Cloud-ERP mit US-Bezug: Datentransfer ins Drittland (EU)

Was Kapitel V der DSGVO verlangt

Ein Cloud-ERP führt Kundenstammdaten, Lieferantenkontakte und Personaldaten. Greift der Anbieter, sein Support oder ein Unterauftragnehmer aus einem Drittland darauf zu, ist das eine Übermittlung, wenn die zugreifende Stelle ein anderer Verantwortlicher oder Auftragsverarbeiter als Ihr Betrieb ist (dazu unten). Kapitel V der Datenschutz-Grundverordnung (DSGVO) lässt sie nur unter Bedingungen zu; die Verordnung gilt seit 25. Mai 2018 (Art. 99 Abs. 2 DSGVO).

Die Instrumente bauen aufeinander auf. Jede Übermittlung setzt voraus, dass die Bedingungen des Kapitels und die übrigen Vorschriften der Verordnung eingehalten sind; das gilt auch für eine Weiterübermittlung in ein weiteres Drittland (Art. 44 DSGVO). Hat die Kommission für das Land ein angemessenes Schutzniveau festgestellt, ist die Übermittlung ohne besondere Genehmigung erlaubt (Art. 45 Abs. 1 DSGVO). Fehlt ein solcher Beschluss, braucht der Verantwortliche geeignete Garantien, und den betroffenen Personen müssen durchsetzbare Rechte und wirksame Rechtsbehelfe zustehen (Art. 46 Abs. 1 DSGVO).

Art. 46 Abs. 2 DSGVO nennt die Garantien, die ohne besondere Genehmigung einer Aufsichtsbehörde möglich sind: Standarddatenschutzklauseln der Kommission, verbindliche interne Datenschutzvorschriften nach Art. 47, von einer Aufsichtsbehörde angenommene und von der Kommission genehmigte Standarddatenschutzklauseln sowie genehmigte Verhaltensregeln nach Art. 40 (Buchst. e) und ein genehmigter Zertifizierungsmechanismus nach Art. 42 (Buchst. f); bei den beiden letzten verlangt die Vorschrift zusätzlich rechtsverbindliche und durchsetzbare Verpflichtungen des Verantwortlichen oder Auftragsverarbeiters in dem Drittland zur Anwendung der Garantien, einschließlich in Bezug auf die Rechte der betroffenen Personen, sodass Genehmigung oder Zertifizierung allein nicht genügen. Einzelvertragliche Klauseln und Verwaltungsvereinbarungen brauchen die Genehmigung der Aufsichtsbehörde (Art. 46 Abs. 3 DSGVO). Fehlen Beschluss und Garantien, ist eine Übermittlung nur unter den Bedingungen des Art. 49 Abs. 1 DSGVO zulässig: Unterabsatz 1 nennt einzelne Fälle, etwa die ausdrückliche Einwilligung der betroffenen Person nach Unterrichtung über die Risiken, die Erfüllung eines Vertrags mit ihr oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen; Unterabsatz 2 greift nur, wenn die Übermittlung nicht auf eine Bestimmung der Artikel 45 oder 46 DSGVO gestützt werden könnte und keine Ausnahme des Unterabsatzes 1 anwendbar ist, und lässt dann eine Übermittlung zu, die nicht wiederholt erfolgt und nur eine begrenzte Zahl betroffener Personen betrifft, wenn sie für zwingende berechtigte Interessen des Verantwortlichen erforderlich ist, die Interessen oder Rechte und Freiheiten der betroffenen Person nicht überwiegen und der Verantwortliche alle Umstände beurteilt, auf dieser Grundlage geeignete Garantien vorgesehen sowie Aufsichtsbehörde und betroffene Person unterrichtet hat.

Was als Übermittlung in ein Drittland zählt

Ihr Betrieb unterliegt der DSGVO, weil die Verarbeitung im Rahmen seiner Niederlassung in der Union erfolgt, unabhängig davon, ob sie in der Union stattfindet (Art. 3 Abs. 1 DSGVO). Einen Auftragsverarbeiter im Drittland binden Sie vertraglich (Art. 28 DSGVO).

