Drittlandtransfer in die USA: Data Privacy Framework und KI

Der Drittlandtransfer ist beim Einsatz von KI-Agenten oft der kritischste Compliance-Pfad: Sobald ein Agent einen US-gehosteten Modell-Endpunkt aufruft, verlassen Prompts, Outputs und Tool-Call-Inhalte den EU-Raum. Damit greift Kapitel V DSGVO. Das EU-US Data Privacy Framework (DPF) ist seit 10. Juli 2023 die zentrale Angemessenheitsgrundlage dafür. Es ist rechtlich gültig, aber angefochten und deshalb als provisorisch zu behandeln.

• DPF gilt, ist aber unsicher: seit 10. Juli 2023 in Kraft, am 3. September 2025 vom EU-Gericht bestätigt (bezogen auf den Zeitpunkt der Annahme), aber EuGH-Rechtsmittel und NOYB-Anfechtung laufen (Stand 2026, vorbehaltlich Änderung).
• Doppelt absichern: Als Transfergrundlage genügt eine aktive DPF-Zertifizierung, die deine Datenkategorien abdeckt. Als Vorsorge gegen einen Wegfall des DPF kommen Standardvertragsklauseln (SCC) als Fallback und ein Transfer-Impact-Assessment (TIA) dazu.
• Jeder Datenfluss zählt: Prompts, Outputs, Agent-Memory, Vektorspeicher, Tool-Calls und Logs können je für sich einen Drittlandtransfer auslösen.

Das Drittlandtransfer-Problem nach Kapitel V DSGVO

Kapitel V DSGVO verbietet die Übermittlung personenbezogener Daten in Drittländer, solange dort kein angemessenes Schutzniveau gewährleistet ist. Erlaubt ist ein Transfer nur über eine der vorgesehenen Grundlagen: eine Angemessenheitsentscheidung der EU-Kommission, geeignete Garantien wie Standardvertragsklauseln (SCC) oder Binding Corporate Rules (BCR), oder eng begrenzte Ausnahmen.

Für KI-Agenten ist das besonders heikel, weil ein agentischer Stack viele Übermittlungspunkte hat. Personenbezogene Daten fließen in der Inferenz (Prompts und Outputs), dazu in das Agent-Memory, in persistente Vektorspeicher für RAG, in Tool-Call-Payloads an externe Schnittstellen und MCP-Server sowie in Observability-Logs und Traces. Jeder dieser Hops kann ein eigenständiger Drittlandtransfer sein, wenn der Empfänger oder das Hosting außerhalb der EU liegt.

Schrems II: warum SCC allein nicht reichen

Der Maßstab stammt aus dem Schrems-II-Urteil des EuGH (C-311/18, 16. Juli 2020). Es kippte das damalige Privacy Shield und stellte klar, dass Standardvertragsklauseln nur dann tragfähig sind, wenn der Verantwortliche fallbezogen prüft, ob im Empfängerland tatsächlich ein der EU gleichwertiges Schutzniveau besteht, und wo nötig zusätzliche Schutzmaßnahmen ergänzt. Diese Prüfung ist das Transfer-Impact-Assessment (TIA).

Die Kommission hat dies mit den Standardvertragsklauseln 2021/914 (4. Juni 2021) operationalisiert. Sie enthalten vier Module für die Konstellationen Controller-zu-Controller, Controller-zu-Processor, Processor-zu-Processor und Processor-zu-Controller. Die Wahl des passenden Moduls richtet sich nach der Rollenverteilung im KI-Stack. Bei einem Managed-API-Anbieter ist das typischerweise Controller-zu-Processor.

Das EU-US Data Privacy Framework: aktueller Status

Die EU-Kommission hat am 10. Juli 2023 die Angemessenheitsentscheidung für das EU-US Data Privacy Framework getroffen und damit das Privacy Shield ersetzt. US-Unternehmen, die sich nach dem DPF zertifizieren, gelten seitdem als Empfänger mit angemessenem Schutzniveau. Der Datenexporteur muss dafür keine SCC abschließen.

