--- title: "EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795) – Datenübermittlung in die USA nach DSGVO" slug: "eu-us-data-privacy-framework-2023-1795" domaine: "datenschutz" valid_from: "2023-07-10" valid_to: null last_reviewed: "2026-10-17" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/eu-us-data-privacy-framework-2023-1795.md wikidata_subjects: [] factcheck_status: "ok" --- # EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795) – Datenübermittlung in die USA nach DSGVO ## Kurzantwort Das **EU-US Data Privacy Framework (DPF)** ist die Rechtsgrundlage, mit der personenbezogene Daten seit dem **10.07.2023** ohne zusätzliche Garantien in die USA übermittelt werden dürfen – aber **nur an dort zertifizierte Organisationen**. Grundlage ist der **Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795)** nach **Art. 45 DSGVO**: Die Kommission stellt fest, dass die USA für zertifizierte Unternehmen ein „im Wesentlichen gleichwertiges" Schutzniveau bieten. US-Unternehmen treten dem DPF durch **Selbstzertifizierung beim US-Handelsministerium (Department of Commerce)** bei und verpflichten sich, die DPF-Prinzipien einzuhalten. Für Übermittlungen an **nicht** zertifizierte US-Empfänger bleiben **Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914)** plus **Transfer Impact Assessment (TIA)** nötig. Wer ohne gültige Grundlage in die USA übermittelt, riskiert Bußgelder von **bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** (Art. 83 Abs. 5 lit. c DSGVO). > **Achtung – Stabilität in Bewegung (Stand 2026):** Das DPF steht unter politischem und rechtlichem Druck. Der **Privacy and Civil Liberties Oversight Board (PCLOB)** verlor im **Januar 2025** durch Entlassungen sein Quorum; das US-Urteil **Trump v. Slaughter (29.06.2026)** stellt die Unabhängigkeit von Aufsichtsgremien erneut in Frage. Das Gericht der EU hat den Beschluss zwar am **03.09.2025** bestätigt (Rs. T-553/23, Latombe); dagegen ist jedoch seit **31.10.2025** ein **Rechtsmittel beim EuGH anhängig (Rs. C-703/25 P)**, und eine Aussetzung durch die Kommission bleibt möglich. Unternehmen sollten das DPF nicht als einzige Absicherung nutzen – siehe „Häufige Fehler". ## Kernfakten | Punkt | Wert | |---|---| | Rechtsgrundlage EU | Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 (Angemessenheitsbeschluss nach Art. 45 DSGVO) | | Wirksam / anwendbar seit | 10.07.2023 (Tag der Bekanntgabe an die Mitgliedstaaten) | | Vorgänger | EU-US Privacy Shield (2016) – vom EuGH in „Schrems II" (Rs. C-311/18, 16.07.2020) für ungültig erklärt | | Voraussetzung für freie Übermittlung | US-Empfänger ist auf der Data Privacy Framework List des US-Handelsministeriums geführt | | Beitritt der US-Firma | freiwillige Selbstzertifizierung bei der International Trade Administration (ITA) des Department of Commerce; jährliche Rezertifizierung | | US-Rechtsgrundlage Geheimdienstschranken | Executive Order 14086 vom 07.10.2022 („Enhancing Safeguards for US Signals Intelligence Activities") | | Rechtsschutz Stufe 1 | Civil Liberties Protection Officer (CLPO) des ODNI | | Rechtsschutz Stufe 2 | Data Protection Review Court (DPRC) – unabhängige Beschwerdeinstanz, bindende Entscheidungen | | Für nicht zertifizierte Empfänger nötig | Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) + Transfer Impact Assessment | | Gerichtliche Bestätigung | EuG, Urteil vom 03.09.2025, Rs. T-553/23 (Latombe/Kommission) – Klage abgewiesen, Beschluss bestätigt; Rechtsmittel beim EuGH eingelegt am 31.10.2025, Rs. C-703/25 P (anhängig) | | Überprüfung | regelmäßige Überprüfung durch die EU-Kommission; erste Überprüfung 2024 abgeschlossen, danach in mehrjährigem Turnus | | Sanktion bei rechtswidrigem