Seit 2015 zwei Abkommen gekippt.
Was bedeutet der Datentransfer in die USA?
Zwei Abkommen gekippt, das dritte gilt. Beim EuGH läuft dazu ein Rechtsmittel. Der Stand mit Datum und Aktenzeichen.
Stand: August 2026
Sobald ein eingebundener Dienst Daten in ein Land außerhalb der EU gibt, greift Kapitel V der DSGVO. Seit 2015 hat der EuGH zwei Abkommen zwischen der EU und den USA gekippt, das dritte gilt und wird gerade überprüft. Diese Seite hält fest, wer was wann entschieden hat. Ob Ihre eigene Übermittlung zulässig ist, steht hier nicht: das ist eine Frage an Ihre Rechtsberatung, nicht an einen CAPTCHA-Anbieter.
Was regelt die DSGVO zu Drittländern?
Kapitel V, Art. 44 bis 50.
Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden […]
Art. 44 DSGVO
Eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation darf vorgenommen werden, wenn die Kommission beschlossen hat, dass das betreffende Drittland […] ein angemessenes Schutzniveau bietet. Eine solche Datenübermittlung bedarf keiner besonderen Genehmigung.
Art. 45 Abs. 1 DSGVO
Liegt kein solcher Beschluss vor, bleiben die weiteren Instrumente des Kapitels, etwa Standardvertragsklauseln nach Art. 46.
Was hat der EuGH entschieden?
Zweimal: das Abkommen reicht nicht.
- 06.10.2015Safe Harbour für ungültig erklärt, C-362/14
- 16.07.2020Privacy Shield für ungültig erklärt, C-311/18
- 10.07.2023Data Privacy Framework, Beschluss (EU) 2023/1795, in Kraft
- 06.10.2015
- Schrems I, C-362/14. Der EuGH erklärt die Entscheidung der Kommission zu Safe Harbour für ungültig.
- 16.07.2020
- Schrems II, C-311/18. Der EuGH erklärt das Privacy Shield für ungültig, ohne Übergangsfrist.
- Zugleich
- Die Standardvertragsklauseln bleiben gültig. Der EuGH verlangt jedoch, bei der Beurteilung einer Übermittlung auch die Rechtsordnung des Empfängerlands zu berücksichtigen.
Bei der insoweit im Zusammenhang mit einer solchen Übermittlung vorzunehmenden Beurteilung sind insbesondere die vertraglichen Regelungen zu berücksichtigen, die zwischen dem in der Europäischen Union ansässigen Verantwortlichen bzw. seinem dort ansässigen Auftragsverarbeiter und dem im betreffenden Drittland ansässigen Empfänger der Übermittlung vereinbart wurden, sowie, was einen etwaigen Zugriff der Behörden dieses Drittlands auf die übermittelten personenbezogenen Daten betrifft, die maßgeblichen Elemente der Rechtsordnung dieses Landes.
EuGH, 16.07.2020, C-311/18, Tenor Nr. 2
Was ist das EU-US Data Privacy Framework?
Der dritte Anlauf, seit dem 10.07.2023 in Kraft.
- Rechtsakt
- Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.07.2023. Er trat am Tag seiner Annahme in Kraft.
- Wirkung
- Die Kommission stellt darin ein angemessenes Schutzniveau für Übermittlungen an US-Organisationen fest, die beim US-Handelsministerium zertifiziert sind.
- Grenze
- Der Beschluss deckt nur zertifizierte Empfänger. Wer nicht auf der Liste steht, fällt nicht darunter.
Wie sicher ist der Beschluss?
Erste Instanz bestätigt, Rechtsmittel läuft.
- 03.09.2025
- Das Gericht der Europäischen Union weist die Nichtigkeitsklage von Philippe Latombe ab und bestätigt den Beschluss in der Sache. Rechtssache T-553/23.
- 31.10.2025
- Latombe legt Rechtsmittel beim EuGH ein. Rechtssache C-703/25 P. Eine Entscheidung liegt bislang nicht vor.
Was ist mit dem PCLOB passiert?
Zwei Mitglieder abberufen, das Verfahren darüber läuft bis heute.
- 27.01.2025Abberufung der Mitglieder LeBlanc und Felten
- 21.05.2025District Court: die Abberufungen sind rechtswidrig
- 01.07.2025D.C. Circuit setzt diese Entscheidung aus
- 18.07.2025Antrag auf Überprüfung durch das Gesamtgericht abgelehnt
- 01.08.2026Rechtsmittelverfahren weiterhin anhängig, Az. 25-5197
- 27.01.2025
- Die US-Regierung entfernt PCLOB-Mitglieder aus dem Gremium, darunter Travis LeBlanc und Edward Felten, die dagegen klagen.
- 21.05.2025
- Das Bundesbezirksgericht für den District of Columbia erklärt die Abberufungen für rechtswidrig. Az. 1:25-cv-00542, Richter Reggie B. Walton.
- 01.07.2025
- Der D.C. Circuit setzt diese Entscheidung für die Dauer des Rechtsmittels aus. Az. 25-5197.
