Was ist das EU-US Data Privacy Framework?

Der EU-US-Datenschutzrahmen ist ein Angemessenheitsbeschluss, den die Europäische Kommission am 10. Juli 2023 auf Grundlage von Artikel 45 Absatz 3 DSGVO erlassen hat. Damit erklärt die Kommission, dass die USA für Unternehmen, die sich dem Rahmen unterwerfen, ein im Wesentlichen gleichwertiges Datenschutzniveau wie die Europäische Union bieten. Der Beschluss gilt für jedes US-Unternehmen, das den weiter unten beschriebenen Selbstzertifizierungsprozess abschließt, unabhängig von seiner Branche.

Diese Erklärung hat eine unmittelbare praktische Wirkung. Überträgt ein europäisches Unternehmen Daten an eine im Rahmen zertifizierte US-Organisation, braucht es keine zusätzliche Absicherung und muss auch keine vorherige Genehmigung seiner Datenschutzaufsichtsbehörde einholen. Weder Standardvertragsklauseln (SCC) noch eine Transfer-Folgenabschätzung sind nötig, weil der Beschluss der Kommission die Übertragung bereits so abdeckt, als läge der Empfänger innerhalb der Europäischen Union.

Standardvertragsklauseln bleiben als alternativer Mechanismus bestehen und kommen dort zum Einsatz, wo der Anbieter nicht im Rahmen zertifiziert ist oder Daten in ein Drittland ohne eigenen Angemessenheitsbeschluss fließen. Der Unterschied liegt im Ursprung: Der Angemessenheitsbeschluss stammt von der Kommission und deckt ein ganzes Land für einen bestimmten Zweck ab, während SCC ein Vertrag zwischen den beiden Parteien sind, die die Daten übertragen, mit Pflichten, die jedes Unternehmen selbst aushandeln und dokumentieren muss. Der Rahmen ersetzt die SCC nicht, er bietet für den Datenverkehr mit den USA eine einfachere Alternative.

Der Mechanismus stützt sich auf ein öffentliches Register, die Data Privacy Framework List, das vom US-Handelsministerium geführt wird. Ein US-Unternehmen, das unter diesem Rahmen personenbezogene Daten aus der EU empfangen will, muss sich beim Handelsministerium selbst zertifizieren und sich schriftlich zur Einhaltung mehrerer Datenschutzprinzipien verpflichten: klare Benachrichtigung über die Verarbeitung, Wahlmöglichkeit für die betroffene Person, Zweckbindung und Datenminimierung, Sicherheit und Integrität der Daten, Auskunfts- und Berichtigungsrechte sowie Beschwerde- und Haftungsmechanismen für europäische Bürger.

Nach abgeschlossener Selbstzertifizierung landet das Unternehmen in der öffentlichen Liste, zusammen mit dem Datum der Aufnahme und dem konkreten Umfang der abgedeckten Daten. Ab diesem Zeitpunkt kann jedes EU-Unternehmen ihm personenbezogene Daten übertragen und sich dabei direkt auf den Angemessenheitsbeschluss der Kommission stützen, ohne SCC unterschreiben oder die Übertragung im Einzelfall vor irgendeiner Behörde begründen zu müssen.

Der kritische Punkt liegt in der Prüfung: Die Zertifizierung ist eine Selbstauskunft des US-Unternehmens, keine vorherige Prüfung durch eine europäische Stelle. Die Aufsicht erfolgt nachträglich, durch die US-Handelsaufsichtsbehörde FTC, die Unternehmen bei Verstößen gegen die erklärten Zusagen sanktionieren kann, sowie durch die im Rahmen selbst vorgesehenen Beschwerdemechanismen, einschließlich eines unabhängigen Prüfungsgerichts (Data Protection Review Court) für Fälle des Zugriffs durch Nachrichtendienste.

Für ein europäisches Unternehmen ist die praktische Prüfung vor der Datenübermittlung an einen US-Anbieter einfach: nachsehen, ob genau dieser Anbieter, mit genau diesem rechtlichen Namen, aktiv in der Data Privacy Framework List gelistet ist. Zertifiziert für eine Datenart zu sein, bedeutet nicht, für alle zertifiziert zu sein: Die Liste nennt den Umfang jeder Zertifizierung, und es lohnt sich, diese Prüfung mit Datum als Screenshot oder Notiz festzuhalten, um sie später belegen zu können.

