Welche häufigen Fehler gibt es bei DSGVO-Angemessenheitsbeschlüsse (VO 2016/679, Art. 45)?

„Die Schweiz/UK ist in Europa, also gilt dort die DSGVO." Nein – beide sind Drittländer. Die Übermittlung ist nur wegen der Angemessenheitsbeschlüsse ohne SCC zulässig. „Für die USA gibt es einen Angemessenheitsbeschluss, also ist jede US-Cloud erlaubt." Nein – nur DPF-zertifizierte Empfänger sind erfasst, und nur im Umfang ihrer Zertifizierung.

DSGVO-Angemessenheitsbeschlüsse (VO 2016/679, Art. 45) – Länderliste 2026, Brasilien, UK-Verlängerung & Prüfzyklus In Kraft

Q: Für wen gilt DSGVO-Angemessenheitsbeschlüsse (VO 2016/679, Art. 45)?

Betroffen sind alle Verantwortlichen und Auftragsverarbeiter, die personenbezogene Daten an Empfänger außerhalb des EWR übermitteln oder dort verarbeiten lassen – z. B. Cloud- und SaaS-Nutzung, Konzern-Datenflüsse, Support-Dienstleister, HR-Systeme, Marketing-Tools. Dazu gehören Unternehmen jeder Größe, Vereine, Freiberufler und öffentliche Stellen.

Kurzantwort Nach **Art. 45 der Verordnung (EU) 2016/679 (DSGVO)** kann die **EU-Kommission** per Durchführungsrechtsakt feststellen, dass ein Drittland, ein Gebiet, ein Sektor oder eine internationale Organisation ein **angemessenes Datenschutzniveau** bietet. Liegt ein solcher **Angemessenheitsbeschluss** vor, dürfen personenbezogene Daten aus der EU (und aus Norwegen, Liechtenstein und Island) dorthin übermittelt werden, **ohne dass weitere Garantien** (Standardvertragsklauseln, BCR) oder eine **Genehmigung** nötig sind – die Übermittlung wird wie ein Datenfluss innerhalb der EU behandelt ([EU-Kommission](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en)). **Stand Oktober 2026 bestehen Angemessenheitsbeschlüsse für 17 Empfänger:** Andorra, Argentinien, **Brasilien (neu, 26.01.2026)**, Färöer, Guernsey, Isle of Man, Israel, Japan, Jersey, Kanada (nur kommerzielle Organisationen), Neuseeland, Republik Korea, Schweiz, Uruguay, Vereinigtes Königreich (DSGVO und JI-Richtlinie, **verlängert am 19.12.2025 bis 27.12.2031**), USA (nur Unternehmen, die nach dem **EU-US Data Privacy Framework** zertifiziert sind) sowie die **Europäische Patentorganisation** (15.07.2025). Als EU-Verordnung gilt die DSGVO **unmittelbar in Deutschland**; ein Umsetzungsgesetz ist nicht nötig. Wer Daten ohne gültiges Instrument nach Kapitel V übermittelt, riskiert ein Bußgeld von **bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes** (Art. 83 Abs. 5 lit. c DSGVO).

Kernfakten

Punkt	Wert
Rechtsgrundlage	Art. 45 Verordnung (EU) 2016/679 (DSGVO) – „Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses" (EUR-Lex, CELEX:32016R0679)
Rechtsnatur	EU-Verordnung – unmittelbar in DE anwendbar; Beschlüsse sind Durchführungsrechtsakte der Kommission
Geltung DSGVO	seit 25.05.2018 (Art. 99 Abs. 2 DSGVO)
Rechtsfolge	Übermittlung ohne besondere Genehmigung und ohne zusätzliche Garantien zulässig (Art. 45 Abs. 1)
Prüfkriterien	Rechtsstaatlichkeit, Grundrechte, Zugriff von Behörden (Sicherheit, Strafverfolgung), unabhängige Aufsichtsbehörde, internationale Verpflichtungen (Art. 45 Abs. 2 lit. a–c)
Verfahren	Kommissionsvorschlag → Stellungnahme EDSA → Zustimmung der Mitgliedstaaten (Komitologie, Art. 93 Abs. 2) → Annahme durch Kommission (EU-Kommission)
Überprüfungszyklus	mindestens alle 4 Jahre periodische Überprüfung (Art. 45 Abs. 3)
Widerruf / Aussetzung	Kommission kann Beschluss aufheben, ändern oder aussetzen – ohne Rückwirkung (Art. 45 Abs. 5)
Altbeschlüsse	Beschlüsse nach Art. 25 Abs. 6 RL 95/46/EG gelten fort, bis sie geändert, ersetzt oder aufgehoben werden (Art. 45 Abs. 9)
Anzahl Empfänger (10/2026)	17 (16 Staaten/Gebiete + Europäische Patentorganisation) (EU-Kommission)
Neuester Beschluss	Brasilien – 26.01.2026, gegenseitige Angemessenheit (Brasilien erkennt EU ebenfalls an) (EU-Kommission, IP/26/229)
UK	Verlängert am 19.12.2025, Sunset-Klausel 6 Jahre bis 27.12.2031, Überprüfung nach 4 Jahren (EU-Kommission, IP/25/3059)
Korea	Erste periodische Überprüfung abgeschlossen am 23.07.2026 – Angemessenheit bestätigt (EU-Kommission)
USA	Nur DPF-zertifizierte Unternehmen, Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 (EUR-Lex)
Strafverfolgungssektor	Beschlüsse gelten – außer für UK – nicht für Datenaustausch nach der JI-Richtlinie (RL (EU) 2016/680, Art. 36)
Sanktion bei Verstoß gegen Kapitel V	bis 20 Mio. EUR oder 4 % des weltweiten Vorjahresumsatzes (Art. 83 Abs. 5 lit. c DSGVO)

