Für wen gilt DSGVO Art. 49 (VO 2016/679)?

Art. 49 greift nur dann, wenn beide vorrangigen Wege ausscheiden: 1. Für das Zielland besteht kein Angemessenheitsbeschluss der Kommission nach Art. 45 Abs. 3 DSGVO (für die USA existiert seit dem EU-US Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795, ein solcher Beschluss – allerdings nur für zertifizierte Empfänger). 2. Es lassen sich keine geeigneten Garantien nach Art.

Welche häufigen Fehler gibt es bei DSGVO Art. 49 (VO 2016/679)?

Art. 49 als bequeme Dauerlösung genutzt. Die Norm ist die letzte Stufe nach Art. 45 und Art. 46, keine gleichrangige Alternative. Wer einen Drittlandsdienst dauerhaft einsetzt, braucht Angemessenheitsbeschluss, SCC oder BCR. „Gelegentlich" mit „selten" verwechselt. Maßgeblich ist nicht die Häufigkeit allein, sondern ob die Übermittlung außerhalb gewöhnlicher Abläufe stattfindet.

DSGVO Art. 49 (VO 2016/679) – Ausnahmen für Drittlandtransfers: ausdrückliche Einwilligung, Gelegentlichkeit, zwingendes berechtigtes Interesse In Kraft

Q: Was regelt DSGVO Art. 49 (VO 2016/679) – Ausnahmen für Drittlandtransfers: ausdrückliche Einwilligung, Gelegentlichkeit, zwingendes berechtigtes Interesse?

Art. 49 der Verordnung (EU) 2016/679 (DSGVO) regelt, wann personenbezogene Daten ausnahmsweise in ein Drittland übermittelt werden dürfen, obwohl weder ein Angemessenheitsbeschluss nach Art. 45 Abs. 3 noch geeignete Garantien nach Art. 46 (Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften, Verhaltensregeln) vorliegen.

Kurzantwort **Art. 49 der Verordnung (EU) 2016/679 (DSGVO)** regelt, wann personenbezogene Daten **ausnahmsweise** in ein Drittland übermittelt werden dürfen, obwohl **weder ein Angemessenheitsbeschluss nach Art. 45 Abs. 3** noch **geeignete Garantien nach Art. 46** (Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften, Verhaltensregeln) vorliegen. Die amtliche Überschrift lautet **„Ausnahmen für bestimmte Fälle"** – und genau so ist die Norm zu lesen. Art. 49 ist **kein gleichrangiges viertes Instrument** neben Angemessenheitsbeschluss, SCC und BCR, sondern die **letzte Stufe** eines Prüfungsaufbaus. Der Europäische Datenschutzausschuss (EDSA/EDPB) hat das in den **Leitlinien 2/2018 vom 25.05.2018** ausdrücklich festgehalten: Datenexporteure sollen sich „zunächst um Möglichkeiten bemühen, die Übermittlung im Rahmen eines der Mechanismen nach den Artikeln 45 und 46 der DSGVO abzusichern", und die Ausnahmen nur in Anspruch nehmen, „wenn nicht auf diese Mechanismen zurückgegriffen werden kann". Weil die Ausnahmen **weder ein angemessenes Schutzniveau noch geeignete Garantien** bieten, sind sie nach den allgemeinen Grundsätzen des Unionsrechts **eng auszulegen – damit die Ausnahme nicht zur Regel wird**. Praktisch wichtigste Einschränkung: Die drei Vertrags- und Rechtsanspruchs-Ausnahmen (**Art. 49 Abs. 1 UAbs. 1 lit. b, c und e**) gelten nach **Erwägungsgrund 111** nur für **gelegentliche** Übermittlungen. Eine regelmäßige Übermittlung im Rahmen einer dauerhaften Geschäftsbeziehung ist laut EDSA **systematisch und wiederholt** – und damit **nicht gelegentlich**. Wer einen US-Cloud-Dienst dauerhaft nutzt, kann das folglich **nicht** auf Art. 49 stützen. Art. 49 begründet außerdem **nur die zweite Stufe** der Zulässigkeit. Für die Verarbeitung selbst ist zusätzlich eine **Rechtsgrundlage nach Art. 6 DSGVO** (bei besonderen Datenkategorien: Art. 9 DSGVO) erforderlich. Verstöße gegen die Übermittlungsvorschriften des Kapitels V fallen in den **höheren Bußgeldrahmen des Art. 83 Abs. 5 lit. c DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** – je nachdem, welcher Betrag höher ist.

