Kurz-Fakten
- Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023
- Wirkt unternehmensbezogen: Maßgeblich ist die aktuelle Zertifizierung des Empfängers, nicht sein Sitzstaat
- Es ist die dritte Konstruktion dieser Art; Safe Harbor und Privacy Shield wurden vom Europäischen Gerichtshof für ungültig erklärt
- Eine Klage gegen den Beschluss wies das Gericht der Europäischen Union am 3. September 2025 ab; ein Rechtsmittel ist beim Gerichtshof anhängig
- Der Europäische Datenschutzausschuss bat die Kommission am 31. Juli 2026, die Folgen der US-Entscheidung zur Unabhängigkeit der Federal Trade Commission vom 29. Juni 2026 zu prüfen
- Der Beschluss gilt fort, bis die Kommission ihn aufhebt oder der Gerichtshof ihn für ungültig erklärt
Bedeutung in der Praxis
Zwei Fragen entscheiden über die Anwendbarkeit im Einzelfall, und beide werden regelmäßig übersprungen. Erstens: Ist der konkrete Empfänger heute zertifiziert? Die Liste ist öffentlich und ändert sich. Zweitens: Deckt die Zertifizierung die Datenkategorie ab? Beschäftigtendaten sind gesondert aufgeführt, und eine Zertifizierung ohne diese Kategorie trägt eine Personalverarbeitung nicht.
Die dritte Frage ist die nach der Haltbarkeit. Zwei Vorläuferregelungen wurden vom Gerichtshof kassiert, gegen die aktuelle ist ein Rechtsmittel anhängig, und die institutionelle Aufsicht in den USA steht seit 2025 und 2026 wieder in der Diskussion. Wer eine Verarbeitung darauf stützt, sollte einkalkulieren, dass sie eines Tages ohne diese Grundlage weiterlaufen muss – entweder über Standardvertragsklauseln oder durch Verlagerung in die EU. Beides ist deutlich einfacher, wenn man es vorher einmal durchgespielt hat.