--- title: "DSGVO-Angemessenheitsbeschlüsse (VO 2016/679, Art. 45) – Länderliste 2026, Brasilien, UK-Verlängerung & Prüfzyklus" slug: "dsgvo-angemessenheitsbeschluesse-art-45" domaine: "datenschutz" valid_from: "2018-05-25" valid_to: null last_reviewed: "2026-10-10" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-angemessenheitsbeschluesse-art-45.md wikidata_subjects: [] factcheck_status: "ok" --- # DSGVO-Angemessenheitsbeschlüsse (VO 2016/679, Art. 45) – Länderliste 2026, Brasilien, UK-Verlängerung & Prüfzyklus ## Kurzantwort Nach **Art. 45 der Verordnung (EU) 2016/679 (DSGVO)** kann die **EU-Kommission** per Durchführungsrechtsakt feststellen, dass ein Drittland, ein Gebiet, ein Sektor oder eine internationale Organisation ein **angemessenes Datenschutzniveau** bietet. Liegt ein solcher **Angemessenheitsbeschluss** vor, dürfen personenbezogene Daten aus der EU (und aus Norwegen, Liechtenstein und Island) dorthin übermittelt werden, **ohne dass weitere Garantien** (Standardvertragsklauseln, BCR) oder eine **Genehmigung** nötig sind – die Übermittlung wird wie ein Datenfluss innerhalb der EU behandelt ([EU-Kommission](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en)). **Stand Oktober 2026 bestehen Angemessenheitsbeschlüsse für 17 Empfänger:** Andorra, Argentinien, **Brasilien (neu, 26.01.2026)**, Färöer, Guernsey, Isle of Man, Israel, Japan, Jersey, Kanada (nur kommerzielle Organisationen), Neuseeland, Republik Korea, Schweiz, Uruguay, Vereinigtes Königreich (DSGVO und JI-Richtlinie, **verlängert am 19.12.2025 bis 27.12.2031**), USA (nur Unternehmen, die nach dem **EU-US Data Privacy Framework** zertifiziert sind) sowie die **Europäische Patentorganisation** (15.07.2025). Als EU-Verordnung gilt die DSGVO **unmittelbar in Deutschland**; ein Umsetzungsgesetz ist nicht nötig. Wer Daten ohne gültiges Instrument nach Kapitel V übermittelt, riskiert ein Bußgeld von **bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes** (Art. 83 Abs. 5 lit. c DSGVO). ## Kernfakten | Punkt | Wert | |---|---| | Rechtsgrundlage | Art. 45 Verordnung (EU) 2016/679 (DSGVO) – „Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses" (EUR-Lex, CELEX:32016R0679) | | Rechtsnatur | EU-Verordnung – unmittelbar in DE anwendbar; Beschlüsse sind Durchführungsrechtsakte der Kommission | | Geltung DSGVO | seit 25.05.2018 (Art. 99 Abs. 2 DSGVO) | | Rechtsfolge | Übermittlung ohne besondere Genehmigung und ohne zusätzliche Garantien zulässig (Art. 45 Abs. 1) | | Prüfkriterien | Rechtsstaatlichkeit, Grundrechte, Zugriff von Behörden (Sicherheit, Strafverfolgung), unabhängige Aufsichtsbehörde, internationale Verpflichtungen (Art. 45 Abs. 2 lit. a–c) | | Verfahren | Kommissionsvorschlag → Stellungnahme EDSA → Zustimmung der Mitgliedstaaten (Komitologie, Art. 93 Abs. 2) → Annahme durch Kommission (EU-Kommission) | | Überprüfungszyklus | mindestens alle 4 Jahre periodische Überprüfung (Art. 45 Abs. 3) | | Widerruf / Aussetzung | Kommission kann Beschluss aufheben, ändern oder aussetzen – ohne Rückwirkung (Art. 45 Abs. 5) | | Altbeschlüsse | Beschlüsse nach Art. 25 Abs. 6 RL 95/46/EG gelten fort, bis sie geändert, ersetzt oder aufgehoben werden (Art. 45 Abs. 9) | | Anzahl Empfänger (10/2026) | 17 (16 Staaten/Gebiete + Europäische Patentorganisation) (EU-Kommission) | | Neuester Beschluss | Brasilien – 26.01.2026, gegenseitige Angemessenheit (Brasilien erkennt EU ebenfalls an) (EU-Kommission, IP/26/229) | | UK | Verlängert am 19.12.2025, Sunset-Klausel 6 Jahre bis 27.12.2031, Überprüfung nach 4 Jahren (EU-Kommission, IP/25/3059) | | Korea | Erste periodische Überprüfung abgeschlossen am 23.07.2026 – Angemessenheit bestätigt (EU-Kommission) | | USA | Nur DPF-zertifizierte Unternehmen, Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 (EUR-Lex) | | Strafverfolgungssektor | Beschlüsse gelten – außer für UK – nicht für Datenaustausch