Internationale Datentransfers & US-Tools (Data Privacy Framework)

Jeder Shopify-Shop nutzt heute mehrere US-Tools gleichzeitig: E-Mail-Marketing, Live-Chat, Analytics, oft auch das CRM und den Hosting-Unterbau einzelner Apps. Sobald Kundendaten dabei an einen Anbieter mit Sitz in den USA fließen, handelt es sich um einen Drittlandtransfer nach der DSGVO, und der ist nicht automatisch erlaubt. Seit Juli 2023 gibt es mit dem EU-US Data Privacy Framework wieder eine praktikable Rechtsgrundlage für solche Transfers, aber nur für Anbieter, die sich dort tatsächlich zertifiziert haben. Ist ein Tool nicht gelistet, brauchen Sie Standardvertragsklauseln und eine Transfer Impact Assessment, sonst bleibt Ihre Datenschutzerklärung an genau dieser Stelle angreifbar. Dieser Leitfaden erklärt das Data Privacy Framework verständlich, zeigt, wie Sie die Zertifizierung eines konkreten US-Tools in wenigen Minuten prüfen, und liefert eine Checkliste, mit der Sie Ihren gesamten Tool-Stack durchgehen.

Was ist ein Drittlandtransfer nach der DSGVO?

Ein Drittlandtransfer liegt vor, sobald personenbezogene Daten aus der EU an ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt werden, das kein EU-Mitgliedstaat ist. Die USA zählen dazu, ebenso wie die meisten anderen Länder ohne einen eigenen Angemessenheitsbeschluss der EU-Kommission. Wichtig für Shop-Betreiber: Es kommt nicht darauf an, wo Ihre Kunden sitzen, sondern wo der Empfänger der Daten seinen Sitz hat oder wo die Server stehen, auf die er zugreifen kann.

Das betrifft praktisch mehr Tools, als die meisten Händler vermuten. Ein US-Anbieter mit einem Rechenzentrum in Frankfurt kann trotzdem einen Drittlandtransfer auslösen, wenn die US-Muttergesellschaft technisch oder rechtlich auf die Daten zugreifen kann, etwa für Support, Abrechnung oder Produktentwicklung. Die bloße Serverlage in der EU reicht also nicht aus, um das Thema als erledigt zu betrachten. Entscheidend ist, wer die Daten kontrolliert und wessen Recht im Zweifel greift, insbesondere der US CLOUD Act, der US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten von US-Unternehmen erlaubt, unabhängig vom Serverstandort.

Nach Art. 44 ff. DSGVO ist ein Drittlandtransfer nur zulässig, wenn eine der folgenden drei Grundlagen greift: ein Angemessenheitsbeschluss der EU-Kommission für das Zielland, geeignete Garantien wie Standardvertragsklauseln, oder eine der eng gefassten Ausnahmen nach Art. 49 DSGVO, etwa die ausdrückliche Einwilligung der betroffenen Person im Einzelfall. Für den laufenden Betrieb eines Shops scheiden Einzelfall-Einwilligungen praktisch aus, weil sie nicht für dauerhafte, automatisierte Datenflüsse gedacht sind. Für die USA bleiben deshalb der Angemessenheitsbeschluss über das Data Privacy Framework und die Standardvertragsklauseln als die beiden relevanten Wege.

Das EU-US Data Privacy Framework: Der Angemessenheitsbeschluss von 2023

Die EU-Kommission hat am 10. Juli 2023 einen neuen Angemessenheitsbeschluss für die USA erlassen, das EU-US Data Privacy Framework, kurz DPF. Er ersetzt das 2020 vom Europäischen Gerichtshof im Schrems-II-Urteil gekippte Privacy Shield und davor das bereits 2015 für ungültig erklärte Safe-Harbor-Abkommen. Seit Inkrafttreten dürfen Sie personenbezogene Daten ohne zusätzliche Schutzmaßnahmen wie Standardvertragsklauseln an ein US-Unternehmen übermitteln, wenn genau dieses Unternehmen beim US-Handelsministerium unter dem DPF zertifiziert ist.

