Übermittlung von Daten in die USA – alte und neue Entwicklungen

Im Unternehmensalltag ist mit der Nutzung einer Vielzahl von Online-Anwendungen eine Übermittlung personenbezogener Daten in andere Staaten verbunden. Darunter fallen regelmäßig die Einbindung von Cloud- und E-Mail-Services, der Einsatz von Analysetools oder die Nutzung der Systeme eines Kooperationspartners. Nicht selten bedienen sich Unternehmen externer Dienstleister aus den Vereinigten Staaten von Amerika (USA) oder arbeiten mit dort ansässigen anderen Konzerngesellschaften zusammen. In den USA ist der Datenschutz weniger streng reguliert als in der Europäischen Union (EU). Statt eines einheitlichen Bundesdatenschutzgesetzes, existieren dort lediglich landes- oder branchenspezifische Gesetze für den Schutz von Verbraucherdaten. Für europäische Unternehmen ist es wichtig, zu wissen, welche zusätzlichen Sicherheitsmaßnahmen bei der Übertragung von Daten in die USA ergriffen werden müssen und was das aktuelle Urteil des US Supreme Courts für datenschutzrechtliche Auswirkungen hat. 

Sicherheitsmaßnahmen bei der Datenübermittlung in Drittländer

Die europäische Datenschutz-Grundverordnung (DSGVO) verfolgt das Ziel, ein einheitliches Datenschutzniveau innerhalb der gesamten Europäischen Union zu schaffen. Damit der Schutz personenbezogener Daten aber auch über die Grenzen der Europäischen Union hinweg bei der Datenübermittlung in Drittstaaten – also Staaten, die weder Mitglied der EU noch des Europäischen Wirtschaftsraums sind – gewährleistet ist, fordert die DSGVO zusätzliche Sicherheitsmaßnahmen nach Art. 44 ff. DSGVO, die von der verantwortlichen Stelle oder dem Auftragsverarbeiter eingehalten werden müssen. Wichtig ist, dass diese Maßnahmen auch bei der Übermittlung von Daten an konzernangehörige Unternehmen und (Unter-)Auftragsverarbeiter in Drittstaaten erfüllt werden müssen.

Die EU-Kommission hat die Kompetenz, durch den Erlass eines Angemessenheitsbeschlusses festzulegen, dass ein Drittstaat ein angemessenes Datenschutzniveau bietet. Dann dürfen dort angesiedelte Unternehmen behandelt werden, als hätten sie ihren Sitz in der EU. Derartige Angemessenheitsbeschlüsse bestehen nur für sehr wenige Staaten, beispielsweise die Schweiz, Neuseeland oder Brasilien. Eine vollständige Liste dieser Staaten findet sich auf der Seite der EU-Kommission. 

Hat die EU-Kommission kein angemessenes Datenschutzniveau beschlossen, müssen von dem datenexportierenden Unternehmen geeignete Garantien vorgesehen und sichergestellt werden, dass betroffene Personen durchsetzbare Rechte und Rechtsbehelfe haben. Unter die geeigneten Garantien fallen verbindliche unternehmensinterne Datenschutzvorschriften (auch Binding Corporate Rules genannt) oder von der zuständigen Aufsichtsbehörde genehmigte Verhaltensregeln, die rechtsverbindliche und durchsetzbare Verpflichtungen zur Gewährleistung eines mit der DSGVO vergleichbaren Datenschutzniveaus enthalten. Schließlich kann das europäische Unternehmen mit dem drittstaatenangehörigen Unternehmen einen von der EU vordefinierten Vertrag – sogenannte Standardvertragsklauseln – abschließen. Danach wird das drittstaatenangehörige Unternehmen verpflichtet, ein der EU vergleichbares Datenschutzniveau zu garantieren.

Historische Entwicklung bei Datenübermittlungen in die USA

Mehrere Versuche, die transatlantische Datenübermittlung in die USA zu vereinfachen, sind in der Vergangenheit gescheitert. Damit zeichnet sich eine datenschutzrechtliche Spannung und Instabilität ab, die auch heute noch anhält.