Nach den Leitlinien 5/2021 des Europäischen Datenschutzausschusses (EDSA) liegt eine Übermittlung vor, wenn drei Bedingungen zusammenkommen: Der Exporteur unterliegt für die Verarbeitung der DSGVO, er legt personenbezogene Daten durch Übertragung oder auf andere Weise gegenüber einem anderen Verantwortlichen oder Auftragsverarbeiter offen, und dieser Empfänger sitzt in einem Drittland (Version 2.0, angenommen am 14. Februar 2023). Der Speicherort allein entscheidet also nicht, und die zweite Bedingung verlangt zwei getrennte Stellen: Greift ein Beschäftigter Ihres Unternehmens von einer Dienstreise in den USA auf die Datenbanken Ihres Unternehmens zu, ist das nach Beispiel 8 der Leitlinien keine Übermittlung, weil er Teil desselben Verantwortlichen ist. Sendet er Daten dagegen an eine US-Gesellschaft, liegt eine Übermittlung vor.

Die EDSA-Empfehlungen 01/2020 zählen den Fernzugriff aus einem Drittland zur Übermittlung, etwa im Supportfall, und ebenso die Speicherung außerhalb des EWR (Version 2.0, angenommen am 18. Juni 2021, Nummer 13); nach den Leitlinien 5/2021 gilt das, wenn die drei Bedingungen erfüllt sind. Nach derselben Nummer entsteht kein Drittlandsfall, wenn der Anbieter im EWR niedergelassen ist und im Vertrag ausdrücklich angibt, dass keine Verarbeitung in Drittländern stattfindet.

Zwei Fälle zeigen die Grenze. Betreibt ein deutscher Händler sein Cloud-ERP in Frankfurt und hat die zweite Supportstufe in den USA Zugriff auf Produktivdaten, ist das eine Übermittlung in die USA, weil die Supportmannschaft ein anderer Auftragsverarbeiter als Ihr Anbieter im EWR ist. Arbeitet derselbe Anbieter nur mit Personal im EWR und schließt der Vertrag jeden Zugriff aus Drittländern aus, entsteht kein Drittlandsfall. Fragen Sie deshalb nicht nach dem Serverstandort, sondern nach allen zugreifenden Stellen samt Unterauftragnehmern (Auftragsverarbeitung).

Wann der Datenschutzrahmen EU-USA die Übermittlung trägt

Die Kommission hat am 10. Juli 2023 den Durchführungsbeschluss (EU) 2023/1795 erlassen. Nach Art. 1 stellt er fest, dass die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten gewährleisten, die aus der Union an Organisationen in den USA übermittelt werden, die in der vom US-Handelsministerium geführten, öffentlich zugänglichen “Data Privacy Framework List” nach Anhang I Abschnitt I.3 des Beschlusses aufgeführt sind. Der Beschluss gilt seit dem 10. Juli 2023 und trägt Übermittlungen aus dem EWR: Nach dem EDSA-Informationsvermerk sind dort Bezugnahmen auf die EU als Bezugnahmen auf den EWR/die EU zu verstehen (Fußnote 2), und auf Übermittlungen von Stellen außerhalb der EU, die nach Art. 3 Abs. 2 DSGVO der DSGVO unterliegen, findet er keine Anwendung (Fußnote 5).

Zu prüfen sind:

1. Steht die empfangende Gesellschaft selbst auf der Liste? Ist eine US-Tochter die empfangende Stelle, muss die Zertifizierung der Muttergesellschaft sie einschließen (EDSA-FAQ für europäische Unternehmen, angenommen am 16. Juli 2024).
2. Ist die Zertifizierung aktiv? Die Organisation bestätigt sie jährlich; streicht das Handelsministerium sie von der Liste, trägt der Beschluss neue Übermittlungen an sie nicht mehr (Anhang I Abschnitt I.3).
3. Deckt die Zertifizierung Ihre Datenarten? Nicht jede Selbstzertifizierung erfasst Personaldaten aus einem Beschäftigungsverhältnis (EDSA-FAQ, Fragen 1 bis 3).