nach der JI-Richtlinie (RL (EU) 2016/680, Art. 36) | | Sanktion bei Verstoß gegen Kapitel V | bis 20 Mio. EUR oder 4 % des weltweiten Vorjahresumsatzes (Art. 83 Abs. 5 lit. c DSGVO) | ## Geltungsbereich **Betroffen** sind alle Verantwortlichen und Auftragsverarbeiter, die personenbezogene Daten an Empfänger **außerhalb des EWR** übermitteln oder dort verarbeiten lassen – z. B. Cloud- und SaaS-Nutzung, Konzern-Datenflüsse, Support-Dienstleister, HR-Systeme, Marketing-Tools. Dazu gehören Unternehmen jeder Größe, Vereine, Freiberufler und öffentliche Stellen. **Räumlich** erfasst ein Angemessenheitsbeschluss nur das genannte Land/Gebiet und ggf. nur einen **Sektor** (Kanada: nur Organisationen unter dem PIPEDA; USA: nur DPF-zertifizierte Organisationen). Die Beschlüsse gelten auch für Übermittlungen aus **Norwegen, Liechtenstein und Island** (EWR). **Nicht erfasst** ist die allgemeine Rechtmäßigkeit der Verarbeitung: Auch bei Übermittlung in ein „sicheres" Land braucht es zusätzlich eine **Rechtsgrundlage nach Art. 6** (ggf. Art. 9) und – bei Dienstleistern – einen **AV-Vertrag nach Art. 28** (sog. Zwei-Stufen-Prüfung). ## Die Länderliste im Detail (Stand 10/2026) | Empfänger | Rechtsakt | Besonderheit | |---|---|---| | Schweiz | Entscheidung 2000/518/EG ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32000D0518)) | Altbeschluss nach RL 95/46/EG; überprüft 2024 | | Kanada | Entscheidung 2002/2/EG ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32002D0002)) | nur kommerzielle Organisationen (PIPEDA) | | Argentinien | Entscheidung 2003/490/EG ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32003D0490)) | Altbeschluss | | Guernsey | Entscheidung 2003/821/EG ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32003D0821)) | Kronbesitz | | Isle of Man | Entscheidung 2004/411/EG ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32004D0411)) | Kronbesitz | | Jersey | Entscheidung 2008/393/EG ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32008D0393)) | Kronbesitz | | Färöer | Beschluss 2010/146/EU ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32010D0146)) | — | | Andorra | Beschluss 2010/625/EU ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32010D0625)) | — | | Israel | Beschluss 2011/61/EU ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32011D0061)) | — | | Uruguay | Durchführungsbeschluss 2012/484/EU ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32012D0484)) | — | | Neuseeland | Durchführungsbeschluss 2013/65/EU ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32013D0065)) | — | | Japan | Durchführungsbeschluss (EU) 2019/419 ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32019D0419)) | erster Beschluss nach DSGVO; gegenseitig; überprüft 04.04.2023 | | Republik Korea | Durchführungsbeschluss (EU) 2022/254 ([EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022D0254)) | angenommen 17.12.2021; überprüft und bestätigt 23.07.2026 | | Vereinigtes Königreich | Durchführungsbeschlüsse (EU) 2021/1772 (DSGVO) und 2021/1773 (JI-RL), verlängert durch (EU) 2025/2574 und (EU) 2025/2571 vom 19.12.2025 | **bis 27.12.2031**; einziger Beschluss auch für Strafverfolgungssektor | | USA | Durchführungsbeschluss (EU) 2023/1795 ([EUR-Lex](https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj)) | **nur DPF-zertifizierte** Unternehmen | | Europäische Patentorganisation | Durchführungsbeschluss (EU) 2025/1382 vom 15.07.2025 ([EUR-Lex](https://eur-lex.europa.eu/eli/dec_impl/2025/1382/oj/eng); [EU-Kommission](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en)) | erster Beschluss für eine **internationale Organisation** | | Brasilien | Durchführungsbeschluss (EU) 2026/179 vom 26.01.2026 ([EUR-Lex](https://eur-lex.europa.eu/eli/dec_impl/2026/179/oj); [EU-Kommission, IP/26/229](https://ec.europa.eu/commission/presscorner/detail/en/ip_26_229)) | **gegenseitig**; Brasilien