Wie Auftragsverarbeiter dir ein Bußgeld einbringen können: Dienstleister und Drittlandübermittlungen nach der DSGVO prüfen

Der Punkt: deine Dienstleister gehören zu deiner Compliance

Ein kleiner Onlineshop in Leipzig läuft auf vielleicht einem Dutzend fremder Dienste. Eine Mailplattform für den Newsletter, ein Chat Widget, ein Bewertungstool, Analytics, Buchhaltung, eine Versandsoftware. Jeder dieser Dienste fasst Kundendaten an, und jeder ist ein rechtliches Verhältnis nach der Datenschutz Grundverordnung (DSGVO). Geht einer davon schlampig mit den Daten um, bleibt die Aufsichtsbehörde nicht vor der Tür des Dienstleisters stehen. Sie klopft auch bei dir.

Das Gesetz verlangt von dir zwei Dinge. Erstens: Bevor du personenbezogene Daten an einen Dienstleister gibst, wählst du einen, dem du sie anvertrauen kannst, und schließt einen Vertrag, der festlegt, was er damit tun darf.¹ Zweitens: Verlassen die Daten den Europäischen Wirtschaftsraum (EWR), braucht die Übermittlung eine Rechtsgrundlage, und der Schutz darf unterwegs nicht verloren gehen.² Beide Regeln stehen seit 2018 in der DSGVO. Wie streng die zweite gemeint ist, hat der Europäische Gerichtshof 2020 im Urteil Schrems II klargestellt, und seit Juli 2023 gibt es für die USA wieder einen Angemessenheitsbeschluss, der aber nur für Anbieter gilt, die sich jedes Jahr neu zertifizieren.³⁴

Ich gehe beide Hälften mit dem Gesetzestext, den Leitlinien des Europäischen Datenschutzausschusses (EDSA) und den Hinweisen der deutschen Aufsichtsbehörden durch und zeige dann, wie ich Dienstleister nach Risiko sortiere, damit die Prüfzeit dort landet, wo das Risiko liegt. Der Shop und seine Zahlen sind erfunden. Das Recht nicht.

Verantwortlicher und Auftragsverarbeiter: wer entscheidet und wer arbeitet

Zwei Begriffe tragen das ganze Thema. Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.⁵ Für deine Kundenliste bist du der Verantwortliche. Die Mailplattform, die deinen Newsletter an diese Liste verschickt, ist dein Auftragsverarbeiter.

Entscheidend ist, wer bestimmt, nicht die Größe und nicht, wem die Server gehören. Ein weltweiter Softwarekonzern bleibt dein Auftragsverarbeiter, solange er nur tut, was du ihm sagst. Sobald er die Daten für eigene Zwecke nutzt, etwa um seine Produkte zu trainieren oder Werbung zu verkaufen, bestimmt er selbst über Zwecke und Mittel. Für diesen Teil gilt er dann als Verantwortlicher.¹ Das willst du wissen, bevor du unterschreibst.

Ein Beispiel: die Kerzenmanufaktur Plagwitz, ein erfundener Shop in Leipzig unter kerzenplagwitz.example, geführt von Lena. Sie entscheidet, Kundinnen und Kunden, die eingewilligt haben, einmal im Monat einen Newsletter zu schicken. Damit ist sie die Verantwortliche. Die Mailplattform speichert die Liste und verschickt auf ihre Anweisung, also ist sie Lenas Auftragsverarbeiter. Das Chat Widget speichert Chatverläufe für ihr Team, ebenfalls ein Auftragsverarbeiter. Erlauben die Nutzungsbedingungen dem Anbieter aber, diese Verläufe auszuwerten, um seine eigenen Modelle zu verbessern, verfolgt er einen eigenen Zweck. Genau diesen Satz suche ich in den Bedingungen jedes Anbieters zuerst.

Was Artikel 28 von dir verlangt, bevor du unterschreibst

Artikel 28 Absatz 1 DSGVO sagt: Du arbeitest nur mit Auftragsverarbeitern, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen getroffen werden.¹ Woran sich diese Garantien messen, steht in Erwägungsgrund 81: insbesondere an Fachwissen, Zuverlässigkeit und Ressourcen des Anbieters.⁶ Die Pflicht zur Auswahl liegt bei dir, nicht beim Dienstleister.

Dann der Vertrag. Er muss schriftlich vorliegen, wobei ein elektronisches Format reicht. Er legt Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie deine Rechte und Pflichten fest, und er verpflichtet den Auftragsverarbeiter zu acht Dingen:¹

1. Daten nur auf deine dokumentierte Weisung zu verarbeiten, auch was Übermittlungen in Drittländer angeht.
2. Sicherzustellen, dass alle, die mit den Daten arbeiten, zur Vertraulichkeit verpflichtet sind.
3. Die Sicherheitsmaßnahmen nach Artikel 32 zu treffen.
4. Weitere Auftragsverarbeiter nur mit deiner Genehmigung und zu denselben Bedingungen einzusetzen.
5. Dich zu unterstützen, wenn Menschen ihre Rechte ausüben, etwa auf Auskunft oder Löschung.
6. Dich bei Sicherheit, Meldung von Datenpannen und Datenschutz Folgenabschätzungen zu unterstützen.
7. Nach Ende des Auftrags alle Daten nach deiner Wahl zu löschen oder zurückzugeben.
8. Dir alle Informationen zum Nachweis zu geben und Überprüfungen zu ermöglichen.