Solche Übermittlungen brauchen keine zusätzlichen Maßnahmen (EDSA-Informationsvermerk, Nummer 1). Der Beschluss erlaubt aber nur die Übermittlung; ist der Anbieter als Auftragsverarbeiter für Sie tätig, bleibt der Vertrag nach Art. 28 Abs. 3 DSGVO erforderlich, unabhängig von der Zertifizierung (EDSA-FAQ, Frage 3).

Der Beschluss ist nicht dauerhaft: Die Kommission kann ihn aussetzen, ändern, widerrufen oder seinen Anwendungsbereich einschränken (Art. 3 Abs. 5 des Beschlusses). Ihren ersten periodischen Überprüfungsbericht hat sie am 9. Oktober 2024 veröffentlicht (COM(2024) 451 final) und darin die nächste Überprüfung nach drei Jahren angekündigt; das Gericht der Europäischen Union hat die Klage gegen den Beschluss am 3. September 2025 abgewiesen (T-553/23, Latombe/Kommission).

Für Betriebe mit Sitz in der Schweiz gelten daneben Art. 16 und 17 des Datenschutzgesetzes; den Schweizer Fall behandelt Cloud-ERP in der Schweiz.

Entscheidungstabelle: Anbieter, Unterauftragnehmer und Instrument

Die Tabelle ordnet sechs Konstellationen dem Instrument zu und nennt die Nachweise für die Vertragsprüfung; die Zeilen gelten auch für andere Drittstaaten ohne Angemessenheitsbeschluss.

Konstellation	Übermittlungsinstrument	Nachweise, die Sie anfordern
Anbieter und alle Unterauftragnehmer im EWR; der Vertrag schließt Verarbeitung und Zugriff in Drittländern aus	Kapitel V nicht anwendbar (EDSA-Empfehlungen 01/2020, Nummer 13)	Vertragsklausel zum Ort der Verarbeitung und zum Zugriff; Liste der Unterauftragnehmer; schriftliche Erklärung, dass keine Verarbeitung in Drittländern erfolgt
Anbieter im EWR; Unterauftragnehmer in den USA stehen auf der Data Privacy Framework List	Art. 45 DSGVO, Beschluss (EU) 2023/1795, für die Übermittlung aus dem EWR	Eintrag genau dieser US-Gesellschaft in der Liste; Umfang der Zertifizierung, insbesondere Personaldaten; Sitz der übermittelnden Stelle im EWR; Vertrag nach Art. 28 Abs. 2 und 3 DSGVO mit Genehmigung der Unterauftragnehmer
Anbieter im EWR; Unterauftragnehmer in den USA ohne Listeneintrag, dessen Verarbeitung nicht selbst der DSGVO unterliegt	Art. 46 Abs. 2 Buchst. c DSGVO: Standardvertragsklauseln, Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter); daneben stehen die übrigen Garantien nach Art. 46 Abs. 2 DSGVO	Unterzeichnete Klauseln mit Anhang I und II (Anhang III nur bei gesonderter Genehmigung der Unterauftragnehmer), die zugleich die Anforderungen des Art. 28 Abs. 3 DSGVO abdecken; Liste der Unterauftragnehmer; Beurteilung nach Klausel 14, die die Parteien dokumentieren; Genehmigung nach Art. 28 Abs. 2 DSGVO
Ihr Vertragspartner ist die US-Gesellschaft selbst, sie steht auf der Liste	Art. 45 DSGVO; ist sie Auftragsverarbeiter, zusätzlich Vertrag nach Art. 28 DSGVO	Zertifizierungsnachweis aus der Liste; Angabe, ob die Zertifizierung auch Mutter- oder Tochtergesellschaften erfasst; Vertrag nach Art. 28 Abs. 3 DSGVO, wenn die US-Gesellschaft Auftragsverarbeiter ist
Ihr Vertragspartner ist die US-Gesellschaft selbst, ohne aktive Zertifizierung, und ihre Verarbeitung unterliegt nicht selbst der DSGVO	Art. 46 Abs. 2 Buchst. c DSGVO: Module Zwei (Verantwortlicher an Auftragsverarbeiter) oder Eins, daneben die übrigen Garantien nach Art. 46 Abs. 2 DSGVO	Unterzeichnete Klauseln mit Anhang I und II, im Modul Zwei bei gesonderter Genehmigung der Unterauftragnehmer zusätzlich Anhang III; im Modul Zwei zugleich Vertrag nach Art. 28 Abs. 3 DSGVO; Beurteilung nach Klausel 14; Nachweis der Rechtsgrundlage und der Information nach Art. 13 und 14 DSGVO
Anbieter in einem Drittland mit eigenem Angemessenheitsbeschluss, etwa dem Vereinigten Königreich, Japan oder Kanada für Handelsorganisationen	Art. 45 DSGVO mit diesem Beschluss	Angabe des Beschlusses; gesonderte Prüfung, wenn der Anbieter von dort weiterübermittelt, weil der Beschluss (EU) 2023/1795 nur Übermittlungen aus dem EWR trägt (EDSA-Informationsvermerk, Fußnoten 2 und 5)

