Klotzkette EU-US Data Privacy Framework – Aktueller Stand für das TIA
Wann dieses Modul hilft
- Prüfung, ob für einen US-Importeur ein TIA noch erforderlich ist.
- Dokumentation des DPF-Listings im RoPA / TIA.
- Strategische Entscheidung DPF vs. SCC.
- HR-Daten an US-Mutter; Prüfung der HR-Abdeckung im DPF.
- Beobachtung des anhängigen Rechtsmittels in Latombe gegen Kommission und Vorbereitung eines belastbaren Ausweichinstruments für den Fall, dass der Angemessenheitsbeschluss künftig wegfällt.
Rechtlicher Rahmen
Grundlage
- Durchführungsbeschluss (EU) 2023/1795 der Europäischen Kommission vom 10. Juli 2023 über das angemessene Schutzniveau personenbezogener Daten im Rahmen des EU-US Data Privacy Framework.
- Basiert auf der US-seitigen Executive Order 14086 vom 07.10.2022 und nachgelagerten Regulations (insbesondere Department of Commerce DPF Principles).
- US-Aufsicht: Federal Trade Commission (FTC) und in begrenztem Umfang Department of Transportation (DOT).
- Rechtsschutz: zweistufiger Mechanismus aus Civil Liberties Protection Officer (CLPO) und Data Protection Review Court (DPRC).
Listing-Verfahren
- Antrag des US-Rechtsträgers beim US Department of Commerce.
- Selbstzertifizierung mit jährlicher Rezertifizierung.
- Veröffentlichung in der amtlichen DPF-Liste unter dataprivacyframework.gov.
- Drei Track-Optionen: EU-US DPF, Swiss-US DPF, UK Extension – nicht jeder Antrag deckt alle drei ab.
- HR vs. Non-HR-Daten müssen separat angemeldet werden.
Reichweite und Grenzen
- Greift nur für aktiv gelistete US-Rechtsträger.
- Konzernverbundene Stellen sind nicht automatisch erfasst – jede juristische Person separat prüfen.
- Subprozessoren / Onward Transfer: DPF-Prinzipien verlangen vertragliche Weitergabe und Schutzpflichten.
- Daten außerhalb des Listings, etwa bei fehlender Erfassung der maßgeblichen juristischen Person oder Datenkategorie, werden vom DPF nicht getragen.
Restrisiko
- FISA 702 und EO 12333 bestehen fort; EO 14086 schränkt sie ein, hebt sie aber nicht auf.
- Das Gericht der Europäischen Union wies am 3. September 2025 die Nichtigkeitsklage Latombe gegen Kommission, T-553/23, ECLI:EU:T:2025:831, ab. Es verwarf im Rahmen der geprüften Klagegründe insbesondere die Einwände gegen die Unabhängigkeit des DPRC und gegen die Regeln zur massenhaften Datenerhebung.
- Das am 31. Oktober 2025 eingelegte Rechtsmittel C-703/25 P ist beim Gerichtshof anhängig. Es handelt sich um das Verfahren Latombe, nicht um eine Klage von NOYB und nicht um ein amtlich als „Schrems III“ bezeichnetes Verfahren.
- Der Durchführungsbeschluss (EU) 2023/1795 bleibt während des Rechtsmittelverfahrens in Kraft. Sollte er künftig als Transfergrundlage entfallen, trägt eine bloß benannte Ausweichklausel den Transfer nicht; Standardvertragsklauseln, Transferprüfung und erforderliche zusätzliche Maßnahmen müssen vollständig umgesetzt sein.
EU-Review-Verfahren
- Die Europäische Kommission veröffentlichte den Bericht über die erste regelmäßige Überprüfung am 9. Oktober 2024. Der Bericht ist eine Monitoringquelle und keine gerichtliche Bestätigung des Angemessenheitsbeschlusses.
Ablauf / Checkliste
- Exakte Schreibweise des US-Rechtsträgers in der DPF-Liste suchen.
- Listing-Status "Active" prüfen; bei "Inactive" -> kein DPF.
- Zertifizierungsdatum und nächste Rezertifizierung notieren; Screenshot oder PDF zur Akte nehmen.
- HR-/Non-HR-Abdeckung prüfen; HR-Daten müssen gesondert erfasst sein.
- Produkt- und Dienstabdeckung mit DPF-Erklärung und Datenschutzhinweis abgleichen.