Geltungsbereich

Betroffen sind alle Verantwortlichen und Auftragsverarbeiter, die personenbezogene Daten an Empfänger außerhalb des EWR übermitteln oder dort verarbeiten lassen – z. B. Cloud- und SaaS-Nutzung, Konzern-Datenflüsse, Support-Dienstleister, HR-Systeme, Marketing-Tools. Dazu gehören Unternehmen jeder Größe, Vereine, Freiberufler und öffentliche Stellen.

Räumlich erfasst ein Angemessenheitsbeschluss nur das genannte Land/Gebiet und ggf. nur einen Sektor (Kanada: nur Organisationen unter dem PIPEDA; USA: nur DPF-zertifizierte Organisationen). Die Beschlüsse gelten auch für Übermittlungen aus Norwegen, Liechtenstein und Island (EWR).

Nicht erfasst ist die allgemeine Rechtmäßigkeit der Verarbeitung: Auch bei Übermittlung in ein „sicheres" Land braucht es zusätzlich eine Rechtsgrundlage nach Art. 6 (ggf. Art. 9) und – bei Dienstleistern – einen AV-Vertrag nach Art. 28 (sog. Zwei-Stufen-Prüfung).

Die Länderliste im Detail (Stand 10/2026)

| Empfänger | Rechtsakt | Besonderheit | |---|---|---| | Schweiz | Entscheidung 2000/518/EG (EUR-Lex) | Altbeschluss nach RL 95/46/EG; überprüft 2024 | | Kanada | Entscheidung 2002/2/EG (EUR-Lex) | nur kommerzielle Organisationen (PIPEDA) | | Argentinien | Entscheidung 2003/490/EG (EUR-Lex) | Altbeschluss | | Guernsey | Entscheidung 2003/821/EG (EUR-Lex) | Kronbesitz | | Isle of Man | Entscheidung 2004/411/EG (EUR-Lex) | Kronbesitz | | Jersey | Entscheidung 2008/393/EG (EUR-Lex) | Kronbesitz | | Färöer | Beschluss 2010/146/EU (EUR-Lex) | — | | Andorra | Beschluss 2010/625/EU (EUR-Lex) | — | | Israel | Beschluss 2011/61/EU (EUR-Lex) | — | | Uruguay | Durchführungsbeschluss 2012/484/EU (EUR-Lex) | — | | Neuseeland | Durchführungsbeschluss 2013/65/EU (EUR-Lex) | — | | Japan | Durchführungsbeschluss (EU) 2019/419 (EUR-Lex) | erster Beschluss nach DSGVO; gegenseitig; überprüft 04.04.2023 | | Republik Korea | Durchführungsbeschluss (EU) 2022/254 (EUR-Lex) | angenommen 17.12.2021; überprüft und bestätigt 23.07.2026 | | Vereinigtes Königreich | Durchführungsbeschlüsse (EU) 2021/1772 (DSGVO) und 2021/1773 (JI-RL), verlängert durch (EU) 2025/2574 und (EU) 2025/2571 vom 19.12.2025 | bis 27.12.2031; einziger Beschluss auch für Strafverfolgungssektor | | USA | Durchführungsbeschluss (EU) 2023/1795 (EUR-Lex) | nur DPF-zertifizierte Unternehmen | | Europäische Patentorganisation | Durchführungsbeschluss (EU) 2025/1382 vom 15.07.2025 (EUR-Lex; EU-Kommission) | erster Beschluss für eine internationale Organisation | | Brasilien | Durchführungsbeschluss (EU) 2026/179 vom 26.01.2026 (EUR-Lex; EU-Kommission, IP/26/229) | gegenseitig; Brasilien erkennt EU per ANPD-Entscheidung an |

Wichtig – kein Angemessenheitsbeschluss besteht u. a. für Indien, China, Russland, Türkei, Australien, Singapur, die Vereinigten Arabischen Emirate und die Philippinen. Übermittlungen dorthin brauchen SCC (Durchführungsbeschluss (EU) 2021/914), BCR (Art. 47) oder – nur ausnahmsweise – Art. 49.