Ein Weiterexport ist ein eigener Vorgang: Der zweite Empfänger in einem anderen Drittland ist gesondert zu beurteilen (Art. 44 DSGVO); der Beschluss (EU) 2023/1795 trägt nur die Übermittlung aus dem EWR an die gelistete US-Gesellschaft, nicht einen Weiterexport aus einem anderen Drittstaat.

Ohne Listeneintrag: geeignete Garantien nach Art. 46 DSGVO

Ohne Angemessenheitsbeschluss sind Standardvertragsklauseln der Kommission ein Instrument nach Art. 46 Abs. 2 Buchst. c DSGVO; daneben stehen unter anderem verbindliche interne Datenschutzvorschriften (Buchst. b und Art. 47) sowie genehmigte Verhaltensregeln (Buchst. e) und ein genehmigter Zertifizierungsmechanismus (Buchst. f), die beiden letzten jeweils zusammen mit rechtsverbindlichen und durchsetzbaren Verpflichtungen des Verantwortlichen oder Auftragsverarbeiters in dem Drittland zur Anwendung der Garantien, einschließlich in Bezug auf die Rechte der betroffenen Personen; für einzelvertragliche Klauseln brauchen Sie die Genehmigung Ihrer Aufsichtsbehörde (Abs. 3). Der Durchführungsbeschluss (EU) 2021/914 gilt nach seinem Art. 1 Abs. 1 als geeignete Garantie für die Übermittlung an einen Empfänger, dessen Verarbeitung nicht selbst der DSGVO unterliegt; Exporteur und Importeur müssen dabei tatsächlich als Verantwortlicher oder Auftragsverarbeiter handeln. Der Beschluss enthält vier Module: Verantwortlicher an Verantwortlicher, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter und Auftragsverarbeiter an Verantwortlicher. Eine besondere Genehmigung der Aufsichtsbehörde ist nicht nötig. Konzernintern kommen verbindliche interne Datenschutzvorschriften nach Art. 46 Abs. 2 Buchst. b und Art. 47 DSGVO in Betracht.