Safe-Harbour-Abkommen

Noch vor dem Inkrafttreten der DSGVO wurde zwischen den USA und der EU das Safe-Harbour-Abkommen ausgehandelt. Sobald ein US-Unternehmen öffentlich erklärte, die von der US-Handelskommission (Federal Trade Commission, FTC) aufgestellten Datenschutz-Prinzipien einzuhalten, beschloss die EU-Kommission ein ausreichendes Datenschutzniveau für das Unternehmen. Eine Überprüfung fand zu keinem Zeitpunkt statt. Mangels Rechtsvorschriften und Rechtsschutzmöglichkeiten für betroffene Personen erklärte der Europäische Gerichtshof (EuGH) im Jahr 2015 das Abkommen für ungültig (EuGH, Urt. v. 06.10.2015 – Az.: C-362/14).

EU-US-Privacy-Shield

Das EU-US-Privacy-Shield war ein Abkommen zwischen der EU und den USA, das zu einer Angemessenheitsfiktion für in den USA zertifizierte Unternehmen geführt hat. Mit einem Urteil vom 16. Juli 2020 hat der EuGH das EU-US-Privacy-Shield für unwirksam erklärt, da den US-Geheimdiensten ein Zugriff auf personenbezogene Daten der EU-Bürger möglich war und nach Auffassung des Gerichts deren Grundrechte nicht ausreichend gewährleistet wurden (EuGH, Urt. v. 16.07.2020 – Az.: C-311/18). Nach dem CLOUD-Act (Clarifying Lawful Overseas Use of Data Act) müssen US-Unternehmen nämlich die Daten ihrer Kunden auf Verlangen der US-Regierung unabhängig vom Speicherort herausgeben – auch, wenn die Daten sich auf europäischen Servern befinden. 

Hinsichtlich der weiteren Maßnahmen nach Art. 44 ff. DSGVO stellte der EuGH klar, dass ein datenexportierendes Unternehmen vor der Datenübermittlung überprüfen muss, ob das datenimportierende Unternehmen im Einzelfall die Anforderungen aus den Standardvertragsklauseln tatsächlich einhalten kann. Amerikanische Unternehmen können den Anordnungen der Geheimdienste nicht widersprechen, sodass nach Ansicht des Gerichts regelmäßig naheliegend sei, dass sie auch die Standardvertragsklauseln nicht einhalten können. Die verantwortliche Stelle habe gegebenenfalls zusätzliche Schutzmaßnahmen zu treffen.

Anlässlich des Urteils erarbeitete die EU-Kommission im Juni 2021 neue Standardvertragsklauseln, die neben einer Prüfpflicht des exportierenden Unternehmens hinsichtlich der tatsächlichen Einhaltung des Datenschutzniveaus auch konkrete Verhaltenspflichten bei staatlichen Offenlegungsersuchen beinhalten.

EU-US Data Privacy Framework

Am 10. Juli 2023 beschloss die EU-Kommission mit dem EU-US Data Privacy Framework (auch Trans-Atlantic Data Privacy Framework) ein angemessenes Datenschutzniveau für die danach zertifizierten Unternehmen – und damit einen Angemessenheitsbeschluss nach Art. 45 DSGVO. 

Die Grundlage hierfür waren strengere Vorgaben für den geheimdienstlichen Zugriff auf Daten europäischer Personen sowie eine verstärkte Beaufsichtigung der Aktivitäten der US-Geheimdienste. Der Zugriff von amerikanischen Sicherheitsbehörden wurde beschränkt. Sowohl für die Verwaltung und Überwachung des Datenschutzrahmens als auch für die Durchsetzung der Vorschriften gegenüber zertifizierten Unternehmen ist die Federal Trade Commission (FTC) zuständig. Hinzu kommen unabhängige und unparteiische Rechtsbehelfsmechanismen durch Einrichtung des Data Protection Review Court (DPRC) – ein Gericht zur Datenschutzüberprüfung – sowie unabhängige Streitbeilegungsmechanismen und eine Schiedsstelle. 

