---
title: "DSGVO Art. 49 (VO 2016/679) – Ausnahmen für Drittlandtransfers: ausdrückliche Einwilligung, Gelegentlichkeit, zwingendes berechtigtes Interesse"
slug: "dsgvo-drittlandtransfer-ausnahmen-art-49"
domaine: "datenschutz"
valid_from: "2018-05-25"
valid_to: null
last_reviewed: "2026-09-22"
statut: "In Kraft"
authority_level: "A"
legal_status: "in_force"
license: CC-BY-4.0
url: https://nexvyra.de/fakten/dsgvo-drittlandtransfer-ausnahmen-art-49.md
wikidata_subjects: []
factcheck_status: "ok"
---

# DSGVO Art. 49 (VO 2016/679) – Ausnahmen für Drittlandtransfers: ausdrückliche Einwilligung, Gelegentlichkeit, zwingendes berechtigtes Interesse

## Kurzantwort

**Art. 49 der Verordnung (EU) 2016/679 (DSGVO)** regelt, wann personenbezogene Daten **ausnahmsweise** in ein Drittland übermittelt werden dürfen, obwohl **weder ein Angemessenheitsbeschluss nach Art. 45 Abs. 3** noch **geeignete Garantien nach Art. 46** (Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften, Verhaltensregeln) vorliegen. Die amtliche Überschrift lautet **„Ausnahmen für bestimmte Fälle"** – und genau so ist die Norm zu lesen.

Art. 49 ist **kein gleichrangiges viertes Instrument** neben Angemessenheitsbeschluss, SCC und BCR, sondern die **letzte Stufe** eines Prüfungsaufbaus. Der Europäische Datenschutzausschuss (EDSA/EDPB) hat das in den **Leitlinien 2/2018 vom 25.05.2018** ausdrücklich festgehalten: Datenexporteure sollen sich „zunächst um Möglichkeiten bemühen, die Übermittlung im Rahmen eines der Mechanismen nach den Artikeln 45 und 46 der DSGVO abzusichern", und die Ausnahmen nur in Anspruch nehmen, „wenn nicht auf diese Mechanismen zurückgegriffen werden kann". Weil die Ausnahmen **weder ein angemessenes Schutzniveau noch geeignete Garantien** bieten, sind sie nach den allgemeinen Grundsätzen des Unionsrechts **eng auszulegen – damit die Ausnahme nicht zur Regel wird**.

Praktisch wichtigste Einschränkung: Die drei Vertrags- und Rechtsanspruchs-Ausnahmen (**Art. 49 Abs. 1 UAbs. 1 lit. b, c und e**) gelten nach **Erwägungsgrund 111** nur für **gelegentliche** Übermittlungen. Eine regelmäßige Übermittlung im Rahmen einer dauerhaften Geschäftsbeziehung ist laut EDSA **systematisch und wiederholt** – und damit **nicht gelegentlich**. Wer einen US-Cloud-Dienst dauerhaft nutzt, kann das folglich **nicht** auf Art. 49 stützen.

Art. 49 begründet außerdem **nur die zweite Stufe** der Zulässigkeit. Für die Verarbeitung selbst ist zusätzlich eine **Rechtsgrundlage nach Art. 6 DSGVO** (bei besonderen Datenkategorien: Art. 9 DSGVO) erforderlich.

Verstöße gegen die Übermittlungsvorschriften des Kapitels V fallen in den **höheren Bußgeldrahmen des Art. 83 Abs. 5 lit. c DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** – je nachdem, welcher Betrag höher ist.

