Sichere Drittländer 2026: die Datentransfer-Weltkarte

Welche Länder haben einen EU-Angemessenheitsbeschluss?

Stand Juli 2026 bestehen 17 Angemessenheitsbeschlüsse. Erfasst sind Andorra, Argentinien, Brasilien, Kanada, Färöer, Guernsey, Israel, Isle of Man, Japan, Jersey, Neuseeland, Südkorea, Schweiz, Uruguay, das Vereinigte Königreich, die USA sowie die Europäische Patentorganisation. In diese Ziele fließen Daten wie innerhalb der EU.

Die Liste führt und pflegt die EU-Kommission laufend. Übermittelt werden dürfen personenbezogene Daten in diese Länder wie innerhalb der EU, ohne Standardvertragsklauseln. Elf der Beschlüsse ergingen vor der DSGVO. Sie wurden im ersten Review am 15. Januar 2024 bestätigt und blieben unverändert in Kraft.

Zwei Beschlüsse erfassen nur einen Teil der Empfänger: Kanada nur kommerzielle Organisationen, die USA nur zertifizierte Unternehmen. Japan und Südkorea decken den privaten Sektor ab. Der jüngste Beschluss betrifft Brasilien und trat am 26. Januar 2026 in Kraft. Mit der Europäischen Patentorganisation erhielt am 15. Juli 2025 erstmals eine internationale Organisation einen eigenen Angemessenheitsbeschluss. Die vollständige Übersicht mit Rechtsgrundlage zeigt die Tabelle weiter unten.

Was bedeuten grün, gelb und bedingt auf der Weltkarte?

Grün steht für ein Land mit Angemessenheitsbeschluss: die Übermittlung ist ohne Zusatzinstrument zulässig (Art. 45 DSGVO). Gelb steht für ein Land ohne Beschluss: der Transfer bleibt über geeignete Garantien nach Art. 46 DSGVO möglich, meist Standardvertragsklauseln plus Folgenabschätzung. Bedingt markiert Länder, deren Beschluss nur einen Teil der Empfänger erfasst.

Die DSGVO kennt keine generelle Sperrliste von Staaten. Eine pauschale Rot-Wertung ganzer Länder wäre juristisch unzutreffend. Eine dritte Stufe greift nur im konkreten Einzelfall: Ergibt die Folgenabschätzung, dass kein Instrument die Schutzlücke schließt, ist die konkrete Übermittlung zu unterlassen oder auf eine Ausnahme nach Art. 49 DSGVO zu stützen.

Der Wert bedingt kennzeichnet Länder, deren Beschluss nur einen Teil der Empfänger erfasst, etwa die USA (nur zertifizierte Organisationen) und Kanada (nur kommerzielle Stellen). Für die übrigen Empfänger gilt dort die gelbe Stufe mit Standardvertragsklauseln und Transfer-Folgenabschätzung.

Alle 17 Angemessenheitsbeschlüsse in der Übersicht

Datensatz-Lizenz: Creative Commons Namensnennung 4.0 International (CC BY 4.0) . Quelle: Europäische Kommission; Zusammenstellung und Änderungen: veronto.

Ist die USA ein sicheres Drittland?

Die USA sind nur eingeschränkt sicher. Der Angemessenheitsbeschluss (EU) 2023/1795 gilt allein für Organisationen, die im EU-US Data Privacy Framework beim US-Handelsministerium zertifiziert sind. Für alle übrigen US-Empfänger greift die gelbe Stufe mit Standardvertragsklauseln und Folgenabschätzung. Der Rahmen ist zudem juristisch angefochten.

Der Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023 erklärt DPF-zertifizierte US-Organisationen für angemessen. Ob eine Zertifizierung aktiv ist, zeigt die offizielle DPF-Liste des US-Handelsministeriums. Für nicht zertifizierte Empfänger brauchen Sie Standardvertragsklauseln und eine Folgenabschätzung.