Die meisten Softwareanbieter veröffentlichen dafür einen Auftragsverarbeitungsvertrag, kurz AVV. Deine Aufgabe ist nicht, einen zu schreiben. Deine Aufgabe ist zu prüfen, dass es ihn gibt, dass er für deinen Tarif gilt und dass er diese acht Punkte enthält.

Beispiel: der AVV des Chat Widgets

Der Anbieter des Chat Widgets schickt Lena einen Link zu seinem AVV. Ich lese ihn mit ihr Punkt für Punkt gegen die Liste.

Weisungen: Der Vertrag sagt, der Anbieter verarbeite Daten "zur Erbringung und Verbesserung der Dienste". Verbesserung ist ein eigener Zweck des Anbieters, also ist Punkt eins nur zur Hälfte erfüllt.

Vertraulichkeit, Sicherheit, Unterstützung bei Betroffenenrechten und bei Datenpannen: je eine Klausel, dazu eine Anlage mit Verschlüsselung und Zugriffskontrollen. Punkte zwei, drei, fünf und sechs sind erfüllt.

Weitere Auftragsverarbeiter: allgemeine Genehmigung, eine öffentliche Liste, 30 Tage Vorlauf bei Änderungen. Punkt vier ist erfüllt, wenn Lena die Benachrichtigungen abonniert.

Löschung innerhalb von 90 Tagen nach Vertragsende, eine jährliche Zusammenfassung der Prüfberichte auf Anfrage. Punkte sieben und acht sind erfüllt.

Ergebnis: sieben von acht erfüllt, einer offen. Lena fragt den Anbieter schriftlich, wie sie die Nutzung zur "Verbesserung" abschaltet. Diese eine Mail ist die Sorgfaltsprüfung für diesen Punkt, und es ist die, die die meisten Shops nie schicken.

Unterauftragsverarbeiter: die Dienstleister deiner Dienstleister

Dein Auftragsverarbeiter setzt fast immer eigene Auftragsverarbeiter ein: Hosting, Mailversand, Supporttools. Das Gesetz nennt sie weitere Auftragsverarbeiter, in der Praxis heißen sie Unterauftragsverarbeiter. Artikel 28 sagt: Dein Auftragsverarbeiter darf keinen ohne deine vorherige gesonderte oder allgemeine schriftliche Genehmigung einsetzen, er muss dich über jede beabsichtigte Änderung informieren, damit du widersprechen kannst, und er muss dieselben Datenschutzpflichten per Vertrag an ihn weitergeben.¹ Erfüllt der Unterauftragsverarbeiter seine Pflichten nicht, haftet dein Auftragsverarbeiter dir gegenüber dafür.¹

Ein Beispiel: Lenas Buchhaltungssoftware listet auf ihrer Website vier Unterauftragsverarbeiter. Hosting in Irland, Mailversand in den USA, ein Supporttool in den USA und ein Zahlungsdienst in Deutschland. Zwei der vier bringen Namen und Adressen ihrer Kundschaft in die USA. Auf der Verkaufsseite steht davon nichts. In der Liste schon. Fünf Minuten Lesen ändern, welche Fragen zur Übermittlung sie stellen muss.

Wer zahlt, wenn ein Auftragsverarbeiter danebenliegt

Die alte Fassung dieses Artikels sagte: Wenn dein Auftragsverarbeiter versagt, liegt die Verantwortung immer bei dir. Das ist zu einfach.

Beim Schadenersatz für die Betroffenen sagt Artikel 82: Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, den eine rechtswidrige Verarbeitung verursacht. Ein Auftragsverarbeiter haftet nur, wenn er seine speziell ihm auferlegten Pflichten verletzt oder deine rechtmäßigen Weisungen missachtet oder gegen sie gehandelt hat.⁷ Sind beide für denselben Schaden verantwortlich, haftet jeder für den gesamten Schaden, damit die betroffene Person ihr Geld bekommt, und wer gezahlt hat, holt sich den Anteil des anderen zurück.⁷ Befreit wird nur, wer nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, der den Schaden verursacht hat.⁷

Bei Bußgeldern nennt Artikel 83 Absatz 4 die Pflichten der Verantwortlichen und der Auftragsverarbeiter ausdrücklich nebeneinander. Auch ein Auftragsverarbeiter kann also selbst ein Bußgeld bekommen.⁸ Der deutlichste deutsche Fall der letzten Jahre zeigt aber die andere Seite, die des Auftraggebers. Im Juni 2025 hat die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) gegen die Vodafone GmbH ein Bußgeld von 15 Millionen Euro verhängt, weil das Unternehmen die Partneragenturen, die in seinem Auftrag Verträge vermittelten, nicht im ausreichenden Umfang datenschutzrechtlich überprüft und überwacht hatte, ein Verstoß gegen Artikel 28 Absatz 1. Böswillig handelnde Mitarbeitende dieser Agenturen hatten unter anderem Verträge fingiert oder zulasten der Kundschaft geändert. Ein zweites Bußgeld von 30 Millionen Euro betraf Sicherheitsmängel bei der Authentifizierung. Die Behörde schreibt dazu, der Einsatz von Auftragsverarbeitern werde in der Praxis häufig nicht ausreichend kontrolliert.⁹