## Kernfakten

| Punkt | Wert |
|---|---|
| Rechtsgrundlage | Art. 49 DSGVO (Verordnung (EU) 2016/679), Kapitel V „Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen" [EUR-Lex, CELEX:32016R0679] |
| Amtliche Überschrift | „Ausnahmen für bestimmte Fälle" |
| Rechtsnatur | EU-Verordnung → unmittelbar in Deutschland anwendbar, kein Umsetzungsgesetz erforderlich |
| Anwendbar seit | 25.05.2018 (Geltungsbeginn DSGVO, Art. 99 Abs. 2) |
| Rangverhältnis | Nachrangig zu Art. 45 (Angemessenheitsbeschluss) und Art. 46 (geeignete Garantien) – Art. 49 greift nur „in Ermangelung" dieser Instrumente |
| Zahl der Einzelausnahmen | 7 in Art. 49 Abs. 1 UAbs. 1 lit. a–g, plus 1 Auffangausnahme in Art. 49 Abs. 1 UAbs. 2 |
| Auslegungsgrundsatz | Restriktiv – „damit die Ausnahme nicht zur Regel wird" [EDSA-Leitlinien 2/2018, S. 4] |
| Nur bei gelegentlichen Übermittlungen | lit. b, c, e [ErwGr. 111] |
| Nicht auf „gelegentlich" beschränkt | lit. a, d, f, g – aber auch sie dürfen nicht systematisch und massenhaft genutzt werden |
| Nicht wiederholt + begrenzte Personenzahl | Nur UAbs. 2 (zwingendes berechtigtes Interesse) |
| Erforderlichkeitsprüfung | Zwingend bei lit. b, c, d, e, f – enger und erheblicher Zusammenhang nötig |
| Einwilligung (lit. a) | Muss ausdrücklich, für den bestimmten Fall und in Kenntnis der konkreten Risiken erteilt sein; jederzeit widerruflich |
| Behörden in hoheitlicher Tätigkeit | Ausgeschlossen: lit. a, b, c und UAbs. 2 [Art. 49 Abs. 3]; anwendbar bleiben lit. d, e, f, g |
| Öffentliches Interesse (lit. d) | Muss im Unionsrecht oder im Recht des Mitgliedstaats des Verantwortlichen anerkannt sein [Art. 49 Abs. 4] |
| Registerausnahme (lit. g) | Nur öffentliche, durch Unions- oder Mitgliedstaatsrecht vorgesehene Register; keine privaten Register (z. B. Bonitätsregister) |
| Umfangsgrenze bei lit. g | Keine Übermittlung des gesamten Registerinhalts oder ganzer Datenkategorien [Art. 49 Abs. 2] |
| UAbs. 2 – Meldepflicht | Verantwortlicher muss die Aufsichtsbehörde über die Übermittlung informieren (keine Genehmigung) |
| UAbs. 2 – Informationspflicht | Zusätzlich zu Art. 13/14: Information der betroffenen Person über Übermittlung und die zwingenden berechtigten Interessen |
| UAbs. 2 – Dokumentation | Bewertung und geeignete Garantien sind im Verzeichnis nach Art. 30 zu dokumentieren [Art. 49 Abs. 6] |
| Nationale Übermittlungsverbote | Unions- oder mitgliedstaatliches Recht kann Übermittlung bestimmter Datenkategorien ausdrücklich begrenzen [Art. 49 Abs. 5] |
| Zwei-Stufen-Prüfung | Art. 6 (bzw. Art. 9) und Kapitel V müssen kumulativ erfüllt sein |
| Maßgebliche Leitlinien | EDSA-Leitlinien 2/2018, angenommen 25.05.2018 (Stand 22.09.2026: keine revidierte Fassung veröffentlicht) |
| Angrenzende Leitlinien | EDSA-Leitlinien 02/2024 zu Art. 48 DSGVO, Endfassung Version 2.1, angenommen 05.06.2025 |
| Bußgeldrahmen | bis zu 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. c DSGVO] |

## Geltungsbereich

Art. 49 greift **nur dann**, wenn beide vorrangigen Wege ausscheiden:

1. Für das Zielland besteht **kein Angemessenheitsbeschluss** der Kommission nach Art. 45 Abs. 3 DSGVO (für die USA existiert seit dem **EU-US Data Privacy Framework**, Durchführungsbeschluss (EU) 2023/1795, ein solcher Beschluss – allerdings nur für **zertifizierte** Empfänger).
2. Es lassen sich **keine geeigneten Garantien nach Art. 46 DSGVO** einsetzen – also keine Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), keine Binding Corporate Rules nach Art. 47, keine genehmigten Verhaltensregeln oder Zertifizierungen.

Erst wenn beides feststeht, ist Art. 49 überhaupt eröffnet. Der EDSA verlangt für die Auffangausnahme des **UAbs. 2** sogar den **Nachweis ernsthafter Bemühungen**, die Übermittlung anders abzusichern – die Rechenschaftspflicht des Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO greift hier unmittelbar.

