Um all diese Fragen zu beantworten und US-Unternehmen einen klaren Leitfaden an die Hand zu geben, haben wir die folgende praxisorientierte Checkliste zusammengestellt. Sie erläutert der Reihe nach, ob und wann die DSGVO gilt, welche Rolle – Verantwortlicher, Auftragsverarbeiter oder beides – das Unternehmen einnimmt und was dies jeweils erfordert, sowie nicht zuletzt, wie personenbezogene Daten aus der EU in die USA übermittelt werden können und ob man sich auf das EU-US Data Privacy Framework, Standardvertragsklauseln oder beides stützen sollte.
Für eine maßgeschneiderte Analyse buchen Sie eine LEGALFLY-Demo. Wir führen Sie anhand von Verträgen aus Ihrem Portfolio durch die US-DSGVO-Compliance-Checkliste.
Um zu erfahren, wie LEGALFLY Sie unterstützen kann, vereinbaren Sie gerne ein Gespräch mit einem unserer Experten.
DSGVO-Compliance-Checkliste für US-Unternehmen
Schritt 1: Gilt die DSGVO für Ihr Unternehmen?
Artikel 3 regelt den räumlichen Anwendungsbereich: Es gibt drei gesetzliche Tatbestände und eine vertragliche (in der Praxis häufigste) Konstellation, die ein US-Unternehmen an die DSGVO binden.
Artikel 3 Absatz 1: Das Unternehmen hat eine Niederlassung in der EU. Ob Tochtergesellschaft, Zweigniederlassung, Büro oder lediglich ein kleines, festes Team in der EU – die DSGVO gilt für Verarbeitungen, die im Rahmen der Tätigkeiten dieser Niederlassung erfolgen. Der Standort der Server ist dabei unerheblich. Die Leitlinien 3/2018 des EDSA zum räumlichen Anwendungsbereich legen den Begriff der „Niederlassung“ weit aus: Eine feste Einrichtung kann bereits genügen, selbst ohne eingetragene juristische Person.
Artikel 3 Absatz 2 Buchstabe a: Das Unternehmen bietet Kundinnen und Kunden in der EU Waren oder Dienstleistungen an. Ein bloßer Abruf der Website aus Europa reicht nicht aus; Erwägungsgrund 23 verweist vielmehr auf Anhaltspunkte wie EU-Sprachen oder -Währungen, Liefermöglichkeiten in EU-Länder, EU-Top-Level-Domains oder gezielte Marketingmaßnahmen für EU-Zielgruppen – dies gilt auch für unentgeltliche Angebote.
Artikel 3 Absatz 2 Buchstabe b: Das Unternehmen überwacht das Verhalten von Personen in der EU. Das Tracking und Profiling von Personen in der EU – unter anderem durch verhaltensbasierte Werbung, seitenübergreifendes Tracking, Standortdaten oder Analysen zur Vorhersage von Präferenzen – bringt diese Verarbeitung in den Anwendungsbereich der DSGVO (Erwägungsgrund 24).
Artikel 27 legt fest, welches Unternehmen einen EU-Vertreter benennen muss. Ein US-Unternehmen, das unter Artikel 3 Absatz 2 fällt und keine Niederlassung in der EU hat, muss einen Vertreter in einem Mitgliedstaat benennen, in dem sich die betroffenen Personen befinden. Dieser Vertreter hält eine Kopie des Verzeichnisses von Verarbeitungstätigkeiten (gemäß Artikel 30) vor und muss in der Datenschutzerklärung des US-Unternehmens genannt werden. Ausnahmen sind äußerst eng gefasst: Nur gelegentliche Verarbeitungen, die keine großflächige Verarbeitung besonderer Datenkategorien oder strafrechtlicher Daten beinhalten und voraussichtlich kein Risiko darstellen, sind ausgenommen. Die meisten Unternehmen mit einem fortlaufenden Kundenstamm in der EU erfüllen diese Voraussetzungen nicht.