Die Obergrenzen stehen in Artikel 83. Verstöße gegen die Pflichten von Verantwortlichen und Auftragsverarbeitern, Artikel 28 eingeschlossen, kosten bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. Verstöße gegen die Übermittlungsregeln in den Artikeln 44 bis 49 fallen in die höhere Stufe: bis zu 20 Millionen Euro oder 4 %.⁸

Die alte Fassung sagte außerdem, die DSGVO unterscheide nicht zwischen absichtlichen und versehentlichen Verstößen. Sie tut es. Bei der Bemessung eines Bußgelds berücksichtigt die Behörde die Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes und den Grad der Verantwortung unter Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen.⁸ Genau deshalb schreibst du deine Prüfung der Dienstleister auf.

Ein Beispiel: Angenommen, beim Anbieter des Chat Widgets gibt es einen Sicherheitsvorfall, und Chatverläufe mit Lieferadressen gelangen nach außen. Hat Lena den AVV gelesen und die eine Lücke geschlossen, steht das in ihrer Akte. Hat sie ein Skript in ihre Website kopiert und nie hingeschaut, ist die Akte leer. Derselbe Vorfall, eine völlig andere Lage.

Wenn Daten den EWR verlassen: der Test mit drei Fragen

Kapitel V der DSGVO beginnt mit Artikel 44: Jede Übermittlung personenbezogener Daten an ein Drittland ist nur zulässig, wenn die Bedingungen dieses Kapitels eingehalten werden, und das gilt auch für jede Weiterübermittlung von dort in ein anderes Drittland.² Drittland ist für einen deutschen Shop jedes Land, in dem die DSGVO nicht gilt, also alles außerhalb der Europäischen Union und der drei übrigen EWR Staaten Island, Liechtenstein und Norwegen.¹⁰ Die Schweiz, das Vereinigte Königreich und die USA sind also Drittländer, auch wenn sie sich nicht so anfühlen.

Ob überhaupt eine Übermittlung vorliegt, prüft der EDSA mit drei Kriterien. Nur wenn alle drei erfüllt sind, gilt Kapitel V:¹¹

1. Unterliegt der Verantwortliche oder Auftragsverarbeiter, der die Daten weitergibt (der Exporteur), für diese Verarbeitung der DSGVO?
2. Übermittelt er die Daten an einen anderen Verantwortlichen oder Auftragsverarbeiter (den Importeur) oder macht er sie ihm auf andere Weise zugänglich?
3. Sitzt dieser Importeur in einem Drittland, unabhängig davon, ob er selbst der DSGVO unterliegt?

Zwei Details aus denselben Leitlinien erwischen die meisten Shops. Zugänglich machen reicht: Ein Fernzugriff aus einem Drittland gilt als Übermittlung, selbst wenn die Daten dabei nur auf einem Bildschirm angezeigt werden, etwa im Support. Die Server müssen sich dafür nicht bewegen.¹¹ Und wenn dein Auftragsverarbeiter in der EU Daten an seinen eigenen Unterauftragsverarbeiter in einem Drittland gibt, ist er der Exporteur und muss Kapitel V einhalten. Weil das aber in deinem Auftrag geschieht, bleibst du mitverantwortlich und musst dafür sorgen, dass er nach Artikel 28 hinreichende Garantien bietet.¹¹ Deine eigene Mitarbeiterin, die auf einer Reise außerhalb der EU auf die Firmendaten zugreift, ist dagegen keine Übermittlung, weil sie Teil deines eigenen Unternehmens ist und die Daten keinem anderen zugänglich gemacht werden.¹¹

Beispiel: welche von Lenas Diensten übermitteln

Ich gehe jeden Dienst mit den drei Fragen durch.

Das Analytics Tool gehört einer britischen Firma, die in London hostet. Die DSGVO gilt für Lenas Verarbeitung, sie schickt Seitenaufrufe dorthin, und der Empfänger ist ein anderes Unternehmen in einem Drittland. Dreimal ja: eine Übermittlung. Die Mailplattform ist ein US Unternehmen: wieder dreimal ja.

Das Chat Widget gehört einer Firma in Berlin, aber deren Supportteam arbeitet für einen Dienstleister in Indien und greift auf die Chatverläufe zu. Für Lena ist Frage drei ein Nein, denn ihr Vertragspartner sitzt in Deutschland. Für die Chatfirma sind alle drei ein Ja. Die Übermittlung gibt es also, und abzusichern hat sie der Auftragsverarbeiter. Lena prüft, dass sein AVV sagt, wie.

Die Versandsoftware kommt aus Deutschland, hostet in Deutschland und hat nichts im Ausland. Frage drei ist ein Nein. Vier Dienste, drei Übermittlungen, eine davon macht ihr Auftragsverarbeiter in ihrem Auftrag.

