Nicht jedes Land bietet denselben Schutz
Die DSGVO verbietet grundsätzlich die Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR), es sei denn, das Land bietet ein vergleichbares Datenschutzniveau.
Länder mit vollständigem Angemessenheitsbeschluss
Folgende Länder und Gebiete wurden als angemessen bewertet (Stand April 2026):
- Andorra, Argentinien, Kanada (PIPEDA), Färöer Inseln, Guernsey, Israel, Isle of Man, Japan, Jersey, Neuseeland, Republik Korea, Schweiz, Uruguay, Vereinigtes Königreich, Vereinigte Staaten (EU-US Data Privacy Framework, nur für zertifizierte Organisationen)
Das EU-US Data Privacy Framework
Es gilt nur für aktiv zertifizierte US-Organisationen. Prüfen Sie auf dataprivacyframework.gov.
Frühere Angemessenheitsbeschlüsse für die USA (Safe Harbor und Privacy Shield) wurden vom Europäischen Gerichtshof für ungültig erklärt. Das aktuelle Framework könnte dasselbe Schicksal erleiden.
Länder ohne Angemessenheitsbeschluss
Standardvertragsklauseln (SCC)
Die am häufigsten genutzte Option. Die meisten großen Anbieter haben diese bereits in ihre Bedingungen aufgenommen.
Verbindliche Unternehmensregeln (BCR)
Für Konzerne mit internem Datentransfer. Weniger relevant für KMU.
Ausdrückliche Einwilligung
In Ausnahmefällen. Keine strukturelle Lösung.
Was dokumentieren?
Pro Lieferant: Verarbeitungsland, geltender Angemessenheitsbeschluss, getroffene Garantien.
GDPRWise hilft Ihnen, pro Drittpartei zu dokumentieren, wo Daten verarbeitet werden und welche Garantien gelten.