Drittlandstransfer | bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. c DSGVO) | | Räumlicher Bezug | EU/EWR → USA; separate Regelungen: UK Extension („Data Bridge") und Swiss-US DPF | ## Geltungsbereich Der Angemessenheitsbeschluss gilt für die Übermittlung personenbezogener Daten aus der EU/dem EWR an Organisationen in den USA, die auf der **Data Privacy Framework List** stehen. Er betrifft jeden Verantwortlichen und Auftragsverarbeiter in der EU, der Daten an US-Dienstleister gibt – also praktisch jedes Unternehmen, das US-Cloud-, SaaS-, Analyse-, Marketing- oder Support-Dienste nutzt (z. B. US-Hosting, US-Newsletter-Tools, US-Videokonferenz, US-Tracking). Da es sich um einen **Angemessenheitsbeschluss nach Art. 45 DSGVO** handelt, ist die Übermittlung an zertifizierte Empfänger **ohne** zusätzliche Garantien (SCC, BCR) und **ohne** Genehmigung der Aufsichtsbehörde zulässig – so, als läge der Empfänger in einem EU-Mitgliedstaat. Die übrigen DSGVO-Pflichten (Rechtsgrundlage nach Art. 6, Informationspflichten nach Art. 13/14, Betroffenenrechte) bleiben unberührt. ## So funktioniert das DPF Nach dem **Schrems-II-Urteil** des EuGH (Rs. C-311/18 vom 16.07.2020) war der Vorgänger „Privacy Shield" ungültig, weil die USA weder verhältnismäßige Schranken für den Zugriff der Geheimdienste noch einen wirksamen Rechtsbehelf für EU-Bürger boten. Diese beiden Defizite adressiert die **Executive Order 14086** vom 07.10.2022: - **Verhältnismäßigkeit:** Die signalerfassende Aufklärung der US-Dienste ist auf das „Notwendige und Verhältnismäßige" begrenzt; gezielte Erhebung hat Vorrang vor Massenerhebung. - **Zweistufiger Rechtsschutz:** Betroffene EU-Bürger können sich zunächst an den **Civil Liberties Protection Officer (CLPO)** des ODNI wenden. Gegen dessen Entscheidung ist die Beschwerde beim neu geschaffenen **Data Protection Review Court (DPRC)** möglich, dessen Richter außerhalb der US-Regierung berufen werden, nur aus wichtigem Grund abberufbar sind und **bindend und endgültig** entscheiden. Betroffene werden dort durch einen „special advocate" vertreten. US-Unternehmen **selbstzertifizieren** sich beim Department of Commerce und verpflichten sich damit rechtsverbindlich auf die DPF-Prinzipien (u. a. Zweckbindung, Datenminimierung, Auskunfts- und Widerspruchsrechte, Weitergabebeschränkungen). Die **Federal Trade Commission (FTC)** und das Department of Transportation überwachen die Einhaltung. ## Was gilt für nicht zertifizierte Empfänger? Steht der US-Empfänger **nicht** auf der DPF-Liste (oder ist die betroffene Datenkategorie von seiner Zertifizierung nicht erfasst), greift der Angemessenheitsbeschluss nicht. Dann ist die Übermittlung nur über die **Garantien nach Art. 46 DSGVO** zulässig – in der Praxis über die **Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914)**. Zusätzlich verlangt der EuGH (Schrems II) ein **Transfer Impact Assessment (TIA)**: eine dokumentierte Einzelfallprüfung, ob im Empfängerland trotz SCC ein gleichwertiges Schutzniveau erreicht wird, ggf. ergänzt um technische und organisatorische Zusatzmaßnahmen (z. B. Verschlüsselung). Wichtig: Die Verbesserungen der Executive Order 14086 (Verhältnismäßigkeit, DPRC) wirken auch **außerhalb** des DPF – das EDPB erkennt an, dass sie in ein TIA für SCC-gestützte Transfers einfließen können. ## Aktuelle Entwicklungen und Risiken (2025–2026) Das DPF ist **in Kraft**, seine Dauerhaftigkeit aber nicht gesichert: - **PCLOB ohne Quorum (Januar 2025):** Der Privacy and Civil Liberties Oversight Board – im Angemessenheitsbeschluss als Kontrollinstanz vorgesehen – verlor durch die Entlassung mehrerer Mitglieder seine Beschlussfähigkeit. Die jährliche Überprüfung der