Das Gericht der Europäischen Union (EuG) musste sich mit dem EU-US Data Privacy Framework bereits im Rahmen einer Nichtigkeitsklage gegen den Angemessenheitsbeschluss auseinandersetzen und bestätigte mit einem Urteil vom 3. September 2025 ein angemessenes Datenschutzniveau in den USA (EuG, Urt. v. 03.09.2025 – Az.: C-T-553/23). Das EuG stellte zunächst fest, dass die Unabhängigkeit der Mitglieder des DPRC durch mehrere Garantien und Bedingungen zur Arbeitsweise des DPRC und zur Ernennung seiner Richter gewährleistet sei. Hinsichtlich der Vorgehensweise von US-Nachrichtendiensten unterliege die Genehmigung der beanstandeten Sammelerhebung personenbezogener Daten der nachträglichen Überprüfung durch den DPRC und sei unter Beachtung der EuGH-Rechtsprechung ausreichend. Das Urteil bezog sich ausdrücklich auf den Zeitpunkt, in dem der Angemessenheitsbeschluss erlassen wurde. Die Europäische Kommission habe die Entwicklung der Rechtslage in den USA fortlaufend zu überwachen und, soweit erforderlich, den Beschluss auszusetzen, zu ändern oder aufzuheben.

US Supreme Court: Trump v. Slaughter (2026)

Die Aufgabe der EU-Kommission zur ständigen Überwachung der Rechtslage in den USA dürfte nach dem Urteil des US Supreme Court vom 29. Juni 2026 besondere Bedeutung erlangen (Trump v. Slaughter, No. 25–332 (U.S. June 29, 2026).

Inhalt und Entscheidung des Urteils

Der seit dem 20. Januar 2025 amtierende US-Präsident Donald Trump entließ mit Rebecca Slaughter und Alvaro Bedoya zwei demokratische Kommissare bei der FTC – ohne Angabe eines Grundes. Einer darauffolgenden Klage durch Slaughter wurde zunächst unter Berücksichtigung des Präzedenzfalls Humphrey’s Executor v. United States (1935) stattgegeben. Dort wurde entschieden, dass Kommissare des FTC nach dem FTC Act von 1914 nur aus Gründen der Ineffizienz, Vernachlässigung von Pflichten oder wegen Amtsvergehen durch den Präsidenten entlassen werden können. Die Unabhängigkeit und Unparteilichkeit der FTC sollte gesichert werden, die nach damaliger Ansicht des Supreme Courts überwiegend Aufgaben der Judikative und Legislative wahrnehme. Deren Pflichten zur Umsetzung der im Gesetz verankerten politischen Vorgaben und zur Unterstützung der Legislative oder Justiz würden die Freiheit vor jeglicher Kontrolle durch die Exekutive bedingen. 

Daraufhin legte Trump Berufung beim US Supreme Court ein. Dieser entschied, dass die FTC in ihrer heutigen Gestalt ein Exekutivorgan sei und daher der Kontrolle und uneingeschränkten Entlassungsbefugnis des Präsidenten unterliege. 

Datenschutzrechtliche Auswirkungen

Ohne Schutz vor willkürlichen Entlassungen ist die FTC keine unabhängige Institution mehr. Das Urteil hat deshalb auch datenschutzrechtliche Auswirkungen, die das bisher als angemessen bewertete Datenschutzniveau in den USA senken dürften und damit auch Folgen für den europäischen Datenschutz haben. 

Die FTC sollte als unabhängige Aufsichtsinstanz die Einhaltung datenschutzrechtlicher Pflichten durch US-Unternehmen überwachen und durchsetzen. Hingegen werden die US-Geheimdienste sowie die Beschwerdeverfahren vor dem DPRC von dem Privacy and Civil Liberties Oversight Board (PCLOB) überwacht; auch dort hatte Trump demokratische Mitglieder entlassen. Eine gerichtliche Entscheidung in Bezug auf die Entlassungen steht zurzeit noch aus. Die Erwägungen des Supreme Courts könnten aber möglicherweise auf das PCLOB aufgrund seiner hoheitlichen Befugnisse übertragen werden.

Das aktuelle EU-US Data Privacy Framework ist dennoch solange in Kraft, bis es von der EU-Kommission aufgehoben oder von dem EuGH für unwirksam erklärt wird. Für eine gerichtliche Überprüfung des aktuellen EU-US Data Privacy Frameworks durch den EuGH müsste aber zunächst eine entsprechende Vorlagefrage durch ein nationales Gericht oder eine zulässige Individualklage vor dem EuGH erhoben werden. Das Berufungsverfahren gegen das Urteil des EuG vom 3. September 2025 bezüglich des EU-US Data Privacy Frameworks ist zurzeit beim EuGH anhängig. Auch wenn der EuGH ebenfalls auf die Rechtslage im Zeitpunkt des Inkrafttretens des Angemessenheitsbeschlusses abstellt, könnte er der EU-Kommission wertvolle Maßstäbe zur fortlaufenden Bewertung der Rechtslage vorgeben und den Druck auf die EU-Kommission erhöhen, den Angemessenheitsbeschluss hinsichtlich der aktuellen Entwicklungen zu überprüfen und gegebenenfalls aufzuheben.