Prüfungsmaßstab und Verfahren

Seit Schrems I (EuGH, Urteil vom 06.10.2015, C-362/14) muss das Schutzniveau im Drittland dem der EU „der Sache nach gleichwertig" sein – nicht identisch. Entscheidend ist nach Art. 45 Abs. 2 insbesondere, wie Behörden auf Daten zugreifen (Massenüberwachung, Rechtsschutz für EU-Bürger). An diesem Punkt scheiterten Safe Harbor (Schrems I) und der Privacy Shield (Schrems II, EuGH, Urteil vom 16.07.2020, C-311/18).

Das Verfahren dauert typischerweise Jahre: Kommissionsentwurf, nicht bindende Stellungnahme des EDSA, Zustimmung des Ausschusses der Mitgliedstaaten nach Art. 93 Abs. 2 DSGVO (Prüfverfahren), Annahme durch die Kommission. Europäisches Parlament und Rat können jederzeit verlangen, dass die Kommission einen Beschluss beibehält, ändert oder aufhebt.

Überwachung, Aussetzung und Rechtsschutz

Laufende Überwachung (Art. 45 Abs. 4): Die Kommission beobachtet Entwicklungen im Drittland fortlaufend.
Periodische Überprüfung mindestens alle vier Jahre (Art. 45 Abs. 3). Neuere Beschlüsse (UK) enthalten zusätzlich eine Sunset-Klausel.
Aufhebung/Aussetzung (Art. 45 Abs. 5) wirkt nur für die Zukunft. Fällt ein Beschluss weg (wie 2020 der Privacy Shield), entfällt die Übermittlungsgrundlage sofort – es gibt keine gesetzliche Übergangsfrist.
Gerichtliche Kontrolle: Nur der Gerichtshof der Europäischen Union (EuGH im Vorabentscheidungsverfahren, EuG bei Nichtigkeitsklagen) kann einen Angemessenheitsbeschluss für ungültig erklären. Nationale Aufsichtsbehörden müssen eine Beschwerde prüfen und ggf. ein Vorlageverfahren anstoßen. Aktuell anhängig: Rechtsmittel C-703/25 P (Latombe) gegen das EuG-Urteil T-553/23 vom 03.09.2025, das den DPF-Beschluss bestätigt hatte.

Nachweispflichten für Anwender (Beweislast)

Der Verantwortliche trägt nach Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) die Beweislast für die Rechtmäßigkeit der Übermittlung. In der Praxis heißt das:

Empfängerland dokumentieren – im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. e) und ggf. lit. d DSGVO).
Übermittlungsinstrument benennen – z. B. „Angemessenheitsbeschluss Schweiz" oder „DPF-Zertifizierung, geprüft am …".
Betroffene informieren – Art. 13 Abs. 1 lit. f / Art. 14 Abs. 1 lit. f: Hinweis auf das Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses.
USA: DPF-Zertifizierung des konkreten Empfängers in der offiziellen Liste (dataprivacyframework.gov) prüfen und Datum festhalten; Zertifizierungen können auslaufen.
Notfallplan: Für wichtige Drittland-Dienstleister vorsorglich SCC vereinbaren, falls ein Beschluss wegfällt.

Sanktionen: Verstöße gegen Art. 44–49 fallen in die obere Bußgeldstufe (Art. 83 Abs. 5 lit. c). Die bisher höchste DSGVO-Geldbuße – 1,2 Mrd. EUR gegen Meta Platforms Ireland (irische DPC, Mai 2023) – betraf unzulässige US-Übermittlungen. Hinzu kommen Schadensersatzansprüche nach Art. 82 und Anordnungen zur Aussetzung von Datenflüssen (Art. 58 Abs. 2 lit. j).