Am 3. September 2025 hat das Gericht der Europäischen Union (EuG) im Verfahren Latombe gegen Kommission (T-553/23) die erste Klage gegen das DPF abgewiesen und die Gültigkeit zum Zeitpunkt der Annahme bestätigt. Das ist jedoch nicht das letzte Wort:

• Latombe hat am 31. Oktober 2025 Rechtsmittel beim EuGH eingelegt; das Verfahren ist anhängig (Stand 2026, vorbehaltlich Änderung).
• NOYB / Max Schrems hat eine separate, breitere Anfechtung signalisiert. Sie zielt auf Executive Orders der Trump-Administration, welche die Unabhängigkeit des Privacy and Civil Liberties Oversight Board (PCLOB) berührt haben.
• Das EuG hat ausdrücklich festgehalten, dass die Kommission den Rechtsrahmen laufend überwachen und die Angemessenheitsentscheidung aussetzen, ändern oder aufheben kann, wenn sich die Voraussetzungen ändern.

Verbindlich gilt das DPF damit weiterhin als gültige Transfergrundlage. Doch das rechtlich (noch) verbindliche Fundament steht unter Vorbehalt. Ein Schrems-III-Szenario bleibt plausibel.

SCC plus TIA als Fallback: Doppelabsicherung als Vorsorge

Wegen dieser Unsicherheit lautet die operative Leitlinie: nicht allein auf das DPF stützen. Als Transfergrundlage genügt eine aktive Zertifizierung des Empfängers, die die übermittelten Daten abdeckt. Laut FAQ des Europäischen Datenschutzausschusses (EDPB) dürfen personenbezogene Daten dann ohne weitere Garantien und ohne Genehmigung übermittelt werden. Ist der US-Anbieter Auftragsverarbeiter, brauchst du unabhängig davon einen AVV nach Art. 28 DSGVO. Als Vorsorge für einen Wegfall des DPF empfiehlt sich trotzdem eine Doppelabsicherung: Standardvertragsklauseln als Fallback plus ein dokumentiertes TIA.

Fällt das DPF weg, musst du mit SCC und TIA nicht bei null anfangen. Die SCC bleiben als Instrument bestehen. Ob sie den Transfer dann tragen, entscheidet das TIA. Braucht der Anbieter die Daten im Klartext wie bei der LLM-Inferenz und gehen die Zugriffsbefugnisse der US-Behörden über das Notwendige und Verhältnismäßige hinaus, sieht der EDPB derzeit keine wirksame technische Zusatzmaßnahme (Empfehlungen 01/2020, Use Case 6). Verschlüsselung at rest und in transit genügt dann nicht, weil der Anbieter die Daten für die Inferenz im Klartext verarbeitet. Daran ändert auch BYOK/HYOK nichts. Plane deshalb einen EU-gehosteten Ausweichpfad mit ein. Das TIA für US-Anbieter sollte folgende Risiken adressieren:

• US CLOUD Act: Risiko der angeordneten Herausgabe an US-Behörden auch bei US-Mutterkonzernen mit EU-Tochter, unabhängig vom Speicherort.
• FISA 702 / EO 12333: Exposition für elektronische Kommunikationsdiensteanbieter wie Microsoft, Google, AWS, Meta.
• Technische Schutzmaßnahmen: Verschlüsselung at rest und in transit als Mindeststandard; Verschlüsselung in use (Confidential Computing, TEE) zunehmend relevant für KI-Inferenz; BYOK/HYOK für gespeicherte Daten wie Logs und Vektorspeicher, damit der Verantwortliche die Schlüssel hält und der Anbieter ohne Mitwirkung nicht entschlüsseln kann.
• EU-Datenresidenz: Region-Pinning, EU Data Boundary, EU-regionale Endpunkte.