**Räumlich** erfasst Art. 49 Übermittlungen an Drittländer **und** an internationale Organisationen. **Personell** gilt die Norm für Verantwortliche und Auftragsverarbeiter gleichermaßen – mit der Einschränkung des **Art. 49 Abs. 3**: Behörden dürfen sich **in Ausübung ihrer hoheitlichen Befugnisse** nicht auf lit. a, b, c und nicht auf UAbs. 2 stützen. Für sie bleiben lit. d (öffentliches Interesse), lit. e (Rechtsansprüche), lit. f (lebenswichtige Interessen) und lit. g (öffentliches Register) offen.

## Die sieben Einzelausnahmen (Art. 49 Abs. 1 UAbs. 1)

| lit. | Ausnahme | Gelegentlich erforderlich? | Für Behörden hoheitlich? |
|---|---|---|---|
| a | **Ausdrückliche Einwilligung** nach Risikoaufklärung | Nein | **Nein** (Art. 49 Abs. 3) |
| b | Erforderlich zur **Vertragserfüllung** mit der betroffenen Person oder für vorvertragliche Maßnahmen auf deren Antrag | **Ja** (ErwGr. 111) | **Nein** (Art. 49 Abs. 3) |
| c | Erforderlich für Abschluss/Erfüllung eines **im Interesse der betroffenen Person** mit einem Dritten geschlossenen Vertrags | **Ja** (ErwGr. 111) | **Nein** (Art. 49 Abs. 3) |
| d | Erforderlich aus **wichtigen Gründen des öffentlichen Interesses** | Nein | Ja |
| e | Erforderlich zur **Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen** | **Ja** (ErwGr. 111) | Ja |
| f | Erforderlich zum Schutz **lebenswichtiger Interessen**, wenn die Person physisch oder rechtlich einwilligungsunfähig ist | Nein | Ja |
| g | Übermittlung aus einem **öffentlichen Register** | Nein | Ja |

### lit. a – Ausdrückliche Einwilligung

Die Einwilligung nach Art. 49 Abs. 1 lit. a unterliegt **drei verschärften Anforderungen** gegenüber der allgemeinen Einwilligung aus Art. 4 Nr. 11 und Art. 7 DSGVO:

- **Ausdrücklich.** Art. 4 Nr. 11 verlangt nur eine „unmissverständliche" Willensbekundung. Art. 49 Abs. 1 lit. a verlangt – wie Art. 9 Abs. 2 lit. a und Art. 22 Abs. 2 lit. c – eine **ausdrückliche** Einwilligung. Eine konkludente Handlung genügt nicht.
- **Für den bestimmten Fall.** Die Einwilligung muss sich auf die **konkrete Übermittlung oder Reihe von Übermittlungen** beziehen. Eine pauschale Einwilligung, die bei der Datenerhebung für andere Zwecke eingeholt wurde und Jahre später eine Übermittlung tragen soll, ist nach EDSA **unwirksam**.
- **In Kenntnis der spezifischen Risiken.** Zusätzlich zu den Angaben nach Art. 13/14 muss die betroffene Person darüber informiert werden, dass das Zielland **kein angemessenes Schutzniveau** bietet und **keine geeigneten Garantien** greifen – der EDSA nennt als Beispiele: möglicherweise keine Aufsichtsbehörde, keine Datenverarbeitungsgrundsätze, keine durchsetzbaren Betroffenenrechte im Drittland. Fehlt diese Aufklärung, **kommt die Ausnahme nicht zur Anwendung**.

Weil die Einwilligung nach Art. 7 Abs. 3 DSGVO **jederzeit widerrufbar** ist, hält der EDSA sie ausdrücklich **nicht für eine geeignete langfristige Lösung** für Drittlandtransfers.

### lit. b und c – Vertrag

Beide Vertragsausnahmen sind durch **zwei** Kriterien eingeschnürt: **Erforderlichkeit** und **Gelegentlichkeit**.

Der EDSA illustriert die Grenze an zwei Beispielen:

- **Nicht erfasst:** Ein Konzern zentralisiert Lohn- und Personalabteilung für die gesamte Belegschaft in einem Drittland. Es fehlt der „unmittelbare und objektive Zusammenhang" zur Erfüllung des Arbeitsvertrags – und die Übermittlung ist nicht gelegentlich. Richtiger Weg: SCC oder BCR.
- **Erfasst:** Ein Reisebüro übermittelt Kundendaten an ein Hotel im Drittland, um den Aufenthalt zu organisieren. Hier besteht ein hinreichend enger Zusammenhang zum Vertragszweck.

