{
    "slug": "eu-us-data-privacy-framework-2023-1795",
    "titre": "EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795) – Datenübermittlung in die USA nach DSGVO",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Das EU-US Data Privacy Framework (DPF) ist die Rechtsgrundlage, mit der personenbezogene Daten seit dem 10.07.2023 ohne zusätzliche Garantien in die USA…",
    "resume_court": "Das **EU-US Data Privacy Framework (DPF)** ist die Rechtsgrundlage, mit der personenbezogene Daten seit dem **10.07.2023** ohne zusätzliche Garantien in die USA übermittelt werden dürfen – aber **nur an dort zertifizierte Organisationen**. Grundlage ist der **Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795)** nach **Art. 45 DSGVO**: Die Kommission stellt fest, dass die USA für zertifizierte Unternehmen ein „im Wesentlichen gleichwertiges\u0022 Schutzniveau bieten. US-Unternehmen treten dem DPF durch **Selbstzertifizierung beim US-Handelsministerium (Department of Commerce)** bei und verpflichten sich, die DPF-Prinzipien einzuhalten. Für Übermittlungen an **nicht** zertifizierte US-Empfänger bleiben **Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914)** plus **Transfer Impact Assessment (TIA)** nötig. Wer ohne gültige Grundlage in die USA übermittelt, riskiert Bußgelder von **bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** (Art. 83 Abs. 5 lit. c DSGVO).\n\n\u003E **Achtung – Stabilität in Bewegung (Stand 2026):** Das DPF steht unter politischem und rechtlichem Druck. Der **Privacy and Civil Liberties Oversight Board (PCLOB)** verlor im **Januar 2025** durch Entlassungen sein Quorum; das US-Urteil **Trump v. Slaughter (29.06.2026)** stellt die Unabhängigkeit von Aufsichtsgremien erneut in Frage. Das Gericht der EU hat den Beschluss zwar am **03.09.2025** bestätigt (Rs. T-553/23, Latombe); dagegen ist jedoch seit **31.10.2025** ein **Rechtsmittel beim EuGH anhängig (Rs. C-703/25 P)**, und eine Aussetzung durch die Kommission bleibt möglich. Unternehmen sollten das DPF nicht als einzige Absicherung nutzen – siehe „Häufige Fehler\u0022.",
    "faits": [
        {
            "point": "Rechtsgrundlage EU",
            "valeur": "Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 (Angemessenheitsbeschluss nach Art. 45 DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Wirksam / anwendbar seit",
            "valeur": "10.07.2023 (Tag der Bekanntgabe an die Mitgliedstaaten)",
            "autorite": "A"
        },
        {
            "point": "Vorgänger",
            "valeur": "EU-US Privacy Shield (2016) – vom EuGH in „Schrems II\u0022 (Rs. C-311/18, 16.07.2020) für ungültig erklärt",
            "autorite": "A"
        },
        {
            "point": "Voraussetzung für freie Übermittlung",
            "valeur": "US-Empfänger ist auf der Data Privacy Framework List des US-Handelsministeriums geführt",
            "autorite": "A"
        },
        {
            "point": "Beitritt der US-Firma",
            "valeur": "freiwillige Selbstzertifizierung bei der International Trade Administration (ITA) des Department of Commerce; jährliche Rezertifizierung",
            "autorite": "A"
        },
        {
            "point": "US-Rechtsgrundlage Geheimdienstschranken",
            "valeur": "Executive Order 14086 vom 07.10.2022 („Enhancing Safeguards for US Signals Intelligence Activities\u0022)",
            "autorite": "A"
        },
        {
            "point": "Rechtsschutz Stufe 1",
            "valeur": "Civil Liberties Protection Officer (CLPO) des ODNI",
            "autorite": "A"
        },
        {
            "point": "Rechtsschutz Stufe 2",
            "valeur": "Data Protection Review Court (DPRC) – unabhängige Beschwerdeinstanz, bindende Entscheidungen",
            "autorite": "A"
        },
        {
            "point": "Für nicht zertifizierte Empfänger nötig",
            "valeur": "Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) + Transfer Impact Assessment",
            "autorite": "A"
        },
        {
            "point": "Gerichtliche Bestätigung",
            "valeur": "EuG, Urteil vom 03.09.2025, Rs. T-553/23 (Latombe/Kommission) – Klage abgewiesen, Beschluss bestätigt; Rechtsmittel beim EuGH eingelegt am 31.10.2025, Rs. C-703/25 P (anhängig)",
            "autorite": "A"
        },
        {
            "point": "Überprüfung",
            "valeur": "regelmäßige Überprüfung durch die EU-Kommission; erste Überprüfung 2024 abgeschlossen, danach in mehrjährigem Turnus",