Kernfakten

Punkt	Wert
Rechtsgrundlage	Art. 49 DSGVO (Verordnung (EU) 2016/679), Kapitel V „Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen" [EUR-Lex, CELEX:32016R0679]
Amtliche Überschrift	„Ausnahmen für bestimmte Fälle"
Rechtsnatur	EU-Verordnung → unmittelbar in Deutschland anwendbar, kein Umsetzungsgesetz erforderlich
Anwendbar seit	25.05.2018 (Geltungsbeginn DSGVO, Art. 99 Abs. 2)
Rangverhältnis	Nachrangig zu Art. 45 (Angemessenheitsbeschluss) und Art. 46 (geeignete Garantien) – Art. 49 greift nur „in Ermangelung" dieser Instrumente
Zahl der Einzelausnahmen	7 in Art. 49 Abs. 1 UAbs. 1 lit. a–g, plus 1 Auffangausnahme in Art. 49 Abs. 1 UAbs. 2
Auslegungsgrundsatz	Restriktiv – „damit die Ausnahme nicht zur Regel wird" [EDSA-Leitlinien 2/2018, S. 4]
Nur bei gelegentlichen Übermittlungen	lit. b, c, e [ErwGr. 111]
Nicht auf „gelegentlich" beschränkt	lit. a, d, f, g – aber auch sie dürfen nicht systematisch und massenhaft genutzt werden
Nicht wiederholt + begrenzte Personenzahl	Nur UAbs. 2 (zwingendes berechtigtes Interesse)
Erforderlichkeitsprüfung	Zwingend bei lit. b, c, d, e, f – enger und erheblicher Zusammenhang nötig
Einwilligung (lit. a)	Muss ausdrücklich, für den bestimmten Fall und in Kenntnis der konkreten Risiken erteilt sein; jederzeit widerruflich
Behörden in hoheitlicher Tätigkeit	Ausgeschlossen: lit. a, b, c und UAbs. 2 [Art. 49 Abs. 3]; anwendbar bleiben lit. d, e, f, g
Öffentliches Interesse (lit. d)	Muss im Unionsrecht oder im Recht des Mitgliedstaats des Verantwortlichen anerkannt sein [Art. 49 Abs. 4]
Registerausnahme (lit. g)	Nur öffentliche, durch Unions- oder Mitgliedstaatsrecht vorgesehene Register; keine privaten Register (z. B. Bonitätsregister)
Umfangsgrenze bei lit. g	Keine Übermittlung des gesamten Registerinhalts oder ganzer Datenkategorien [Art. 49 Abs. 2]
UAbs. 2 – Meldepflicht	Verantwortlicher muss die Aufsichtsbehörde über die Übermittlung informieren (keine Genehmigung)
UAbs. 2 – Informationspflicht	Zusätzlich zu Art. 13/14: Information der betroffenen Person über Übermittlung und die zwingenden berechtigten Interessen
UAbs. 2 – Dokumentation	Bewertung und geeignete Garantien sind im Verzeichnis nach Art. 30 zu dokumentieren [Art. 49 Abs. 6]
Nationale Übermittlungsverbote	Unions- oder mitgliedstaatliches Recht kann Übermittlung bestimmter Datenkategorien ausdrücklich begrenzen [Art. 49 Abs. 5]
Zwei-Stufen-Prüfung	Art. 6 (bzw. Art. 9) und Kapitel V müssen kumulativ erfüllt sein
Maßgebliche Leitlinien	EDSA-Leitlinien 2/2018, angenommen 25.05.2018 (Stand 22.09.2026: keine revidierte Fassung veröffentlicht)
Angrenzende Leitlinien	EDSA-Leitlinien 02/2024 zu Art. 48 DSGVO, Endfassung Version 2.1, angenommen 05.06.2025
Bußgeldrahmen	bis zu 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. c DSGVO]

Geltungsbereich

Art. 49 greift nur dann, wenn beide vorrangigen Wege ausscheiden:

Für das Zielland besteht kein Angemessenheitsbeschluss der Kommission nach Art. 45 Abs. 3 DSGVO (für die USA existiert seit dem EU-US Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795, ein solcher Beschluss – allerdings nur für zertifizierte Empfänger).
Es lassen sich keine geeigneten Garantien nach Art. 46 DSGVO einsetzen – also keine Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), keine Binding Corporate Rules nach Art. 47, keine genehmigten Verhaltensregeln oder Zertifizierungen.