Das Wort “genau” ist hier keine Formsache. Die Zertifizierung gilt jeweils nur für die konkrete juristische Person, die im Register eingetragen ist, nicht automatisch für den gesamten Konzern und nicht automatisch für jede Datenkategorie. Ein Mutterkonzern kann zertifiziert sein, während eine Tochtergesellschaft, die Ihre Kundendaten tatsächlich verarbeitet, gesondert gelistet sein muss oder als abgedeckte Untereinheit im Eintrag der Mutter geführt wird. Genau das prüfen Sie im nächsten Schritt.

Die folgende Grafik zeigt den Entscheidungsbaum, den Sie für jedes einzelne US-Tool in Ihrem Shop durchlaufen sollten.

Die EU-Kommission überprüft den Angemessenheitsbeschluss laut eigener Ankündigung jährlich. Das ist kein einmaliges Gütesiegel, sondern ein Zustand, der sich ändern kann, sowohl auf Ebene des Gesamtbeschlusses als auch auf Ebene der Einzelzertifizierung eines Anbieters, die jederzeit auslaufen oder widerrufen werden kann. Für Ihren Shop bedeutet das: Eine einmalige Prüfung reicht nicht. Der Status gehört in denselben Rhythmus wie die übrige Pflege Ihrer Datenschutzerklärung.

So prüfen Sie, ob ein US-Anbieter DPF-zertifiziert ist

Die Prüfung selbst ist kostenlos und dauert für ein einzelnes Tool nur wenige Minuten. Sie läuft über die offizielle Teilnehmerliste des US-Handelsministeriums unter dataprivacyframework.gov.

Gehen Sie dabei in dieser Reihenfolge vor:

1. Öffnen Sie die Teilnehmersuche des Data Privacy Framework und geben Sie den exakten Firmennamen des Anbieters ein, wie er im Auftragsverarbeitungsvertrag oder Impressum des Tools steht. Viele Tools laufen unter dem Namen der Muttergesellschaft, Mailchimp beispielsweise unter The Rocket Science Group beziehungsweise Intuit.
2. Prüfen Sie den Status. Nur ein aktiver Eintrag mit dem Vermerk “Active” deckt laufende Datenübermittlungen ab. Ein “Inactive”-Eintrag bedeutet, die Zertifizierung ist ausgelaufen oder wurde entzogen, und Sie brauchen für diesen Anbieter eine andere Rechtsgrundlage.
3. Kontrollieren Sie die abgedeckten Datenkategorien. Das DPF unterscheidet zwischen der Zertifizierung für Personaldaten (HR Data) und für sonstige personenbezogene Daten (Non-HR Data). Für Ihre Kundendaten ist ausschließlich die Non-HR-Zertifizierung relevant.
4. Schauen Sie in der Liste der zugeordneten Tochtergesellschaften nach, falls das Tool nicht unter dem Namen läuft, den Sie erwartet haben. Viele SaaS-Anbieter listen ihre operative Einheit als abgedeckte Untereinheit im Eintrag der Konzernmutter.
5. Dokumentieren Sie das Ergebnis mit Datum und, wenn möglich, einem Screenshot. Bei einer späteren Prüfung durch eine Aufsichtsbehörde zählt der Nachweis, dass Sie zum Zeitpunkt der Datenübermittlung sorgfältig geprüft haben, nicht nur das Ergebnis selbst.

Wiederholen Sie diese fünf Schritte für jedes Tool in Ihrem Stack, das Kundendaten in die USA übermitteln könnte. Das ist mehr Aufwand als eine einmalige Prüfung, aber deutlich weniger Aufwand, als es bei einer Abmahnung oder Behördenanfrage nachträglich zu klären.

Diese Tool-Kategorien in Ihrem Shop sollten Sie prüfen

Shopify-Shops setzen typischerweise auf eine ähnliche Grundausstattung an US-Diensten. Die folgenden Kategorien decken die häufigsten Fälle ab, in denen Drittlandtransfers unbemerkt entstehen.

E-Mail-Marketing und Newsletter-Tools

Klaviyo, Mailchimp, Omnisend und vergleichbare Anbieter verarbeiten E-Mail-Adressen, Bestellhistorien und oft detailliertes Verhalten Ihrer Kunden, damit sind sie einer der datenintensivsten Drittanbieter in fast jedem Shop. Prüfen Sie hier nicht nur den Hauptanbieter, sondern auch angebundene Zustelldienste, falls das Marketing-Tool den E-Mail-Versand an einen separaten Dienstleister auslagert.