- Klauseln zur Weiterübermittlung im AVV oder DPA prüfen, insbesondere bei Subprozessoren außerhalb der USA oder außerhalb des Listings.
- DPRC-Hinweis an Betroffene aufnehmen (Auskunfts-/Beschwerde-Mechanismus).
- Restrisiko-Vermerk: Auch bei DPF sind das FISA-702-/EO-12333-Risiko sowie der aktuelle Stand von T-553/23 und C-703/25 P zu dokumentieren.
- Ausweichklausel im Vertrag: Standardvertragsklauseln nicht nur nennen, sondern richtiges Modul, Anlagen, Transferprüfung und erforderliche zusätzliche Maßnahmen vor einer Nutzung vollständig umsetzen.
Mustertext / Template
DPF-Prüfvermerk:
DPF-Prüfung – Importeur: [Exakter Name laut DPF-Liste]
Abrufdatum: [YYYY-MM-DD]
Abruf-URL: https://www.dataprivacyframework.gov/list
Aufruf durch: [Bearbeiter]
Listing-Status: Active / Inactive
Zertifizierungsdatum: [...]
Nächste Rezertifizierung: [...]
Track: EU-US DPF / Swiss-US DPF / UK Extension
HR-Daten abgedeckt: Ja / Nein
Non-HR-Daten abgedeckt: Ja / Nein
Im DPF gelistete Dienste: [aus DPF-Eintrag und Privacy Policy abgleichen]
Beschwerdemechanismus: [Independent Recourse Mechanism, z. B. AAA, JAMS, EU-DPA Panel]
Bewertung: DPF tragfähig / nur teilweise tragfähig / nicht tragfähig
Restrisiko: [...]
Fallback-Klausel im DPA: [Verweis]
Hinweisbaustein im TIA-Schritt 2:
Für den Transfer wird Artikel 45 DSGVO in Verbindung mit dem Durchführungsbeschluss (EU) 2023/1795 als Transferinstrument herangezogen. Der Importeur ist unter dem Namen "..." mit Zertifizierungsdatum [...] aktiv im EU-US Data Privacy Framework gelistet (Anhang DPF-Prüfvermerk). Das Listing umfasst [HR-/Non-HR-]Daten und die im konkreten Vertragsverhältnis erbrachten Dienste.
Es bleibt das Restrisiko aus FISA Section 702 und Executive Order 12333. Das Gericht der Europäischen Union wies die Nichtigkeitsklage T-553/23 am 3. September 2025 ab; das Rechtsmittel C-703/25 P ist beim Gerichtshof anhängig. Der Durchführungsbeschluss (EU) 2023/1795 bleibt die gegenwärtige Transfergrundlage, soweit die aktive Zertifizierung des Importeurs den konkreten Transfer erfasst. Ein Ausweichen auf Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 setzt voraus, dass Modul, Anlagen, Transferprüfung und erforderliche zusätzliche Maßnahmen vollständig umgesetzt sind.
Typische Fehler
- "Unsere Konzernmutter ist gelistet" – die Tochter ist ein separater Rechtsträger und muss eigenständig gelistet sein.
- HR-Daten transferiert, aber Listing nur für Non-HR.
- DPF-Eintrag in der Liste, aber Privacy Policy weist auf Datenart, die nicht erfasst ist.
- Re-Zertifizierungsdatum verstrichen – Listing inaktiv, Transfer dennoch fortgesetzt.
- Weiterübermittlung in ein weiteres Drittland übersehen.
- Eine Ausweichklausel als automatisch wirksam behandeln, obwohl Modul, Anlagen und Transferprüfung noch nicht vollständig umgesetzt sind.
- Verwechslung Swiss-US DPF und EU-US DPF.
Quellen Stand 09/2026
- Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023.
- US Executive Order 14086 vom 07.10.2022.
- Department of Commerce: DPF Principles und Supplemental Principles.
- EuGH C-311/18 vom 16.07.2020 (Schrems II).
- Europäische Kommission, Bericht über die erste regelmäßige Überprüfung des EU-US DPF vom 9. Oktober 2024, COM(2024) 451 final.
- Gericht der Europäischen Union, Urteil vom 3. September 2025, Latombe gegen Kommission, T-553/23, ECLI:EU:T:2025:831.
- Gerichtshof der Europäischen Union, anhängiges Rechtsmittel vom 31. Oktober 2025, Latombe gegen Kommission, C-703/25 P.
- Amtliche DPF-Liste.