Erst wenn beides feststeht, ist Art. 49 überhaupt eröffnet. Der EDSA verlangt für die Auffangausnahme des UAbs. 2 sogar den Nachweis ernsthafter Bemühungen, die Übermittlung anders abzusichern – die Rechenschaftspflicht des Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO greift hier unmittelbar.

Räumlich erfasst Art. 49 Übermittlungen an Drittländer und an internationale Organisationen. Personell gilt die Norm für Verantwortliche und Auftragsverarbeiter gleichermaßen – mit der Einschränkung des Art. 49 Abs. 3: Behörden dürfen sich in Ausübung ihrer hoheitlichen Befugnisse nicht auf lit. a, b, c und nicht auf UAbs. 2 stützen. Für sie bleiben lit. d (öffentliches Interesse), lit. e (Rechtsansprüche), lit. f (lebenswichtige Interessen) und lit. g (öffentliches Register) offen.

Die sieben Einzelausnahmen (Art. 49 Abs. 1 UAbs. 1)

| lit. | Ausnahme | Gelegentlich erforderlich? | Für Behörden hoheitlich? | |---|---|---|---| | a | Ausdrückliche Einwilligung nach Risikoaufklärung | Nein | Nein (Art. 49 Abs. 3) | | b | Erforderlich zur Vertragserfüllung mit der betroffenen Person oder für vorvertragliche Maßnahmen auf deren Antrag | Ja (ErwGr. 111) | Nein (Art. 49 Abs. 3) | | c | Erforderlich für Abschluss/Erfüllung eines im Interesse der betroffenen Person mit einem Dritten geschlossenen Vertrags | Ja (ErwGr. 111) | Nein (Art. 49 Abs. 3) | | d | Erforderlich aus wichtigen Gründen des öffentlichen Interesses | Nein | Ja | | e | Erforderlich zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen | Ja (ErwGr. 111) | Ja | | f | Erforderlich zum Schutz lebenswichtiger Interessen, wenn die Person physisch oder rechtlich einwilligungsunfähig ist | Nein | Ja | | g | Übermittlung aus einem öffentlichen Register | Nein | Ja |

lit. a – Ausdrückliche Einwilligung

Die Einwilligung nach Art. 49 Abs. 1 lit. a unterliegt drei verschärften Anforderungen gegenüber der allgemeinen Einwilligung aus Art. 4 Nr. 11 und Art. 7 DSGVO:

Ausdrücklich. Art. 4 Nr. 11 verlangt nur eine „unmissverständliche" Willensbekundung. Art. 49 Abs. 1 lit. a verlangt – wie Art. 9 Abs. 2 lit. a und Art. 22 Abs. 2 lit. c – eine ausdrückliche Einwilligung. Eine konkludente Handlung genügt nicht.
Für den bestimmten Fall. Die Einwilligung muss sich auf die konkrete Übermittlung oder Reihe von Übermittlungen beziehen. Eine pauschale Einwilligung, die bei der Datenerhebung für andere Zwecke eingeholt wurde und Jahre später eine Übermittlung tragen soll, ist nach EDSA unwirksam.
In Kenntnis der spezifischen Risiken. Zusätzlich zu den Angaben nach Art. 13/14 muss die betroffene Person darüber informiert werden, dass das Zielland kein angemessenes Schutzniveau bietet und keine geeigneten Garantien greifen – der EDSA nennt als Beispiele: möglicherweise keine Aufsichtsbehörde, keine Datenverarbeitungsgrundsätze, keine durchsetzbaren Betroffenenrechte im Drittland. Fehlt diese Aufklärung, kommt die Ausnahme nicht zur Anwendung.

Weil die Einwilligung nach Art. 7 Abs. 3 DSGVO jederzeit widerrufbar ist, hält der EDSA sie ausdrücklich nicht für eine geeignete langfristige Lösung für Drittlandtransfers.

lit. b und c – Vertrag

Beide Vertragsausnahmen sind durch zwei Kriterien eingeschnürt: Erforderlichkeit und Gelegentlichkeit.