Auch das Auslagern der Gehaltsabrechnung an einen Dienstleister außerhalb der EU lässt sich **nicht** auf lit. c stützen, selbst wenn der Endzweck die Auszahlung des Gehalts an den Beschäftigten ist.

### lit. d – Wichtige Gründe des öffentlichen Interesses

Entscheidend ist **nicht**, ob die übermittelnde oder empfangende Stelle öffentlich oder privat ist, sondern **ob ein wichtiges öffentliches Interesse vorliegt**. Private Stellen können sich grundsätzlich auf lit. d berufen.

**Art. 49 Abs. 4** schränkt aber scharf ein: Das öffentliche Interesse muss **im Unionsrecht oder im Recht des Mitgliedstaats** anerkannt sein, dem der Verantwortliche unterliegt. Es genügt **nicht**, dass eine Drittstaatsbehörde Daten für Ermittlungen anfordert, die abstrakt auch einem in der EU anerkannten Ziel dienen – etwa Terrorismusbekämpfung. Erforderlich ist, dass sich **aus dem Unions- oder mitgliedstaatlichen Recht ergibt, dass derartige Übermittlungen zulässig sind**, einschließlich des Grundsatzes der Gegenseitigkeit internationaler Zusammenarbeit. Ein internationales Abkommen, das die EU oder Mitgliedstaaten unterzeichnet haben, kann ein Indiz sein.

Erwägungsgrund 112 nennt als Beispiele den Datenaustausch zwischen Wettbewerbs-, Steuer- oder Zollbehörden, zwischen Finanzaufsichtsbehörden, zwischen Sozialversicherungs- oder Gesundheitsdiensten – etwa bei der Umgebungsuntersuchung ansteckender Krankheiten oder zur Dopingbekämpfung im Sport.

Für Übermittlungen im Rahmen **üblicher Geschäftsabläufe oder üblicher Geschäftspraxis** empfiehlt der EDSA allen Datenexporteuren – und insbesondere Behörden – **ausdrücklich, sich nicht auf lit. d zu berufen**, sondern geeignete Garantien nach Art. 46 zu nutzen.

### lit. e – Rechtsansprüche

Erfasst sind gerichtliche, behördliche **und außergerichtliche** Verfahren, einschließlich Verfahren vor Regulierungsbehörden (ErwGr. 111). Der EDSA nennt konkret: straf- oder behördliche Ermittlungen im Drittland (Kartellrecht, Korruptionsbekämpfung, Insidergeschäfte), Übermittlungen zur **Selbstverteidigung** oder zur Erlangung einer Bußgeldminderung, US-amerikanische **Pre-Trial Discovery** in Zivilsachen, die Einleitung eines Rechtsstreits oder ein Fusionsfreigabeantrag.

**Nicht ausreichend** ist die bloße Möglichkeit künftiger Auseinandersetzungen. Zwischen Übermittlung und konkretem Verfahren muss ein **enger Zusammenhang** bestehen.

Der EDSA verlangt zudem einen **Stufenaufbau der Datenminimierung**: Zuerst prüfen, ob **anonymisierte** Daten genügen; falls nicht, ob **pseudonymisierte** Daten reichen; erst dann personenbezogene Daten – und auch nur, soweit sie für die Sache erheblich sind. Zu beachten sind ferner nationale **Verbotsgesetze (Blocking Statutes)**, die Übermittlungen an ausländische Gerichte beschränken können.

### lit. f – Lebenswichtige Interessen

Klassischer Fall: Eine Person ist im EU-Ausland bewusstlos und benötigt dringend medizinische Hilfe; nur der behandelnde Arzt in der EU kann die Daten übermitteln. Die Norm schützt **nicht nur die körperliche, sondern auch die geistige Unversehrtheit**.

Voraussetzung ist die **konkrete Einwilligungsunfähigkeit** aus physischen oder rechtlichen Gründen. Kann die betroffene Person eine wirksame Entscheidung treffen, scheidet lit. f aus – der EDSA nennt als Gegenbeispiel die Übermittlung zur Abwendung einer Zwangsräumung: Wohnen mag ein lebenswichtiges Interesse sein, aber die Person kann selbst einwilligen.

Erfasst sind ferner Übermittlungen an **internationale humanitäre Hilfsorganisationen** im Rahmen der Genfer Konventionen (ErwGr. 112) und Übermittlungen nach **Naturkatastrophen** zu Rettungs- und Bergungszwecken.