erkennt EU per ANPD-Entscheidung an | **Wichtig – kein Angemessenheitsbeschluss** besteht u. a. für **Indien, China, Russland, Türkei, Australien, Singapur, die Vereinigten Arabischen Emirate** und die **Philippinen**. Übermittlungen dorthin brauchen SCC (Durchführungsbeschluss (EU) 2021/914), BCR (Art. 47) oder – nur ausnahmsweise – Art. 49. ## Prüfungsmaßstab und Verfahren Seit **Schrems I** (EuGH, Urteil vom 06.10.2015, [C-362/14](https://curia.europa.eu/juris/liste.jsf?num=C-362/14)) muss das Schutzniveau im Drittland dem der EU **„der Sache nach gleichwertig"** sein – nicht identisch. Entscheidend ist nach Art. 45 Abs. 2 insbesondere, wie **Behörden auf Daten zugreifen** (Massenüberwachung, Rechtsschutz für EU-Bürger). An diesem Punkt scheiterten **Safe Harbor** (Schrems I) und der **Privacy Shield** (Schrems II, EuGH, Urteil vom 16.07.2020, [C-311/18](https://curia.europa.eu/juris/liste.jsf?num=C-311/18)). Das Verfahren dauert typischerweise Jahre: Kommissionsentwurf, nicht bindende **Stellungnahme des EDSA**, Zustimmung des Ausschusses der Mitgliedstaaten nach Art. 93 Abs. 2 DSGVO (Prüfverfahren), Annahme durch die Kommission. **Europäisches Parlament und Rat** können jederzeit verlangen, dass die Kommission einen Beschluss beibehält, ändert oder aufhebt. ## Überwachung, Aussetzung und Rechtsschutz - **Laufende Überwachung** (Art. 45 Abs. 4): Die Kommission beobachtet Entwicklungen im Drittland fortlaufend. - **Periodische Überprüfung** mindestens alle **vier Jahre** (Art. 45 Abs. 3). Neuere Beschlüsse (UK) enthalten zusätzlich eine **Sunset-Klausel**. - **Aufhebung/Aussetzung** (Art. 45 Abs. 5) wirkt nur für die Zukunft. Fällt ein Beschluss weg (wie 2020 der Privacy Shield), entfällt die Übermittlungsgrundlage **sofort** – es gibt **keine gesetzliche Übergangsfrist**. - **Gerichtliche Kontrolle:** Nur der **Gerichtshof der Europäischen Union** (EuGH im Vorabentscheidungsverfahren, EuG bei Nichtigkeitsklagen) kann einen Angemessenheitsbeschluss für ungültig erklären. Nationale Aufsichtsbehörden müssen eine Beschwerde prüfen und ggf. ein Vorlageverfahren anstoßen. Aktuell anhängig: Rechtsmittel **C-703/25 P (Latombe)** gegen das EuG-Urteil T-553/23 vom 03.09.2025, das den DPF-Beschluss bestätigt hatte. ## Nachweispflichten für Anwender (Beweislast) Der Verantwortliche trägt nach **Art. 5 Abs. 2 DSGVO** (Rechenschaftspflicht) die Beweislast für die Rechtmäßigkeit der Übermittlung. In der Praxis heißt das: 1. **Empfängerland dokumentieren** – im **Verzeichnis von Verarbeitungstätigkeiten** (Art. 30 Abs. 1 lit. e) und ggf. lit. d DSGVO). 2. **Übermittlungsinstrument benennen** – z. B. „Angemessenheitsbeschluss Schweiz" oder „DPF-Zertifizierung, geprüft am …". 3. **Betroffene informieren** – Art. 13 Abs. 1 lit. f / Art. 14 Abs. 1 lit. f: Hinweis auf das **Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses**. 4. **USA:** DPF-Zertifizierung des konkreten Empfängers in der offiziellen Liste (dataprivacyframework.gov) **prüfen und Datum festhalten**; Zertifizierungen können auslaufen. 5. **Notfallplan:** Für wichtige Drittland-Dienstleister vorsorglich **SCC** vereinbaren, falls ein Beschluss wegfällt. **Sanktionen:** Verstöße gegen Art. 44–49 fallen in die **obere Bußgeldstufe** (Art. 83 Abs. 5 lit. c). Die bisher höchste DSGVO-Geldbuße – **1,2 Mrd. EUR** gegen Meta Platforms Ireland (irische DPC, Mai 2023) – betraf unzulässige US-Übermittlungen. Hinzu kommen Schadensersatzansprüche nach Art. 82 und Anordnungen zur Aussetzung von Datenflüssen (Art. 58 Abs. 2 lit. j). ## Häufige Fehler - **„Die Schweiz/UK ist in Europa, also gilt dort die DSGVO."** Nein – beide sind **Drittländer**. Die Übermittlung ist nur wegen der **Angemessenheitsbeschlüsse** ohne SCC zulässig. - **„Für die USA gibt es einen Angemessenheitsbeschluss, also ist jede US-Cloud erlaubt."