{ "slug": "dsgvo-drittlandtransfer-ausnahmen-art-49", "titre": "DSGVO Art. 49 (VO 2016/679) – Ausnahmen für Drittlandtransfers: ausdrückliche Einwilligung, Gelegentlichkeit, zwingendes berechtigtes Interesse", "domaine": "datenschutz", "statut_juridique": "in_force", "niveau_autorite": "A", "description": "Art. 49 der Verordnung (EU) 2016/679 (DSGVO) regelt, wann personenbezogene Daten ausnahmsweise in ein Drittland übermittelt werden dürfen, obwohl weder ein…", "resume_court": "**Art. 49 der Verordnung (EU) 2016/679 (DSGVO)** regelt, wann personenbezogene Daten **ausnahmsweise** in ein Drittland übermittelt werden dürfen, obwohl **weder ein Angemessenheitsbeschluss nach Art. 45 Abs. 3** noch **geeignete Garantien nach Art. 46** (Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften, Verhaltensregeln) vorliegen. Die amtliche Überschrift lautet **„Ausnahmen für bestimmte Fälle\u0022** – und genau so ist die Norm zu lesen.\n\nArt. 49 ist **kein gleichrangiges viertes Instrument** neben Angemessenheitsbeschluss, SCC und BCR, sondern die **letzte Stufe** eines Prüfungsaufbaus. Der Europäische Datenschutzausschuss (EDSA/EDPB) hat das in den **Leitlinien 2/2018 vom 25.05.2018** ausdrücklich festgehalten: Datenexporteure sollen sich „zunächst um Möglichkeiten bemühen, die Übermittlung im Rahmen eines der Mechanismen nach den Artikeln 45 und 46 der DSGVO abzusichern\u0022, und die Ausnahmen nur in Anspruch nehmen, „wenn nicht auf diese Mechanismen zurückgegriffen werden kann\u0022. Weil die Ausnahmen **weder ein angemessenes Schutzniveau noch geeignete Garantien** bieten, sind sie nach den allgemeinen Grundsätzen des Unionsrechts **eng auszulegen – damit die Ausnahme nicht zur Regel wird**.\n\nPraktisch wichtigste Einschränkung: Die drei Vertrags- und Rechtsanspruchs-Ausnahmen (**Art. 49 Abs. 1 UAbs. 1 lit. b, c und e**) gelten nach **Erwägungsgrund 111** nur für **gelegentliche** Übermittlungen. Eine regelmäßige Übermittlung im Rahmen einer dauerhaften Geschäftsbeziehung ist laut EDSA **systematisch und wiederholt** – und damit **nicht gelegentlich**. Wer einen US-Cloud-Dienst dauerhaft nutzt, kann das folglich **nicht** auf Art. 49 stützen.\n\nArt. 49 begründet außerdem **nur die zweite Stufe** der Zulässigkeit. Für die Verarbeitung selbst ist zusätzlich eine **Rechtsgrundlage nach Art. 6 DSGVO** (bei besonderen Datenkategorien: Art. 9 DSGVO) erforderlich.\n\nVerstöße gegen die Übermittlungsvorschriften des Kapitels V fallen in den **höheren Bußgeldrahmen des Art. 83 Abs. 5 lit. c DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** – je nachdem, welcher Betrag höher ist.", "faits": [ { "point": "Rechtsgrundlage", "valeur": "Art. 49 DSGVO (Verordnung (EU) 2016/679), Kapitel V „Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen\u0022 [EUR-Lex, CELEX:32016R0679]", "autorite": "A" }, { "point": "Amtliche Überschrift", "valeur": "„Ausnahmen für bestimmte Fälle\u0022", "autorite": "A" }, { "point": "Rechtsnatur", "valeur": "EU-Verordnung → unmittelbar in Deutschland anwendbar, kein Umsetzungsgesetz erforderlich", "autorite": "A" }, { "point": "Anwendbar seit", "valeur": "25.05.2018 (Geltungsbeginn DSGVO, Art. 99 Abs. 2)", "autorite": "A" }, { "point": "Rangverhältnis", "valeur": "Nachrangig zu Art. 45 (Angemessenheitsbeschluss) und Art. 46 (geeignete Garantien) – Art. 49 greift nur „in Ermangelung\u0022 dieser Instrumente", "autorite": "A" }, { "point": "Zahl der Einzelausnahmen", "valeur": "7 in Art. 49 Abs. 1 UAbs. 1 lit. a–g, plus 1 Auffangausnahme in Art. 49 Abs. 1 UAbs. 2", "autorite": "A" }, { "point": "Auslegungsgrundsatz", "valeur": "Restriktiv – „damit die Ausnahme nicht zur Regel wird\u0022 [EDSA-Leitlinien 2/2018, S. 4]", "autorite": "A" }, { "point": "Nur bei gelegentlichen Übermittlungen", "valeur": "lit. b, c, e [ErwGr. 