Der Rahmen steht juristisch unter Druck. Das Gericht der EU wies die Klage Latombe am 3. September 2025 ab und bestätigte den Beschluss (Rechtssache T-553/23). Der Kläger legte am 31. Oktober 2025 Rechtsmittel beim EuGH ein, das Verfahren läuft noch. Beide Vorgängerrahmen fielen bereits vor Gericht: Safe Harbor 2015 im Schrems-I-Urteil, Privacy Shield 2020 im Schrems-II-Urteil.

Viele KI-Dienste wie ChatGPT im Unternehmen laufen auf US-Infrastruktur. Der belastbare Weg ist, personenbezogene Daten gar nicht erst im Klartext an ein US-Modell zu geben. veronto alias pseudonymisiert die Daten direkt im Prompt, sodass das Modell nur Platzhalter erhält.

Wie übermitteln Sie Daten in Länder ohne Angemessenheitsbeschluss?

Ohne Beschluss stützen Sie die Übermittlung auf geeignete Garantien nach Art. 46 DSGVO. In der Praxis sind das die Standardvertragsklauseln (EU) 2021/914 oder verbindliche interne Datenschutzvorschriften. Voraussetzung ist eine Transfer-Folgenabschätzung nach der Sechs-Schritt-Prüfung der EDPB-Empfehlungen 01/2020, ergänzt um zusätzliche Schutzmaßnahmen, wo nötig.

Am gebräuchlichsten sind die Standardvertragsklauseln aus dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021. Alt-Klauseln durften bis zum 27. Dezember 2022 weiterlaufen, seither gelten ausschließlich die neuen Klauseln. Vor der Übermittlung steht die Transfer-Folgenabschätzung nach der Sechs-Schritt-Prüfung des Europäischen Datenschutzausschusses (EDPB-Empfehlungen 01/2020): Übermittlungen erfassen, Instrument bestimmen, Rechtslage im Zielland prüfen, zusätzliche Schutzmaßnahmen festlegen, formale Schritte umsetzen, Lage regelmäßig neu bewerten.

Eine wirksame zusätzliche Schutzmaßnahme ist, die Daten vor dem Transfer zu anonymisieren oder zu schwärzen. Betrifft die Übermittlung einen Auftragsverarbeiter im Drittland, gehören die Klauseln in den Auftragsverarbeitungsvertrag. Die Ausnahmen des Art. 49 DSGVO, etwa die ausdrückliche Einwilligung, greifen nur in Einzelfällen und decken keine regelmäßigen Massenübermittlungen.

1. Zielland und Angemessenheit bestimmen. Prüfen Sie in der Übersicht der EU-Kommission, ob für das Empfängerland ein Angemessenheitsbeschluss besteht. Beachten Sie Einschränkungen wie die DPF-Zertifizierung bei den USA oder den Zuschnitt auf kommerzielle Organisationen bei Kanada.
2. Bei Angemessenheit direkt übermitteln. Liegt ein Beschluss vor, ist die Übermittlung nach Art. 45 DSGVO ohne zusätzliches Instrument zulässig und wird wie ein Transfer innerhalb der EU behandelt.
3. Ohne Beschluss eine Garantie wählen. Stützen Sie den Transfer auf geeignete Garantien nach Art. 46 DSGVO, in der Praxis auf die Standardvertragsklauseln (EU) 2021/914 oder verbindliche interne Datenschutzvorschriften.
4. Folgen abschätzen und absichern. Führen Sie die Sechs-Schritt-Prüfung der EDPB-Empfehlungen 01/2020 durch, legen Sie zusätzliche technische Schutzmaßnahmen wie Anonymisierung fest und bewerten Sie die Lage regelmäßig neu.

Warum ändern sich die Regeln für den US-Datentransfer?