Häufige Fehler

„Die Schweiz/UK ist in Europa, also gilt dort die DSGVO." Nein – beide sind Drittländer. Die Übermittlung ist nur wegen der Angemessenheitsbeschlüsse ohne SCC zulässig.
„Für die USA gibt es einen Angemessenheitsbeschluss, also ist jede US-Cloud erlaubt." Nein – nur DPF-zertifizierte Empfänger sind erfasst, und nur im Umfang ihrer Zertifizierung.
„Kanada ist komplett abgedeckt." Nein – nur kommerzielle Organisationen im Anwendungsbereich des PIPEDA, nicht etwa alle öffentlichen Stellen.
„Mit Angemessenheitsbeschluss brauche ich keinen AV-Vertrag." Falsch – Art. 45 ersetzt nur das Übermittlungsinstrument, nicht den Vertrag nach Art. 28 und nicht die Rechtsgrundlage nach Art. 6.
„Der UK-Beschluss ist 2025 ausgelaufen." Nein – er wurde am 19.12.2025 verlängert und gilt bis 27.12.2031.
„Brasilien braucht noch SCC." Seit dem Beschluss vom 26.01.2026 nicht mehr.
„Nach einem Aus für den Beschluss habe ich eine Übergangsfrist." Das Gesetz sieht keine vor. Nach Schrems II setzten die Behörden zwar auf Beratung statt sofortiger Bußgelder – darauf besteht aber kein Anspruch.
„Einwilligung nach Art. 49 ersetzt den fehlenden Beschluss dauerhaft." Nein – Art. 49 ist für gelegentliche Übermittlungen gedacht, nicht als Dauerlösung.

Änderungsverlauf

2026-10-09: Erstveröffentlichung. Länderliste (17 Empfänger), UK-Verlängerung 19.12.2025 bis 27.12.2031, Brasilien 26.01.2026, Europäische Patentorganisation 15.07.2025, Korea-Überprüfung 23.07.2026 gegen die Länderseite der EU-Kommission und die Pressemitteilungen IP/26/229 und IP/25/3059 geprüft. factcheck_status=review_needed, weil die Amtsblatt-Nummern der Beschlüsse für Brasilien, die Europäische Patentorganisation und die UK-Verlängerung noch nicht auf EUR-Lex verifiziert sind, ebenso die CELEX-Nummern für Japan (2019/419) und Korea (2022/254). | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Andreas Warkentin"
2026-10-10: Faktencheck – freigegeben. Länderliste (17 Empfänger) gegen die Kommissionsseite geprüft; Amtsblatt-Nummern ergänzt: Brasilien (EU) 2026/179, Europäische Patentorganisation (EU) 2025/1382, UK-Verlängerung (EU) 2025/2574 und (EU) 2025/2571 (EUR-Lex/eucrim); Japan (EU) 2019/419 und Korea (EU) 2022/254 bestätigt; Latombe C-703/25 P anhängig. Korrigiert: gerichtliche Kontrolle liegt beim Gerichtshof der EU (EuGH und EuG). Digital Omnibus hat Art. 45 bisher nicht geändert. field="legal_content" | change_type=factcheck reviewed_by="Claude (Freigabe-Aufholer)"

Stand

Stand: 2026-10-09
Gültig ab: 2018-05-25 (Geltungsbeginn DSGVO; Einzelbeschlüsse mit eigenen Daten)
Status: aktuell
Quellenautorität: A (EUR-Lex, EU-Kommission, EuGH)
Lizenz: CC BY 4.0

Quellen

Verordnung (EU) 2016/679 (DSGVO), Art. 44–50, 83 – Volltext DE: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
EU-Kommission – Adequacy decisions (Länderliste, Dokumente, Überprüfungsberichte): https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en A
EU-Kommission – Pressemitteilung IP/26/229 „The EU and Brazil conclude agreements to create the biggest area of free and safe data flows in the world": https://ec.europa.eu/commission/presscorner/detail/en/ip_26_229 A
EU-Kommission – Pressemitteilung IP/25/3059 „Commission renews decisions to allow for the free and safe flow of personal data with the UK" (19.12.2025): https://europa.eu/newsroom/ecpc-failover/pdf/ip-25-3059_en.pdf A
Durchführungsbeschluss (EU) 2023/1795 (EU-US Data Privacy Framework): https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj A
Richtlinie (EU) 2016/680 (JI-Richtlinie), Art. 36: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016L0680 A
EuGH, Urteil vom 06.10.2015, C-362/14 (Schrems I): https://curia.europa.eu/juris/liste.jsf?num=C-362/14 A
EuGH, Urteil vom 16.07.2020, C-311/18 (Schrems II): https://curia.europa.eu/juris/liste.jsf?num=C-311/18 A
Nationale Umsetzung: nicht erforderlich (EU-Verordnung). Ergänzend BDSG: https://www.gesetze-im-internet.de/bdsg_2018/ A

Letzte Änderung:: 2026-10-10
Letzte Prüfung:: 2026-10-10
In Kraft seit:: 2018-05-25
Status:: In Kraft
Quellen-Autorität:: A
Lizenz:: CC BY 4.0

Fehler gefunden? Bitte melden an info@nexvyra.fr.