111]", "autorite": "A" }, { "point": "Nicht auf „gelegentlich\u0022 beschränkt", "valeur": "lit. a, d, f, g – aber auch sie dürfen nicht systematisch und massenhaft genutzt werden", "autorite": "A" }, { "point": "Nicht wiederholt + begrenzte Personenzahl", "valeur": "Nur UAbs. 2 (zwingendes berechtigtes Interesse)", "autorite": "A" }, { "point": "Erforderlichkeitsprüfung", "valeur": "Zwingend bei lit. b, c, d, e, f – enger und erheblicher Zusammenhang nötig", "autorite": "A" }, { "point": "Einwilligung (lit. a)", "valeur": "Muss ausdrücklich, für den bestimmten Fall und in Kenntnis der konkreten Risiken erteilt sein; jederzeit widerruflich", "autorite": "A" }, { "point": "Behörden in hoheitlicher Tätigkeit", "valeur": "Ausgeschlossen: lit. a, b, c und UAbs. 2 [Art. 49 Abs. 3]; anwendbar bleiben lit. d, e, f, g", "autorite": "A" }, { "point": "Öffentliches Interesse (lit. d)", "valeur": "Muss im Unionsrecht oder im Recht des Mitgliedstaats des Verantwortlichen anerkannt sein [Art. 49 Abs. 4]", "autorite": "A" }, { "point": "Registerausnahme (lit. g)", "valeur": "Nur öffentliche, durch Unions- oder Mitgliedstaatsrecht vorgesehene Register; keine privaten Register (z. B. Bonitätsregister)", "autorite": "A" }, { "point": "Umfangsgrenze bei lit. g", "valeur": "Keine Übermittlung des gesamten Registerinhalts oder ganzer Datenkategorien [Art. 49 Abs. 2]", "autorite": "A" }, { "point": "UAbs. 2 – Meldepflicht", "valeur": "Verantwortlicher muss die Aufsichtsbehörde über die Übermittlung informieren (keine Genehmigung)", "autorite": "A" }, { "point": "UAbs. 2 – Informationspflicht", "valeur": "Zusätzlich zu Art. 13/14: Information der betroffenen Person über Übermittlung und die zwingenden berechtigten Interessen", "autorite": "A" }, { "point": "UAbs. 2 – Dokumentation", "valeur": "Bewertung und geeignete Garantien sind im Verzeichnis nach Art. 30 zu dokumentieren [Art. 49 Abs. 6]", "autorite": "A" }, { "point": "Nationale Übermittlungsverbote", "valeur": "Unions- oder mitgliedstaatliches Recht kann Übermittlung bestimmter Datenkategorien ausdrücklich begrenzen [Art. 49 Abs. 5]", "autorite": "A" }, { "point": "Zwei-Stufen-Prüfung", "valeur": "Art. 6 (bzw. Art. 9) und Kapitel V müssen kumulativ erfüllt sein", "autorite": "A" }, { "point": "Maßgebliche Leitlinien", "valeur": "EDSA-Leitlinien 2/2018, angenommen 25.05.2018 (Stand 22.09.2026: keine revidierte Fassung veröffentlicht)", "autorite": "A" }, { "point": "Angrenzende Leitlinien", "valeur": "EDSA-Leitlinien 02/2024 zu Art. 48 DSGVO, Endfassung Version 2.1, angenommen 05.06.2025", "autorite": "A" }, { "point": "Bußgeldrahmen", "valeur": "bis zu 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. c DSGVO]", "autorite": "A" } ], "sources": [ { "titre": "Verordnung (EU) 2016/679 (DSGVO) – Volltext, Art. 44–50 Kapitel V, Art. 49 „Ausnahmen für bestimmte Fälle\u0022 (EUR-Lex)", "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679", "autorite": "A" }, { "titre": "Verordnung (EU) 2016/679 – amtliche Fassung (ELI, EUR-Lex)", "url": "https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de", "autorite": "A" }, { "titre": "Verordnung (EU) 2016/679 – konsolidierte Fassung mit Berichtigung (ABl. L 127 vom 23.05.2018, S. 2), EUR-Lex