Zu beachten:
Viele US-B2B-Unternehmen fallen für ihre Kundendaten nicht unmittelbar unter Artikel 3, da sie personenbezogene Daten im Auftrag europäischer Kunden verarbeiten, die ihrerseits als Verantwortliche der DSGVO unterliegen. Diese Kunden sind dafür verantwortlich, die Einhaltung der DSGVO-Verpflichtungen durch Audit-Rechte, Freistellungen und Kündigungsrechte durchzusetzen, anstatt dass dies direkt durch eine Aufsichtsbehörde geschieht. Daher müssen sie Sie über einen Vertrag gemäß Artikel 28 sowie einen wirksamen Übermittlungsmechanismus binden, bevor Daten an Sie übermittelt werden dürfen.
Zu beachten ist ferner: Auch wenn der EDSA klarstellt, dass ein Auftragsverarbeiter außerhalb der EU nicht allein deshalb nach Artikel 3 Absatz 2 der DSGVO unterliegt, weil er Daten für einen EU-Verantwortlichen verarbeitet, werden ihm dieselben Pflichten dennoch über den unterzeichneten Auftragsverarbeitungsvertrag (AVV) auferlegt.
Schritt 2: Verantwortlicher oder Auftragsverarbeiter? Die meisten US-Unternehmen sind beides
Die Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter bestimmt, welcher Teil dieser Checkliste zur Anwendung kommt – und sorgt bei US-Teams am häufigsten für Verwirrung. Die Rolle ergibt sich aus den tatsächlichen Gegebenheiten, nicht aus der Bezeichnung im Vertrag:
Sie sind Verantwortlicher, wenn Sie über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheiden. Dies betrifft typischerweise Ihre eigenen Marketinglisten, Website-Analysen, EU-Beschäftigten, Vertriebs-Leads und geschäftlichen Ansprechpartner bei Kunden.
Sie sind Auftragsverarbeiter, wenn Sie personenbezogene Daten ausschließlich auf dokumentierte Weisung und für die Zwecke des Kunden verarbeiten. Eine SaaS-Plattform, die Kundendaten hostet, ein Lohnbuchhaltungsdienstleister oder ein Support-Tool agieren bezüglich der von Kunden hochgeladenen Daten in der Regel in dieser Funktion.
Zu beachten:
Ein typisches US-amerikanisches SaaS-Unternehmen agiert gleichzeitig als Verantwortlicher für die eigenen Geschäftsdaten und als Auftragsverarbeiter für die Daten seiner Kunden. Das rechtliche Risiko liegt in der Schnittmenge.
Räumen Ihre Geschäftsbedingungen Ihnen das Recht ein, Kundendaten zur „Produktverbesserung“, für Analysen oder zum Modelltraining zu nutzen, bestimmen Sie einen eigenen Zweck. Für diese Nutzung werden Sie zum Verantwortlichen – was der AVV des Kunden mit an Sicherheit grenzender Wahrscheinlichkeit untersagt. Daher müssen Sie jeden Datenfluss einer eindeutigen Rolle zuordnen, bevor Sie Verträge unterzeichnen.
Die beiden folgenden Checklisten orientieren sich an dieser Aufteilung:
Schritt 3a: Was gilt, wenn Sie Verantwortlicher sind?
Fallen Sie als Verantwortlicher unter Artikel 3, gilt für diese Verarbeitung die DSGVO im vollen Umfang. Für ein US-Unternehmen sind dies die wichtigsten Pflichten:
Checkliste: Pflichten des Verantwortlichen
☑️ Rechtmäßigkeit der Verarbeitung (Art. 6) – Jeder Verarbeitungszweck verfügt über eine dokumentierte Rechtsgrundlage: Vertragserfüllung, berechtigtes Interesse (inklusive dokumentierter Interessenabwägung), Einwilligung oder rechtliche Verpflichtung. Ein nach US-Recht übliches „Notice and Opt-out“ stellt keine tragfähige Rechtsgrundlage dar.
☑️ Transparenz (Art. 13 und 14) – Eine an EU-Betroffene gerichtete Datenschutzerklärung muss Angaben zum Unternehmen, zum EU-Vertreter, zu Zwecken, Rechtsgrundlagen, Empfängern, Drittlandübermittlungen, Speicherdauern und Betroffenenrechten enthalten.
☑️ Betroffenenrechte (Art. 15 bis 22) – Sie müssen Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Datenübertragbarkeits- und Widerspruchsgesuche innerhalb eines Monats bearbeiten können – einschließlich der Weiterleitung an Ihre Auftragsverarbeiter.