Die Klauseln sind mit den Anhängen zu verwenden: Anhang I Abschnitt A (Liste der Parteien) und Abschnitt B (Beschreibung der Datenübermittlung) sind für alle vier Module vorgesehen, Anhang I Abschnitt C (zuständige Aufsichtsbehörde) und Anhang II (technische und organisatorische Maßnahmen) nur für die Module Eins, Zwei und Drei. Anhang III (Liste der Unterauftragsverarbeiter) ist nur in den Modulen Zwei und Drei und dort nur bei gesonderter Genehmigung der Unterauftragnehmer auszufüllen (Erläuterung zu Anhang III; Klausel 9 Buchst. a Option 1). Geändert werden dürfen die Klauseln nicht; zulässig sind die Modulwahl, die Ergänzung der Anlagen und weitere, nicht widersprechende Klauseln (Klausel 2 Buchst. a). In den Modulen Zwei und Drei decken sie zugleich die Anforderungen des Art. 28 Abs. 3 DSGVO ab; der Beschluss stützt sich insoweit auf Art. 28 Abs. 7 DSGVO. Unterauftragsverarbeiter werden über Klausel 9 eingebunden: mit vorheriger gesonderter schriftlicher Genehmigung und Anhang III (Option 1; in Modul Drei erteilt sie der Verantwortliche, und der Datenimporteur informiert den Datenexporteur über die Beauftragung) oder mit allgemeiner schriftlicher Genehmigung (Option 2); die Genehmigung nach Art. 28 Abs. 2 DSGVO bleibt erforderlich. Wer nach Option 2 vorab unterrichtet wird, hängt am Modul: In Modul Zwei erteilt der Datenexporteur die allgemeine Genehmigung, und der Datenimporteur unterrichtet ihn vorab über beabsichtigte Änderungen der vereinbarten Liste; in Modul Drei erteilt der Verantwortliche die allgemeine Genehmigung, der Datenimporteur unterrichtet ihn vorab über beabsichtigte Änderungen und informiert den Datenexporteur über die Beauftragung des Unterauftragsverarbeiters. Die Kopplungsklausel (Klausel 7) lässt weitere Einrichtungen den Klauseln als Datenexporteur oder Datenimporteur beitreten.

Zwei Klauseln tragen den Fall USA. Nach Klausel 14 sichern die Parteien zu, keinen Grund zu der Annahme zu haben, dass Rechtslage und Praxis des Bestimmungslands den Datenimporteur an der Einhaltung der Klauseln hindern (Buchst. a); sie erklären, dabei insbesondere die besonderen Umstände der Übermittlung, die einschlägigen Rechtsvorschriften und Gepflogenheiten des Bestimmungslands und ergänzende Garantien berücksichtigt zu haben (Buchst. b), und vereinbaren, diese Beurteilung zu dokumentieren und der Aufsichtsbehörde auf Anfrage vorzulegen (Buchst. d). Kann der Importeur die Klauseln nicht mehr einhalten, muss er den Exporteur benachrichtigen (Buchst. e); der Exporteur ermittelt Abhilfemaßnahmen und setzt die Übermittlung aus, wenn er kein geeignetes Schutzniveau gewährleisten kann (Buchst. f). Klausel 15 regelt den Zugang von Behörden: Offenlegungsersuchen sind zu melden, ihre Rechtmäßigkeit ist zu prüfen, sie sind gegebenenfalls anzufechten, und die Unterlagen sind aufzubewahren. Nach Art. 48 DSGVO werden Urteile und Entscheidungen von Behörden eines Drittlands, die eine Offenlegung verlangen, ohne in Kraft befindliche internationale Übereinkunft nicht anerkannt oder vollstreckbar.

Die EDSA-Empfehlungen 01/2020 beschreiben dieselbe Prüfung in Schritt 3 (Nummern 29 bis 33); zu klären ist, ob Rechtslage und Praxis des Drittlands die Wirksamkeit des Instruments beeinträchtigen. Der EDSA weist darauf hin, dass die Garantien der US-Regierung im Bereich der nationalen Sicherheit einschließlich des Rechtsbehelfsmechanismus für alle Übermittlungen in die USA gelten, unabhängig vom Instrument, und dass Datenexporteure dabei die Feststellungen der Kommission im Angemessenheitsbeschluss berücksichtigen sollten (Informationsvermerk, Nummer 2). Reichen die Klauseln nicht aus, sind zusätzliche Maßnahmen zu prüfen (Schritt 4); lässt sich kein gleichwertiges Schutzniveau herstellen, darf nicht übermittelt werden. Nach Schritt 6 ist die Beurteilung in angemessenen Abständen zu wiederholen.

