die Unterscheidung zwischen Speicherort und Zugriffsort. Daten können in einem Rechenzentrum innerhalb der EU gespeichert werden, während ein Anbieter oder ein verbundenes Unternehmen aus einem Drittstaat administrative oder technische Zugriffsmöglichkeiten besitzt. Für eine belastbare Bewertung müssen daher auch Unternehmensstrukturen, Supportstandorte und Fernzugriffe berücksichtigt werden.
Der Data Act soll zudem den Wechsel zwischen Anbietern von Datenverarbeitungsdiensten erleichtern. Anbieter müssen Hindernisse für einen Wechsel oder die parallele Nutzung mehrerer Dienste reduzieren.
Was Unternehmen jetzt prüfen sollten
Am Anfang sollte eine vollständige Übersicht aller Dienste stehen, bei denen personenbezogene Daten verarbeitet oder zugänglich gemacht werden. Dazu zählen beispielsweise Cloud-Speicher, E-Mail- und Kollaborationsplattformen, CRM- und ERP-Systeme, Personalsoftware, Videokonferenzdienste, Analyse- und Marketingtools, Supportsysteme, KI-Anwendungen sowie Backup- und Sicherheitslösungen.
Für jeden Dienst sollte anschließend dokumentiert werden, welche Daten verarbeitet werden, welchem Zweck die Verarbeitung dient, wer als Verantwortlicher oder Auftragsverarbeiter handelt und in welchen Ländern Speicher-, Support- und Zugriffsmöglichkeiten bestehen. Außerdem sollte festgehalten werden, auf welche Rechtsgrundlage die jeweilige Übermittlung gestützt wird.
DPF-Zertifizierungen sollten regelmäßig kontrolliert werden. Bei nicht zertifizierten Anbietern sollten aktuelle SCCs, ein Transfer Impact Assessment und geeignete zusätzliche Schutzmaßnahmen vorliegen. Auch Auftragsverarbeitungsverträge sollten auf Aktualität und Vollständigkeit geprüft werden.
BLOG-TIPP: AV-VERTRÄGE NACHFASSEN IM DATENSCHUTZ
Personenbezogene Daten und die USA – weitere Maßnahmen umsetzen und prüfen
Der Datentransfer in die USA bleibt trotz des EU-US Data Privacy Framework ein Bereich mit erhöhtem Prüfungs- und Dokumentationsbedarf. Zertifizierte US-Unternehmen können derzeit unter den Voraussetzungen des Angemessenheitsbeschlusses eingesetzt werden. Für nicht zertifizierte Anbieter bleiben Standardvertragsklauseln und zusätzliche technische und organisatorische Maßnahmen wichtige Instrumente.
Gleichzeitig führt der EU Data Act dazu, dass Datenzugriffe, Anbieterwechsel und internationale Zugriffsmöglichkeiten stärker in die Unternehmensorganisation integriert werden müssen. Eine nachhaltige Datenschutzstrategie sollte sich daher nicht auf eine einzelne Vertragsklausel oder eine Zertifizierung beschränken. Erforderlich ist vielmehr ein dauerhaft gepflegtes Zusammenspiel aus Datenflussdokumentation, aktuellen Verträgen, geprüften Dienstleistern, technischen Schutzmaßnahmen, regelmäßigen Risikoanalysen und geeigneten Ausweichkonzepten.
Das Team von Datenschutzberater.NRW bietet Organisationen unterschiedlicher Art Beratung im Datenschutz an. Mit unseren Fachleuten aus dem Bereich Datenschutz, IT und Steuerrecht erstellen wir Ihnen gerne ein individuelles Angebot für eine Datenschutz-Erstberatung, die Betreuung durch einen externen Datenschutzbeauftragten und entwickeln ein für Sie passendes Konzept. Nehmen Sie einfach Kontakt zu uns auf.
Wir betreuen Mandanten bundesweit. Lesen Sie mehr zu unserem individuellen Angebot. Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit. Wenn Sie sich unsicher sind, ob Sie den Datenschutz ausreichend umsetzen, dann lassen Sie sich von uns professionell beraten.