Analytics jenseits von Google Analytics 4

Für GA4-spezifische Fragen zum Drittlandtransfer gibt es einen eigenen, ausführlichen Leitfaden: Google Analytics und DSGVO. Prüfen Sie zusätzlich Heatmap- und Session-Recording-Tools sowie A/B-Testing-Lösungen, wenn Sie solche im Einsatz haben. Diese Tools erfassen häufig Mausbewegungen, Klickpfade und teils sogar Tastatureingaben, was sie datenschutzrechtlich sensibler macht als reine Aggregat-Statistiken.

Live-Chat und Kundensupport-Tools

Zendesk, Gorgias, Intercom und ähnliche Support-Plattformen speichern vollständige Chatverläufe inklusive Namen, Kontaktdaten und teils Bestellnummern. Diese Daten liegen oft länger vor als der Bestellvorgang selbst, weil Support-Historien aus Qualitätsgründen aufbewahrt werden. Prüfen Sie deshalb nicht nur die Übermittlung, sondern auch, wie lange der Anbieter die Verläufe speichert und ob sich das mit Ihren eigenen Löschfristen deckt.

CRM-Systeme

HubSpot, Salesforce und vergleichbare CRM-Lösungen bündeln oft die meisten Kundendaten an einer zentralen Stelle, von der Kontakthistorie bis zu Kaufverhalten und Marketingpräferenzen. Gerade weil ein CRM so viele Datenkategorien zusammenführt, lohnt sich hier eine besonders sorgfältige Prüfung der Zertifizierung und der eingestellten Datenaufbewahrungsfristen.

Hosting und CDN

Content Delivery Networks und Cloud-Hosting für Apps, Bilder oder Videos laufen häufig über US-Anbieter wie AWS oder vergleichbare Infrastrukturdienste, auch wenn ein Teil der Auslieferung technisch über europäische Edge-Standorte läuft. Prüfen Sie bei Infrastrukturanbietern zusätzlich, ob ein Auftragsverarbeitungsvertrag mit EU-Standardklauseln als Anhang vorliegt, das ist bei etablierten Hyperscalern in der Regel Standard, sollte aber nicht ungeprüft vorausgesetzt werden.

Kein DPF-Zertifikat? Standardvertragsklauseln und Transfer Impact Assessment

Ist ein Anbieter nicht oder nicht mehr im DPF-Register gelistet, ersetzt das nicht automatisch die Möglichkeit eines Datentransfers, es verändert nur den Weg dorthin. Sie brauchen dann Standardvertragsklauseln der EU-Kommission (Standard Contractual Clauses, SCC) mit dem Anbieter, ergänzt um eine Transfer Impact Assessment, kurz TIA.

Die SCC allein reichen seit dem Schrems-II-Urteil des Europäischen Gerichtshofs von 2020 nicht mehr aus. Der Gerichtshof verlangt zusätzlich eine Einzelfallprüfung, ob das Recht des Empfängerlandes die vertraglich zugesicherten Garantien im Ergebnis tatsächlich aushebeln kann, etwa durch weitreichende Zugriffsrechte von Sicherheitsbehörden. Genau diese Prüfung leistet die TIA. Sie bewertet systematisch, welche rechtlichen und praktischen Risiken im Zielland bestehen und welche zusätzlichen technischen oder organisatorischen Maßnahmen nötig sind, damit die Daten trotzdem angemessen geschützt bleiben.

In der Praxis besteht eine TIA für ein einzelnes Tool aus vier Bausteinen:

1. Beschreibung des konkreten Datenflusses: welche Daten, in welchem Umfang, zu welchem Zweck an den Anbieter übermittelt werden.
2. Bewertung der Rechtslage im Zielland, insbesondere möglicher Zugriffsrechte von Behörden auf die übermittelten Daten.
3. Prüfung, ob der Anbieter zusätzliche technische Maßnahmen wie Verschlüsselung oder Pseudonymisierung anbietet, die den behördlichen Zugriff faktisch erschweren.
4. Dokumentierte Abwägungsentscheidung, ob der Transfer unter diesen Bedingungen vertretbar ist, oder ob eine Alternative mit EU-Sitz sinnvoller wäre.