** Nein – nur **DPF-zertifizierte** Empfänger sind erfasst, und nur im Umfang ihrer Zertifizierung. - **„Kanada ist komplett abgedeckt."** Nein – nur **kommerzielle Organisationen** im Anwendungsbereich des PIPEDA, nicht etwa alle öffentlichen Stellen. - **„Mit Angemessenheitsbeschluss brauche ich keinen AV-Vertrag."** Falsch – Art. 45 ersetzt nur das **Übermittlungsinstrument**, nicht den Vertrag nach Art. 28 und nicht die Rechtsgrundlage nach Art. 6. - **„Der UK-Beschluss ist 2025 ausgelaufen."** Nein – er wurde am **19.12.2025** verlängert und gilt bis **27.12.2031**. - **„Brasilien braucht noch SCC."** Seit dem Beschluss vom **26.01.2026** nicht mehr. - **„Nach einem Aus für den Beschluss habe ich eine Übergangsfrist."** Das Gesetz sieht **keine** vor. Nach Schrems II setzten die Behörden zwar auf Beratung statt sofortiger Bußgelder – darauf besteht aber kein Anspruch. - **„Einwilligung nach Art. 49 ersetzt den fehlenden Beschluss dauerhaft."** Nein – Art. 49 ist für **gelegentliche** Übermittlungen gedacht, nicht als Dauerlösung. ## Änderungsverlauf - 2026-10-09: Erstveröffentlichung. Länderliste (17 Empfänger), UK-Verlängerung 19.12.2025 bis 27.12.2031, Brasilien 26.01.2026, Europäische Patentorganisation 15.07.2025, Korea-Überprüfung 23.07.2026 gegen die Länderseite der EU-Kommission und die Pressemitteilungen IP/26/229 und IP/25/3059 geprüft. factcheck_status=review_needed, weil die Amtsblatt-Nummern der Beschlüsse für Brasilien, die Europäische Patentorganisation und die UK-Verlängerung noch nicht auf EUR-Lex verifiziert sind, ebenso die CELEX-Nummern für Japan (2019/419) und Korea (2022/254). | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Andreas Warkentin" - 2026-10-10: Faktencheck – **freigegeben**. Länderliste (17 Empfänger) gegen die Kommissionsseite geprüft; Amtsblatt-Nummern ergänzt: Brasilien (EU) 2026/179, Europäische Patentorganisation (EU) 2025/1382, UK-Verlängerung (EU) 2025/2574 und (EU) 2025/2571 (EUR-Lex/eucrim); Japan (EU) 2019/419 und Korea (EU) 2022/254 bestätigt; Latombe C-703/25 P anhängig. Korrigiert: gerichtliche Kontrolle liegt beim Gerichtshof der EU (EuGH und EuG). Digital Omnibus hat Art. 45 bisher nicht geändert. field="legal_content" | change_type=factcheck reviewed_by="Claude (Freigabe-Aufholer)" ## Stand - Stand: 2026-10-09 - Gültig ab: 2018-05-25 (Geltungsbeginn DSGVO; Einzelbeschlüsse mit eigenen Daten) - Status: aktuell - Quellenautorität: A (EUR-Lex, EU-Kommission, EuGH) - Lizenz: CC BY 4.0 ## Quellen - Verordnung (EU) 2016/679 (DSGVO), Art. 44–50, 83 – Volltext DE: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 - EU-Kommission – Adequacy decisions (Länderliste, Dokumente, Überprüfungsberichte): https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en - EU-Kommission – Pressemitteilung IP/26/229 „The EU and Brazil conclude agreements to create the biggest area of free and safe data flows in the world": https://ec.europa.eu/commission/presscorner/detail/en/ip_26_229 - EU-Kommission – Pressemitteilung IP/25/3059 „Commission renews decisions to allow for the free and safe flow of personal data with the UK" (19.12.2025): https://europa.eu/newsroom/ecpc-failover/pdf/ip-25-3059_en.pdf - Durchführungsbeschluss (EU) 2023/1795 (EU-US Data Privacy Framework): https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj - Richtlinie (EU) 2016/680 (JI-Richtlinie), Art. 36: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016L0680 - EuGH, Urteil vom 06.10.2015, C-362/14 (Schrems I): https://curia.europa.eu/juris/liste.jsf?num=C-362/14 - EuGH, Urteil vom 16.07.2020, C-311/18 (Schrems II): https://curia.europa.eu/juris/liste.jsf?num=C-311/18 - Nationale Umsetzung: nicht erforderlich (EU-Verordnung). Ergänzend BDSG: https://www.gesetze-im-internet.de/bdsg_2018/ ## Stand - Letzte Änderung: 2026-10-10 - Letzte Prüfung: 2026-10-10 - In Kraft seit: 2018-05-25 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0