☑️ Verzeichnis von Verarbeitungstätigkeiten (Art. 30) – Sie führen ein schriftliches Verzeichnis der Verarbeitungstätigkeiten. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift selten, da sie bei nicht nur gelegentlichen Verarbeitungen entfällt.
☑️ Sicherheit der Verarbeitung (Art. 32) – Die technischen und organisatorischen Maßnahmen (TOM) müssen dem Risiko angemessen sein und dokumentiert werden.
☑️ Meldung von Datenschutzverletzungen (Art. 33 und 34) – Sie müssen in der Lage sein, die federführende Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden einer Verletzung zu benachrichtigen sowie betroffene Personen bei hohem Risiko unverzüglich zu informieren. US-Bundesstaatsgesetze zur Meldung von Datenschutzvorfällen gelten unabhängig davon und knüpfen an andere Auslöser an.
☑️ DSFA (Art. 35) – Bei Verarbeitungen mit hohem Risiko, wie etwa großflächigem Profiling, systematischer Überwachung oder neuartigen KI-Einsatzszenarien, wird vorab eine Datenschutz-Folgenabschätzung durchgeführt.
☑️ Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25) – Neue Produkte und Funktionen erheben standardmäßig nur die Daten, die für den Zweck zwingend erforderlich sind.
☑️ Datenschutzbeauftragter (Art. 37) – Sie haben geprüft, ob ein Datenschutzbeauftragter benannt werden muss; dies ist zwingend erforderlich, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen Überwachung oder der Verarbeitung besonderer Datenkategorien im großen Umfang besteht.
☑️ EU-Vertreter (Art. 27) – Schriftlich bestellt, sofern Sie keine Niederlassung in der EU haben oder die enge Ausnahmeregelung nicht greift.
☑️ Eigene Dienstleister (Art. 28) – Jeder für EU-Daten eingesetzte Auftragsverarbeiter – einschließlich US-amerikanischer Cloud- und SaaS-Provider – ist durch einen DSGVO-konformen AVV gebunden.
☑️ Drittlandübermittlungen (Kapitel V) – Jede Übermittlung personenbezogener EU-Daten in die USA oder Drittstaaten ist durch das DPF, Standardvertragsklauseln oder einen anderen Mechanismus legitimiert (siehe Schritt 4).
☑️ Cookies und Tracking – Nicht zwingend erforderliche Cookies und Tracker auf an die EU gerichteten Websites erfordern eine vorherige Einwilligung nach den ePrivacy-Vorschriften, die neben der DSGVO gelten.
Schritt 3b: Was gilt, wenn Sie Auftragsverarbeiter sind?
Als Auftragsverarbeiter ergeben sich die meisten Ihrer DSGVO-Pflichten aus dem AVV des Kunden. Artikel 28 Absatz 3 schreibt dessen Mindestinhalte zwingend vor; die Kernregelungen sind daher kaum verhandelbar. Verhandlungsspielraum besteht jedoch bei der konkreten Ausgestaltung: Fristen für Benachrichtigungen, Prüfmodalitäten, Haftungsregelungen sowie der genaue Umfang der gestatteten Datenverwendung.
Europäische Kunden prüfen AVVs zumeist anhand einheitlicher Kriterien. Diese fasst die LEGALFLY DPA-Review-Checkliste in 7 Prüffelder und 21 Fragen zusammen (siehe unten). Die Kenntnis dieser Kriterien aus Sicht des Auftragsverarbeiters zeigt Ihnen, worauf Kunden achten und an welchen Positionen Sie festhalten sollten.