Die Wege hinaus: Angemessenheit, Garantien, Ausnahmen

Jede Übermittlung braucht einen von drei Wegen, und die Reihenfolge steht im Gesetz.²¹²¹³

Zuerst die Angemessenheit nach Artikel 45. Die Europäische Kommission stellt per Beschluss fest, dass ein Drittland ein angemessenes Schutzniveau bietet, und dann braucht die Übermittlung keine besondere Genehmigung.² Anerkannt sind derzeit unter anderem Andorra, Argentinien, Brasilien, Kanada (für kommerzielle Organisationen), Israel, Japan, Neuseeland, Südkorea, die Schweiz, Uruguay, das Vereinigte Königreich und die USA, Letztere nur für Organisationen, die am EU US Datenschutzrahmen teilnehmen.¹⁴ Für das Vereinigte Königreich hat die Kommission am 19. Dezember 2025 beide Beschlüsse von 2021 verlängert, nachdem sie die britischen Änderungen durch den Data (Use and Access) Act geprüft hatte. Sie laufen jetzt bis zum 27. Dezember 2031, mit einer Überprüfung nach vier Jahren.¹⁵ Liegt ein Angemessenheitsbeschluss vor, musst du keinen der weiteren Schritte gehen, aber im Blick behalten, ob er widerrufen oder für ungültig erklärt wird.¹⁶

Danach die geeigneten Garantien nach Artikel 46. Für einen kleinen Betrieb sind das praktisch immer die Standardvertragsklauseln der Kommission (Standard Contractual Clauses, SCC). Verbindliche interne Datenschutzvorschriften, genehmigte Verhaltensregeln und Zertifizierungen gibt es auch, sie sind aber für Konzerne oder ganze Branchen gedacht.¹²¹⁷

Zuletzt die Ausnahmen nach Artikel 49. Dazu gehören die ausdrückliche Einwilligung der Person, nachdem sie über die Risiken informiert wurde, und Übermittlungen, die für die Erfüllung eines Vertrags mit ihr erforderlich sind, etwa um eine Bestellung ins Ausland zu liefern.¹³ Der EDSA sagt, diese Ausnahmen sind restriktiv auszulegen, damit die Ausnahme nicht zur Regel wird.¹⁸ Sie sind für bestimmte Fälle da, nicht für den Betrieb eines ganzen Softwarestacks.

Ein Beispiel: Lenas Analytics in London ist durch den Angemessenheitsbeschluss für das Vereinigte Königreich gedeckt, also braucht sie keine Garantie und keine Bewertung. Ihre Mailplattform in den USA braucht entweder den Datenschutzrahmen oder eine Garantie. Eine Kundin in Dresden bestellt ein Geschenk, das direkt an ihre Schwester in Melbourne gehen soll. Name und Adresse gehen an einen Zusteller in Australien, für das die Kommission keinen Angemessenheitsbeschluss erlassen hat. Die Daten der Kundin braucht es für die Erfüllung ihres Vertrags mit Lena (Artikel 49 Absatz 1 Buchstabe b), die Adresse der Schwester für einen Vertrag, der in ihrem Interesse geschlossen wurde (Buchstabe c).¹³ Der EDSA nennt einen ganz ähnlichen Fall als erlaubt: Ein Reisebüro gibt Kundendaten an das Hotel im Ausland weiter.¹⁸ Drei Übermittlungen, drei verschiedene Wege.

Das Transfer Impact Assessment, seit Schrems II Pflicht

Am 16. Juli 2020 hat der Europäische Gerichtshof in der Rechtssache C 311/18, bekannt als Schrems II, den damaligen Angemessenheitsbeschluss für die USA, den Privacy Shield, für ungültig erklärt. Die Standardvertragsklauseln hat er bestätigt, aber mit einer Bedingung: Der Exporteur muss prüfen, ob sie im Zielland tatsächlich wirken.³ Der Schutz der übermittelten Daten im Drittland muss dem Schutz in der EU der Sache nach gleichwertig sein. Das ist nicht der Fall, wenn das Recht oder die Praxis im Zielland den Importeur daran hindern, seine Pflichten aus den Klauseln einzuhalten.¹⁶

Die Prüfung heißt Transfer Impact Assessment, kurz TIA. Der EDSA beschreibt sie in seinen Empfehlungen 01/2020 in sechs Schritten: deine Übermittlungen kennen, das Übermittlungsinstrument wählen, seine Wirksamkeit im Zielland beurteilen, wenn nötig zusätzliche Maßnahmen treffen, die nötigen Formalien erledigen und das Ganze in angemessenen Abständen neu bewerten.¹⁶ Die Standardvertragsklauseln selbst machen die TIA zur Vertragspflicht. In Klausel 14 sichern beide Parteien zu, keinen Grund zu der Annahme zu haben, dass das Recht im Zielland den Importeur an der Erfüllung hindert. Dabei berücksichtigen sie die besonderen Umstände der Übermittlung, unter anderem Zweck, Art des Empfängers, Kategorien und Format der Daten und den Speicherort. Diese Beurteilung dokumentieren sie und legen sie der Aufsichtsbehörde auf Anfrage vor.¹⁷