- 18.07.2025
- Dasselbe Gericht lehnt es ab, die Aussetzung durch das Gesamtgericht überprüfen zu lassen.
- Heute
- Das Rechtsmittelverfahren ist anhängig. Am 29.07.2026 beantragten die Kläger eine beschleunigte mündliche Verhandlung.
- Bezug
- Der Angemessenheitsbeschluss beschreibt das PCLOB in Erwägungsgrund 110 als unabhängige Stelle innerhalb der Exekutive und stützt sich auf dessen Aufsicht.
Wie das Rechtsmittel ausgeht, wissen wir nicht. Wir schreiben hier keine Prognose hin, weder eine beruhigende noch eine alarmierende. Die beiden Vorgängerabkommen wurden gekippt, das aktuelle steht in erster Instanz. Mehr lässt sich am 01.08.2026 nicht sagen.
Und bei ByeBot?
Die Frage stellt sich nicht.
- Besucheranfrage
- IP-Adresse
- Prüfergebnis
Prüfung
Deutschland
Bleibt in Deutschland
- Hetzner Online GmbH
- Auftragsverarbeitung nach Art. 28
- Erkennungsereignisse: 30 Tage
Es gibt keinen Pfad in ein Drittland, auch nicht als Ausweichweg.
- Standort
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. In jedem Tarif.
- Übermittlung
- Keine Übertragung in ein Drittland.
- Vertrag
- Auftragsverarbeitung nach Art. 28 DSGVO.
Ein Angemessenheitsbeschluss ist ein Instrument für Daten, die die EU verlassen. Bei einer ByeBot-Prüfung verlassen sie Deutschland nicht, damit fällt dieses Instrument bei uns weg. Das ist kein Verdienst, sondern eine Entscheidung über den Serverstandort, die jeder Anbieter treffen könnte.
Fragen zum Drittlandtransfer.
Kurze Antworten mit Datum und Aktenzeichen. Die Einordnung für die eigene Übermittlung steht hier nicht.
Sind die Standardvertragsklauseln nach Schrems II noch gültig?
Ja. Der EuGH erklärte am 16.07.2020 in der Rechtssache C-311/18 das Privacy Shield für ungültig, ohne Übergangsfrist. Die Standardvertragsklauseln bleiben gültig. Zugleich verlangt der Gerichtshof, bei der Beurteilung einer Übermittlung neben den vertraglichen Regelungen auch die maßgeblichen Elemente der Rechtsordnung des Empfängerlands zu berücksichtigen.
Was ist ein Angemessenheitsbeschluss?
Ein Beschluss der Kommission, mit dem sie für ein Drittland ein angemessenes Schutzniveau feststellt. Art. 45 Abs. 1 DSGVO knüpft daran an: Eine Übermittlung darf vorgenommen werden, wenn die Kommission das beschlossen hat, und bedarf dann laut Wortlaut keiner besonderen Genehmigung. Liegt kein solcher Beschluss vor, bleiben die weiteren Instrumente des Kapitels, etwa Standardvertragsklauseln nach Art. 46.
Für welche US-Empfänger gilt der Beschluss von 2023?
Der Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.07.2023 stellt ein angemessenes Schutzniveau für Übermittlungen an US-Organisationen fest, die beim US-Handelsministerium zertifiziert sind. Er trat am Tag seiner Annahme in Kraft. Der Beschluss deckt nur zertifizierte Empfänger. Wer nicht auf der Liste steht, fällt nicht darunter.
Wer hat gegen das Data Privacy Framework geklagt?
Philippe Latombe. Das Gericht der Europäischen Union wies seine Nichtigkeitsklage am 03.09.2025 in der Rechtssache T-553/23 ab und bestätigte den Beschluss in der Sache. Am 31.10.2025 legte er Rechtsmittel beim EuGH ein, Rechtssache C-703/25 P. Eine Entscheidung liegt bislang nicht vor.
Wofür ist das PCLOB im Angemessenheitsbeschluss wichtig?
Der Angemessenheitsbeschluss beschreibt das PCLOB in Erwägungsgrund 110 als unabhängige Stelle innerhalb der Exekutive und stützt sich auf dessen Aufsicht. Am 27.01.2025 entfernte die US-Regierung Mitglieder aus dem Gremium, darunter Travis LeBlanc und Edward Felten. Das Rechtsmittelverfahren darüber ist unter dem Aktenzeichen 25-5197 anhängig, Stand 01.08.2026.
Verarbeitet ByeBot Daten außerhalb der EU?
Nein. Eine ByeBot-Prüfung läuft in Deutschland, bei der Hetzner Online GmbH, in jedem Tarif. Es gibt keine Übertragung in ein Drittland und keinen Pfad dorthin, auch nicht als Ausweichweg. Die Auftragsverarbeitung läuft nach Art. 28 DSGVO, Erkennungsereignisse werden 30 Tage aufbewahrt. Ein Angemessenheitsbeschluss ist ein Instrument für Daten, die die EU verlassen, und fällt damit bei uns weg. Das ist kein Verdienst, sondern eine Entscheidung über den Serverstandort, die jeder Anbieter treffen könnte.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.