Angemessenheitsbeschluss

Definition: Ein Angemessenheitsbeschluss (englisch: adequacy decision) ist eine Entscheidung der Europäischen Kommission gemäß Art. 45 DSGVO, mit der sie feststellt, dass ein bestimmtes Drittland, ein Gebiet oder ein Sektor innerhalb eines Drittlandes oder eine internationale Organisation ein Datenschutzniveau gewährleistet, das dem der Europäischen Union als gleichwertig angesehen werden kann. Diese Feststellung hat weitreichende praktische Bedeutung: Liegt ein Angemessenheitsbeschluss für ein Drittland vor, können personenbezogene Daten in dieses Land übermittelt werden, ohne dass es zusätzlicher Schutzmaßnahmen wie Standardvertragsklauseln (SCC), verbindlicher Unternehmensregeln (BCR) oder einer ausdrücklichen Einwilligung bedarf. Der Angemessenheitsbeschluss ist damit das komfortabelste rechtliche Instrument für den internationalen Datentransfer. Bei der Prüfung der Angemessenheit berücksichtigt die Kommission unter anderem die Rechtsstaatlichkeit, die Achtung der Menschenrechte, die Existenz und effektive Tätigkeit einer unabhängigen Datenschutzbehörde sowie die internationalen Verpflichtungen des betreffenden Landes. Bestehende Beschlüsse werden regelmäßig überprüft und können vom Europäischen Gerichtshof (EuGH) für ungültig erklärt werden – wie in den Fällen Safe Harbor (2015) und Privacy Shield (2020) geschehen.

Erläuterung

Der internationale Datentransfer ist für moderne Unternehmen im Online Marketing unvermeidlich: Analytik-Dienste, CRM-Systeme, Cloud-Speicher, E-Mail-Marketing-Plattformen und Werbenetzwerke sitzen häufig in den USA oder anderen Nicht-EU-Ländern. Die DSGVO gestattet solche Übermittlungen nur unter strengen Bedingungen, um sicherzustellen, dass das in Europa erarbeitete Datenschutzniveau nicht durch den Transfer in Länder mit schwächerem Schutz unterlaufen wird (Art. 44 ff. DSGVO).

Der Angemessenheitsbeschluss ist das einfachste Instrument, weil er wie ein „Freifahrtschein" für den Datentransfer wirkt – der verantwortliche Datenexporteur muss keine weiteren Schutzmaßnahmen ergreifen. Die Verantwortung liegt bei der EU-Kommission, die das Drittland kontinuierlich beobachtet. Geht das Schutzniveau zurück, ist die Kommission verpflichtet, den Beschluss zu widerrufen oder anzupassen.

Die bewegte Geschichte des EU-US-Datentransfers illustriert die Instabilität dieses Instruments: Das Safe-Harbor-Abkommen wurde 2015 vom EuGH im Urteil Schrems I gekippt. Der Nachfolger Privacy Shield wurde 2020 im Urteil Schrems II ebenfalls für ungültig erklärt – mit der Begründung, US-Geheimdienste hätten übermäßigen Zugriff auf europäische Daten. Seit Juli 2023 gilt das EU-US-Data-Privacy-Framework (DPF) als neuer Angemessenheitsbeschluss für zertifizierte US-Unternehmen. Auch dieser Beschluss ist rechtlich nicht unumstritten und wird möglicherweise erneut vor dem EuGH angefochten.

Für das Online Marketing ist dies hochrelevant, da viele der meistgenutzten Tools (Google Analytics, Meta Ads, HubSpot, Salesforce etc.) US-amerikanische Anbieter sind. Je nach Zertifizierungsstatus des Anbieters unter dem DPF kann der Transfer auf diesen Beschluss gestützt werden oder erfordert alternative Absicherungen wie SCC.

Länder mit Angemessenheitsbeschluss (Stand 2025)

Andorra: Angemessenheitsbeschluss seit 2010.
Argentinien: Beschluss seit 2003, derzeit unter Überprüfung.
Kanada: Teilweiser Beschluss, gilt nur für PIPEDA-regulierte Organisationen im privaten Sektor.
Färöer-Inseln, Guernsey, Isle of Man, Jersey: Beschlüsse seit 2010/2011.
Israel: Beschluss seit 2011.
Japan: Beschluss seit 2019, wechselseitig mit japanischem Äquivalenzbeschluss.
Neuseeland: Beschluss seit 2013.
Schweiz: Kein formeller EU-Beschluss, aber der EDÖB (Schweizer Datenschutzbeauftragter) und die EU erkennen sich gegenseitig an; für CH–EU-Transfers greift das Schweizer DSG.
Südkorea: Beschluss seit 2021.
Vereinigtes Königreich: Beschluss seit 2021 (post-Brexit), gilt bis auf Weiteres.
Uruguay: Beschluss seit 2012.
USA (EU-US Data Privacy Framework): Beschluss seit Juli 2023, gilt nur für DPF-zertifizierte Unternehmen.

Prüfkriterien der EU-Kommission

Rechtsstaatlichkeit und Grundrechte: Existenz eines funktionierenden Rechtssystems, unabhängiger Gerichte und garantierter Grundrechte.
Datenschutzgesetzgebung: Materielle Datenschutzregeln, die inhaltlich der DSGVO vergleichbar sind.
Unabhängige Aufsicht: Effektive, unabhängige Datenschutzbehörde mit Durchsetzungsbefugnissen.
Behördliche Datenzugriffe: Beschränkungen und Kontrollen staatlicher Zugriffe auf personenbezogene Daten (besonders relevant nach Schrems II).
Internationale Verpflichtungen: Ratifizierung internationaler Datenschutzkonventionen und Kooperation mit EU-Behörden.

Praxistipp: Überprüfen Sie regelmäßig, welche Drittland-Anbieter Sie im Online Marketing einsetzen und ob für das jeweilige Land ein gültiger Angemessenheitsbeschluss existiert. Für US-Anbieter prüfen Sie deren Zertifizierungsstatus unter dem EU-US Data Privacy Framework unter dataprivacyframework.gov. Ergänzen Sie Ihre Datenschutzerklärung stets mit aktuellen Informationen zu den eingesetzten Transfer-Instrumenten – veraltete Angaben sind selbst ein Datenschutzverstoß.