Der EDSA illustriert die Grenze an zwei Beispielen:

Nicht erfasst: Ein Konzern zentralisiert Lohn- und Personalabteilung für die gesamte Belegschaft in einem Drittland. Es fehlt der „unmittelbare und objektive Zusammenhang" zur Erfüllung des Arbeitsvertrags – und die Übermittlung ist nicht gelegentlich. Richtiger Weg: SCC oder BCR.
Erfasst: Ein Reisebüro übermittelt Kundendaten an ein Hotel im Drittland, um den Aufenthalt zu organisieren. Hier besteht ein hinreichend enger Zusammenhang zum Vertragszweck.

Auch das Auslagern der Gehaltsabrechnung an einen Dienstleister außerhalb der EU lässt sich nicht auf lit. c stützen, selbst wenn der Endzweck die Auszahlung des Gehalts an den Beschäftigten ist.

lit. d – Wichtige Gründe des öffentlichen Interesses

Entscheidend ist nicht, ob die übermittelnde oder empfangende Stelle öffentlich oder privat ist, sondern ob ein wichtiges öffentliches Interesse vorliegt. Private Stellen können sich grundsätzlich auf lit. d berufen.

Art. 49 Abs. 4 schränkt aber scharf ein: Das öffentliche Interesse muss im Unionsrecht oder im Recht des Mitgliedstaats anerkannt sein, dem der Verantwortliche unterliegt. Es genügt nicht, dass eine Drittstaatsbehörde Daten für Ermittlungen anfordert, die abstrakt auch einem in der EU anerkannten Ziel dienen – etwa Terrorismusbekämpfung. Erforderlich ist, dass sich aus dem Unions- oder mitgliedstaatlichen Recht ergibt, dass derartige Übermittlungen zulässig sind, einschließlich des Grundsatzes der Gegenseitigkeit internationaler Zusammenarbeit. Ein internationales Abkommen, das die EU oder Mitgliedstaaten unterzeichnet haben, kann ein Indiz sein.

Erwägungsgrund 112 nennt als Beispiele den Datenaustausch zwischen Wettbewerbs-, Steuer- oder Zollbehörden, zwischen Finanzaufsichtsbehörden, zwischen Sozialversicherungs- oder Gesundheitsdiensten – etwa bei der Umgebungsuntersuchung ansteckender Krankheiten oder zur Dopingbekämpfung im Sport.

Für Übermittlungen im Rahmen üblicher Geschäftsabläufe oder üblicher Geschäftspraxis empfiehlt der EDSA allen Datenexporteuren – und insbesondere Behörden – ausdrücklich, sich nicht auf lit. d zu berufen, sondern geeignete Garantien nach Art. 46 zu nutzen.

lit. e – Rechtsansprüche

Erfasst sind gerichtliche, behördliche und außergerichtliche Verfahren, einschließlich Verfahren vor Regulierungsbehörden (ErwGr. 111). Der EDSA nennt konkret: straf- oder behördliche Ermittlungen im Drittland (Kartellrecht, Korruptionsbekämpfung, Insidergeschäfte), Übermittlungen zur Selbstverteidigung oder zur Erlangung einer Bußgeldminderung, US-amerikanische Pre-Trial Discovery in Zivilsachen, die Einleitung eines Rechtsstreits oder ein Fusionsfreigabeantrag.

Nicht ausreichend ist die bloße Möglichkeit künftiger Auseinandersetzungen. Zwischen Übermittlung und konkretem Verfahren muss ein enger Zusammenhang bestehen.

Der EDSA verlangt zudem einen Stufenaufbau der Datenminimierung: Zuerst prüfen, ob anonymisierte Daten genügen; falls nicht, ob pseudonymisierte Daten reichen; erst dann personenbezogene Daten – und auch nur, soweit sie für die Sache erheblich sind. Zu beachten sind ferner nationale Verbotsgesetze (Blocking Statutes), die Übermittlungen an ausländische Gerichte beschränken können.

lit. f – Lebenswichtige Interessen

Klassischer Fall: Eine Person ist im EU-Ausland bewusstlos und benötigt dringend medizinische Hilfe; nur der behandelnde Arzt in der EU kann die Daten übermitteln. Die Norm schützt nicht nur die körperliche, sondern auch die geistige Unversehrtheit.

Voraussetzung ist die konkrete Einwilligungsunfähigkeit aus physischen oder rechtlichen Gründen. Kann die betroffene Person eine wirksame Entscheidung treffen, scheidet lit. f aus – der EDSA nennt als Gegenbeispiel die Übermittlung zur Abwendung einer Zwangsräumung: Wohnen mag ein lebenswichtiges Interesse sein, aber die Person kann selbst einwilligen.