EO-14086-Umsetzung und die Mitwirkung an DPRC-Ernennungen sind dadurch beeinträchtigt. - **EuG-Urteil Latombe (03.09.2025, Rs. T-553/23):** Das Gericht der EU wies die Nichtigkeitsklage des Abgeordneten Philippe Latombe ab und bestätigte den Angemessenheitsbeschluss. Es bewertete den DPRC als hinreichend unabhängiges Rechtsschutzorgan. Latombe hat am 31.10.2025 Rechtsmittel beim EuGH eingelegt (Rs. C-703/25 P, ABl. C vom 22.12.2025); er beantragt die Aufhebung des EuG-Urteils und die Nichtigerklärung des Beschlusses (EU) 2023/1795. Das Verfahren ist anhängig. - **Trump v. Slaughter (US Supreme Court, 29.06.2026):** Das Urteil zur Absetzbarkeit von Kommissionsmitgliedern (FTC) nährt Zweifel, ob die im DPF vorausgesetzte Unabhängigkeit der US-Aufsichts- und Rechtsschutzgremien dauerhaft gewährleistet ist. Ein „Schrems III"-Verfahren gegen das DPF gilt als wahrscheinlich. Fällt der Angemessenheitsbeschluss weg, müssen Unternehmen kurzfristig auf SCC + TIA umstellen. ## Häufige Fehler - **Blind auf „USA = angemessen" vertrauen:** Der Beschluss deckt **nur** zertifizierte Empfänger ab. Vor jeder Übermittlung ist auf dataprivacyframework.gov zu prüfen, ob der konkrete Anbieter gelistet ist **und** ob die Zertifizierung die betroffene Datenart (HR-Daten? Nicht-HR-Daten?) umfasst. - **Zertifizierungsstatus nicht überwachen:** Die Selbstzertifizierung muss jährlich erneuert werden. Streicht das Department of Commerce eine Firma von der Liste, entfällt die Rechtsgrundlage – dann ist ein sofortiger Umstieg auf SCC nötig. - **DPF als einzige Absicherung:** Wegen der ungewissen Zukunft empfiehlt sich, SCC + TIA als „Fallback" vorzuhalten. - **Informationspflichten vergessen:** Die USA-Übermittlung und ihre Rechtsgrundlage (DPF bzw. SCC) müssen nach Art. 13/14 DSGVO in der Datenschutzerklärung transparent gemacht werden. - **SCC ohne TIA verwenden:** Für nicht zertifizierte Empfänger genügen die reinen Standardvertragsklauseln nicht – die dokumentierte Einzelfallprüfung (TIA) ist Pflicht. ## Änderungsverlauf - 2026-10-17: Faktencheck (Status war stale). Gegen die Themenseite der EU-Kommission „EU-US data transfers“ (Abruf 17.10.2026) bestätigt: Angemessenheitsbeschluss vom 10.07.2023 und EO 14086 vom 07.10.2022 weiterhin in Kraft, keine Aussetzung oder Aufhebung. Gegen EUR-Lex (ABl.-Mitteilung C/2025/6610) bestätigt: Rechtsmittel C-703/25 P gegen EuG T-553/23 (03.09.2025), eingelegt 31.10.2025; kein Urteil, keine Schlussanträge auffindbar – „anhängig“ zutreffend. Trump v. Slaughter (29.06.2026) und PCLOB-Quorumsverlust (Januar 2025) über Fach-/Kanzleiquellen bestätigt. Keine Korrektur nötig. KEINE FREIGABE: Der Status wurde bei Erstveröffentlichung (14.07.) und am 15.07. bewusst zurückgehalten (laufende rechtlich-politische Unsicherheit); diese redaktionelle Entscheidung wird nicht automatisch überstimmt – Freigabe durch Andreas. Nicht ausgewertet: EDPB-Schreiben vom 31.07.2026 an die Kommission zu den Folgen von Slaughter (nur sekundär belegt, auf der Seite nicht erwähnt). | change_type=factcheck field="last_reviewed" old="2026-07-15" new="2026-10-17" reviewed_by="Claude (Freigabe-Aufholer 17.10.2026)" - 2026-07-15: Tote Quellen-URL ersetzt (automatischer Faktencheck, HTTP 200 mit Browser-UA verifiziert). factcheck_status bleibt review_needed (bewusst gesetzt wegen laufender rechtlich-politischer Unsicherheit, nicht wegen des Links). | change_type=source_url_fix field="sources" old="https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/eu-us-data-privacy-framework-faq-european-individuals_de" new="https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/eu-us-data-privacy-framework-faq-european-individuals_en" reviewed_by="Nexvyra