Von diesem Rahmen hängt eine sehr konkrete Entscheidung für jeden ab, der eine Website oder einen Onlineshop in Europa betreibt: ob Werkzeuge wie GA4, Google Ads oder das Meta-Pixel ohne zusätzliche Absicherung genutzt werden dürfen, weil die erfassten Daten zur Verarbeitung auf Server in den USA reisen.

Diese Frage wurde schon zweimal zuvor beantwortet, und beide Male änderte sich die Antwort. Der Europäische Gerichtshof kippte das Safe-Harbor-Abkommen 2015 (Schrems-I-Urteil) und dessen Nachfolger, den Privacy Shield, 2020 (Schrems-II-Urteil, Rechtssache C-311/18), in beiden Fällen wegen des Zugriffs US-amerikanischer Behörden auf die Daten ohne den europäischen Garantien gleichwertige Schutzvorkehrungen. Der EU-US-Datenschutzrahmen ist der dritte Anlauf, konzipiert, um genau die Probleme zu lösen, die der Gerichtshof beim Zugriff US-amerikanischer Nachrichtendienste auf europäische Daten festgestellt hatte.

Diese Vorgeschichte ist der Grund, warum der aktuelle Rahmen bereits eine eigene gerichtliche Prüfung durchlaufen hat. Das Gericht der Europäischen Union wies mit Urteil vom 3. September 2025 (Rechtssache T-553/23, Latombe/Kommission) die Klage gegen den Angemessenheitsbeschluss vollständig ab und bestätigte, dass das Schutzniveau in den USA dem europäischen im Wesentlichen gleichwertig ist. Das Urteil ist erstinstanzlich und kann noch angefochten werden, der Rahmen bleibt also von Natur aus überprüfbar, und wer damit Analyse- oder Werbewerkzeuge betreibt, tut gut daran, seine weitere Entwicklung zu verfolgen.

• Prüfen, ob der Anbieter jedes Tools (Google, Meta, HubSpot usw.) mit dem exakten rechtlichen Namen der datenempfangenden Stelle aktiv in der Data Privacy Framework List steht, und diese Prüfung in regelmäßigen Abständen wiederholen.
• Den Umfang der Zertifizierung dieses Anbieters kontrollieren: Sie deckt konkrete Datenarten ab, nicht automatisch alle Produkte des Unternehmens.
• Im Verzeichnis von Verarbeitungstätigkeiten dokumentieren, welche Übermittlungen sich auf den Rahmen stützen und welche weiterhin SCC brauchen.
• Beobachten, ob der Anbieter die Zertifizierung aktiv hält: Ein Austragen aus der Liste wird dem Kunden nicht immer sichtbar mitgeteilt.
• Eine Alternative (SCC) für Tools oder Anbieter bereithalten, die nicht im Rahmen zertifiziert sind.
• Die Rechtsprechung des Europäischen Gerichtshofs zum Rahmen verfolgen, denn ein Rechtsmittel gegen das Urteil vom September 2025 könnte die Lage ändern.

• Annehmen, jedes US-Unternehmen sei durch den Rahmen abgedeckt: Das gilt nur für Unternehmen, die sich selbst zertifiziert haben und weiterhin aktiv in der Liste stehen.
• Den Rahmen mit einer technischen Sicherheitszertifizierung verwechseln: Es ist eine rechtliche Selbstverpflichtung, keine Cybersicherheits-Auditierung.
• Den aktuellen Rahmen für endgültig halten, obwohl seine beiden Vorgänger, Safe Harbor und Privacy Shield, vom Europäischen Gerichtshof für nichtig erklärt wurden.
• Vergessen, dass die Zertifizierung nach Datenart begrenzt ist und nicht automatisch alle Dienste desselben Anbieters abdeckt.
• Das Datum der Zertifizierungsprüfung nicht festhalten: Die Liste ändert sich, und eine vor einem Jahr durchgeführte Prüfung taugt nicht als aktueller Nachweis.