Erfasst sind ferner Übermittlungen an internationale humanitäre Hilfsorganisationen im Rahmen der Genfer Konventionen (ErwGr. 112) und Übermittlungen nach Naturkatastrophen zu Rettungs- und Bergungszwecken.

Nicht erfasst: Übermittlung medizinischer Daten für allgemeine Forschungszwecke, deren Ergebnisse erst zu unbestimmter Zeit zu erwarten sind.

lit. g – Öffentliches Register

Das Register muss nach Unionsrecht oder mitgliedstaatlichem Recht zur Information der Öffentlichkeit bestimmt sein und entweder der allgemeinen Öffentlichkeit oder Personen mit nachgewiesenem berechtigtem Interesse offenstehen. Genannt werden Unternehmensregister, Vereinsregister, Strafregister, Grundbücher und öffentliche Fahrzeugregister.

Private Register liegen außerhalb der Ausnahme – der EDSA nennt ausdrücklich private Register zur Bewertung der Kreditwürdigkeit.

Art. 49 Abs. 2 setzt die Umfangsgrenze: Die Übermittlung darf nicht den gesamten Registerinhalt oder ganze Datenkategorien umfassen. Bei Registern für Personen mit berechtigtem Interesse darf nur auf deren Anfrage oder an sie als Adressaten übermittelt werden, unter Berücksichtigung der Interessen und Grundrechte der betroffenen Person.

Die Auffangausnahme: zwingendes berechtigtes Interesse (Art. 49 Abs. 1 UAbs. 2)

Diese Ausnahme war in der Richtlinie 95/46/EG noch nicht enthalten. Der EDSA bezeichnet sie als „letztes Mittel". Erwägungsgrund 113 spricht von „verbleibenden Fällen". Sie ist an sieben kumulative Voraussetzungen gebunden:

Subsidiarität. Die Übermittlung könnte weder auf Art. 45 noch auf Art. 46 (einschließlich BCR) gestützt werden und keine der Ausnahmen des UAbs. 1 ist anwendbar. Der Datenexporteur muss ernsthafte Bemühungen nachweisen – etwa dass geprüft wurde, ob eine ausdrückliche Einwilligung nach lit. a möglich ist, oder dass der Datenimporteur den Abschluss von Standardvertragsklauseln ausdrücklich verweigert hat.
Nicht wiederholt. Die Übermittlung darf nicht regelmäßig erfolgen.
Begrenzte Zahl betroffener Personen. Eine absolute Obergrenze nennt die DSGVO nicht; die Zahl muss „unter Berücksichtigung der Art der Übermittlung angemessen klein" sein. Die gesamte Belegschaft eines Verantwortlichen ist zu viel.
Zwingendes berechtigtes Interesse des Verantwortlichen. Nicht jedes berechtigte Interesse im Sinne des Art. 6 Abs. 1 lit. f genügt – es gilt eine höhere Schwelle: Interessen, die für den Verantwortlichen von wesentlicher Bedeutung sind, etwa der Schutz der eigenen Organisation oder Systeme vor einem unmittelbar bevorstehenden schwerwiegenden Schaden. Interessen eines Auftragsverarbeiters als Datenexporteur oder des Datenimporteurs sind unerheblich.
Abwägung. Die Interessen, Rechte und Freiheiten der betroffenen Person dürfen nicht überwiegen. Zu berücksichtigen sind nach ErwGr. 113 Art der Daten, Zweck und Dauer der Verarbeitung sowie die Situation im Herkunftsland, im Drittland und im Endbestimmungsland.
Geeignete Garantien – zwingend. Der Verantwortliche muss alle Umstände bewerten und auf dieser Grundlage geeignete Garantien bieten. Der EDSA folgert aus dem Wortlaut, dass zusätzliche Maßnahmen obligatorisch sind: Ohne sie überwiegen die Interessen der betroffenen Person in jedem Fall. In Betracht kommen etwa schnellstmögliche Löschung nach der Übermittlung, Zweckbeschränkung, Pseudonymisierung oder Verschlüsselung sowie technische und organisatorische Maßnahmen gegen Zweckentfremdung.
Melde-, Informations- und Dokumentationspflichten.