Review-Bereich | Was der EU-Kunde prüft | Ihre Position als US-Auftragsverarbeiter |
|---|---|---|
1. Gegenstand und Umfang der Verarbeitung | Gegenstand, Dauer, Zweck, Art der Daten und Kategorien betroffener Personen sind präzise definiert und an die vertraglichen Leistungen gekoppelt | Präzisierung akzeptieren. Sicherstellen, dass die Anhänge exakt dem tatsächlichen Produktfunktionsumfang entsprechen, inklusive Support und Protokollierung |
2. Weisungsgebundenheit und Vertraulichkeit | Verarbeitung ausschließlich auf dokumentierte Weisung, auch bezüglich Übermittlungen; Verpflichtung des Personals auf Vertraulichkeit | Akzeptieren. Weisungen so definieren, dass sie die reguläre Nutzung von Produktfeatures umfassen; Klauseln zur „Produktverbesserung“ an Kundendaten streichen, falls diese rechtlich nicht haltbar sind |
3. Sicherheit und Meldung von Datenschutzverletzungen | Angemessene technische und organisatorische Maßnahmen; unverzügliche Meldung von Vorfällen, idealerweise binnen 48 Stunden; Angaben zu Art, Umfang, Folgen und Abhilfemaßnahmen | Aktuelle TOM-Anhänge vorhalten. Auf ein realistisch einhaltbares Zeitfenster festlegen und eine schrittweise Nachreichung von Details vereinbaren |
4. Unterauftragsverarbeiter | Vorherige gesonderte oder allgemeine schriftliche Genehmigung; Vorankündigung mit Widerspruchsrecht; Fortbestehen der vollen Haftung | Allgemeine Genehmigung mit veröffentlichter Liste und Benachrichtigung per E-Mail vereinbaren. Konkrete Rechtsfolgen bei ungelösten Widersprüchen definieren (z. B. Sonderkündigungsrecht) |
5. Unterstützungspflichten | Unverzügliche Unterstützung bei Betroffenenrechten, DSFAs und vorherigen Konsultationen | Akzeptieren, primär durch Self-Service-Tools im Produkt; angemessene Kostenerstattung für individuellen Mehraufwand vorsehen |
6. Internationale Übermittlungen | Ein wirksamer Übermittlungsmechanismus, z. B. die aktuellen Standardvertragsklauseln (SCCs), deckt jede Drittlandübermittlung ab | DPF-Zertifizierung in Kombination mit Standardvertragsklauseln (Modul 2 oder 3) als Auffanglösung anbieten (siehe Schritt 4) |
7. Beendigung, Audits und Haftung | Prüfrechte über bloße Zertifikate hinaus; Rückgabe oder vollständige Löschung von Daten inkl. Kopien; Haftungsbeschränkungen mit Ausnahmen für Datenschutzverstöße; anwendbares Recht und Gerichtsstand | Primär SOC-2- oder ISO-27001-Berichte anbieten, Vor-Ort-Audits nur anlassbezogen nach Sicherheitsvorfällen. Feste Löschfristen für Backups definieren. Verhandeln Sie ein definiertes „Super-Cap“ anstelle unbegrenzter Haftung |
Ihre unmittelbaren Pflichten als Auftragsverarbeiter:
Gilt die DSGVO für Sie unmittelbar, treffen Sie bestimmte gesetzliche Pflichten unabhängig von den vertraglichen Vereinbarungen. Bei Verstößen können Aufsichtsbehörden direkte Bußgelder verhängen:
Führen eines Verzeichnisses von Verarbeitungstätigkeiten für Auftragsverarbeiter (Art. 30 Abs. 2), Sicherheit der Verarbeitung (Art. 32)
Unverzügliche Meldung von Verletzungen an den Verantwortlichen (Art. 33 Abs. 2)
Einhaltung der Vorgaben für Unterauftragsverarbeiter nach Artikel 28
Benennung eines EU-Vertreters, sofern Artikel 3 Absatz 2 einschlägig ist.
Bitte beachten Sie die drei Klauseln, die in der Praxis am häufigsten zu Konflikten führen:
Klauseln zur „Produktverbesserung“ oder zum KI-Training in Ihren AGB, die im Widerspruch zum AVV stehen.
Eine Liste von Unterauftragsverarbeitern, in der KI-Modellanbieter oder Offshore-Support-Teams fehlen.
Eine Haftungsklausel im Hauptvertrag, die Datenschutzansprüche stillschweigend auf die Vergütung der letzten 12 Monate deckelt – was der Kunden-AVV regelmäßig auszuhebeln versucht.
Schritt 4: Drittlandübermittlungen. DPF, Standardvertragsklauseln oder beides
Dieser Abschnitt der Checkliste birgt das größte Haftungs- und Durchsetzungsrisiko für US-Unternehmen.
Wann immer personenbezogene Daten aus der EU in die USA übertragen werden, verlangt Kapitel V der DSGVO eine wirksame Rechtsgrundlage für den Transfer. Zwei Instrumente decken fast alle Konstellationen ab – unabhängig davon, ob Sie als Verantwortlicher Daten von EU-Tochtergesellschaften oder als Auftragsverarbeiter Daten von EU-Kunden erhalten.