Übersicht: Transfergrundlagen für KI-Agenten

Entscheidungs-Flow für einen KI-Datentransfer in die USA

1. Liegt überhaupt ein Drittlandtransfer vor? Datenfluss-Diagramm erstellen: Wo werden Prompts, Outputs, Memory, Vektoren, Tool-Calls und Logs verarbeitet? Lässt sich der Fluss über EU-Datenresidenz und Region-Pinning vollständig in der EU halten, ist Kapitel V gar nicht einschlägig.
2. Ist der US-Empfänger DPF-zertifiziert? Wenn ja und die aktive Zertifizierung deine Daten abdeckt (Data Privacy Framework List prüfen), ist der Transfer rechtlich gedeckt. Trotzdem nicht allein darauf stützen.
3. SCC als Fallback abschließen. Passendes Modul wählen (meist Controller-zu-Processor).
4. TIA durchführen und dokumentieren. CLOUD Act, FISA 702 / EO 12333, zusätzliche Maßnahmen wie Verschlüsselung in use, BYOK/HYOK.
5. Monitoring etablieren. DPF-Status, Rechtsmittel und Aufsichtspraxis laufend beobachten, um beim Wegfall sofort auf SCC oder einen EU-gehosteten Endpunkt umzustellen.

Konkretes Zahlenbeispiel

Eine Agentur betreibt für einen B2B-Kunden einen Customer-Service-Agenten auf Basis eines US-gehosteten Modell-Endpunkts. Pro Tag laufen rund 2.000 Konversationen, jede mit durchschnittlich 4 Prompt-Output-Paaren. Das sind etwa 8.000 Drittlandtransfers pro Tag, also rund 240.000 pro Monat, dazu Logs und Vektorspeicher-Schreibvorgänge. Ohne DPF und ohne SCC plus TIA wäre jeder einzelne dieser Transfers ohne Rechtsgrundlage.

Die saubere Absicherung: Der Anbieter ist DPF-zertifiziert (Grundlage 1), zusätzlich werden SCC im Controller-zu-Processor-Modul geschlossen (Grundlage 2). Ein TIA dokumentiert die CLOUD-Act- und FISA-Exposition und die Schutzmaßnahmen. Verschlüsselung at rest und in transit gehört dazu, trägt den Transfer aber nicht allein, weil das Modell die Prompts im Klartext verarbeitet. Die Log-Retention wird auf 30 Tage begrenzt, Prompts werden vor der Speicherung pseudonymisiert. Für den Fall, dass das DPF gekippt wird und das TIA dann negativ ausfällt, ist ein EU-gehosteter Modell-Endpunkt als Ausweichpfad vorbereitet.

Wer EU-Datenresidenz technisch durchsetzen kann, reduziert das Problem an der Wurzel: EU-regionale Endpunkte oder die EU Data Boundary verlagern Speicherung und Verarbeitung in die Region. Nicht jede Modellfamilie ist in jeder EU-Region verfügbar. Die AWS European Sovereign Cloud ist seit 14. Januar 2026 mit der Region eusc-de-east-1 in Brandenburg allgemein verfügbar und bietet auch Amazon Bedrock an. Welche Modelle dort laufen, weist AWS je Region aus. Prüfe die Verfügbarkeit deines Zielmodells, bevor du die Architektur festlegst.

Für Agenturen und B2B-Entscheider

Wer KI-Agenten für DACH-Kunden einsetzt, sollte den Drittlandtransfer als Architekturentscheidung behandeln. Drei Hebel zahlen sich aus: erstens das Datenfluss-Mapping über den gesamten Agenten-Stack inklusive MCP-Servern und Observability; zweitens die Doppelabsicherung aus DPF, SCC und dokumentiertem TIA, damit ein Wegfall des DPF den Betrieb nicht unvorbereitet trifft; drittens, wo möglich, EU-Datenresidenz oder Sovereign-Cloud-Optionen, um das Transferproblem gar nicht erst entstehen zu lassen. Für Agenturen ist das zugleich ein Differenzierungsmerkmal: Kunden in regulierten Branchen erwarten belastbare Transfer-Dokumentation als Teil des Angebots. Wie wir solche Agenten-Stacks aufsetzen, steht unter KI-Agent-Integration.

Hinweis: Dieser Beitrag dient der fachlichen Information und stellt keine Rechtsberatung dar. Für die rechtsverbindliche Bewertung konkreter Datentransfers zieh bitte qualifizierten Rechtsrat hinzu.