Aufsichtsbehörde: Der Verantwortliche muss sie über die Übermittlung informieren. Das ist keine Genehmigung, sondern eine zusätzliche Garantie – die Behörde kann die Auswirkungen prüfen.
Betroffene Person: Information über die Übermittlung und über die zwingenden berechtigten Interessen – zusätzlich zu den Pflichtangaben nach Art. 13 und 14 DSGVO.
Verzeichnis: Nach Art. 49 Abs. 6 sind die Bewertung und die geeigneten Garantien im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO zu dokumentieren.

Verhältnis zu Art. 48 DSGVO – Anfragen von Drittstaatsbehörden

Art. 48 DSGVO stellt klar: Urteile und Entscheidungen von Gerichten oder Behörden eines Drittlands sind als solche keine tragfähige Grundlage für eine Übermittlung. Eine Übermittlung als Reaktion auf eine solche Entscheidung ist nur rechtmäßig, wenn sie zusätzlich den Bedingungen des Kapitels V entspricht.

Der EDSA hat dazu die Leitlinien 02/2024 zu Art. 48 DSGVO erlassen; die Endfassung (Version 2.1) wurde nach öffentlicher Konsultation am 05.06.2025 angenommen. Kernaussagen:

Urteile oder Entscheidungen von Drittstaatsbehörden können in Europa nicht automatisch anerkannt oder vollstreckt werden.
Als Regelfall kann ein internationales Abkommen sowohl die Rechtsgrundlage als auch den Übermittlungstatbestand liefern.
Fehlt ein solches Abkommen oder enthält es keine geeignete Rechtsgrundlage bzw. keine Garantien, kommen andere Rechtsgrundlagen und Übermittlungstatbestände nur in Ausnahmefällen und einzelfallbezogen in Betracht.
Wie die Drittstaatsstelle ihre Anfrage bezeichnet – „Entscheidung" oder „Urteil" – ist nicht maßgeblich, solange es sich um ein amtliches Ersuchen handelt.
Die Endfassung ergänzt Klarstellungen zur Lage des Auftragsverarbeiters als Adressat eines Ersuchens sowie zum Fall, dass eine Muttergesellschaft im Drittland ein Ersuchen erhält und daraufhin Daten von ihrer europäischen Tochtergesellschaft anfordert.

Besteht ein Rechtshilfeabkommen, sollen EU-Unternehmen direkte Anfragen nach den Leitlinien 2/2018 generell ablehnen und die ersuchende Behörde auf das Abkommen verweisen.

Häufige Fehler

Art. 49 als bequeme Dauerlösung genutzt. Die Norm ist die letzte Stufe nach Art. 45 und Art. 46, keine gleichrangige Alternative. Wer einen Drittlandsdienst dauerhaft einsetzt, braucht Angemessenheitsbeschluss, SCC oder BCR.
„Gelegentlich" mit „selten" verwechselt. Maßgeblich ist nicht die Häufigkeit allein, sondern ob die Übermittlung außerhalb gewöhnlicher Abläufe stattfindet. Eine dauerhafte Geschäftsbeziehung mit regelmäßigen Übermittlungen ist systematisch und wiederholt – selbst bei geringer Frequenz. Ein genereller direkter Datenbankzugriff des Importeurs ist nie gelegentlich.
Einwilligung ohne Risikoaufklärung eingeholt. Ohne den Hinweis auf fehlendes Schutzniveau, fehlende Garantien und die konkreten Risiken greift lit. a nicht – die Einwilligung ist als Übermittlungsgrundlage wertlos.
Pauschal-Einwilligung aus den AGB verwendet. Die Einwilligung muss sich auf die konkrete Übermittlung beziehen und vor ihrer Durchführung vorliegen.
Konzern-Zentralisierung auf lit. b gestützt. Zentrale Lohnbuchhaltung oder HR-Systeme im Drittland erfüllen weder Erforderlichkeit noch Gelegentlichkeit. Der EDSA verweist ausdrücklich auf SCC oder BCR.
lit. d bei Behördenersuchen eines Drittstaats angenommen. Das öffentliche Interesse muss im EU- oder deutschen Recht anerkannt sein (Art. 49 Abs. 4). Die abstrakte Existenz eines vergleichbaren Ziels im Unionsrecht genügt nicht.
Private Bonitätsregister unter lit. g gefasst. Die Registerausnahme erfasst nur öffentliche Register, die auf Unions- oder mitgliedstaatlichem Recht beruhen.
Ganzes Register übermittelt. Art. 49 Abs. 2 verbietet die Übermittlung des gesamten Datenbestands oder ganzer Kategorien.
UAbs. 2 ohne zusätzliche Garantien genutzt. Nach EDSA sind zusätzliche Schutzmaßnahmen obligatorisch; ohne sie überwiegen die Interessen der betroffenen Person stets.
Meldung an die Aufsichtsbehörde vergessen. Bei UAbs. 2 ist die Information der Aufsichtsbehörde gesetzliche Pflicht – und die Dokumentation im Art.-30-Verzeichnis nach Art. 49 Abs. 6 ebenfalls.
Rechtsgrundlage mit Übermittlungstatbestand verwechselt. Art. 49 ersetzt nicht Art. 6 bzw. Art. 9 DSGVO. Beide Stufen müssen erfüllt sein.
Behördliche Hoheitstätigkeit auf lit. a, b, c oder UAbs. 2 gestützt. Art. 49 Abs. 3 schließt das aus.
Falscher Bußgeldrahmen angenommen. Kapitel-V-Verstöße fallen unter Art. 83 Abs. 5 lit. c DSGVO (bis 20 Mio. €/4 %), nicht unter Art. 83 Abs. 4.