Für kleinere Shops mit begrenzten Ressourcen ist eine vollständige TIA für jedes einzelne Tool aufwendig. In der Praxis bewährt sich ein gestufter Ansatz: Für Tools mit hohem Datenvolumen oder sensiblen Datenkategorien lohnt sich eine ausführliche Prüfung, für Tools mit geringem Risiko reicht häufig eine schlankere, dokumentierte Kurzbewertung. Wichtig ist in beiden Fällen, dass überhaupt eine nachvollziehbare Entscheidung vorliegt, statt das Thema komplett zu übergehen.

Schrems III: Wackelt das Data Privacy Framework 2026?

Der Angemessenheitsbeschluss stand bereits vor Gericht. Das Gericht der Europäischen Union hat ihn am 3. September 2025 in der Rechtssache T-533/23 bestätigt und eine Klage gegen das DPF abgewiesen. Ein Rechtsmittel zum Europäischen Gerichtshof blieb damit zwar möglich, war zu diesem Zeitpunkt aber nicht das größte Risiko für den Beschluss.

Das änderte sich im Sommer 2026. Der US Supreme Court entschied am 29. Juni 2026 im Verfahren Trump v. Slaughter, dass der US-Präsident Mitglieder der Federal Trade Commission (FTC) jederzeit und ohne besonderen Grund entlassen darf. Damit kippte eine fast 90 Jahre alte Grundsatzentscheidung, die die Unabhängigkeit solcher Aufsichtsbehörden bislang geschützt hatte. Die Unabhängigkeit gerade der FTC ist eine der zentralen Voraussetzungen, auf denen der Angemessenheitsbeschluss der EU-Kommission für das DPF beruht. Der Datenschützer Max Schrems und seine Organisation noyb reagierten bereits am 30. Juni 2026 und forderten die EU-Kommission auf, den Angemessenheitsbeschluss in einem geordneten Verfahren zu beenden.

Für Ihren Shop heißt das konkret: Das DPF gilt aktuell weiterhin uneingeschränkt, keine der beiden Entwicklungen hat den Beschluss bislang außer Kraft gesetzt, und eine gerichtliche Klage war zum Zeitpunkt dieses Artikels noch nicht förmlich eingereicht. Schrems II hatte von der ersten Klage bis zum Urteil rund vier Jahre und sieben Monate gebraucht, ein etwaiges Schrems-III-Verfahren dürfte ähnlich lange dauern. Trotzdem lohnt es sich, den Status im Blick zu behalten, statt sich allein auf die DPF-Zertifizierung zu verlassen. Wer für datenintensive Kern-Tools bereits heute weiß, welche SCC-Alternative im Ernstfall greifen würde, steht bei einer künftigen Änderung deutlich besser da als jemand, der erst dann zu recherchieren beginnt.

Praktische Checkliste: Drittlandtransfer-Audit für Ihren Tool-Stack

Gehen Sie diese Liste einmal vollständig durch und danach mindestens einmal pro Quartal sowie nach jeder neu installierten App erneut:

• Vollständige Liste aller installierten Apps und externen Tools erstellen, inklusive E-Mail-Marketing, Analytics, Live-Chat, CRM, Hosting-Zusatzdienste und Zahlungsdienstleister.
• Für jedes Tool den tatsächlichen Firmensitz und Konzernstruktur klären, nicht nur den Markennamen.
• Jeden US-Anbieter einzeln in der DPF-Teilnehmersuche nachschlagen und Status, Datenkategorie und Datum dokumentieren.
• Für nicht gelistete Anbieter prüfen, ob ein SCC-Vertrag vorliegt, und bei hohem Datenvolumen eine TIA erstellen oder aktualisieren.
• Ergebnis in Ihrem Verzeichnis von Verarbeitungstätigkeiten und in Ihrer Datenschutzerklärung nachführen.
• Termin für die nächste Überprüfung im Kalender festhalten, gekoppelt an neue App-Installationen und mindestens vierteljährlich.

