Datenübermittlung in Drittländer: Warum „Die Server stehen doch in Frankfurt“ oft nicht ausreicht
Ein mittelständisches Unternehmen führt ein neues cloudbasiertes CRM-System ein. Im Angebot steht ausdrücklich: „Datenstandort Deutschland“. Die Server stehen tatsächlich in Frankfurt. Auf den ersten Blick scheint das Thema Drittland damit erledigt zu sein.
Bei genauerem Hinsehen zeigt sich häufig ein anderes Bild: Der Anbieter gehört zu einem US-Konzern, der technische Support wird teils aus den USA, teils nachts aus Indien erbracht, und für Diagnosezwecke werden Protokolldaten an eine amerikanische Konzerngesellschaft übermittelt. Damit stellt sich eine Frage, die in der Praxis regelmäßig falsch beantwortet wird: Liegt trotz deutschem Serverstandort eine Drittlandübermittlung vor? Die Antwort lautet meistens: ja.
Warum der Serverstandort nicht die entscheidende Frage ist
Für die Drittlandproblematik kommt es nicht allein darauf an, wo die Daten gespeichert sind. Entscheidend ist auch, wer von wo auf personenbezogene Daten zugreifen kann und an wen sie übermittelt oder sonst zugänglich gemacht werden. Cloud-Dienste, SaaS-Anwendungen, internationale Supportstrukturen und Unterauftragsverarbeiter führen deshalb wesentlich häufiger zu Drittlandübermittlungen, als es die Angabe „Hosting in Deutschland“ vermuten lässt. Auch ein bloßer Zugriff aus einem Drittstaat – etwa durch einen Support-Dienstleister in Indien oder eine Personalabteilung in den USA – kann genügen, selbst wenn die Daten dauerhaft nur in Deutschland gespeichert bleiben.
Personenbezogene Daten genießen innerhalb des Europäischen Wirtschaftsraums (EWR) – also der EU sowie Island, Liechtenstein und Norwegen – ein vergleichsweise einheitliches Schutzniveau. Damit dieser Schutz nicht dadurch umgangen werden kann, dass Daten einfach in Länder mit weitreichenden staatlichen Zugriffsrechten übertragen werden, enthält die DSGVO in Kapitel V (Art. 44–50) besondere Vorschriften für internationale Datenübermittlungen. Diese Anforderungen gelten dabei zusätzlich zu den übrigen Regeln der DSGVO – nicht anstelle von ihnen.
Zwei Prüfungen statt einer
Ein häufiges Missverständnis besteht darin, einen Angemessenheitsbeschluss oder Standardvertragsklauseln als Ersatz für eine Rechtsgrundlage nach Art. 6 DSGVO anzusehen. Das funktioniert nicht. Bei einer Drittlandübermittlung sind grundsätzlich zwei Ebenen zu prüfen: Erstens, ob die Übermittlung als solche überhaupt zulässig ist (Rechtsgrundlage nach Art. 6 DSGVO, gegebenenfalls Art. 9 DSGVO, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, technische und organisatorische Maßnahmen nach Art. 32 DSGVO). Zweitens, ob die Übermittlung in das Drittland zulässig ist. Ein Auftragsverarbeitungsvertrag allein löst die Drittlandfrage ebenso wenig wie Standardvertragsklauseln die Frage beantworten, ob die Verarbeitung nach Art. 6 DSGVO überhaupt zulässig ist – beides muss vorliegen.
Wichtig ist außerdem: Nicht jeder Auslandszugriff ist automatisch eine Drittlandübermittlung. Reist ein Mitarbeiter für drei Tage nach Indien und greift dort per VPN auf das CRM-System seines deutschen Arbeitgebers zu, liegt darin nach Auffassung des Europäischen Datenschutzausschusses grundsätzlich keine Übermittlung an einen anderen Verantwortlichen oder Auftragsverarbeiter – ein Mitarbeiter ist Teil des Verantwortlichen, kein eigener Datenimporteur. Datenschutzrechtlich irrelevant ist ein solcher Vorgang deshalb aber nicht: Art. 32 DSGVO verlangt weiterhin angemessene Sicherheitsmaßnahmen, etwa VPN-Pflicht, Mehr-Faktor-Authentifizierung oder Vorgaben zur Nutzung öffentlicher WLAN-Netze.
Die richtige Prüfreihenfolge
In der Praxis lässt sich die gesamte Drittlandprüfung auf eine feste Reihenfolge reduzieren: Liegt überhaupt eine Drittlandübermittlung vor? Falls ja – gibt es einen Angemessenheitsbeschluss? Falls nein – lassen sich geeignete Garantien nach Art. 46 DSGVO schaffen? Und nur wenn auch das nicht möglich ist, kommt ausnahmsweise Art. 49 DSGVO in Betracht.