Faktencheck-Bot" - 2026-07-14: Erstveröffentlichung der Faktenseite; Angemessenheitsbeschluss (EU) 2023/1795, EO 14086, Rechtsschutzmechanismus (CLPO/DPRC) und Sanktionsrahmen gegen EUR-Lex, EU-Kommission, EDPB und BfDI geprüft; EuG-Urteil Latombe (T-553/23, 03.09.2025) und Stabilitätsrisiken 2025–2026 (PCLOB-Quorumsverlust, Trump v. Slaughter) ergänzt. factcheck_status=review_needed wegen laufender rechtlich-politischer Unsicherheit über die Fortgeltung des Beschlusses. | change_type=initial_publication reviewed_by="Andreas Warkentin" field="topic_lifecycle" new="published" - 2026-10-14: Faktencheck (Status war stale). Geprüft: Angemessenheitsbeschluss (EU) 2023/1795 laut Themenseite der EU-Kommission weiterhin wirksam, keine Aussetzung/Aufhebung; erste Überprüfung COM(2024) 451 vom 09.10.2024 (nächste nach 3 Jahren). Korrektur: „Rechtsmittel zum EuGH bleibt möglich" -> Rechtsmittel Latombe am 31.10.2025 eingelegt, Rs. C-703/25 P, anhängig (ABl.-Mitteilung C vom 22.12.2025; Microsoft laut Fachpresse als Streithelfer der Kommission zugelassen; kein Verhandlungstermin/Schlussanträge bekannt). Trump v. Slaughter (29.06.2026, 6:3, Humphrey's Executor aufgegeben) durch Kanzlei-Analysen bestätigt. Nicht freigegeben: Fortgeltung weiter rechtlich offen (EuGH-Rechtsmittel anhängig, EDPB-Schreiben an die Kommission vom 31.07.2026 zur Prüfung der Slaughter-Folgen und von noyb angekündigte Klage nur über Sekundärquellen belegt; Kommissions-Bewertung steht aus); Curia-Fallseite nicht maschinenlesbar abrufbar. | change_type=factcheck field="factcheck_status" old="stale" new="stale" reviewed_by="Claude (Freigabe-Aufholer 14.10.2026)" ## Stand - Stand: 2026-07-15 - Gültig ab: 2023-07-10 (Bekanntgabe des Angemessenheitsbeschlusses) - Status: aktuell (in Kraft, Fortgeltung jedoch rechtlich umstritten) - Quellenautorität: A (EUR-Lex, EU-Kommission, EuGH/EuG, EDPB, BfDI, US-DOJ) - Lizenz: CC BY 4.0 ## Quellen - Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.07.2023 (Angemessenheitsbeschluss EU-US Data Privacy Framework), Volltext (EUR-Lex, CELEX:32023D1795): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32023D1795 - Verordnung (EU) 2016/679 (DSGVO), insb. Art. 45, 46, 44–49 und Art. 83 – Volltext (EUR-Lex, CELEX:32016R0679): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 - EU-Kommission – EU-US-Datenübermittlung (Themenseite): https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_de - EuGH, Urteil vom 16.07.2020, Rs. C-311/18 (Schrems II) – Ungültigkeit des Privacy Shield: https://curia.europa.eu/juris/liste.jsf?num=C-311/18 - EuG, Urteil vom 03.09.2025, Rs. T-553/23 (Latombe/Kommission) – Bestätigung des DPF, Pressemitteilung Nr. 106/25: https://curia.europa.eu/juris/liste.jsf?num=T-553/23 - Durchführungsbeschluss (EU) 2021/914 der Kommission vom 04.06.2021 – Standardvertragsklauseln (EUR-Lex, CELEX:32021D0914): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32021D0914 - EDPB – FAQ zum EU-US Data Privacy Framework für europäische Einzelpersonen: https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/eu-us-data-privacy-framework-faq-european-individuals_en - BfDI – Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework in Kraft getreten (Kurzmeldung): https://www.bfdi.bund.de/SharedDocs/Kurzmeldungen/DE/2023/17_Angemessenheitsbeschluss-EU-US-DPF.html - US Executive Order 14086 vom 07.10.2022 (Office of Privacy and Civil Liberties, DOJ): https://www.justice.gov/opcl/executive-order-14086 - Offizielle DPF-Liste des US-Handelsministeriums: https://www.dataprivacyframework.gov/ ## Stand - Letzte Änderung: 2026-10-17 - Letzte Prüfung: 2026-10-17 - In Kraft seit: 2023-07-10 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0