Eine TIA brauchst du nur, wenn du dich auf eine Garantie nach Artikel 46 stützt, nicht bei Angemessenheit.¹⁶ Und wenn die Bewertung zeigt, dass der Schutz nicht gleichwertig ist und es keine wirksame zusätzliche Maßnahme gibt, musst du die Übermittlung vermeiden, aussetzen oder beenden.¹⁶

Für Übermittlungen in die USA gibt es eine Erleichterung. Die Schutzmaßnahmen, die die US Regierung für den Bereich der nationalen Sicherheit eingeführt hat, gelten nach Mitteilung der Kommission für alle Übermittlungen unter der DSGVO an US Unternehmen, egal auf welchem Weg. Die deutschen Aufsichtsbehörden sagen deshalb, du darfst die Bewertungen aus dem Angemessenheitsbeschluss in deiner TIA berücksichtigen.¹⁰ Weil Klausel 14 die konkreten Umstände zählt, wächst der Aufwand mit den Daten.

Beispiel: eine angemessene TIA für das Bewertungstool

Lena nutzt ein Bewertungs Widget, das ein kleines US Unternehmen betreibt, das nicht auf der Liste des Datenschutzrahmens steht. Es bekommt Vorname, Mailadresse und Bestellnummer jeder Kundin und jedes Kunden, um nach der Lieferung um eine Bewertung zu bitten. Etwa 400 im Monat.

Schritt eins, die Garantie: die Standardvertragsklauseln der Kommission, Modul zwei, also vom Verantwortlichen an einen Auftragsverarbeiter, eine Garantie nach Artikel 46 (mehr zu diesem Papier weiter unten).

Schritt zwei, die Daten: Namen, Mailadressen und Bestellnummern. Nichts, was mehr verrät, als dass jemand eine Kerze gekauft hat.

Schritt drei, das Zielland: Die übliche Frage bei den USA ist der Zugriff durch Behörden. Die Kommission hat die Schutzmaßnahmen dafür im Angemessenheitsbeschluss bewertet, und Lena darf sich darauf stützen.¹⁰ Diese Daten sind wenig sensibel und für niemanden außer dem Anbieter interessant.

Schritt vier, zusätzliche Maßnahmen: Verschlüsselung bei der Speicherung und bei der Übertragung, Löschung 12 Monate nach der Anfrage.

Schritt fünf, das Ergebnis: Das Schutzniveau ist der Sache nach gleichwertig. Lena schreibt das auf eine Seite, datiert sie und setzt sich eine Wiedervorlage für das nächste Jahr, denn Schritt sechs ist die Neubewertung. Diese Seite ist die TIA. Sie hat 20 Minuten gedauert, ungefähr richtig für diese Daten. Für Gesundheitsdaten würde es deutlich länger dauern.

Der EU US Datenschutzrahmen, und wie du ihn in zwei Minuten prüfst

Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss der Kommission zum EU US Datenschutzrahmen (Data Privacy Framework, DPF). Er deckt nur Übermittlungen an Organisationen in den USA, die in der Data Privacy Framework List stehen, die das US Handelsministerium führt und öffentlich zugänglich macht.⁴ Es ist also kein Beschluss für die USA als Ganzes, sondern nur für die teilnehmenden Unternehmen.¹⁰ Wer teilnehmen will, muss sich jedes Jahr neu zertifizieren. Wer das versäumt oder dauerhaft gegen die Grundsätze verstößt, fliegt von der Liste.⁴

Die deutschen Aufsichtsbehörden haben in ihren Anwendungshinweisen aufgeschrieben, was du prüfen musst.¹⁰ Suche das Unternehmen auf der Liste und prüfe, dass es aktuell aufgeführt ist, mit aktivem Status.¹⁰¹⁹ Prüfe, dass es am EU US Datenschutzrahmen teilnimmt, nicht nur an einem der anderen Programme auf derselben Liste. Schickst du Beschäftigtendaten, muss unter "Covered Data" auch "HR Data" stehen, denn die Zertifizierung erfasst sie nicht automatisch.¹⁰ Lies die Datenschutzerklärung, die vom Eintrag aus verlinkt ist. Und schau von Zeit zu Zeit wieder nach, weil die Zertifizierung auslaufen kann.⁴¹⁰

Steht das Unternehmen nicht auf der Liste, oder nicht für den EU US Datenschutzrahmen, gehst du zurück auf eine Garantie, also Standardvertragsklauseln mit TIA.¹⁰ Und der Rahmen selbst ist rechtlich angegriffen. Das Gericht der Europäischen Union hat am 3. September 2025 die Klage des französischen Abgeordneten Philippe Latombe abgewiesen und bestätigt, dass die USA bei Erlass des Beschlusses ein angemessenes Schutzniveau gewährleisteten.²⁰ Latombe hat am 31. Oktober 2025 Rechtsmittel beim Gerichtshof eingelegt, das Verfahren läuft als C 703/25 P.²¹ Nach dem Urteil zum Privacy Shield 2020 waren Übermittlungen auf dieser Grundlage von einem Tag auf den anderen nicht mehr möglich.¹⁰ Wer US Anbieter einsetzt, sollte wissen, wo die Standardvertragsklauseln liegen, falls es wieder so kommt.