Das EU-US Data Privacy Framework (DPF)
Das DPF ist ein Angemessenheitsbeschluss, den die Europäische Kommission im Juli 2023 erlassen hat.
US-Unternehmen zertifizieren sich selbst beim US-Handelsministerium und verpflichten sich zur Einhaltung der DPF-Grundsätze; die Durchsetzung obliegt der FTC oder dem US-Verkehrsministerium. Sobald die Zertifizierung aktiv ist, dürfen EU-Exporteure personenbezogene Daten ohne zusätzliche Standardvertragsklauseln oder ein Transfer Impact Assessment (TIA) an Sie übermitteln – für HR-Daten ist jedoch eine gesonderte HR-Zertifizierung erforderlich.
Der Beschluss begünstigt nur zertifizierte Organisationen: Er schützt Ihre Datenübermittlung, deckt jedoch nicht Ihre unzertifizierten US-Unterauftragsverarbeiter ab.
Standardvertragsklauseln (SCCs)
Die Standardvertragsklauseln von 2021 sind von der Kommission verabschiedete Standardklauseln:
Für einen US-Auftragsverarbeiter, der Daten von einem EU-Verantwortlichen erhält, findet Modul 2 Anwendung.
Für einen US-Unterauftragsverarbeiter, der Daten von einem EU-Auftragsverarbeiter erhält, findet Modul 3 Anwendung.
Standardvertragsklauseln erfordern zwingend ein Transfer Impact Assessment (TIA), das die US-Rechtslage in der Praxis prüft. Dies gestaltet sich heute einfacher als vor 2023, da die Executive Order 14086 zusätzliche Garantien eingeführt hat – einschließlich des Data Protection Review Court.
Dennoch bestehen fortbestehende Risiken, die Sie einkalkulieren müssen:
Das DPF ist derzeit gültig (bestätigt am 3. September 2025 durch das Gericht der Europäischen Union in der Rechtssache Latombe gegen Kommission (T-553/23)), doch Philippe Latombe hat am 31. Oktober 2025 Rechtsmittel beim Europäischen Gerichtshof eingelegt. Der EuGH hatte bereits beide Vorgängerabkommen gekippt – Safe Harbor im Jahr 2015 und das Privacy Shield im Jahr 2020. Ein Verhandlungstermin ist bislang nicht bekannt (Interlegal, Oktober 2026).
Ein zweites Risiko ergab sich im Juni 2026, als das Urteil des US Supreme Court in Trump v. Slaughter entschied, dass FTC-Kommissare ohne Angabe von Gründen abberufen werden dürfen. Die Datenschutzorganisation NOYB argumentiert, dass dies die Unabhängigkeit der FTC untergräbt, auf die sich der Angemessenheitsbeschluss stützt, und kündigte eine eigene Klage an. Die EU-Kommission hält derzeit am DPF fest. Sollte der EuGH den Angemessenheitsbeschluss jedoch für ungültig erklären – mit nur kurzer oder gänzlich ohne Übergangsfrist –, verliert jede Übermittlung, die ausschließlich auf dem DPF beruht, schlagartig ihre Rechtsgrundlage. Genau dies geschah Anwendern des Privacy Shield im Juli 2020.
Übermittlungsstatus | Risiko bei Nichtigkeit des DPF | Empfohlene Sofortmaßnahme |
|---|---|---|
Nur DPF | Jeder betroffene Datentransfer verbleibt ohne Rechtsgrundlage | Schließen Sie Standardvertragsklauseln vorsorglich als Auffanglösung ab, bevor ein Urteil Sie zu einer übereilten Umstellung zwingt |
DPF plus SCCs | Gering. Die Standardvertragsklauseln greifen nahtlos | TIAs aktuell halten, damit die Auffanglösung rechtlich tragfähig bleibt |
Nur SCCs | Von einem DPF-Urteil unberührt | Sorgen Sie für eine fundierte Dokumentation der TIAs. Auch bei Standardvertragsklauseln drohen Durchsetzungsrisiken, wenn die Folgenabschätzung unzureichend ist |
Checkliste: Internationale Datentransfers
Jeder Datenfluss von der EU in die USA ist einem Rechtsmechanismus zugeordnet: DPF, SCCs, verbindliche interne Datenschutzvorschriften (BCR) oder eine Ausnahmebestimmung.
