Fachanwalt iwr eu us dpf data privacy framework

EU-US Data Privacy Framework — Folgen für Verträge

Zweck

Eingaben

• US-Dienstleister (Microsoft, AWS, Google, OpenAI etc.)
• DPF-Zertifizierungs-Status (Liste DPF-Programm-Office)
• Datenarten (besondere Kategorien Art. 9 DSGVO?)
• Volumen / Umfang der Übermittlung
• Vorhandene SCC / BCR

Rechtlicher Rahmen

• Angemessenheitsbeschluss (EU) 2023/1795 vom 10.07.2023: https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj
• DSGVO Art. 45 — Uebermittlung in Drittlaender mit Angemessenheitsbeschluss: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• DSGVO Art. 46 — Geeignete Garantien (SCC, BCR) als Fallback
• EO 14086 US-Executive Order (07.10.2022) zur Begrenzung des US-Geheimdienst-Zugriffs
• Standard Contractual Clauses (SCC) 2021/914 (Durchfuehrungsbeschluss vom 04.06.2021): https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj
• EuGH, Urt. v. 16.07.2020 — C-311/18 (Schrems II; ECLI:EU:C:2020:559) — Privacy Shield fuer ungueltig erklaert; SCC bleiben gueltig, aber Empfaengerland-Pruefung erforderlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62018CJ0311
• Hinweis Stand 05/2026: Schrems III-Verfahren vor EuGH gegen den DPF-Angemessenheitsbeschluss anhaengig; aktuellen Stand pruefen, da Aufhebung Folgen fuer Datentransfers haette.
• Rechtsprechung im Uebrigen: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe ueber offizielle oder frei zugaengliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.

Workflow Vertragsklauseln-Update

Phase 1 — DPF-Zertifizierungs-Check

• Prüfung dataprivacyframework.gov — ist Empfänger DPF-zertifiziert?
• Bei JA: DSGVO-Übermittlung zulässig ohne SCC
• Bei NEIN: SCC + TIA erforderlich

Phase 2 — Vertrags-Klauseln anpassen

• DPF-zertifiziert: Klausel "Empfänger ist DPF-zertifiziert iSd Angemessenheitsbeschluss (EU) 2023/1795"
• Nicht-DPF: SCC 2021/914 (Module 2 oder 3) + TIA

Phase 3 — Transfer Impact Assessment (TIA) wenn relevant

• Kategorisierung Daten (besondere Kategorien?)
• US-Geheimdienst-Zugriff: FISA Section 702, EO 12333 (eingeschränkt durch EO 14086)
• Technische Schutzmaßnahmen: Verschlüsselung at-rest und in-transit
• Vertragliche Maßnahmen: Streitbeilegungsklausel

Phase 4 — Bei Streit / Klage gegen DPF

• Schrems III ist anhängig — DPF-Aufhebung möglich
• Fallback-Plan: SCC + zusätzliche Maßnahmen
• Bei Übergangsphase: Datenexport pausieren oder Anbieter wechseln

Risiken und Red Flags

Konstellation	Rot	Orange	Grün
US-Dienstleister nicht DPF-zertifiziert	DSGVO-Verstoß Art. 44; Bußgeld	SCC + TIA in Vorbereitung	DPF-zertifiziert
Besondere Datenkategorien (Gesundheit, Biometrie)	strenge zusätzliche Anforderungen	TIA dünn	volle Risikoanalyse
Schrems III anhängig	DPF könnte aufgehoben werden	Notfall-Plan	Multi-Cloud mit EU-Optionen
Sub-Prozessor nicht DPF-zertifiziert	Kette unterbrochen	Prüfung Subprozessor	klare DPF-Kette

Querverweise

• fachanwalt-internationales-wirtschaftsrecht-orientierung — Triage
• fachanwalt-it-recht-saas-vertrag-verhandlung — Vertragsverhandlung
• datenschutzrecht/skills/datenpanne-meldung — bei Datenpanne mit US-Bezug
• aussenwirtschaft-zoll-sanktionen — bei Sanktions-Bezug

Quellen und Updates

Stand: 05/2026. Angemessenheitsbeschluss (EU) 2023/1795 (10.7.2023). EO 14086. Schrems III anhängig — Stand prüfen. Bei DPF-Aufhebung dringend prüfen.

Vertiefung: Leitsaetze und Triage EU-US DPF

Ergaenzende Leitsaetze EU-US Datenuebermittlung

Normen EU-US DPF

• DSGVO Art. 44-49 — Datenuebermittlung in Drittlaender
• EU-US DPF Angemessenheitsbeschluss (EU) 2023/1795
• DSGVO Art. 6 — Verarbeitungsgrundlage
• DSGVO Art. 28 — Auftragsverarbeitung (auch bei US-Diensten)

Triage EU-US DPF

Bevor losgelegt wird, klaere:

1. Ist der US-Empfaenger unter DPF zertifiziert? → DPF-Liste pruefen: dataprivacyframework.gov
2. Handelt es sich um Auftragsverarbeitung (Art. 28 DSGVO) oder gemeinsame Verantwortung?
3. Werden besondere Datenkategorien (Art. 9 DSGVO) uebermittelt? → Erhöhte Anforderungen
4. Bestehen Standardvertragsklauseln (SCC) als Fallback?
5. Risikoabschaetzung DSGVO Art. 35 DSFA erforderlich?

Output-Template DPF-Pruefvermerk

Adressat: Mandant (Datenschutzbeauftragter) — Tonfall: verstaendlich-erklärend

DPF-PRUEFVERMERK
US-Dienst: [NAME / PRODUKT]
Zertifizierung: [VORHANDEN lt. dataprivacyframework.gov Stand: DATUM] / [NICHT VORHANDEN]
Datenkategorien: [PERSONENBEZOGENE DATEN: BESCHREIBUNG]
Rechtsgrundlage: [DPF-Angemessenheit Art. 45 DSGVO / SCC Art. 46 DSGVO]
Ergebnis: [ZULAESSIG / UNZULAESSIG / EINSCHRAENKUNG ERFORDERLICH]

<!-- BEGIN ausformulierungspflicht (autogen) -->

Ausformulierungspflicht und Formatstandard. Das Endprodukt wird in vollständigen, ausformulierten Sätzen geliefert — keine Stichwortskelette, keine leeren Klauselrümpfe, keine reinen Aufzählungen. Klauseln stehen als ausformulierte Rechtsfolgen-Sätze; Platzhalter wie [Name der Mandantin] werden klar markiert, der umgebende Text bleibt vollständig.

Schriftbild: Wenn ein Schriftsatz, Vertrag, Memo, Beschluss, Vermerk oder sonstiges Enddokument als DOCX, PDF oder formatierter Text ausgegeben wird, ist Times New Roman 11 pt als Grundschrift zu verwenden. Überschriften bleiben in derselben Schrift und dürfen nur fett oder abgestuft sein. Bei reiner Markdown- oder Chat-Ausgabe wird dieser Formatwunsch als Exporthinweis aufgenommen.

Nummerierung: Gliederung ausschließlich dezimal (1, 1.1, 1.1.1 und so weiter). Keine römischen Ziffern, keine Buchstaben- oder Mischgliederung.

<!-- END ausformulierungspflicht (autogen) -->

Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.