Ein Beispiel: Lenas Mailplattform ist ein US Unternehmen. Ich suche den Namen auf der Liste unter dataprivacyframework.gov. Der Eintrag zeigt einen aktiven Status, die Teilnahme am EU US Datenschutzrahmen und als abgedeckte Daten nur Nicht HR Daten. Sie schickt keine Beschäftigtendaten. Der Angemessenheitsbeschluss deckt die Übermittlung, eine TIA ist nicht nötig, und der Nachweis ist ein heute datierter Screenshot in ihrer Dienstleisterakte. Hätte der Eintrag einen inaktiven Status gezeigt, würde der Beschluss nicht greifen, und sie bräuchte die Standardvertragsklauseln des Anbieters und eine TIA.

Welches Modul für welchen Dienstleister

Die Standardvertragsklauseln der Kommission stammen aus dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 und sind modular aufgebaut. Du wählst das Modul, das zu deiner Rolle passt.¹⁷ Für einen Shop zählen zwei. Modul zwei regelt die Übermittlung vom Verantwortlichen an einen Auftragsverarbeiter, also dich und deinen US Anbieter. Modul drei regelt die Übermittlung von einem Auftragsverarbeiter an einen weiteren, also deinen Dienstleister in der EU und seinen Unterauftragsverarbeiter im Drittland.¹⁷ Die Klauseln decken für diese Fälle zugleich die Pflichtinhalte aus Artikel 28 ab.¹⁷

Die Regeln für Änderungen sind streng. Du darfst die Klauseln nicht verändern, außer das Modul auszuwählen und die Anlagen auszufüllen oder zu aktualisieren. Du darfst sie in einen größeren Vertrag einbetten und weitere Klauseln ergänzen, solange diese ihnen weder unmittelbar noch mittelbar widersprechen.¹⁷

Zwei aktuelle Punkte. Die alten Klauseln von 2001 und 2010 sind seit dem 27. September 2021 aufgehoben, und Altverträge auf ihrer Grundlage galten nur bis zum 27. Dezember 2022 als ausreichende Garantie. Wer heute noch die alten Klauseln schickt, schickt nichts Brauchbares.¹⁷ Und die Klauseln ersetzen die TIA nicht, sie verlangen sie. Du brauchst beides: das Papier und die eine Seite, auf der steht, dass der Schutz der Sache nach gleichwertig ist.¹⁷¹⁶

Ein Beispiel: Als Lena zum ersten Mal fragte, schickte ihr das Bewertungstool die Standardvertragsklauseln von 2010. Die reichen seit Ende 2022 nicht mehr. Sie fragt nach den Klauseln von 2021, Modul zwei, der Anbieter schickt sie mit ausgefüllten Anlagen, und sie legt sie mit ihrer TIA auf einer Seite ab. Die alte Fassung dieses Artikels schlug außerdem einen Proxy in der EU als Lösung vor. Das ist kein Übermittlungsweg: Ein Proxy im EWR ändert nichts daran, wohin die Daten danach gehen, und für die Weiterübermittlung gilt Kapitel V genauso.²

Dienstleister nach erwartetem Schaden sortieren

Ein Shop mit einem Dutzend Diensten kann nicht jedem einen Tag Prüfung geben, also sortiere ich sie nach erwartetem Schaden. Für jeden Dienst schätze ich die Wahrscheinlichkeit eines Datenvorfalls im nächsten Jahr und was er das Unternehmen kosten würde, multipliziere beides und zähle alles zusammen.

$$E[L] = \sum_{i=1}^{n} p_i \, I_i$$

Dabei ist $E[L]$ der erwartete Schaden eines Jahres über alle Dienstleister, $n$ die Zahl der Dienstleister, $i$ zählt sie einzeln durch, $p_i$ ist die Wahrscheinlichkeit eines Vorfalls bei Dienstleister $i$ in diesem Jahr, eine Zahl zwischen 0 und 1, und $I_i$ sind die Kosten für das Unternehmen, wenn dieser Vorfall eintritt, in Euro. Die Formel ist der gewöhnliche Erwartungswert, von Grund auf erklärt in Grundlagen: der Erwartungswert. Wie man damit unter Unsicherheit entscheidet, zeige ich in Entscheidungstheorie für Gründer.

Die Wahrscheinlichkeiten sind Einschätzungen, keine Statistik. Ich setze sie nach dem, was ich sehe: ob der AVV Artikel 28 erfüllt, ob der Übermittlungsweg steht, wie sensibel die Daten sind, ob Supportpersonal im Ausland Zugriff hat und wie der Anbieter mit Sicherheit umgeht. Die Kosten umfassen die Stunden für die Reaktion, die Meldung an die Aufsichtsbehörde und an Kundinnen und Kunden, wo nötig, verlorene Bestellungen und die Leute, die nicht wiederkommen. Es geht um die Reihenfolge, nicht um Präzision.