Stufe 1: Der Angemessenheitsbeschluss (Art. 45 DSGVO)
Der einfachste Fall ist ein Angemessenheitsbeschluss der Europäischen Kommission. Besteht ein solcher Beschluss und fällt die konkrete Übermittlung in seinen Anwendungsbereich, müssen grundsätzlich keine zusätzlichen Garantien nach Art. 46 DSGVO geschaffen werden – die übrige DSGVO (Rechtsgrundlage, Auftragsverarbeitungsvertrag, Sicherheitsmaßnahmen) bleibt aber vollständig anwendbar.
Mit Stand August 2026 zählen unter anderem folgende Staaten und Gebiete zu den von der Kommission anerkannten „sicheren“ Drittländern: Andorra, Argentinien, Brasilien, Kanada (eingeschränkt auf bestimmte kommerzielle Organisationen), die Färöer, Guernsey, Israel, die Isle of Man, Japan, Jersey, Neuseeland, die Republik Korea, die Schweiz, das Vereinigte Königreich und Uruguay. Wichtig dabei: Auch ein Staat mit Angemessenheitsbeschluss bleibt rechtlich ein Drittland – der Beschluss macht die Übermittlung lediglich wesentlich einfacher.
Diese Liste ist alles andere als statisch. Der Angemessenheitsbeschluss für das Vereinigte Königreich wurde im Dezember 2025 erneuert, Brasilien erhielt im Januar 2026 einen neuen Beschluss, und im Juli 2026 bestätigte die Kommission nach einer turnusmäßigen Überprüfung das fortbestehende Schutzniveau Südkoreas. Für Unternehmen folgt daraus eine praktische Konsequenz: Die Prüfung eines Angemessenheitsbeschlusses ist kein Vorgang, der einmal durchgeführt und dann für Jahre vergessen werden kann.
Sonderfall USA – das Data Privacy Framework: Bei den USA gilt keine pauschale Angemessenheit. Der Angemessenheitsbeschluss vom 10. Juli 2023 erfasst ausschließlich US-Unternehmen, die sich dem EU-U.S. Data Privacy Framework (DPF) angeschlossen haben und in der offiziellen Teilnehmerliste geführt werden. „Der Anbieter ist beim DPF dabei“ reicht als Aussage deshalb nicht: Entscheidend ist, welche konkrete juristische Gesellschaft die Daten erhält, ob genau diese Gesellschaft zertifiziert ist und ob die Zertifizierung die betreffende Verarbeitung (z. B. auch Mitarbeiterdaten) abdeckt.
Der DPF-Beschluss wurde bereits gerichtlich angegriffen – bislang jedoch ohne Erfolg für die Kläger. Das Gericht der Europäischen Union wies die Nichtigkeitsklage in der Rechtssache T-553/23 (Latombe/Kommission) am 3. September 2025 ab. Ein Rechtsmittel ist unter dem Aktenzeichen C-703/25 P beim Europäischen Gerichtshof anhängig. Neue Brisanz erhielt das Thema Ende Juni 2026: Der US Supreme Court entschied in Trump v. Slaughter, dass Mitglieder der Federal Trade Commission künftig vom Präsidenten frei entlassen werden können. Da die Unabhängigkeit der FTC eine tragende Säule der DPF-Angemessenheitsentscheidung ist, forderte die Datenschutzorganisation noyb die EU-Kommission umgehend zu einem geordneten Ausstieg aus dem DPF auf und kündigte eine eigene Klage an. Der Angemessenheitsbeschluss ist dadurch nicht automatisch unwirksam geworden und darf weiterhin als Rechtsgrundlage genutzt werden – das Risiko einer erneuten gerichtlichen Aufhebung ist jedoch spürbar gestiegen. Wer wesentliche Teile seiner Verarbeitung auf US-Cloud-Dienste stützt, sollte diese Entwicklung beobachten und einen Rückfallplan – etwa auf Basis von Standardvertragsklauseln oder eines alternativen Anbieters – zumindest gedanklich vorbereitet haben.
Sonderfall USA: Das EU-U.S. Data Privacy Framework erleichtert Datenübermittlungen nur dann, wenn die konkrete empfangende US-Gesellschaft wirksam zertifiziert ist und die Zertifizierung die jeweilige Verarbeitung abdeckt. Andernfalls sind andere Transfermechanismen, insbesondere nach Art. 46 DSGVO, zu prüfen.