Änderungsverlauf

2026-09-22: Erstveröffentlichung der Faktenseite. Normtext des Art. 49 DSGVO (Abs. 1 UAbs. 1 lit. a–g, Abs. 1 UAbs. 2, Abs. 2–6) sowie die Erwägungsgründe 111–115 wurden gegen die konsolidierte DSGVO-Fassung mit Berichtigung (ABl. L 127 vom 23.05.2018, S. 2; CELEX:02016R0679-20160504) abgeglichen. Die Auslegungsaussagen – restriktive Auslegung, Zwei-Stufen-Prüfung (Art. 6/9 und Kapitel V), Beschränkung von lit. b, c und e auf „gelegentliche" Übermittlungen nach ErwGr. 111, Anforderungen an die ausdrückliche und fallbezogene Einwilligung nach lit. a, Konzern-Lohnbuchhaltung und Reisebüro-Beispiel, Einschränkung des öffentlichen Interesses durch Art. 49 Abs. 4, Stufenaufbau der Datenminimierung bei lit. e, Ausschluss privater Bonitätsregister bei lit. g, die sieben kumulativen Voraussetzungen des UAbs. 2 einschließlich obligatorischer zusätzlicher Garantien, Meldung an die Aufsichtsbehörde ohne Genehmigungswirkung und Dokumentation im Art.-30-Verzeichnis nach Art. 49 Abs. 6 – stammen vollständig aus den EDSA-Leitlinien 2/2018 (deutscher Volltext, angenommen 25.05.2018), die im Original durchgesehen wurden. Der Bearbeitungsstand der Leitlinien wurde am 22.09.2026 auf der EDSA-Dokumentseite geprüft: dort ist ausschließlich die Fassung vom 25. Mai 2018 gelistet, eine revidierte Version ist nicht ausgewiesen. Die Aussagen zu Art. 48 DSGVO stützen sich auf die EDSA-Leitlinien 02/2024, Endfassung Version 2.1, deren Annahme am 05.06.2025 über die EDSA-Pressemitteilung desselben Datums verifiziert wurde. Bußgeldrahmen Art. 83 Abs. 5 lit. c DSGVO (bis 20 Mio. € oder 4 % weltweiter Jahresumsatz). EuGH C-311/18 (Schrems II) über dejure.org-Permalink eingebunden. factcheck_status=review_needed, weil der Normtext des Art. 49 nicht unmittelbar über die EUR-Lex-HTML-Ansicht verifiziert werden konnte – die abgerufenen EUR-Lex-Endpunkte (HTML-Ansicht der konsolidierten Fassung sowie die ELI-Artikelansicht) lieferten beim Prüfabruf am 22.09.2026 einen leeren bzw. nur navigatorischen Body. Der Wortlaut wurde daher aus einer Spiegelfassung übernommen, die die konsolidierte EUR-Lex-Fassung mit Berichtigung als Quelle ausweist, und gegen die im Original gelesenen EDSA-Leitlinien 2/2018 gegengeprüft, die Art. 49 abschnittsweise zitieren. Beide Stränge stimmen überein; eine Bestätigung direkt an der EUR-Lex-Primärquelle steht gleichwohl aus. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

