EU-US DPF 2026: Adequacy-Regime für SaaS-DPAs & TIAs

Das Wichtigste in Kürze

• Der EU-US Data Privacy Framework (DPF) hat sich nach den EU-Reviews 2024 und 2026 als praxistaugliche Rechtsgrundlage für US-Datentransfers etabliert, steht aber weiterhin unter Beobachtung.

• Transfer Impact Assessments (TIAs) für Transfers an DPF-zertifizierte US-Empfänger sind erheblich vereinfacht. Der Fokus liegt auf der Prüfung der Zertifizierung, nicht mehr auf einer vollumfänglichen Analyse des US-Rechts.

• Auftragsverarbeitungsverträge (AVV/DPA) müssen aktualisiert werden, um den DPF als primäre Transfergrundlage zu benennen und Pflichten zur Überwachung der Zertifizierung von Unterauftragnehmern festzulegen.

• Trotz der aktuellen Stabilität bleibt ein Restrisiko einer "Schrems III"-Entscheidung. Eine Fallback-Strategie auf Basis von Standardvertragsklauseln (SCCs) und ergänzenden Maßnahmen ist essenziell.

EU-US Data Privacy Framework 2026: Was das neue Adequacy-Regime für SaaS-DPAs und Transfer Impact Assessments bedeutet

Einleitung: Der Status Quo des DPF im Sommer 2026

Drei Jahre nach seiner Einführung im Juli 2023 hat sich der EU-US Data Privacy Framework (DPF) als zentrale Säule für den transatlantischen Datenverkehr etabliert. Für SaaS-Unternehmen, deren Geschäftsmodelle oft auf einer globalen, insbesondere US-amerikanischen, IT-Infrastruktur aufbauen, war die Zeit nach dem Fall des Privacy Shields durch das "Schrems II"-Urteil des EuGH von erheblicher Rechtsunsicherheit geprägt. Der Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO für den DPF schuf hier eine dringend benötigte, praxistaugliche Lösung. Im Sommer 2026 blicken wir nun auf zwei abgeschlossene Überprüfungszyklen durch die EU-Kommission zurück, die in den Jahren 2024 und Anfang 2026 stattfanden. Das Ergebnis: Der DPF wurde in seiner Funktion bestätigt und bislang nicht substanziell infrage gestellt. Die von den USA implementierten Schutzmechanismen, insbesondere die Beschränkung der Signalaufklärung auf das notwendige und verhältnismäßige Maß durch die Executive Order 14086 und die Einrichtung des Data Protection Review Court (DPRC) als Rechtsbehelfsmechanismus, wurden von der Kommission als ausreichend bewertet, um ein im Wesentlichen gleichwertiges Schutzniveau wie in der EU zu gewährleisten.

Dennoch wäre es fahrlässig, sich in vollständiger Sicherheit zu wiegen. Datenschutzorganisationen wie noyb haben bereits frühzeitig Klagen gegen den DPF angekündigt, und es ist davon auszugehen, dass der Europäische Gerichtshof sich in absehbarer Zeit erneut mit der Thematik befassen wird. Die Stabilität ist also eine vorläufige. Für SaaS-Anbieter bedeutet dies, die durch den DPF geschaffenen Erleichterungen zu nutzen, aber gleichzeitig Vorkehrungen für den Fall einer erneuten Zäsur zu treffen. In diesem Artikel analysiere ich aus meiner anwaltlichen Praxis, welche konkreten Auswirkungen die etablierte DPF-Landschaft im Jahr 2026 auf die Gestaltung von Auftragsverarbeitungsverträgen (AVV bzw. DPA) und die Durchführung von Transfer Impact Assessments (TIA) hat.

Die neue Rolle des Transfer Impact Assessments (TIA) bei DPF-Transfers

Eine der größten Belastungen nach Schrems II war die zwingende Anforderung, für jeden Datentransfer auf Basis von Standardvertragsklauseln (SCCs) ein Transfer Impact Assessment durchzuführen. Dieses Dokumentationserfordernis zwang Unternehmen, das Rechtssystem des Drittstaates – insbesondere die Zugriffsrechte von Behörden und Geheimdiensten – eigenständig zu bewerten. Eine Aufgabe, die für die meisten Unternehmen kaum leistbar war und zu einem erheblichen Dokumentationsaufwand führte. Mit dem DPF stellt sich die Frage neu: Ist ein TIA für Transfers in die USA überhaupt noch notwendig?

