Kurz erklärt: Das EU-US Data Privacy Framework ist der seit 10. Juli 2023 geltende Angemessenheitsbeschluss der EU-Kommission, nach dem personenbezogene Daten an US-Unternehmen übermittelt werden dürfen, die sich beim US-Handelsministerium zertifiziert haben.
Was bedeutet EU-US Data Privacy Framework?
Der Beschluss ist der Nachfolger von Safe Harbor und Privacy Shield, die der Europäische Gerichtshof 2015 und 2020 für ungültig erklärt hatte. Grundlage sind Zusagen der USA zur Begrenzung des Zugriffs von Nachrichtendiensten und ein Rechtsbehelfsmechanismus für EU-Bürger. Eine Klage gegen den Beschluss hat das Gericht der Europäischen Union 2025 abgewiesen.
Der Beschluss gilt nur für Übermittlungen an Unternehmen, die auf der Liste des Data Privacy Framework stehen. Für alle anderen US-Empfänger bleiben Standardvertragsklauseln mit Transfer Impact Assessment nötig.
Rechtsgrundlage
- Art. 45 DSGVO (Angemessenheitsbeschluss)
- Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023
- EuGH, C-362/14 (Schrems I) und C-311/18 (Schrems II)
In der Praxis
Vor dem Einsatz eines US-Dienstes sollte die Zertifizierung auf der offiziellen Liste geprüft und mit Datum dokumentiert werden. Da der Beschluss politisch und gerichtlich umstritten bleibt, ist eine Rückfallposition sinnvoll: Standardvertragsklauseln im Vertrag und, wo möglich, Datenspeicherung in der EU.
Häufige Fragen
Fragen zu EU-US Data Privacy Framework
Reicht die Zertifizierung des Anbieters aus?
Für die Rechtsgrundlage der Übermittlung ja. Die übrigen Pflichten, etwa der Auftragsverarbeitungsvertrag und die Information der Betroffenen, bleiben bestehen.
Was passiert, wenn der Beschluss kippt?
Dann wären Übermittlungen auf Standardvertragsklauseln mit zusätzlicher Prüfung zu stützen. Wer sie schon heute vereinbart hat, ist vorbereitet.
Verwandte Begriffe