Sofern Sie sich auf das DPF stützen: Ihre Zertifizierung ist aktiv, deckt die relevanten Daten (inkl. Personaldaten) ab und führt die korrekten juristischen Einheiten auf.
In Kunden-AVVs sind unterzeichnete Standardvertragsklauseln (Modul 2 oder 3) als Auffanglösung enthalten, die automatisch greifen, falls das DPF seine Gültigkeit verliert – selbst wenn das DPF als primärer Mechanismus dient.
Für jede SCC-Übermittlung liegt ein dokumentiertes Transfer Impact Assessment mit einem festen Überprüfungsdatum vor.
Weiterübermittlungen an eigene Unterauftragsverarbeiter sind abgesichert – entweder über deren DPF-Zertifizierung oder über mit ihnen geschlossene Standardvertragsklauseln.
Zusätzliche technische und organisatorische Schutzmaßnahmen (Verschlüsselung, Zugriffskontrollen, EU-Hosting-Optionen) sind im Sicherheitsanhang präzise beschrieben.
Es besteht ein definierter Prozess zum rechtlichen Vorgehen gegen behördliche Herausgabeverlangen und zur Benachrichtigung des Kunden gemäß Klausel 15 der SCCs.
Übermittlungen aus dem Vereinigten Königreich stützen sich auf die UK Extension zum DPF bzw. das UK Addendum; Übermittlungen aus der Schweiz nutzen das Swiss-US DPF oder angepasste SCCs.
Zu beachten:
Die Standardvertragsklauseln von 2021 wurden für Datenimporteure konzipiert, die nicht der DSGVO unterliegen. Fallen Sie bereits unmittelbar unter Artikel 3 Absatz 2, passen die Klauseln systematisch nicht lückenlos. Die Europäische Kommission arbeitet an einem ergänzenden Klauselsatz für diese Fallkonstellation.
Datenschutzgesetze der US-Bundesstaaten: Ein eigenes System, kein Ersatz für die DSGVO
Umfassende Datenschutzgesetze in rund zwanzig US-Bundesstaaten – darunter der CCPA in Kalifornien – werden häufig fälschlicherweise als „die US-Version der DSGVO“ bezeichnet. Sie sind jedoch keineswegs austauschbar.
Deren Einhaltung erfüllt nicht die Anforderungen der DSGVO – und umgekehrt entbindet die DSGVO-Compliance nicht von den bundesstaatlichen US-Vorgaben.
Die wesentlichen Unterschiede in der Praxis:
US-Bundesstaatsgesetze | DSGVO | |
Anwendungsbereich | Knüpfen an Schwellenwerte an (z. B. Jahresumsatz oder Anzahl der verarbeiteten Datensätze von Einwohnern des Bundesstaates). | Gilt nach dem Niederlassungs-, Marktort- oder Auswirkungsprinzip – ohne Größen- oder Umsatzschwellen. |
Rechtsgrundlagen | Opt-out-Modell nach vorheriger Information (Notice and opt-out). | Erfordert eine explizite gesetzliche Rechtsgrundlage vor Beginn der Verarbeitung. |
Vertragliche Vorgaben | Verlangen spezifische Verträge für Service Provider oder Processors mit jeweils bundesstaatlich vorgegebenen Pflichtklauseln. | Ein DSGVO-AVV deckt vieles ab, aber nicht alles. Achten Sie auf bundesstaatliche Besonderheiten wie die CCPA-Vorgaben zum Weiterverkaufs- und Weitergabeverbot („selling/sharing“). |
Internationale Übermittlungen | Kennen kein Äquivalent zu Kapitel V der DSGVO. | Regelungen der US-Bundesstaaten bieten keinerlei Rechtsgrundlage zur Rechtfertigung eines Datentransfers aus der EU. |
In der Praxis empfiehlt es sich, ein einheitliches Datenschutzprogramm aufzubauen, das die DSGVO als Grundstandard nutzt und um bundesstaatliche Anforderungen ergänzt, während die Vertragsmuster für beide Rechtsräume klar voneinander getrennt bleiben.