Die Antwort ist differenziert. Basiert ein Datentransfer ausschließlich auf dem Angemessenheitsbeschluss nach Art. 45 DSGVO, ist grundsätzlich kein TIA erforderlich. Die Kommission hat die Angemessenheitsprüfung bereits vorgenommen. In der Praxis der IT-Rechtsberatung sehe ich jedoch, dass viele Unternehmen aus Vorsicht oder zur Absicherung weiterhin parallel SCCs abschließen. Was gilt in diesem hybriden Fall? Der Europäische Datenschutzausschuss (EDSA) hat in einer zwischenzeitlich aktualisierten Leitlinie klargestellt: Wird ein Transfer an einen DPF-zertifizierten Empfänger formal über SCCs abgewickelt, kann und soll das TIA massiv verschlankt werden. Die Prüfung des US-Rechtsrahmens (Punkt 3 des TIA-Prozesses) kann sich vollständig auf die Feststellungen der Europäischen Kommission im Angemessenheitsbeschluss stützen. Es ist nicht mehr erforderlich, US-Überwachungsgesetze wie FISA 702 selbst zu analysieren. Das TIA beschränkt sich in der Praxis auf wenige, aber entscheidende Punkte: Erstens die sorgfältige Prüfung und Dokumentation, dass der US-Empfänger tatsächlich und für die relevanten Datenkategorien unter dem DPF zertifiziert ist. Zweitens eine Plausibilitätsprüfung, ob spezifische Aspekte der Verarbeitung möglicherweise Risiken bergen, die weder von den SCCs noch vom DPF abgedeckt sind, was jedoch die absolute Ausnahme darstellt. Dieser pragmatische Ansatz reduziert den Aufwand für TIAs im US-Kontext um schätzungsweise 80-90% und schafft wertvolle Rechtssicherheit für SaaS-Anbieter.

Praktische Anpassungen für SaaS-Auftragsverarbeitungsverträge (AVV/DPA)

• Explizite Nennung des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework als primäre Rechtsgrundlage für Datentransfers.
• Verpflichtung des Auftragsverarbeiters zur regelmäßigen Überprüfung der DPF-Zertifizierung von US-Unterauftragnehmern.
• Klausel zur unverzüglichen Information des Auftraggebers bei Verlust der DPF-Zertifizierung eines Unterauftragnehmers.
• Implementierung einer "Fallback-Klausel", die bei Ungültigkeit des DPF oder Verlust der Zertifizierung automatisch SCCs wirksam werden lässt.

Zentral ist die explizite Nennung des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework als primäre Rechtsgrundlage für Datentransfers an den Auftragsverarbeiter oder dessen Unterauftragnehmer in den USA. Dies sollte in dem Vertragsabschnitt zu internationalen Datentransfers klar formuliert sein. Eine bloße Auflistung von SCCs im Anhang genügt nicht mehr. Darüber hinaus muss der AVV dem Auftragsverarbeiter (also z.B. dem SaaS-Anbieter) eine konkrete Verpflichtung auferlegen: Er muss sicherstellen und regelmäßig überprüfen, dass seine relevanten US-Unterauftragnehmer (z.B. Hoster, Analyse-Dienste, Payment-Provider) über eine gültige DPF-Zertifizierung verfügen. Dies ist keine einmalige Prüfung bei Vertragsschluss, sondern eine fortlaufende Pflicht. Ich empfehle, im AVV eine Klausel aufzunehmen, die den Auftragsverarbeiter verpflichtet, den Auftraggeber unverzüglich zu informieren, falls ein Unterauftragnehmer seine Zertifizierung verliert. Dies ermöglicht es dem Auftraggeber, rechtzeitig zu reagieren und die Datenverarbeitung auszusetzen oder auf eine alternative Grundlage umzustellen.

Für maximale Resilienz hat sich in der Vertragspraxis die Implementierung einer sogenannten "Fallback-Klausel" bewährt. Diese Klausel regelt, dass für den Fall, dass der DPF-Angemessenheitsbeschluss für ungültig erklärt wird oder die Zertifizierung eines spezifischen (Unter-)Auftragnehmers entfällt, automatisch die beigefügten Standardvertragsklauseln (SCCs) als Rechtsgrundlage für den Transfer wirksam werden. Ergänzt wird dies durch die Verpflichtung, dann die notwendigen zusätzlichen Schutzmaßnahmen zu ergreifen, wie sie in einem solchen Fall wieder für ein vollumfängliches Transfer Impact Assessment erforderlich wären. Ein solcher AVV ist ein dynamisches Instrument, das Rechtssicherheit in der Gegenwart schafft und gleichzeitig auf zukünftige Unsicherheiten vorbereitet ist.

Unterauftragnehmer-Management: Die DPF-Zertifizierung als Goldstandard

Für SaaS-Unternehmen ist die Lieferkette der Datenverarbeitung – die Kette der Unterauftragnehmer – von entscheidender Bedeutung. Der Einsatz von US-Technologiegiganten wie AWS, Google Cloud, Microsoft Azure, Stripe oder Salesforce ist oft unumgänglich. Der DPF hat die Kriterien für die Auswahl und Überprüfung dieser Partner fundamental verändert. Die DPF-Zertifizierung ist zum neuen Goldstandard für die Due Diligence geworden.

