Was ist Drittlandtransfer?
Ein Drittlandtransfer ist jede Übermittlung personenbezogener Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums. Er braucht zwei Dinge gleichzeitig: eine normale Rechtsgrundlage für die Verarbeitung selbst, und zusätzlich eine Grundlage für den Transfer nach Kapitel V der DSGVO. Der bequemste Fall ist ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45: Dann ist das Zielland für diesen Zweck wie ein EU-Land zu behandeln. Fehlt der Beschluss, brauchst du Standardvertragsklauseln nach Art. 46 und in der Regel eine eigene Prüfung der Rechtslage vor Ort.
Für die USA gilt seit dem 10. Juli 2023 wieder ein Angemessenheitsbeschluss, das EU-US Data Privacy Framework. Er deckt aber nur Empfänger, die dort tatsächlich zertifiziert sind, und die Zertifizierung ist pro Unternehmen im öffentlichen Verzeichnis nachschlagbar. Die Geschichte dieser Beschlüsse ist unruhig: Safe Harbor fiel 2015, das Privacy Shield 2020, beide durch Urteile des Gerichtshofs. Der aktuelle Beschluss überstand 2025 eine Nichtigkeitsklage vor dem Gericht der EU, ein Rechtsmittel ist anhängig.
Für die Praxis folgt daraus keine Vermeidungsstrategie, sondern eine Umzugsfähigkeit. Wer weiß, welcher Dienst welche Daten hält und wie lange ein Wechsel dauert, kann eine Änderung der Rechtslage als Projekt einplanen statt als Notfall erleben. Diese Frage lässt sich für die drei wichtigsten Werkzeuge an einem Nachmittag beantworten, und die Antwort ist auch dann nützlich, wenn juristisch alles bleibt, wie es ist.
Warum ist Drittlandtransfer wichtig?
Das Risiko ist selten das Bußgeld, sondern der ungeplante Umzug. Zweimal in zehn Jahren ist die Grundlage für US-Transfers weggefallen, jeweils von einem Tag auf den anderen und ohne Übergangsfrist. Betriebe, die ihre Werkzeugliste kannten, tauschten in Wochen. Die anderen suchten erst einmal, was überhaupt betroffen war. Der Unterschied lag nicht im Rechtsrat, sondern in der Inventur.
Drittlandtransfer in der Praxis
- 01Ein Analysewerkzeug wird durch eine in der EU gehostete Alternative ersetzt, nicht aus Vorsicht, sondern weil beim Vergleich auffiel, dass niemand die Auswertungen liest.
- 02Ein Betrieb prüft vor dem Kauf einer Software, ob der Anbieter im Data-Privacy-Framework-Verzeichnis steht, und macht die Zertifizierung zur Bedingung im Angebot.
- 03Nach einem Anbieterwechsel bleibt das alte Konto mit allen Daten bestehen, weil niemand die Löschung angestoßen hat. Der Transfer endet nicht mit der Kündigung.