Siehe auch

[EU-Standardvertragsklauseln (SCC, Beschluss (EU) 2021/914)](/fakten/dsgvo-standardvertragsklauseln-scc-2021-914.html)
[Binding Corporate Rules (BCR, Art. 47 DSGVO)](/fakten/dsgvo-binding-corporate-rules-art-47.html)
[EU-US Data Privacy Framework (Beschluss (EU) 2023/1795)](/fakten/eu-us-data-privacy-framework-2023-1795.html)
[Drittlandtransfer nach Schrems II](/fakten/drittlandtransfer-schrems-ii.html)
[Transfer Impact Assessment (TIA)](/fakten/transfer-impact-assessment-tia-schrems-ii.html)
[DSGVO Art. 6 – Rechtsgrundlagen der Verarbeitung](/fakten/dsgvo-rechtsgrundlagen-art-6.html)
[DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten](/fakten/dsgvo-verzeichnis-verarbeitungstaetigkeiten-art-30.html)
[DSGVO-Bußgelder](/fakten/dsgvo-bussgelder.html)

Stand

Stand: 2026-09-22
Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO)
Offen: Direkte Verifikation des Art.-49-Normtexts an der EUR-Lex-Primäransicht – die HTML- und ELI-Endpunkte lieferten am 22.09.2026 keinen auswertbaren Text (siehe Änderungsverlauf); Wortlaut ist über die konsolidierte Spiegelfassung und die EDSA-Leitlinien 2/2018 zweifach belegt
Status: aktuell
Quellenautorität: A (EUR-Lex-Referenz, EDSA/EDPB-Leitlinien 2/2018 und 02/2024 im Original, EU-Kommission, EuGH, BfDI), B (Spiegelfassung des Art.-49-Wortlauts)
Lizenz: CC BY 4.0

Quellen

Verordnung (EU) 2016/679 (DSGVO) – Volltext, Art. 44–50 Kapitel V, Art. 49 „Ausnahmen für bestimmte Fälle" (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
Verordnung (EU) 2016/679 – amtliche Fassung (ELI, EUR-Lex): https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de A
Verordnung (EU) 2016/679 – konsolidierte Fassung mit Berichtigung (ABl. L 127 vom 23.05.2018, S. 2), EUR-Lex CELEX:02016R0679-20160504: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX%3A02016R0679-20160504 A
EDSA/EDPB – Leitlinien 2/2018 zu den Ausnahmen nach Artikel 49 der Verordnung 2016/679, angenommen 25.05.2018 (Dokumentseite): https://www.edpb.europa.eu/documents/guideline/guidelines-22018-on-derogations-of-article-49-under-regulation-2016679_de A
EDSA/EDPB – Leitlinien 2/2018, deutscher Volltext (PDF): https://www.edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_2_2018_derogations_de.pdf A
EDSA/EDPB – Leitlinien 02/2024 zu Artikel 48 DSGVO, Endfassung Version 2.1, deutscher Volltext (PDF): https://www.edpb.europa.eu/system/files/2025-11/edpb_guidelines_202402_article48_v2_de.pdf A
EDSA/EDPB – Pressemitteilung zur Annahme der Endfassung der Leitlinien 02/2024 zu Art. 48 DSGVO, 05.06.2025: https://www.edpb.europa.eu/news/edpb-publishes-final-version-of-guidelines-on-data-transfers-to-third-country-authorities-and_en A
Europäische Kommission – Internationale Dimension des Datenschutzes, Übermittlungen in Drittländer: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection_de A
EuGH, Urteil v. 16.07.2020, C-311/18 (Schrems II) – Maßstäbe für Übermittlungen nach Kapitel V (dejure.org): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=16.07.2020&Aktenzeichen=C-311%2F18 A
BfDI – Internationaler Datentransfer (Grundlagen Kapitel V DSGVO): https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Europa-Internationales/Internationaler_Datentransfer.html A

Letzte Änderung:: 2026-09-22
Letzte Prüfung:: 2026-09-22
In Kraft seit:: 2018-05-25
Status:: In Kraft
Quellen-Autorität:: A
Lizenz:: CC BY 4.0

Fehler gefunden? Bitte melden an info@nexvyra.fr.