Was Sie dokumentieren und im Vertrag verlangen

• Verzeichnis. Land und Empfängerkategorie der Übermittlung gehören in das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 1 Buchst. e DSGVO). Für Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern gelten die Pflichten nach Art. 30 Abs. 1 und 2 DSGVO nach Abs. 5 nicht, es sei denn, die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, sie erfolgt nicht nur gelegentlich, oder sie schließt besondere Datenkategorien nach Art. 9 Abs. 1 oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO ein; für Personaldaten im ERP ist das im Einzelfall zu prüfen (Verzeichnis der Verarbeitungstätigkeiten).
• Information. Betroffene Personen sind über die beabsichtigte Übermittlung und das Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses zu informieren, sonst über die Garantien (Art. 13 Abs. 1 Buchst. f und Art. 14 Abs. 1 Buchst. f DSGVO); auf Verlangen sind sie offenzulegen (Art. 15 Abs. 2 DSGVO).
• Unterauftragnehmer. Der Hauptauftragnehmer darf einen weiteren Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung einsetzen; bei einer allgemeinen schriftlichen Genehmigung muss er jede beabsichtigte Änderung bei der Hinzuziehung oder Ersetzung mitteilen, damit Sie widersprechen können (Art. 28 Abs. 2 DSGVO). Dem weiteren Auftragsverarbeiter sind dieselben Datenschutzpflichten aufzuerlegen; erfüllt er sie nicht, haftet der erste Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO).
• Liste und Klauseln. Verlangen Sie die Liste der Unterauftragnehmer mit Sitzland und den Klauselsatz samt den Anhängen, die für Ihr Modul auszufüllen sind.
• Meldeweg. Behördenersuchen und ihre Behandlung sind zu dokumentieren (Klausel 15.1 Buchst. a und d); klären Sie, an welche Stelle in Ihrem Haus eine solche Meldung geht. Passt eine Datenpanne dazu, greift die Datenpanne im ERP.

Was bei einem Verstoß droht

Verstöße gegen Art. 44 bis 49 DSGVO sind bußgeldbewehrt: bis zu 20 Millionen Euro oder, im Fall eines Unternehmens, bis zu 4 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem welcher Betrag höher ist (Art. 83 Abs. 5 Buchst. c DSGVO). Die Aufsichtsbehörde kann die Übermittlung auch vorübergehend oder endgültig beschränken oder untersagen (Art. 58 Abs. 2 DSGVO).

Checkliste für Ihren Betrieb

• Sind Land und Rolle jeder Stelle festgehalten, die auf Ihre ERP-Daten zugreifen kann (Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter), und steht jede zugreifende US-Gesellschaft mit aktiver Zertifizierung und passendem Datenumfang auf der Data Privacy Framework List?
• Liegt für jeden Empfänger in einem Drittland ohne einschlägigen Angemessenheitsbeschluss nach Art. 45 DSGVO — das ist der Listeneintrag zum Datenschutzrahmen EU-USA oder der Beschluss zu einem anderen Staat — ein Übermittlungsinstrument vor: geeignete Garantien nach Art. 46 DSGVO, in der Regel ein unterzeichneter Klauselsatz mit Anhang I und, in den Modulen Eins bis Drei, Anhang II, Modul passend zur Rolle, ein anderes Instrument nach Art. 46 Abs. 2 DSGVO oder für einzelne Fälle eine Ausnahme nach Art. 49 Abs. 1 Unterabsatz 1 DSGVO; der Auffangweg nach Unterabsatz 2 greift nur, wenn die Übermittlung nicht auf Art. 45 oder 46 gestützt werden könnte und keine dieser Ausnahmen anwendbar ist? Empfänger im EWR sind kein Drittland; Kapitel V greift für sie nicht.
• Ist die Beurteilung nach Klausel 14 dokumentiert und der Meldeweg für Behördenersuchen und die Informationen nach Art. 13 und 14 DSGVO benannt?
• Haben Sie eine Rückfalllösung, falls eine Zertifizierung ausläuft oder der Beschluss ausgesetzt wird?