Der EU-US-Datentransfer scheiterte zweimal vor dem Europäischen Gerichtshof. Safe Harbor fiel 2015 im Schrems-I-Urteil, Privacy Shield 2020 im Schrems-II-Urteil. Seit dem 10. Juli 2023 trägt das EU-US Data Privacy Framework den Transfer. Diese Vorgeschichte erklärt, warum ein einzelner Angemessenheitsbeschluss für die USA regelmäßige Neubewertung verlangt.

Der EU-US-Datentransfer steht seit über zwei Jahrzehnten unter juristischer Beobachtung. Safe Harbor galt ab dem 26. Juli 2000 und fiel am 6. Oktober 2015 im Schrems-I-Urteil (Rechtssache C-362/14). Der Nachfolger Privacy Shield galt ab dem 12. Juli 2016 und fiel am 16. Juli 2020 im Schrems-II-Urteil (Rechtssache C-311/18). Dasselbe Urteil bestätigte die Standardvertragsklauseln unter der Bedingung einer Einzelfallprüfung. Seit dem 10. Juli 2023 trägt das EU-US Data Privacy Framework den Transfer. Diese Kette zeigt, warum Unternehmen den US-Transfer zusätzlich absichern und ihre Übermittlungen regelmäßig neu bewerten.

Häufige Fragen zum Drittlandtransfer

Was ist ein Angemessenheitsbeschluss?

Ein Angemessenheitsbeschluss ist die Feststellung der EU-Kommission, dass ein Drittland ein gleichwertiges Datenschutzniveau bietet. Liegt er vor, dürfen personenbezogene Daten dorthin übermittelt werden wie innerhalb der EU, ohne zusätzliche Garantien. Rechtsgrundlage ist Art. 45 DSGVO.

Ist die USA ein sicheres Drittland?

Die USA sind nur für Organisationen sicher, die im EU-US Data Privacy Framework zertifiziert sind (Durchführungsbeschluss (EU) 2023/1795). Für nicht zertifizierte Empfänger gilt die gelbe Stufe mit Standardvertragsklauseln und Folgenabschätzung. Der Rahmen ist zudem juristisch angefochten.

Darf ich Daten in die USA übertragen?

Ja. Ist der Empfänger im Data Privacy Framework zertifiziert, tragen Sie den Transfer auf den Angemessenheitsbeschluss. Ist er es nicht, brauchen Sie Standardvertragsklauseln nach (EU) 2021/914 und eine Transfer-Folgenabschätzung. Den Zertifizierungsstatus prüfen Sie in der offiziellen DPF-Liste des US-Handelsministeriums.

Wie viele sichere Drittländer gibt es 2026?

Stand Juli 2026 bestehen 17 EU-Angemessenheitsbeschlüsse, darunter 16 Länder und Gebiete sowie die Europäische Patentorganisation. Der jüngste betrifft Brasilien (26. Januar 2026), der erste für eine internationale Organisation die Europäische Patentorganisation (15. Juli 2025).

Was gilt für Länder ohne Angemessenheitsbeschluss?

Der Transfer bleibt über geeignete Garantien nach Art. 46 DSGVO möglich, meist über Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften. Voraussetzung ist eine Folgenabschätzung nach der Sechs-Schritt-Prüfung der EDPB-Empfehlungen 01/2020, ergänzt um zusätzliche Schutzmaßnahmen, wo nötig.

Deckt ein Angemessenheitsbeschluss immer das ganze Land ab?

Nein. Kanada erfasst nur kommerzielle Organisationen unter dem PIPEDA, die USA nur DPF-zertifizierte Empfänger, Japan und Südkorea nur den privaten Sektor. Das Vereinigte Königreich ist der einzige Beschluss, der auch die Strafverfolgung abdeckt.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Maßgeblich sind die Angemessenheitsbeschlüsse und die Übersicht der EU-Kommission in ihrer jeweils aktuellen Fassung sowie der Wortlaut der DSGVO. Stand der Angaben: 21. Juli 2026.