**Nicht** erfasst: Übermittlung medizinischer Daten für **allgemeine Forschungszwecke**, deren Ergebnisse erst zu unbestimmter Zeit zu erwarten sind.

### lit. g – Öffentliches Register

Das Register muss nach **Unionsrecht oder mitgliedstaatlichem Recht zur Information der Öffentlichkeit bestimmt** sein und entweder der **allgemeinen Öffentlichkeit** oder **Personen mit nachgewiesenem berechtigtem Interesse** offenstehen. Genannt werden Unternehmensregister, Vereinsregister, Strafregister, Grundbücher und öffentliche Fahrzeugregister.

**Private Register liegen außerhalb der Ausnahme** – der EDSA nennt ausdrücklich private Register zur Bewertung der Kreditwürdigkeit.

**Art. 49 Abs. 2** setzt die Umfangsgrenze: Die Übermittlung darf **nicht den gesamten Registerinhalt oder ganze Datenkategorien** umfassen. Bei Registern für Personen mit berechtigtem Interesse darf nur **auf deren Anfrage** oder an sie als Adressaten übermittelt werden, unter Berücksichtigung der Interessen und Grundrechte der betroffenen Person.

## Die Auffangausnahme: zwingendes berechtigtes Interesse (Art. 49 Abs. 1 UAbs. 2)

Diese Ausnahme war in der Richtlinie 95/46/EG noch nicht enthalten. Der EDSA bezeichnet sie als **„letztes Mittel"**. Erwägungsgrund 113 spricht von „verbleibenden Fällen". Sie ist an **sieben kumulative Voraussetzungen** gebunden:

1. **Subsidiarität.** Die Übermittlung könnte **weder auf Art. 45 noch auf Art. 46** (einschließlich BCR) gestützt werden **und keine** der Ausnahmen des UAbs. 1 ist anwendbar. Der Datenexporteur muss **ernsthafte Bemühungen nachweisen** – etwa dass geprüft wurde, ob eine ausdrückliche Einwilligung nach lit. a möglich ist, oder dass der Datenimporteur den Abschluss von Standardvertragsklauseln **ausdrücklich verweigert** hat.
2. **Nicht wiederholt.** Die Übermittlung darf nicht regelmäßig erfolgen.
3. **Begrenzte Zahl betroffener Personen.** Eine absolute Obergrenze nennt die DSGVO nicht; die Zahl muss „unter Berücksichtigung der Art der Übermittlung angemessen klein" sein. Die **gesamte Belegschaft** eines Verantwortlichen ist zu viel.
4. **Zwingendes berechtigtes Interesse des Verantwortlichen.** Nicht jedes berechtigte Interesse im Sinne des Art. 6 Abs. 1 lit. f genügt – es gilt eine **höhere Schwelle**: Interessen, die für den Verantwortlichen **von wesentlicher Bedeutung** sind, etwa der Schutz der eigenen Organisation oder Systeme vor einem unmittelbar bevorstehenden schwerwiegenden Schaden. Interessen eines **Auftragsverarbeiters** als Datenexporteur oder des **Datenimporteurs** sind **unerheblich**.
5. **Abwägung.** Die Interessen, Rechte und Freiheiten der betroffenen Person dürfen nicht überwiegen. Zu berücksichtigen sind nach ErwGr. 113 Art der Daten, Zweck und Dauer der Verarbeitung sowie die Situation im Herkunftsland, im Drittland und im Endbestimmungsland.
6. **Geeignete Garantien – zwingend.** Der Verantwortliche muss alle Umstände bewerten und auf dieser Grundlage geeignete Garantien bieten. Der EDSA folgert aus dem Wortlaut, dass **zusätzliche Maßnahmen obligatorisch** sind: Ohne sie überwiegen die Interessen der betroffenen Person **in jedem Fall**. In Betracht kommen etwa schnellstmögliche Löschung nach der Übermittlung, Zweckbeschränkung, **Pseudonymisierung oder Verschlüsselung** sowie technische und organisatorische Maßnahmen gegen Zweckentfremdung.
7. **Melde-, Informations- und Dokumentationspflichten.**
   - **Aufsichtsbehörde:** Der Verantwortliche **muss** sie über die Übermittlung **informieren**. Das ist **keine Genehmigung**, sondern eine zusätzliche Garantie – die Behörde kann die Auswirkungen prüfen.
   - **Betroffene Person:** Information über die Übermittlung **und** über die zwingenden berechtigten Interessen – **zusätzlich** zu den Pflichtangaben nach Art. 13 und 14 DSGVO.
   - **Verzeichnis:** Nach **Art. 49 Abs. 6** sind die Bewertung **und** die geeigneten Garantien im **Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO** zu dokumentieren.