Stufe 2: Geeignete Garantien nach Art. 46 DSGVO
Fehlt ein passender Angemessenheitsbeschluss, bedeutet das nicht automatisch, dass ein Anbieter nicht eingesetzt werden darf. Für kleine und mittlere Unternehmen sind in dieser Situation die Standardvertragsklauseln (SCC) der praktisch wichtigste Mechanismus – ein von der Kommission vorgegebener Vertrag zwischen Datenexporteur und Datenimporteur, seit 4. Juni 2021 in vier Modulen verfügbar, je nachdem, ob Verantwortlicher, Auftragsverarbeiter oder Unterauftragsverarbeiter auf welcher Seite stehen.
Hier liegt einer der häufigsten Praxisfehler: SCC unterschreiben und abheften reicht nicht. Spätestens seit dem Urteil des EuGH in der Rechtssache Schrems II (C-311/18, 16. Juli 2020) muss zusätzlich geprüft werden, ob der Datenimporteur seine vertraglichen Pflichten unter den tatsächlichen rechtlichen Bedingungen seines Staates überhaupt erfüllen kann – ein Vertrag zwischen zwei Unternehmen kann das Recht eines Drittstaats schließlich nicht außer Kraft setzen. Diese Prüfung wird als Transfer Impact Assessment (TIA) bezeichnet und sollte konkret beschreiben, welche Daten zu welchem Zweck an wen übermittelt werden, welche gesetzlichen Zugriffsmöglichkeiten staatliche Stellen im Zielland haben und welche zusätzlichen Schutzmaßnahmen erforderlich sind. Besonders wirksam sind dabei häufig technische Maßnahmen wie eine Verschlüsselung, bei der ausschließlich das europäische Unternehmen über den Schlüssel verfügt, oder eine Pseudonymisierung, bei der die Zuordnungstabelle im EWR verbleibt. Vertragliche Zusatzklauseln sind sinnvoll, können gesetzliche Herausgabepflichten gegenüber ausländischen Behörden aber nicht außer Kraft setzen. Reichen weder technische noch organisatorische noch vertragliche Maßnahmen aus, ist die ehrliche Konsequenz manchmal: Diese Übermittlung lässt sich mit dem gewählten Anbieter nicht ausreichend absichern – dann braucht es einen anderen Anbieter, einen anderen Standort oder eine andere technische Architektur.
Neben den SCC kommen als Garantien nach Art. 46 DSGVO auch Binding Corporate Rules (BCR) in Betracht – verbindliche interne Datenschutzvorschriften für Unternehmensgruppen, die sich vor allem für internationale Konzerne mit regelmäßigem konzerninternem Datenaustausch eignen, für den klassischen Mittelständler mit einem einzelnen SaaS-Anbieter aber selten der praktikabelste Weg sind.
SCC allein genügen nicht: Bei Datenübermittlungen in Drittländer muss zusätzlich geprüft werden, ob die Standardvertragsklauseln unter den tatsächlichen rechtlichen Bedingungen des Ziellands wirksam eingehalten werden können. Das Transfer Impact Assessment bewertet Risiken und erforderliche Zusatzmaßnahmen.
Stufe 3: Die Ausnahmen nach Art. 49 DSGVO
Fehlen sowohl Angemessenheitsbeschluss als auch geeignete Garantien, enthält Art. 49 DSGVO Ausnahmen für besondere Situationen – etwa eine ausdrückliche, vorab über die Risiken informierte Einwilligung, die Erforderlichkeit zur Vertragserfüllung oder die Geltendmachung von Rechtsansprüchen. Der Europäische Datenschutzausschuss betont ausdrücklich den Ausnahmecharakter dieser Regelungen: Sie dürfen nicht zur normalen Grundlage regelmäßig wiederkehrender Drittlandübermittlungen werden. Wer dauerhaft ein Standard-CRM-System aus einem Drittstaat ohne Angemessenheitsbeschluss nutzen möchte, kann sich also nicht einfach eine pauschale Einwilligung der Kunden einholen und die Sache damit für erledigt erklären – dafür ist Art. 49 DSGVO schlicht nicht gedacht.
