Datentransfer in die USA: Was heute gilt (Stand Juli 2026)
Der EuGH hat das Privacy Shield im Juli 2020 gekippt. Seit Juli 2023 gibt es einen Nachfolger, und der hält bisher: das EU-US Data Privacy Framework (DPF). Was heißt das konkret für die US-Dienste auf deiner Website?
Die Kurzfassung
- Das Privacy Shield ist seit 2020 ungültig (Schrems II).
- Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss (EU) 2023/1795 für das EU-US Data Privacy Framework.
- Die Klage dagegen hat das Gericht der EU am 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe).
- Der Beschluss gilt nicht pauschal für die USA, sondern nur für US-Unternehmen, die im DPF-Register aktiv zertifiziert sind.
Für zertifizierte Anbieter ist der Transfer damit nach Art. 45 DSGVO zulässig, ohne Standardvertragsklauseln und ohne Transfer-Folgenabschätzung. Für alle anderen bleibt es beim alten Aufwand.
Welche Länder haben einen Angemessenheitsbeschluss?
Aktuell (Stand Juli 2026):
Andorra, Argentinien, Brasilien, Färöer, Guernsey, Isle of Man, Israel, Japan, Jersey, Kanada (nur kommerzielle Organisationen), Neuseeland, Schweiz, Südkorea, Uruguay, Vereinigtes Königreich (zuletzt im Dezember 2025 erneuert), USA (nur DPF-zertifizierte Unternehmen) sowie die Europäische Patentorganisation.
Transfers innerhalb des EWR, also auch nach Norwegen, Island und Liechtenstein, sind ohnehin keine Drittlandtransfers.
Nicht auf der Liste: China, Russland, Indien.
Der Haken: zertifiziert ist nicht gleich Anbieter
Das ist der Punkt, an dem in der Praxis die meisten Fehler passieren. Es reicht nicht, dass "Google" oder "Microsoft" im Register steht. Zu prüfen ist:
- Die exakte Gesellschaft, mit der du den Vertrag hast (Google LLC ist nicht Google Ireland Ltd.).
- Ob die konkret bezogene Leistung vom Zertifizierungsumfang erfasst ist.
- Ob die Zertifizierung heute noch aktiv ist. Sie kann auslaufen oder entzogen werden.
Das Register liegt öffentlich unter dataprivacyframework.gov. Prüf das beim Vertragsabschluss und danach regelmäßig, und dokumentier das Ergebnis mit Datum.
Was du für jeden US-Dienst brauchst
| Situation | Rechtsgrundlage |
|---|---|
| Anbieter DPF-zertifiziert, Leistung erfasst | Art. 45 DSGVO, keine Zusatzinstrumente nötig |
| Anbieter nicht zertifiziert | Standardvertragsklauseln plus dokumentierte Transfer-Folgenabschätzung (TIA) |
| Nicht-essentieller Dienst (Tracking, Video, Karten) | Zusätzlich Einwilligung nach § 25 TDDDG, unabhängig vom Transferweg |
Der letzte Punkt wird gern übersehen: Das DPF löst die Transferfrage, nicht die Consent-Frage. Google Analytics braucht auch mit zertifiziertem Anbieter eine Einwilligung, bevor es lädt.
Warum ein Plan B trotzdem Sinn ergibt
Safe Harbor ist 2015 gekippt worden, Privacy Shield 2020. Das DPF hat seine erste Runde vor Gericht überstanden, aber das EuG hat ausdrücklich nur die Rechtslage zum Zeitpunkt des Beschlusses geprüft. Die Kommission muss laufend überwachen und kann den Beschluss ändern, aussetzen oder zurücknehmen, wenn sich die Lage in den USA verändert.
Praktisch heißt das: Kein Grund zur Panik, aber ein Grund, den Ausstieg denkbar zu halten.
| US-Dienst | EU-Alternative |
|---|---|
| Google Analytics | Matomo, Plausible |
| Mailchimp | Brevo, CleverReach, Rapidmail |
| AWS US-Region | AWS Frankfurt, Hetzner, IONOS |
| Google Fonts | Selbst hosten |
| YouTube-Embeds | Consent-Lösung oder youtube-nocookie |
Was du jetzt tun solltest
1. Bestandsaufnahme
Welche externen Dienste lädt deine Website tatsächlich? Nicht raten, messen: Browser-Entwicklertools öffnen (F12), Tab "Netzwerk", Seite neu laden, nach fremden Domains filtern. Denk an Fonts, Karten, Captchas, Video-Player, Chat-Widgets und alles, was ein Tag-Manager nachlädt.
2. Je Dienst einordnen
- Wo sitzt der Anbieter?
- DPF-zertifiziert? Für diese Leistung?
- Falls nein: Liegen SCCs vor, gibt es eine TIA?
- Braucht der Dienst zusätzlich eine Einwilligung?
3. Priorisieren
- Hoch: Tracking, das ohne Consent lädt. Das ist ein Verstoß gegen § 25 TDDDG, unabhängig von jeder Transferfrage.
- Mittel: Nicht zertifizierte US-Auftragsverarbeiter ohne SCC.
- Niedrig: Eingebettete Inhalte, die sich mit einer Consent-Lösung sauber blocken lassen.
4. Dokumentieren
Datenschutzerklärung, Verarbeitungsverzeichnis, AV-Verträge nach Art. 28 DSGVO und der DPF-Registerauszug mit Datum. Im Ernstfall zählt, was du nachweisen kannst.
YouTube datenschutzfreundlich einbetten
<!-- Standard, trackt sofort -->
<iframe src="https://www.youtube.com/embed/VIDEO_ID">
<!-- Erweiterter Datenschutzmodus -->
<iframe src="https://www.youtube-nocookie.com/embed/VIDEO_ID">Wichtig: Auch youtube-nocookie.com baut beim Laden eine Verbindung zu Google auf. Ganz sauber ist nur eine Zwei-Klick-Lösung, bei der das iframe erst nach Einwilligung eingefügt wird. Jedes gute Consent-Tool bringt so einen Content-Blocker mit.
Fazit
Der Datentransfer in die USA ist heute deutlich einfacher als 2020, aber nur für zertifizierte Anbieter und nur, solange der Beschluss hält. Der eigentliche Aufwand liegt nicht im Transfer, sondern im Überblick: Wer weiß, welche Dienste seine Website lädt, hat das Thema zu 80 Prozent im Griff.
Weiterführende Artikel:
Dieser Beitrag ist eine allgemeine Einordnung und keine Rechtsberatung.
Du weißt nicht, welche Dienste deine Website nach außen lädt? Schreib mir, ich schau mir das an.