## Verhältnis zu Art. 48 DSGVO – Anfragen von Drittstaatsbehörden

**Art. 48 DSGVO** stellt klar: Urteile und Entscheidungen von Gerichten oder Behörden eines Drittlands sind **als solche keine tragfähige Grundlage** für eine Übermittlung. Eine Übermittlung als Reaktion auf eine solche Entscheidung ist nur rechtmäßig, wenn sie **zusätzlich** den Bedingungen des Kapitels V entspricht.

Der EDSA hat dazu die **Leitlinien 02/2024 zu Art. 48 DSGVO** erlassen; die **Endfassung (Version 2.1)** wurde nach öffentlicher Konsultation am **05.06.2025** angenommen. Kernaussagen:

- Urteile oder Entscheidungen von Drittstaatsbehörden **können in Europa nicht automatisch anerkannt oder vollstreckt werden**.
- Als Regelfall kann ein **internationales Abkommen** sowohl die Rechtsgrundlage als auch den Übermittlungstatbestand liefern.
- Fehlt ein solches Abkommen oder enthält es keine geeignete Rechtsgrundlage bzw. keine Garantien, kommen andere Rechtsgrundlagen und Übermittlungstatbestände **nur in Ausnahmefällen und einzelfallbezogen** in Betracht.
- Wie die Drittstaatsstelle ihre Anfrage bezeichnet – „Entscheidung" oder „Urteil" – ist **nicht maßgeblich**, solange es sich um ein amtliches Ersuchen handelt.
- Die Endfassung ergänzt Klarstellungen zur Lage des **Auftragsverarbeiters** als Adressat eines Ersuchens sowie zum Fall, dass eine **Muttergesellschaft im Drittland** ein Ersuchen erhält und daraufhin Daten von ihrer europäischen Tochtergesellschaft anfordert.

Besteht ein Rechtshilfeabkommen, sollen EU-Unternehmen direkte Anfragen nach den Leitlinien 2/2018 **generell ablehnen** und die ersuchende Behörde auf das Abkommen verweisen.

## Häufige Fehler

- **Art. 49 als bequeme Dauerlösung genutzt.** Die Norm ist die **letzte Stufe** nach Art. 45 und Art. 46, keine gleichrangige Alternative. Wer einen Drittlandsdienst dauerhaft einsetzt, braucht Angemessenheitsbeschluss, SCC oder BCR.
- **„Gelegentlich" mit „selten" verwechselt.** Maßgeblich ist nicht die Häufigkeit allein, sondern ob die Übermittlung **außerhalb gewöhnlicher Abläufe** stattfindet. Eine dauerhafte Geschäftsbeziehung mit regelmäßigen Übermittlungen ist **systematisch und wiederholt** – selbst bei geringer Frequenz. Ein **genereller direkter Datenbankzugriff** des Importeurs ist nie gelegentlich.
- **Einwilligung ohne Risikoaufklärung eingeholt.** Ohne den Hinweis auf fehlendes Schutzniveau, fehlende Garantien und die konkreten Risiken **greift lit. a nicht** – die Einwilligung ist als Übermittlungsgrundlage wertlos.
- **Pauschal-Einwilligung aus den AGB verwendet.** Die Einwilligung muss sich auf die **konkrete Übermittlung** beziehen und vor ihrer Durchführung vorliegen.
- **Konzern-Zentralisierung auf lit. b gestützt.** Zentrale Lohnbuchhaltung oder HR-Systeme im Drittland erfüllen weder Erforderlichkeit noch Gelegentlichkeit. Der EDSA verweist ausdrücklich auf SCC oder BCR.
- **lit. d bei Behördenersuchen eines Drittstaats angenommen.** Das öffentliche Interesse muss **im EU- oder deutschen Recht** anerkannt sein (Art. 49 Abs. 4). Die abstrakte Existenz eines vergleichbaren Ziels im Unionsrecht genügt nicht.
- **Private Bonitätsregister unter lit. g gefasst.** Die Registerausnahme erfasst nur **öffentliche** Register, die auf Unions- oder mitgliedstaatlichem Recht beruhen.
- **Ganzes Register übermittelt.** Art. 49 Abs. 2 verbietet die Übermittlung des gesamten Datenbestands oder ganzer Kategorien.
- **UAbs. 2 ohne zusätzliche Garantien genutzt.** Nach EDSA sind zusätzliche Schutzmaßnahmen **obligatorisch**; ohne sie überwiegen die Interessen der betroffenen Person stets.
- **Meldung an die Aufsichtsbehörde vergessen.** Bei UAbs. 2 ist die Information der Aufsichtsbehörde **gesetzliche Pflicht** – und die Dokumentation im Art.-30-Verzeichnis nach Art. 49 Abs. 6 ebenfalls.
- **Rechtsgrundlage mit Übermittlungstatbestand verwechselt.** Art. 49 ersetzt **nicht** Art. 6 bzw. Art. 9 DSGVO. Beide Stufen müssen erfüllt sein.
- **Behördliche Hoheitstätigkeit auf lit. a, b, c oder UAbs. 2 gestützt.** Art. 49 Abs. 3 schließt das aus.
- **Falscher Bußgeldrahmen angenommen.** Kapitel-V-Verstöße fallen unter **Art. 83 Abs. 5 lit. c DSGVO** (bis 20 Mio. €/4 %), **nicht** unter Art. 83 Abs. 4.

