EU-US Data Privacy Framework: Was Unternehmen wissen müssen
8 Min. Lesezeit · Aktualisiert: Juni 2026
Viele beliebte SaaS-Tools stammen aus den USA und verarbeiten Daten auf US-Servern. Seit dem Schrems-II-Urteil war das ein erhebliches Compliance-Risiko. Das 2023 in Kraft getretene EU-US Data Privacy Framework schafft eine neue Rechtsgrundlage — mit wichtigen Bedingungen und verbleibenden Unsicherheiten.
Der Hintergrund: Schrems II und das Drittland-Problem
Die DSGVO erlaubt die Übermittlung personenbezogener Daten in Drittländer außerhalb der EU nur, wenn dort ein angemessenes Datenschutzniveau gewährleistet ist. 2020 erklärte der Europäische Gerichtshof im Schrems-II-Urteil das damalige EU-US Privacy Shield für ungültig, weil US-Behörden weitreichenden Zugriff auf Daten haben konnten. Damit wurde die Übermittlung in die USA ohne zusätzliche Garantien rechtlich angreifbar.
Was ist das EU-US Data Privacy Framework?
Das EU-US Data Privacy Framework (DPF) ist ein 2023 von der EU-Kommission anerkannter Angemessenheitsbeschluss. Er erlaubt die Übermittlung personenbezogener Daten an US-Unternehmen, die sich aktiv unter dem Framework zertifiziert haben. Für diese zertifizierten Anbieter gilt das US-Datenschutzniveau als angemessen, sodass keine zusätzlichen Garantien wie Standardvertragsklauseln zwingend erforderlich sind.
Entscheidend ist die aktive Zertifizierung: Nur wenn ein US-Anbieter auf der offiziellen DPF-Liste geführt wird, greift der Angemessenheitsbeschluss. Unternehmen sollten dies vor dem Einsatz prüfen.
Was bedeutet das für Ihre SaaS-Auswahl?
- Prüfen Sie, ob ein US-Anbieter unter dem DPF zertifiziert ist.
- Schließen Sie weiterhin einen AVV nach Art. 28 DSGVO ab.
- Dokumentieren Sie die Rechtsgrundlage der Übermittlung.
- Bevorzugen Sie bei sensiblen Daten Anbieter mit EU-Hosting.
- Behalten Sie die politische Stabilität des Frameworks im Blick.
Welche Risiken bleiben?
Datenschützer kritisieren das DPF mit ähnlichen Argumenten, mit denen bereits das Privacy Shield gekippt wurde. Es ist nicht ausgeschlossen, dass auch dieses Framework in einem „Schrems III“-Verfahren erneut vor dem EuGH landet. Unternehmen, die maximale Rechtssicherheit benötigen, fahren mit reinem EU- oder Deutschland-Hosting weiterhin am sichersten — denn dabei findet schlicht keine Drittlandübermittlung statt.
Häufige Fragen
Darf ich US-SaaS-Tools jetzt bedenkenlos nutzen?
Nur wenn der Anbieter aktiv unter dem Data Privacy Framework zertifiziert ist und Sie einen AVV abschließen. Ein Restrisiko bleibt, da das Framework rechtlich angreifbar ist.
Brauche ich trotz DPF noch einen AVV?
Ja. Das DPF regelt nur die Drittlandübermittlung. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bleibt unabhängig davon verpflichtend.
Was ist die sicherste Alternative?
Anbieter mit Hosting ausschließlich in der EU oder in Deutschland. Dann findet keine Drittlandübermittlung statt und das DPF ist gar nicht erst relevant.
Weiterlesen
Dieser Ratgeber dient der allgemeinen Information und ersetzt keine Rechtsberatung. Stand: Juni 2026.