Rechenbeispiel: die fünf Dienstleister der Kerzenmanufaktur

Das sind meine eigenen, erfundenen Schätzungen für den erfundenen Shop, keine Branchenzahlen. Eine Zeile pro Dienstleister, Wahrscheinlichkeit mal Kosten:

• Chat Widget (Adressen in Chatverläufen, die Klausel zur "Verbesserung" offen, Support im Ausland): $0{,}10 \times 15{.}000 = 1{.}500$
• Mailplattform (9.000 Kundinnen und Kunden, aktiv im Datenschutzrahmen, guter AVV): $0{,}03 \times 20{.}000 = 600$
• Bewertungstool (noch keine Garantie unterschrieben): $0{,}06 \times 8{.}000 = 480$
• Buchhaltung (Hosting in Irland, US Unterauftragsverarbeiter im Datenschutzrahmen): $0{,}01 \times 10{.}000 = 100$
• Analytics in London (Seitenaufrufe, wenig personenbezogene Daten): $0{,}02 \times 3{.}000 = 60$

Die fünf Zeilen zusammengezählt ergeben die Summe:

$$E[L] = 1{.}500 + 600 + 480 + 100 + 60 = 2{.}740$$

Also ist $E[L]$, der erwartete Jahresschaden über die fünf Dienstleister, 2.740 €. Das Chat Widget allein macht mehr als die Hälfte davon aus. Dorthin geht die erste Stunde.

Jeder Balken ist ein Dienstleister, auf der waagerechten Achse. Die Höhe ist der erwartete Jahresschaden in Euro, Wahrscheinlichkeit mal Kosten, vor allen Korrekturen. Entscheidend ist die Form: Zwei Dienstleister tragen den Großteil des Risikos, und zwei kurze Arbeiten, die Klausel beim Chat und die Garantie samt TIA beim Bewertungstool, senken die Summe von 2.740 € auf 1.370 €. Nach den Korrekturen sinkt die Wahrscheinlichkeit beim Chat Widget auf 0,03, also $0{,}03 \times 15{.}000 = 450$, und beim Bewertungstool auf 0,02, also $0{,}02 \times 8{.}000 = 160$. Die Mailplattform brauchte nichts und bekam nichts außer ihrem Screenshot.

Meine Prüfung, Schritt für Schritt

Ich mache das, bevor ein Tool live geht, und dann einmal im Jahr oder wenn der Anbieter eine Änderung ankündigt.

Der Ablauf führt von den Daten zum Papier. Er beginnt bei dem, was das Tool anfasst, weil ein Tool, das nie personenbezogene Daten sieht, den ganzen Rest nicht braucht. Jeder Pfad endet am selben Ort: ein datierter Nachweis in der Dienstleisterakte, der Beleg für die Maßnahmen, die du getroffen hast.

Ein Beispiel: Lena baut eine Adresssuche in den Checkout ein. Sie bekommt eine Postleitzahl, liefert Straßen zurück und sieht nie einen Namen oder eine Mailadresse. Ich halte das in einer Zeile fest, prüfe, dass der Anbieter in der EU sitzt, und höre auf. Zwei Minuten. Lang wird die Prüfung nur dort, wo die Daten sind.

Wenn ein Dienstleister durchfällt

Manchmal will ein Anbieter keinen AVV unterschreiben, hat keinen Übermittlungsweg oder hält an einer Klausel fest, die ihm erlaubt, die Daten deiner Kundschaft für eigene Zwecke zu nutzen. Nach meiner Erfahrung gibt es drei vernünftige Antworten.

Fragen. Die meisten Anbieter haben die Unterlagen und werben nur nicht damit. Eine kurze Mail mit der Bitte um AVV, Liste der Unterauftragsverarbeiter und Übermittlungsweg löst mehr als die Hälfte der Lücken, die ich finde.

Weniger zeigen. Braucht ein Tool nur eine Bestellnummer, schick ihm nicht Name und Adresse. Weniger Daten senken in der Formel Wahrscheinlichkeit und Kosten zugleich, und aus einer Übermittlung, die eine lange Bewertung braucht, kann eine werden, die eine kurze braucht.

Ersetzen. Bleiben die Antworten falsch, nimm einen Anbieter, der sie richtig gibt. Das ist eine Entscheidung, kein Scheitern.

Nach meiner Erfahrung fallen die Tools am ehesten durch, die in Eile eingebaut wurden, indem jemand ein Skript in die Website kopiert hat: Chat Widgets, Tools zur Sitzungsaufzeichnung, die mitschneiden können, was Leute in Formulare tippen, wenn sie nicht anders eingestellt sind, und Marketingtools, die Verhalten an Werbeplattformen zurückmelden. Die Cookie Seite dieser Tools folgt einer eigenen Regel mit eigenen Anforderungen an die Einwilligung, die ich in Cookies, Consent und das ePrivacy Chaos behandle, und wie Einwilligung in Formularen aussieht, in DSGVO vs Growth.

Ein Beispiel: Der Anbieter des Chat Widgets bestätigt per Mail, dass sich die Nutzung zur "Verbesserung" für Geschäftskunden in den Kontoeinstellungen abschalten lässt. Lena schaltet sie ab, legt Mail und Screenshot ab und bittet den Anbieter, den Übermittlungsweg zu seinem Supportdienstleister im Ausland zu nennen. Die Antwort: Standardvertragsklauseln, Modul drei, unterschrieben zwischen dem Anbieter und seinem Dienstleister. Zwei Mails, eine Einstellung. Der höchste Balken im Diagramm schrumpft auf ein Drittel.

