US-Tools im Betrieb: der Drittlandtransfer, verständlich geprüft in drei Schritten
Fast jedes KMU nutzt US-Dienste — Office, Cloud, Newsletter, KI. Jedes Mal, wenn dabei personenbezogene Daten die EU verlassen, verlangt die DSGVO eine zusätzliche Grundlage für die Übermittlung. Das klingt nach Konzernjuristerei, ist aber für die gängigen Dienste in drei Schritten prüfbar — wenn man weiß, wonach man sucht.
Von Patrick de Kathen, Gründer von KlarComply · Fachlich geprüft am
Warum es die Regel gibt
Innerhalb der EU und des EWR gilt überall dasselbe Schutzniveau — Daten dürfen frei fließen. Außerhalb („Drittländer“) gilt das nicht automatisch: Dort könnten Behörden zugreifen oder Betroffenenrechte leerlaufen. Deshalb verlangen Art. 44 ff. DSGVO für jede Übermittlung in ein Drittland eine eigene Grundlage — zusätzlich zum AVV, der die Auftragsverarbeitung selbst regelt.
Die drei Schritte für die Praxis
| Schritt | Frage | Wo Sie es finden |
|---|---|---|
| 1 | Verlassen Daten die EU/den EWR? Manche US-Anbieter bieten EU-Datenregionen an — dann ist es oft gar kein Transfer. | Datenschutzhinweise des Anbieters, Einstellung „Datenregion“ |
| 2 | Ist der Anbieter unter dem EU-US Data Privacy Framework zertifiziert? Dann besteht ein Angemessenheitsbeschluss — die Übermittlung ist zulässig. | Öffentliche DPF-Liste des US-Handelsministeriums; die großen Anbieter (Microsoft, Google, OpenAI u. a.) sind gelistet |
| 3 | Wenn nicht: Gibt es Standardvertragsklauseln (SCC)? Fast jeder seriöse Anbieter hat sie im Data Processing Agreement eingebaut. | AVV/DPA des Anbieters, meist als Anhang |
Das Ergebnis der drei Schritte gehört je Werkzeug notiert — die Spalte „Drittland: ja/nein/ungeprüft“ im Tool-Inventar ist dafür da. „Ungeprüft“ ist dabei eine ehrliche Zwischenangabe, aber kein Dauerzustand.
Ehrlicher Hinweis zur Stabilität
Der EU-US-Angemessenheitsbeschluss hat Geschichte: Seine beiden Vorgänger (Safe Harbor, Privacy Shield) wurden vom Europäischen Gerichtshof gekippt, und auch gegen das Data Privacy Framework laufen Klagen. Für heute ist es eine tragfähige Grundlage — aber ein Grund mehr, je Werkzeug zu notieren, worauf die Übermittlung gestützt ist: Fällt eine Grundlage, wissen Sie sofort, welche Tools betroffen sind, statt bei null anzufangen.
Die zwei Alltagsfehler
Erstens der Fehlschluss „AVV vorhanden = alles geregelt“: Der AVV regelt das Auftragsverhältnis, nicht den Grenzübertritt — beides gehört geprüft. Zweitens das Gratis-Konto: Privat-Tarife vieler US-Dienste bieten weder AVV noch verlässliche Transfer-Zusagen; beides gehört zur Business-Variante. Die Regel „Firmendaten nur in freigegebene Werkzeuge“ löst also auch das Drittlandproblem gleich mit.
Der Startpunkt
Im KlarComply-Abo (ab 49 €/Monat) trägt Ihr Tool-Inventar die Drittland-Angabe je Werkzeug — zusammen mit Personenbezug und AVV-Status die Grundlage für Verzeichnis, Fragebogen und Prüfung. Der kostenlose 2-Minuten-Check zeigt, wo Sie stehen.
Häufige Fragen
Darf ich US-Tools wie Microsoft 365 oder OpenAI DSGVO-konform nutzen?
In der Regel ja — mit Business-Variante samt AVV und einer Übermittlungsgrundlage: Viele große US-Anbieter sind unter dem EU-US Data Privacy Framework zertifiziert, andere binden Standardvertragsklauseln in ihr Data Processing Agreement ein. Geprüft und dokumentiert werden muss es je Werkzeug.
Reicht der AVV für die Nutzung eines US-Dienstes?
Nein. Der Auftragsverarbeitungsvertrag (Art. 28) regelt die Verarbeitung im Auftrag; der Drittlandtransfer braucht zusätzlich eine Grundlage nach Art. 44 ff. — Angemessenheitsbeschluss (etwa Data Privacy Framework) oder Standardvertragsklauseln.
Wo steht Ihr Unternehmen?
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlosArt. 44 DSGVO — allgemeine Grundsätze der Datenübermittlung
Art. 46 DSGVO — geeignete Garantien (u. a. Standardvertragsklauseln)
EU-Kommission — Angemessenheitsbeschluss EU-US Data Privacy Framework