Ein Tool wie shopcompliance.net kann diesen Prozess spürbar entlasten: Die Anwendung scannt die installierten Apps Ihres Shopify-Shops, erkennt neue Drittanbieter-Verbindungen automatisch und meldet, wenn ein Tool ohne dokumentierte Rechtsgrundlage für den Datentransfer läuft. shopcompliance.net deckt dabei nicht nur die DSGVO ab, sondern auch weitere EU-Vorgaben wie GPSR, PPWR und WEEE, sodass Sie Drittlandtransfers nicht isoliert, sondern als Teil Ihrer gesamten Compliance im Blick behalten.

Was gehört zum Drittlandtransfer in Ihre Datenschutzerklärung?

Die reine Prüfung reicht nicht, das Ergebnis muss auch sichtbar dokumentiert sein. Für die konkreten Pflichtangaben und einen vollständigen Mustertext für Shopify-Shops finden Sie eine ausführliche Anleitung im Beitrag Datenschutzerklärung Vorlage für Shopify. Welche zusätzlichen Angaben speziell bei Empfängern und Drittlandtransfers in die Datenschutzerklärung gehören, erklärt der Beitrag Datenschutzerklärung: Pflichtinhalte im Detail.

Nennen Sie für jeden betroffenen Anbieter, auf welcher Grundlage der Transfer stattfindet, DPF, SCC oder beides, falls ein Anbieter beide Wege parallel nutzt. Eine pauschale Formulierung wie “Datenübermittlung erfolgt gegebenenfalls in Drittländer” reicht nach Art. 13 Abs. 1 lit. f DSGVO nicht aus, gefordert ist eine konkrete Angabe der Garantie oder ein Hinweis, wo diese eingesehen werden kann. Für Zahlungsdienstleister wie Klarna, PayPal oder Shopify Payments gelten dabei eigene Besonderheiten, die im Beitrag Datenschutz bei Zahlungsdienstleistern gesondert behandelt werden.

Häufige Fragen zu Drittlandtransfer und Data Privacy Framework

Reicht es, wenn ein US-Anbieter Server in der EU betreibt?

Nein, nicht allein. Entscheidend ist, ob die US-Muttergesellschaft rechtlich oder technisch auf die Daten zugreifen kann, etwa für Support oder aufgrund des US CLOUD Act. Ein EU-Rechenzentrum senkt das praktische Risiko, ersetzt aber nicht die Prüfung der Rechtsgrundlage für den Transfer.

Muss ich jeden Anbieter einzeln prüfen, auch wenn er zu einem großen, bekannten Konzern gehört?

Ja. Die DPF-Zertifizierung gilt für die eingetragene juristische Person und die dort gelisteten Tochtergesellschaften, nicht automatisch für den gesamten Konzern. Ein bekannter Markenname ist kein Ersatz für den Blick in die Teilnehmerliste.

Was passiert, wenn ich einen Drittlandtransfer ohne gültige Rechtsgrundlage übersehe?

Das kann sowohl eine Wettbewerbsabmahnung als auch ein Bußgeldverfahren der Aufsichtsbehörde nach sich ziehen, weil Art. 44 DSGVO ausdrücklich zu den Vorschriften gehört, deren Verletzung mit den höheren Bußgeldrahmen nach Art. 83 Abs. 5 DSGVO geahndet werden kann. In der Praxis beginnt es meist mit einer unvollständigen Angabe in der Datenschutzerklärung, die genau dieses Problem sichtbar macht.

Sollte ich DPF-zertifizierte Tools jetzt schon durch EU-Alternativen ersetzen, wegen Schrems III?

Nicht überstürzt. Das DPF gilt aktuell unverändert, und ein Wechsel des gesamten Tool-Stacks ist selten kurzfristig sinnvoll. Sinnvoller ist, für datenintensive Kerntools bereits jetzt zu wissen, welche SCC-Alternative im Ernstfall greifen würde, und die Entwicklung regelmäßig zu beobachten, statt reflexhaft zu wechseln.

Wie oft sollte ich die DPF-Zertifizierung meiner Tools erneut prüfen?

Mindestens einmal pro Quartal und zusätzlich bei jeder neuen App-Installation, weil sowohl der Zertifizierungsstatus einzelner Anbieter als auch der übergeordnete Angemessenheitsbeschluss sich ändern können, ohne dass Sie darüber aktiv informiert werden.