Weitere wichtige Entwicklungen im Jahr 2026
Zwei Vorhaben auf EU-Ebene sollten Sie im Blick behalten, auch wenn sie die heutige Checkliste noch nicht verändern:
Der Digital Omnibus – Von der Europäischen Kommission am 19. November 2025 vorgeschlagen, um Teile der DSGVO und der ePrivacy-Regeln anzupassen (bezüglich der DSGVO liegt derzeit ein Entwurf vor). Unter anderem soll der Begriff der personenbezogenen Daten relativiert werden – abhängig davon, wer die Daten innehat. Dies ist besonders für US-Dienstleister relevant, die ausschließlich pseudonymisierte Daten verarbeiten. Zudem soll die Frist für Meldungen von Datenschutzverletzungen auf 96 Stunden verlängert werden, beschränkt auf Fälle mit hohem Risiko. Bis zur Verabschiedung der endgültigen Fassung gelten die aktuellen DSGVO-Vorschriften unverändert fort. Mehr dazu lesen Sie in unserer DSGVO-Compliance-Checkliste.
Der EU AI Act – Gilt für US-Unternehmen, die KI-Systeme in der EU in Verkehr bringen oder deren KI-Ergebnisse in der EU genutzt werden. Die ergänzende Verordnung (EU) 2026/1744 verschob die Pflichten für in Anhang III aufgeführte Hochrisiko-Systeme auf den 2. Dezember 2027 (PPC Land). Für US-Auftragsverarbeiter zeigen sich die Auswirkungen jedoch bereits im Vertragsrecht: Europäische Kunden fordern zunehmend Klarheit darüber, ob ihre Daten zum Modelltraining genutzt werden und wo die Modelle betrieben werden – und verlangen entsprechende Regelungen im AVV.
Effiziente Skalierung von Kunden-AVVs mit LEGALFLY
Für US-Unternehmen, die in den europäischen Markt expandieren, ist selten die DSGVO-Checkliste selbst das Hindernis, sondern das schiere Volumen. Jeder europäische Geschäftsabschluss bringt einen kundenseitigen AVV mit sich, der in der Rechtsabteilung landet, während der Vertrieb auf Freigabe wartet. LEGALFLY, das Legal Operating System für Inhouse-Juristen, führt diese Prozesse von der Anfrage bis zum Abschluss – innerhalb der von Ihrer Rechtsabteilung definierten Leitplanken.
Agent Studio
Eingehende AVVs werden in einem standardisierten Workflow verarbeitet; der Vertriebs-Workflow von LEGALFLY passt sich dabei nahtlos an Drittverträge an:
Ein Kunden-AVV geht über den Vertrieb per E-Mail, Slack oder Microsoft Teams ein.
Ein Triage-Agent prüft, ob es sich um den Vertrag des Kunden oder die eigene Standardvorlage handelt, und leitet das Dokument weiter.
Der Review-Agent gleicht das Dokument mit Ihrem DPA-Playbook ab: Verarbeitungsrahmen, Weisungen, Sicherheits- und Meldefristen, Unterauftragsverarbeiter, Unterstützungspflichten, Drittlandtransfers, Audits, Beendigung und Haftung.
Klauseln, die Ihren Standardpositionen entsprechen, werden freigegeben. Abweichungen werden unter Angabe der Begründung und mit einem redaktionellen Formulierungsvorschlag aus Ihren genehmigten Fallback-Klauseln an die Rechtsabteilung eskaliert.
Die Rechtsabteilung gibt die Klauseln frei und der Anfragende im Vertrieb wird automatisch benachrichtigt.
Vertriebsteams müssen bei datenschutzrechtlichen Standardklauseln nicht mehr auf Rückmeldungen warten, während Legal die uneingeschränkte Kontrolle über jede Abweichung behält. Dies ist juristische Workflow-Automation, die direkt an der Schnittstelle ansetzt, an der das AVV-Aufkommen entsteht.
Um zu erfahren, wie LEGALFLY Sie unterstützen kann, vereinbaren Sie gerne ein Gespräch mit einem unserer Experten.
Anonymisierung
Kunden-AVVs, Anhänge und Dienstleisterlisten enthalten Namen, Unterschriften und Kontaktdaten – häufig von betroffenen Personen aus der EU. Die Eingabe dieser Dokumente in herkömmliche KI-Tools wirft genau die Drittlandübermittlungsprobleme auf, denen diese Checkliste gewidmet ist.