Warum das zum Wachstum gehört und nicht nur zur Rechtsabteilung

Die Kundendaten in diesen Tools sind das, worauf ein Shop wächst: die Mailingliste, die Bestellhistorie, die Bewertungen. Ein Anbieter, der eine Kundin auf Anfrage nicht löschen kann oder Daten an Orten hält, über die du keine Auskunft geben kannst, macht diese Daten schwerer nutzbar, mit gutem Gewissen. Wenn ich die Datenflüsse eines Shops entwerfe, wie in Data Warehousing für smarte Marketing Automation, ist die Dienstleisterakte Teil des Entwurfs.

Die Arbeit ist klein. Eine Liste der Dienstleister, ein paar Fragen für jeden, ein Screenshot oder eine Seite Begründung, wo eine Übermittlung es braucht, und ein Datum zum erneuten Hinschauen. Ordentlich gemacht ist das ein Nachmittag. Liegen gelassen ist es eine leere Akte an dem Tag, an dem jemand fragt.

Footnotes

1. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 28 Auftragsverarbeiter, insbesondere Absätze 1 bis 4, 9 und 10, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

2. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Kapitel V, Artikel 44 Allgemeine Grundsätze der Datenübermittlung und Artikel 45 Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

3. Gerichtshof der Europäischen Union, Pressemitteilung Nr. 91/20, Urteil in der Rechtssache C-311/18, Data Protection Commissioner / Maximillian Schrems und Facebook Ireland, 16. Juli 2020, https://curia.europa.eu/jcms/upload/docs/application/pdf/2020-07/cp200091de.pdf

4. Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA, Artikel 1 und Erwägungsgründe 49 und 54, EUR Lex, 2023, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32023D1795

5. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 4 Nummer 7 und 8 (Begriffsbestimmungen), EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

6. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Erwägungsgrund 81, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

7. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 82 Haftung und Recht auf Schadenersatz, Absätze 2 bis 5, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

8. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 83 Allgemeine Bedingungen für die Verhängung von Geldbußen, Absätze 2, 4 und 5, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

9. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, BfDI verhängt Geldbußen gegen Vodafone, Pressemitteilung 6/2025, Juni 2025, https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2025/06_Geldbu%C3%9Fe-Vodafone.html

10. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK), Anwendungshinweise zum Angemessenheitsbeschluss zum EU-US Data Privacy Framework, 4. September 2023, https://datenschutzkonferenz-online.de/media/ah/230904_DSK_Ah_EU_US.pdf

11. Europäischer Datenschutzausschuss, Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR, Version 2.0, Randnummern 9, 16 und Beispiele 7, 8 und 11, 14. Februar 2023, https://www.edpb.europa.eu/system/files/documents/2023-02/edpb_guidelines_05-2021_interplay_between_the_application_of_art3-chapter_v_of_the_gdpr_v2_en_0.pdf

12. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 46 Datenübermittlung vorbehaltlich geeigneter Garantien, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

13. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 49 Ausnahmen für bestimmte Fälle, Absatz 1 Buchstaben a bis c, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

14. Europäische Kommission, Adequacy decisions: How the EU determines if a non-EU country has an adequate level of data protection, abgerufen am 7. November 2026, https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_de

15. Europäische Kommission, Kommission verlängert Beschlüsse zur Sicherstellung des freien und sicheren Verkehrs personenbezogener Daten mit dem Vereinigten Königreich, Pressemitteilung IP/25/3059, 19. Dezember 2025, https://europa.eu/newsroom/ecpc-failover/pdf/ip-25-3059_de.pdf

16. Europäischer Datenschutzausschuss, Empfehlungen 01/2020 zu Maßnahmen zur Ergänzung von Übermittlungstools zur Gewährleistung des unionsrechtlichen Schutzniveaus für personenbezogene Daten, Version 2.0, Zusammenfassung und Randnummern 19, 28 bis 30, 50 und 67, 18. Juni 2021, https://www.edpb.europa.eu/system/files/documents/2022-04/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_de.pdf

17. Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, Artikel 1 und 4, Anhang Klauseln 2 und 14, EUR Lex, 2021, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32021D0914

18. Europäischer Datenschutzausschuss, Leitlinien 2/2018 zu den Ausnahmen nach Artikel 49 der Verordnung 2016/679, Abschnitte 1 und 2.2, 25. Mai 2018, https://www.edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_2_2018_derogations_de.pdf

19. U.S. Department of Commerce, Data Privacy Framework List, dataprivacyframework.gov, https://www.dataprivacyframework.gov/list

20. Gericht der Europäischen Union, Pressemitteilung Nr. 106/25, Urteil in der Rechtssache T-553/23, Latombe / Kommission, 3. September 2025, https://curia.europa.eu/site/upload/docs/application/pdf/2025-09/cp250106de.pdf

21. Amtsblatt der Europäischen Union, Rechtsmittel, eingelegt am 31. Oktober 2025 von Philippe Latombe gegen das Urteil des Gerichts vom 3. September 2025 in der Rechtssache T-553/23 (Rechtssache C-703/25 P), C/2025/6610, 22. Dezember 2025, https://eur-lex.europa.eu/eli/C/2025/6610/oj/deu/pdf