Ein Drittlandtransfer ist die Übermittlung personenbezogener Daten aus der EU bzw. dem EWR in ein Land außerhalb dieses Raums, etwa in die USA. Die DSGVO erlaubt solche Transfers nur, wenn ein angemessenes Datenschutzniveau gesichert ist — durch einen Angemessenheitsbeschluss der EU-Kommission wie das Data Privacy Framework, Standardvertragsklauseln oder andere Garantien. Betroffen sind viele Marketing-Tools, von Analytics über Newsletter-Dienste bis zu US-Cloud-Anbietern.
Wie funktioniert die rechtliche Bewertung eines Drittlandtransfers?
Die DSGVO sieht ein Stufensystem vor: Am einfachsten ist der Transfer in Länder mit Angemessenheitsbeschluss der EU-Kommission — dort gilt das Datenschutzniveau als gleichwertig. Für die USA existiert seit 2023 das EU-U.S. Data Privacy Framework (DPF): US-Unternehmen, die sich zertifizieren, dürfen Daten aus der EU empfangen. Fehlt ein Angemessenheitsbeschluss, kommen geeignete Garantien in Betracht, vor allem die Standardvertragsklauseln (SCC) der EU-Kommission, ergänzt um eine Prüfung der Rechtslage im Empfängerland (Transfer Impact Assessment).
Die Geschichte mahnt zur Vorsicht: Die Vorgänger des DPF — Safe Harbor und Privacy Shield — wurden vom Europäischen Gerichtshof in den Urteilen Schrems I und Schrems II für ungültig erklärt. Auch gegen das DPF sind rechtliche Angriffe denkbar. Unternehmen sollten daher dokumentieren, auf welche Grundlage sich jeder Transfer stützt, und Alternativen im Blick behalten.
Warum ist der Drittlandtransfer im Marketing wichtig?
Ein Großteil der gängigen Marketing-Werkzeuge stammt von US-Anbietern: Google Analytics, Google Ads, Meta-Dienste, viele Newsletter-, CRM- und Hosting-Anbieter. Bei fast jedem dieser Tools stellt sich die Transferfrage. In der Datenschutzerklärung muss über Drittlandtransfers informiert werden, im Consent-Banner ist der Transfer je nach Konstellation Teil der Einwilligung, und im Verzeichnis von Verarbeitungstätigkeiten gehört die Rechtsgrundlage dokumentiert.
Für Berufsgeheimnisträger wie Kanzleien und Steuerberater ist die Frage besonders sensibel, weil neben der DSGVO die Verschwiegenheitspflicht zu beachten ist. Viele Kanzleien bevorzugen deshalb für mandatsnahe Daten europäische Anbieter oder Server-Standorte in der EU, während für anonymisierte Marketing-Daten die üblichen Mechanismen genügen können.
Drittlandtransfer in der Praxis
Praktisch empfiehlt sich ein Tool-Inventar: Welche Dienste verarbeiten personenbezogene Daten, wo sitzen Anbieter und Server, welche Transfergrundlage greift — DPF-Zertifizierung, SCC oder Verarbeitung ausschließlich in der EU? Die DPF-Zertifizierung eines Anbieters lässt sich in der öffentlichen Liste des US-Handelsministeriums prüfen; viele Anbieter dokumentieren ihre Grundlagen zudem in Data Processing Agreements.
Risikominimierend wirken: EU-Server-Optionen aktivieren, wo Anbieter sie anbieten, Daten sparsam erheben, IP-Anonymisierung und Pseudonymisierung nutzen und bei besonders sensiblen Daten europäische Alternativen bevorzugen. Wichtig ist die Konsistenz: Datenschutzerklärung, Consent-Banner und tatsächlich eingesetzte Tools müssen übereinstimmen.