Handlungsschritte

Zunächst gilt es, die weiteren Entwicklungen in der EU zu beobachten, da das EU-US Privacy Framework vorerst anwendbar bleibt. Solange das EU-US Data Privacy Framework anwendbar ist, können Unternehmen sich für die Datenübermittlung grundsätzlich darauf berufen. 

Nichtsdestotrotz sollten Unternehmen überprüfen, ob Sie mit Unternehmen in Drittstaaten, insbesondere in den USA, zusammenarbeiten und welche Absicherung für den Einsatz des Dienstleisters sowie die Datenübermittlung erfolgt ist. Erfolgt die Datenübermittlung in die USA allein auf Grundlage des EU-US Privacy Frameworks, könnte als zusätzliche Absicherung bereits vorsorglich auf Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften zurückgegriffen werden. Aufgrund der genannten Rechtsprechung des EuGH ist im Einzelfall zu überprüfen, ob die dortigen Verpflichtungen durch das US-Unternehmen auch tatsächlich erfüllt werden können. Das Fehlen einer unabhängigen Datenschutzaufsicht in den USA ist insofern insbesondere mit Blick auf die weitere Entwicklung in Bezug auf den Angemessenheitsbeschluss, die noch abzuwarten bleibt, zu berücksichtigen.

Zukünftige Probleme können weitgehend vermieden werden, indem auf einen Datenaustausch mit den USA beziehungsweise die Beauftragung von Anbietern mit Sitz in den USA so weit wie möglich verzichtet wird. Für viele Dienste gibt es alternative Anbieter, die oftmals ganz bewusst auf ihren Sitz in der EU und die Einhaltung der Vorgaben der DSGVO verweisen. Es sollte daher stets überprüft werden, ob alternative Anbieter in der EU zur Verfügung stehen. Dieser Trend ist auch bereits bei privaten Internetnutzern zu beobachten, von denen nach einer Umfrage des Telekommunikationsanbieters O2 Telefónica bereits zwei Drittel europäische Anbieter für digitale Dienste bevorzugen.

Fazit

Eine Übermittlung personenbezogener Daten in einen Drittstaat darf nur dann erfolgen, wenn sichergestellt werden kann, dass in dem betreffenden Drittstaat ein Datenschutzniveau gewährleistet wird, das mit dem Datenschutzniveau in der EU vergleichbar ist. 

Nach zwei gescheiterten Versuchen, den Datenaustausch mit den USA zu vereinfachen, kann die Übermittlung von Daten zurzeit auf das EU-US Data Privacy Framework gestützt werden, das seit 2023 als Angemessenheitsbeschluss ein angemessenen Datenschutzniveau in den USA ausweist. Mit dem Urteil Trump v. Slaughter (2026) hat der US Supreme Court dem amtierenden Präsidenten Donald Trump jedoch die Möglichkeit eröffnet, grundlos Kommissare des FTC zu entlassen, und damit die Unabhängigkeit der Datenschutzaufsicht erschüttert. Nach diesem Vorbild ist eine ähnliche gerichtliche Entscheidung in Bezug auf das PCLOB nicht auszuschließen.

Wird eine Datenübermittlung allein auf das EU-US Privacy Framework gestützt, ist im Blick zu behalten, wie sich die EU-Kommission und der EuGH, aber auch die Datenschutzbehörden im Rahmen der regelmäßigen Überprüfungen zukünftig zu dem Abkommen positionieren werden. Insoweit kann sich anbieten, neben der Zertifizierung im Rahmen des EU-US Data Privacy Frameworks auch auf Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften zurückzugreifen. Aufgrund der Prüfpflicht der verantwortlichen Stellen bezüglich der Angemessenheit des Datenschutzniveaus im Einzelfall und der Zweifel, ob die mit den Garantien verbundenen Verpflichtungen von den US-Unternehmen dauerhaft erfüllt werden können, empfiehlt sich zudem eine Überprüfung, ob Dienstleistungen an alternative Anbieter mit Sitz in der EU vergeben werden können.