Warum das Thema kein theoretisches Problem ist
Dass Aufsichtsbehörden Drittlandübermittlungen sehr ernst nehmen, zeigen zwei prominente Fälle: Die irische Datenschutzaufsichtsbehörde verhängte 2025 gegen TikTok eine Geldbuße von insgesamt 530 Millionen Euro, davon 485 Millionen Euro wegen eines Verstoßes gegen Art. 46 Abs. 1 DSGVO im Zusammenhang mit Zugriffen aus China auf Daten von EWR-Nutzern. Bereits 2023 hatte dieselbe Behörde gegen Meta Platforms Ireland eine Geldbuße von 1,2 Milliarden Euro verhängt, weil die damals verwendeten Standardvertragsklauseln samt Zusatzmaßnahmen die vom EuGH identifizierten Risiken einer US-Übermittlung nicht ausreichend beseitigten. Beide Fälle machen deutlich: Es genügt nicht, auf den europäischen Serverstandort zu verweisen – auch Fernzugriffe aus einem Drittland können entscheidend sein.
Was kleine und mittlere Unternehmen wirklich brauchen
Die Anforderungen nach Schrems II, SCC, TIA, DPF und Kapitel V DSGVO können wie ein Spezialgebiet für internationale Großkonzerne wirken. Das muss in der betrieblichen Praxis nicht so sein. Ein typischer Mittelständler benötigt vor allem eine vollständige Übersicht seiner Dienstleister und deren Unterauftragsverarbeiter, Kenntnis der Speicher- und Zugriffsländer, eine klare Zuordnung des jeweiligen Transfermechanismus samt zugehöriger Verträge und Nachweise, ein TIA dort, wo Art. 46 DSGVO dies erfordert, sowie einen Wiedervorlage- und Änderungsprozess, um Veränderungen bei Anbietern oder Rechtslage rechtzeitig zu erkennen. Der größte Aufwand entsteht in der Praxis häufig nicht durch die rechtliche Bewertung selbst, sondern dadurch, dass im Unternehmen niemand genau weiß, welche Anbieter überhaupt eingesetzt werden und wohin diese Daten tatsächlich weitergeben. Die Lösung beginnt deshalb meist mit Transparenz – etwa in Form eines zentralen Empfänger- beziehungsweise Transferverzeichnisses, in dem Empfänger, Rolle, Staat, Transfergrundlage, Prüfdatum und Wiedervorlage an einer Stelle gepflegt werden.
Eine einfache organisatorische Regel verhindert dabei viele Probleme im Nachhinein: Kein neuer Cloud-Dienst, SaaS-Anbieter oder sonstiger externer IT-Dienst sollte produktiv mit personenbezogenen Daten eingesetzt werden, bevor Empfänger, Speicherorte, Supportstandorte, Unterauftragsverarbeiter und eine mögliche Drittlandübermittlung geprüft wurden. Diese Prüfung erfolgt am sinnvollsten vor Vertragsabschluss – zu diesem Zeitpunkt lässt sich noch problemlos sagen: „Dieser Anbieter passt nicht zu unseren Anforderungen, wir nehmen den anderen.“ Nach zwei Jahren produktiver Nutzung und vollständiger Integration in die Betriebsabläufe ist dieselbe Entscheidung erheblich schwieriger.
Zusammenfassung
Nicht der Serverstandort entscheidet allein darüber, ob eine Drittlandübermittlung vorliegt – auch Zugriffe durch Support-Dienstleister, Konzerngesellschaften oder Unterauftragsverarbeiter außerhalb des EWR können genügen. Ist ein solcher Transfer identifiziert, folgt eine feste Prüfreihenfolge: zuerst die allgemeine Zulässigkeit der Verarbeitung nach der DSGVO, dann zusätzlich Kapitel V. Besteht ein passender Angemessenheitsbeschluss, ist der internationale Teil vergleichsweise einfach – bei den USA muss dabei besonders auf die konkrete DPF-Zertifizierung geachtet werden, und die aktuellen Entwicklungen rund um die FTC-Unabhängigkeit sind ein Grund, die Lage weiter zu beobachten. Fehlt ein Angemessenheitsbeschluss, kommen geeignete Garantien nach Art. 46 DSGVO in Betracht, deren tatsächliche Wirksamkeit seit Schrems II durch ein Transfer Impact Assessment beurteilt werden muss. Art. 49 DSGVO steht am Ende der Prüfung und ist keine bequeme Dauerlösung, sondern eine Antwort auf besondere Einzelfälle.
Die entscheidende praktische Aufgabe besteht nicht darin, für jede internationale Verarbeitung ein umfangreiches juristisches Gutachten zu verfassen, sondern die eigenen Datenströme zu kennen, die richtigen Fragen an Dienstleister zu stellen, das passende Transferinstrument zu bestimmen und das Ergebnis nachvollziehbar zu dokumentieren. Dann wird aus einem vermeintlich unüberschaubaren Spezialthema ein wiederholbarer Prozess.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