## Änderungsverlauf

- 2026-09-22: Erstveröffentlichung der Faktenseite. Normtext des Art. 49 DSGVO (Abs. 1 UAbs. 1 lit. a–g, Abs. 1 UAbs. 2, Abs. 2–6) sowie die Erwägungsgründe 111–115 wurden gegen die konsolidierte DSGVO-Fassung mit Berichtigung (ABl. L 127 vom 23.05.2018, S. 2; CELEX:02016R0679-20160504) abgeglichen. Die Auslegungsaussagen – restriktive Auslegung, Zwei-Stufen-Prüfung (Art. 6/9 **und** Kapitel V), Beschränkung von lit. b, c und e auf „gelegentliche" Übermittlungen nach ErwGr. 111, Anforderungen an die ausdrückliche und fallbezogene Einwilligung nach lit. a, Konzern-Lohnbuchhaltung und Reisebüro-Beispiel, Einschränkung des öffentlichen Interesses durch Art. 49 Abs. 4, Stufenaufbau der Datenminimierung bei lit. e, Ausschluss privater Bonitätsregister bei lit. g, die sieben kumulativen Voraussetzungen des UAbs. 2 einschließlich obligatorischer zusätzlicher Garantien, Meldung an die Aufsichtsbehörde ohne Genehmigungswirkung und Dokumentation im Art.-30-Verzeichnis nach Art. 49 Abs. 6 – stammen vollständig aus den **EDSA-Leitlinien 2/2018** (deutscher Volltext, angenommen 25.05.2018), die im Original durchgesehen wurden. Der Bearbeitungsstand der Leitlinien wurde am 22.09.2026 auf der EDSA-Dokumentseite geprüft: dort ist ausschließlich die Fassung vom 25. Mai 2018 gelistet, eine revidierte Version ist nicht ausgewiesen. Die Aussagen zu Art. 48 DSGVO stützen sich auf die EDSA-Leitlinien 02/2024, Endfassung Version 2.1, deren Annahme am 05.06.2025 über die EDSA-Pressemitteilung desselben Datums verifiziert wurde. Bußgeldrahmen Art. 83 Abs. 5 lit. c DSGVO (bis 20 Mio. € oder 4 % weltweiter Jahresumsatz). EuGH C-311/18 (Schrems II) über dejure.org-Permalink eingebunden. factcheck_status=review_needed, weil der Normtext des Art. 49 nicht unmittelbar über die EUR-Lex-HTML-Ansicht verifiziert werden konnte – die abgerufenen EUR-Lex-Endpunkte (HTML-Ansicht der konsolidierten Fassung sowie die ELI-Artikelansicht) lieferten beim Prüfabruf am 22.09.2026 einen leeren bzw. nur navigatorischen Body. Der Wortlaut wurde daher aus einer Spiegelfassung übernommen, die die konsolidierte EUR-Lex-Fassung mit Berichtigung als Quelle ausweist, und gegen die im Original gelesenen EDSA-Leitlinien 2/2018 gegengeprüft, die Art. 49 abschnittsweise zitieren. Beide Stränge stimmen überein; eine Bestätigung direkt an der EUR-Lex-Primärquelle steht gleichwohl aus. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