            "autorite": "A"
        },
        {
            "point": "Sanktion bei rechtswidrigem Drittlandstransfer",
            "valeur": "bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. c DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Räumlicher Bezug",
            "valeur": "EU/EWR → USA; separate Regelungen: UK Extension („Data Bridge\u0022) und Swiss-US DPF",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.07.2023 (Angemessenheitsbeschluss EU-US Data Privacy Framework), Volltext (EUR-Lex, CELEX:32023D1795)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32023D1795",
            "autorite": "A"
        },
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO), insb. Art. 45, 46, 44–49 und Art. 83 – Volltext (EUR-Lex, CELEX:32016R0679)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "EU-Kommission – EU-US-Datenübermittlung (Themenseite)",
            "url": "https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_de",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil vom 16.07.2020, Rs. C-311/18 (Schrems II) – Ungültigkeit des Privacy Shield",
            "url": "https://curia.europa.eu/juris/liste.jsf?num=C-311/18",
            "autorite": "A"
        },
        {
            "titre": "EuG, Urteil vom 03.09.2025, Rs. T-553/23 (Latombe/Kommission) – Bestätigung des DPF, Pressemitteilung Nr. 106/25",
            "url": "https://curia.europa.eu/juris/liste.jsf?num=T-553/23",
            "autorite": "A"
        },
        {
            "titre": "Durchführungsbeschluss (EU) 2021/914 der Kommission vom 04.06.2021 – Standardvertragsklauseln (EUR-Lex, CELEX:32021D0914)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32021D0914",
            "autorite": "A"
        },
        {
            "titre": "EDPB – FAQ zum EU-US Data Privacy Framework für europäische Einzelpersonen",
            "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/eu-us-data-privacy-framework-faq-european-individuals_en",
            "autorite": "A"
        },
        {
            "titre": "BfDI – Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework in Kraft getreten (Kurzmeldung)",
            "url": "https://www.bfdi.bund.de/SharedDocs/Kurzmeldungen/DE/2023/17_Angemessenheitsbeschluss-EU-US-DPF.html",
            "autorite": "A"
        },
        {
            "titre": "US Executive Order 14086 vom 07.10.2022 (Office of Privacy and Civil Liberties, DOJ)",
            "url": "https://www.justice.gov/opcl/executive-order-14086",
            "autorite": "A"
        },
        {
            "titre": "Offizielle DPF-Liste des US-Handelsministeriums",
            "url": "https://www.dataprivacyframework.gov/",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795) – Datenübermittlung in die USA nach DSGVO?",
            "reponse": "Das EU-US Data Privacy Framework (DPF) ist die Rechtsgrundlage, mit der personenbezogene Daten seit dem 10.07.2023 ohne zusätzliche Garantien in die USA übermittelt werden dürfen – aber nur an dort zertifizierte Organisationen. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795) nach Art."
        },
        {
            "question": "Für wen gilt EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795)?",
            "reponse": "Der Angemessenheitsbeschluss gilt für die Übermittlung personenbezogener Daten aus der EU/dem EWR an Organisationen in den USA, die auf der Data Privacy Framework List stehen. Er betrifft jeden Verantwortlichen und Auftragsverarbeiter in der EU, der Daten an US-Dienstleister gibt – also praktisch jedes Unternehmen, das US-Cloud-, SaaS-, Analyse-, Marketing- oder Support-Dienste nutzt (z. B."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795)?",
            "reponse": "Blind auf „USA = angemessen\u0022 vertrauen: Der Beschluss deckt nur zertifizierte Empfänger ab. Vor jeder Übermittlung ist auf dataprivacyframework.gov zu prüfen, ob der konkrete Anbieter gelistet ist und ob die Zertifizierung die betroffene Datenart (HR-Daten? Nicht-HR-Daten?) umfasst. Zertifizierungsstatus nicht überwachen: Die Selbstzertifizierung muss jährlich erneuert werden."
        }
    ],
    "wikidata": [
        "Q115803109",
        "Q1172506"
    ],
    "valid_from": "2023-07-10",
    "valid_to": null,
    "derniere_revision": "2026-10-17",
    "derniere_verification": "2026-10-17",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/eu-us-data-privacy-framework-2023-1795"
}