Die Überprüfung ist unkompliziert und muss Teil jedes Onboarding-Prozesses für neue US-Dienstleister sein. Über die offizielle Website des DPF-Programms (verwaltet vom U.S. Department of Commerce) kann jedes Unternehmen prüfen, ob ein potenzieller Partner gelistet ist, für welche Datenarten die Zertifizierung gilt und ob sie aktiv ist. Diese Prüfung sollte dokumentiert und in regelmäßigen Abständen, mindestens aber jährlich, wiederholt werden. Es ist ein Trugschluss anzunehmen, dass jeder große US-Anbieter automatisch zertifiziert ist. Die Zertifizierung ist ein aktiver Prozess, den das US-Unternehmen durchlaufen und aufrechterhalten muss. Fehlt eine Zertifizierung, fällt man unweigerlich in das komplexe Schrems-II-Regime zurück. Dies bedeutet: Abschluss von SCCs, Durchführung eines vollumfänglichen, aufwändigen TIAs und die Implementierung substanzieller technischer und organisatorischer Zusatzmaßnahmen. Dazu können beispielsweise client-seitige Verschlüsselung oder eine Ende-zu-Ende-Verschlüsselung gehören, bei der die Schlüssel ausschließlich in der EU verbleiben. Solche Maßnahmen sind technisch anspruchsvoll und kostspielig. Die Auswahl eines DPF-zertifizierten Partners ist daher nicht nur eine Frage der rechtlichen Compliance, sondern auch eine strategische Geschäftsentscheidung, die Komplexität und Kosten erheblich reduziert.

Absicherung gegen "Schrems III": Ist der DPF zukunftssicher?

Die drängendste Frage für strategisch planende Unternehmen ist die nach der Langlebigkeit des DPF. Die Erfahrungen mit Safe Harbor und dem Privacy Shield haben gezeigt, dass Angemessenheitsbeschlüsse für die USA vor dem EuGH einen schweren Stand haben. Obwohl der DPF zweifellos der bisher robusteste Versuch ist, die Anforderungen des europäischen Grundrechtsschutzes zu erfüllen, bleiben Angriffspunkte für Kritiker.

Ein zentraler Kritikpunkt, der in einem zukünftigen Verfahren vor dem EuGH eine Rolle spielen wird, ist die Natur des Data Protection Review Court (DPRC). Es handelt sich nicht um ein Gericht im Sinne der Gewaltenteilung (Art. III der US-Verfassung), sondern um ein Gremium innerhalb der Exekutive. Ob der EuGH dies als einen wirksamen Rechtsbehelf im Sinne von Art. 47 der EU-Grundrechtecharta anerkennt, ist die entscheidende und offene Frage. Ferner bleibt die Auslegung der Prinzipien von "Notwendigkeit und Verhältnismäßigkeit" bei Überwachungsmaßnahmen ein potenzieller Konfliktpunkt, da die Rechtstraditionen in den USA und der EU hier historisch differieren. Ein "Schrems III"-Szenario, also eine Ungültigerklärung des DPF durch den EuGH in den nächsten Jahren, ist daher ein realistisches Risiko, das eingepreist werden muss.

• SCCs mit allen relevanten US-Partnern unterzeichnet vorhalten.
• Eine verschlankte TIA-Dokumentation führen, die im Ernstfall schnell zu einer vollständigen Analyse ausgebaut werden kann.
• Kontinuierlich Alternativen evaluieren (z.B. Datenlokalisierung auf europäischen Servern oder Nutzung rein europäischer Anbieter).

Handlungsempfehlungen und Ausblick

Im Sommer 2026 ist der EU-US Data Privacy Framework die mit Abstand wichtigste und praxistauglichste Grundlage für Datentransfers in die USA. SaaS-Unternehmen sollten ihre Prozesse und Verträge konsequent daran ausrichten. Die konkreten Handlungsschritte sind klar: Überprüfen und aktualisieren Sie Ihre Auftragsverarbeitungsverträge, um den DPF als primäre Grundlage zu verankern und eine Fallback-Lösung via SCCs zu integrieren. Etablieren Sie einen stringenten Prozess zur Überprüfung der DPF-Zertifizierung Ihrer US-Unterauftragnehmer. Passen Sie Ihre TIA-Vorlagen an, um von den Vereinfachungen für DPF-zertifizierte Transfers zu profitieren. Vernachlässigen Sie dabei jedoch nicht die strategische Vorbereitung auf eine mögliche Zukunft ohne DPF. Die Kombination aus pragmatischer Nutzung der aktuellen Rechtslage und wachsamer Vorsorge ist der Schlüssel zum nachhaltigen Erfolg im globalen SaaS-Geschäft. Wenn Sie Unterstützung bei der Anpassung Ihrer Verträge und Prozesse benötigen oder eine strategische Beratung zur Absicherung Ihrer US-Datentransfers wünschen, stehe ich Ihnen gerne zur Verfügung. Termin vereinbaren.