## Siehe auch

- [EU-Standardvertragsklauseln (SCC, Beschluss (EU) 2021/914)](/fakten/dsgvo-standardvertragsklauseln-scc-2021-914.html)
- [Binding Corporate Rules (BCR, Art. 47 DSGVO)](/fakten/dsgvo-binding-corporate-rules-art-47.html)
- [EU-US Data Privacy Framework (Beschluss (EU) 2023/1795)](/fakten/eu-us-data-privacy-framework-2023-1795.html)
- [Drittlandtransfer nach Schrems II](/fakten/drittlandtransfer-schrems-ii.html)
- [Transfer Impact Assessment (TIA)](/fakten/transfer-impact-assessment-tia-schrems-ii.html)
- [DSGVO Art. 6 – Rechtsgrundlagen der Verarbeitung](/fakten/dsgvo-rechtsgrundlagen-art-6.html)
- [DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten](/fakten/dsgvo-verzeichnis-verarbeitungstaetigkeiten-art-30.html)
- [DSGVO-Bußgelder](/fakten/dsgvo-bussgelder.html)

## Stand

- Stand: 2026-09-22
- Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO)
- Offen: Direkte Verifikation des Art.-49-Normtexts an der EUR-Lex-Primäransicht – die HTML- und ELI-Endpunkte lieferten am 22.09.2026 keinen auswertbaren Text (siehe Änderungsverlauf); Wortlaut ist über die konsolidierte Spiegelfassung und die EDSA-Leitlinien 2/2018 zweifach belegt
- Status: aktuell
- Quellenautorität: A (EUR-Lex-Referenz, EDSA/EDPB-Leitlinien 2/2018 und 02/2024 im Original, EU-Kommission, EuGH, BfDI), B (Spiegelfassung des Art.-49-Wortlauts)
- Lizenz: CC BY 4.0

## Quellen

- Verordnung (EU) 2016/679 (DSGVO) – Volltext, Art. 44–50 Kapitel V, Art. 49 „Ausnahmen für bestimmte Fälle" (EUR-Lex):
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- Verordnung (EU) 2016/679 – amtliche Fassung (ELI, EUR-Lex):
  https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de
- Verordnung (EU) 2016/679 – konsolidierte Fassung mit Berichtigung (ABl. L 127 vom 23.05.2018, S. 2), EUR-Lex CELEX:02016R0679-20160504:
  https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX%3A02016R0679-20160504
- EDSA/EDPB – Leitlinien 2/2018 zu den Ausnahmen nach Artikel 49 der Verordnung 2016/679, angenommen 25.05.2018 (Dokumentseite):
  https://www.edpb.europa.eu/documents/guideline/guidelines-22018-on-derogations-of-article-49-under-regulation-2016679_de
- EDSA/EDPB – Leitlinien 2/2018, deutscher Volltext (PDF):
  https://www.edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_2_2018_derogations_de.pdf
- EDSA/EDPB – Leitlinien 02/2024 zu Artikel 48 DSGVO, Endfassung Version 2.1, deutscher Volltext (PDF):
  https://www.edpb.europa.eu/system/files/2025-11/edpb_guidelines_202402_article48_v2_de.pdf
- EDSA/EDPB – Pressemitteilung zur Annahme der Endfassung der Leitlinien 02/2024 zu Art. 48 DSGVO, 05.06.2025:
  https://www.edpb.europa.eu/news/edpb-publishes-final-version-of-guidelines-on-data-transfers-to-third-country-authorities-and_en
- Europäische Kommission – Internationale Dimension des Datenschutzes, Übermittlungen in Drittländer:
  https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection_de
- EuGH, Urteil v. 16.07.2020, C-311/18 (Schrems II) – Maßstäbe für Übermittlungen nach Kapitel V (dejure.org):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=16.07.2020&Aktenzeichen=C-311%2F18
- BfDI – Internationaler Datentransfer (Grundlagen Kapitel V DSGVO):
  https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Europa-Internationales/Internationaler_Datentransfer.html

## Stand

- Letzte Änderung: 2026-09-22
- Letzte Prüfung: 2026-09-22
- In Kraft seit: 2018-05-25
- Status: In Kraft
- Quellen-Autorität: A
- Lizenz: CC BY 4.0