Angemessenheitsbeschluss

Ausführliche Erklärung

Die Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums unterliegt strengen Voraussetzungen. Art. 45 DSGVO ermöglicht es der Europäischen Kommission, für bestimmte Drittländer, Gebiete, Sektoren oder internationale Organisationen festzustellen, dass dort ein angemessenes Schutzniveau besteht. Diese Feststellung ergeht als Durchführungsrechtsakt, der sogenannte Angemessenheitsbeschluss. Verlangt wird kein identisches, aber ein der Sache nach gleichwertiges Datenschutzniveau. Geprüft wird das gesamte Rechtssystem des Drittlands: Rechtsstaatlichkeit und Grundrechte, die Datenschutzgesetzgebung, die Zugriffsmöglichkeiten von Behörden auf die Daten, wirksame Rechtsbehelfe für Betroffene und die Existenz einer unabhängigen Aufsichtsbehörde.

Für Unternehmen bedeutet ein Angemessenheitsbeschluss eine erhebliche Erleichterung: Ein Drittlandtransfer in ein solches Land braucht keine Genehmigung der Datenschutzbehörde und kein zusätzliches Transferinstrument – weder Standardvertragsklauseln noch ein Transfer Impact Assessment. Der Transfer ist so einfach möglich wie innerhalb der EU. Alle übrigen Anforderungen der DSGVO bleiben davon unberührt: Es braucht weiterhin eine Rechtsgrundlage nach Art. 6 DSGVO, die allgemeinen Grundsätze gelten, und bei einem Dienstleister im Drittland ist nach wie vor ein Vertrag mit dem Auftragsverarbeiter erforderlich.

Die Kommission beobachtet die Entwicklung in den betreffenden Ländern laufend und muss ihre Beschlüsse mindestens alle vier Jahre überprüfen (Art. 45 Abs. 3 und 4 DSGVO). Verschlechtert sich das Schutzniveau, kann sie einen Beschluss ändern, aussetzen oder widerrufen; dass ein solcher Beschluss auch gerichtlich fallen kann, hat das Schrems-II-Urteil gezeigt. Mit Stand November 2026 bestehen 17 Angemessenheitsbeschlüsse: für die Schweiz, das Vereinigte Königreich (im Dezember 2025 erneuert), Japan, Südkorea, Kanada (nur für kommerzielle Organisationen), Israel, Neuseeland, Argentinien, Uruguay, Andorra, die Färöer, Guernsey, Jersey, die Isle of Man, die Europäische Patentorganisation sowie – seit Jänner 2026 – für Brasilien (Durchführungsbeschluss (EU) 2026/179). Für die USA gilt ein Sonderfall: Der Beschluss vom Juli 2023 deckt nur Datenübermittlungen an Organisationen ab, die auf der Liste des EU-U.S. Data Privacy Framework stehen. Prüfen Sie daher vor jeder Drittlandverarbeitung die aktuelle Liste der Kommission und bei US-Empfängern zusätzlich, ob das konkrete Unternehmen zertifiziert ist – und halten Sie das Ergebnis fest, weil es Teil Ihrer Rechenschaftspflicht ist.