CELEX:02016R0679-20160504", "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX%3A02016R0679-20160504", "autorite": "A" }, { "titre": "EDSA/EDPB – Leitlinien 2/2018 zu den Ausnahmen nach Artikel 49 der Verordnung 2016/679, angenommen 25.05.2018 (Dokumentseite)", "url": "https://www.edpb.europa.eu/documents/guideline/guidelines-22018-on-derogations-of-article-49-under-regulation-2016679_de", "autorite": "A" }, { "titre": "EDSA/EDPB – Leitlinien 2/2018, deutscher Volltext (PDF)", "url": "https://www.edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_2_2018_derogations_de.pdf", "autorite": "A" }, { "titre": "EDSA/EDPB – Leitlinien 02/2024 zu Artikel 48 DSGVO, Endfassung Version 2.1, deutscher Volltext (PDF)", "url": "https://www.edpb.europa.eu/system/files/2025-11/edpb_guidelines_202402_article48_v2_de.pdf", "autorite": "A" }, { "titre": "EDSA/EDPB – Pressemitteilung zur Annahme der Endfassung der Leitlinien 02/2024 zu Art. 48 DSGVO, 05.06.2025", "url": "https://www.edpb.europa.eu/news/edpb-publishes-final-version-of-guidelines-on-data-transfers-to-third-country-authorities-and_en", "autorite": "A" }, { "titre": "Europäische Kommission – Internationale Dimension des Datenschutzes, Übermittlungen in Drittländer", "url": "https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection_de", "autorite": "A" }, { "titre": "EuGH, Urteil v. 16.07.2020, C-311/18 (Schrems II) – Maßstäbe für Übermittlungen nach Kapitel V (dejure.org)", "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=16.07.2020\u0026Aktenzeichen=C-311%2F18", "autorite": "A" }, { "titre": "BfDI – Internationaler Datentransfer (Grundlagen Kapitel V DSGVO)", "url": "https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Europa-Internationales/Internationaler_Datentransfer.html", "autorite": "A" } ], "faq": [ { "question": "Was regelt DSGVO Art. 49 (VO 2016/679) – Ausnahmen für Drittlandtransfers: ausdrückliche Einwilligung, Gelegentlichkeit, zwingendes berechtigtes Interesse?", "reponse": "Art. 49 der Verordnung (EU) 2016/679 (DSGVO) regelt, wann personenbezogene Daten ausnahmsweise in ein Drittland übermittelt werden dürfen, obwohl weder ein Angemessenheitsbeschluss nach Art. 45 Abs. 3 noch geeignete Garantien nach Art. 46 (Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften, Verhaltensregeln) vorliegen." }, { "question": "Für wen gilt DSGVO Art. 49 (VO 2016/679)?", "reponse": "Art. 49 greift nur dann, wenn beide vorrangigen Wege ausscheiden: 1. Für das Zielland besteht kein Angemessenheitsbeschluss der Kommission nach Art. 45 Abs. 3 DSGVO (für die USA existiert seit dem EU-US Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795, ein solcher Beschluss – allerdings nur für zertifizierte Empfänger). 2. Es lassen sich keine geeigneten Garantien nach Art." }, { "question": "Welche häufigen Fehler gibt es bei DSGVO Art. 49 (VO 2016/679)?", "reponse": "Art. 49 als bequeme Dauerlösung genutzt. Die Norm ist die letzte Stufe nach Art. 45 und Art. 46, keine gleichrangige Alternative. Wer einen Drittlandsdienst dauerhaft einsetzt, braucht Angemessenheitsbeschluss, SCC oder BCR. „Gelegentlich\u0022 mit „selten\u0022 verwechselt. Maßgeblich ist nicht die Häufigkeit allein, sondern ob die Übermittlung außerhalb gewöhnlicher Abläufe stattfindet." } ], "wikidata": [ "Q1172506" ], "valid_from": "2018-05-25", "valid_to": null, "derniere_revision": "2026-09-22", "derniere_verification": "2026-09-22", "statut_factcheck": "ok", "url": "https://nexvyra.de/fakten/dsgvo-drittlandtransfer-ausnahmen-art-49" }