LEGALFLY anonymisiert Dokumente direkt beim Import vor Beginn jeglicher Analyse, sodass keine personenbezogenen Daten Ihre Infrastruktur verlassen. LEGALFLY ist die einzige juristische KI-Lösung, die Dokumente vor der eigentlichen Textanalyse anonymisiert. Die Plattform ist als SaaS, Single-Tenant oder Single-Tenant mit On-Premise-Anonymisierung verfügbar, nach ISO 27001 zertifiziert und SOC-2-Typ-II-konform.
Um zu erfahren, wie LEGALFLY Sie unterstützen kann, vereinbaren Sie gerne ein Gespräch mit einem unserer Experten.
Contract Intelligence
Ein lückenloser Überblick darüber, welche Verträge sich auf das DPF stützen, ist unabdingbar – insbesondere mit Blick auf ein mögliches Urteil des Europäischen Gerichtshofs.
Contract Intelligence bietet volle Transparenz über den gesamten Vertragslebenszyklus hinweg – einschließlich vertraglicher Pflichten und relevanter Fristen nach Vertragsschluss.
Um zu erfahren, wie LEGALFLY Sie unterstützen kann, vereinbaren Sie gerne ein Gespräch mit einem unserer Experten.
Häufig gestellte Fragen (FAQs) zur DSGVO-Checkliste für US-Unternehmen
Gilt die DSGVO für US-Unternehmen ohne Niederlassung in der EU?
Ja, das ist möglich. Nach Artikel 3 Absatz 2 gilt die DSGVO auch ohne physische Präsenz in der EU für US-Unternehmen, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. US-amerikanische B2B-Unternehmen werden in der Praxis zudem über die AVVs vertraglich verpflichtet, die europäische Kunden von ihnen verlangen.
Benötigen US-Unternehmen einen EU-Vertreter?
Ja, sofern sie nach Artikel 3 Absatz 2 der DSGVO unterliegen und keine EU-Niederlassung haben. Ausgenommen sind lediglich Unternehmen, deren Verarbeitung nur gelegentlich erfolgt, keine großflächige Verarbeitung besonderer Datenkategorien umfasst und voraussichtlich zu keinem Risiko führt. Die meisten Unternehmen mit fortlaufenden Kundenbeziehungen in die EU fallen nicht unter diese Ausnahme.
Ist das EU-US Data Privacy Framework im Jahr 2026 noch gültig?
Ja. Das Gericht der Europäischen Union hat das DPF im September 2025 bestätigt. Ein Rechtsmittelverfahren (Rechtssache C-703/25 P) ist jedoch vor dem EuGH anhängig, der bereits die beiden Vorgängerabkommen für nichtig erklärt hatte. Standardvertragsklauseln als vertragliche Auffanglösung vorzusehen, stellt die rechtssicherste Strategie dar.
Werden Standardvertragsklauseln trotz DPF-Zertifizierung benötigt?
Rechtlich nicht für Übermittlungen, die vom Zertifizierungsumfang abgedeckt sind. Aus praktischer Risikoperspektive empfiehlt es sich dringend: Durch Standardvertragsklauseln im Kunden-AVV wird verhindert, dass eine Nichtigerklärung des DPF Ihre EU-Verträge über Nacht ohne Übermittlungsgrundlage zurücklässt.
Erfüllt die Einhaltung des CCPA die Anforderungen der DSGVO?
Nein. Datenschutzgesetze der US-Bundesstaaten stellen eigenständige Regelungswerke dar. Sie weichen in Anwendungsbereich, Rechtsgrundlagen sowie Vertragspflichten ab und enthalten keinerlei Vorschriften zur Rechtfertigung von Datentransfers aus der EU.
Aus welchem Grund benötigen US-Unternehmen in der Praxis am häufigsten eine DSGVO-Checkliste?
Weil ein europäischer Kunde die Unterzeichnung eines Auftragsverarbeitungsvertrags (AVV) verlangt. Dieses Dokument führt unmittelbar zur Geltung der Pflichten nach Artikel 28, Übermittlungsklauseln, Vorfallmeldefristen, Audit-Rechten und spezifischen Haftungsregelungen.
