Die Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679) stellt in Kapitel V (Art. 44 bis 49) Bedingungen für die Übermittlung personenbezogener Daten in Länder außerhalb der EU. Der Data Act (Verordnung (EU) 2023/2854) regelt unter anderem den Wechsel zwischen Cloud-Diensten und den Schutz nicht personenbezogener Daten vor rechtswidrigem Zugriff durch Regierungen außerhalb der EU. Für Sie als Einkäuferin oder Einkäufer ergeben sich daraus konkrete Fragen zu Hosting-Standort, Unterauftragsverarbeitern, Übermittlungsinstrument und Ausstiegsbedingungen.
Fakten und Daten zuletzt geprüft: 11. Oktober 2026 · Diese Seite bietet allgemeine Informationen und ist keine Rechtsberatung; prüfen Sie für Ihren Fall den Text der Verordnungen.
Durchführungsbeschluss (EU) 2021/914 legt die Standardvertragsklauseln (SCC) als geeignete Garantien im Sinne von Art. 46 Abs. 1 und Abs. 2 Buchst. c DSGVO fest. Die alten SCC wurden mit Wirkung vom 27. September 2021 aufgehoben; Verträge auf Grundlage der alten Beschlüsse galten bei unveränderter Verarbeitung bis zum 27. Dezember 2022 als ausreichend (Art. 4).
Die Kommission erlässt den Angemessenheitsbeschluss für das EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO). Das Gericht der EU wies am 3. September 2025 eine Nichtigkeitsklage ab (T-553/23). Am 31. Oktober 2025 wurde ein Rechtsmittel eingelegt (C-703/25 P).
Der Data Act ist in Kraft getreten. Bis zum 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten nur ermäßigte Wechselentgelte erheben, die ihre unmittelbaren Wechselkosten nicht übersteigen (Art. 29 Abs. 2 und 3).
Der Data Act gilt (Art. 50), einschließlich Kapitel VI zum Anbieterwechsel (Art. 23 bis 31) und Art. 32 zum rechtswidrigen Zugriff durch Regierungen außerhalb der EU.
Die Kommission legt den Vorschlag des Digital Omnibus vor (COM(2025) 837, Verfahren 2025/0360(COD)). Der Vorschlag ist weder angenommen noch veröffentlicht (Stand 11. Oktober 2026).
Anbieter von Datenverarbeitungsdiensten dürfen keine Wechselentgelte mehr erheben (Art. 29 Abs. 1).
Die DSGVO gilt für die Verarbeitung personenbezogener Daten. Kapitel V betrifft die Übermittlung in ein Drittland oder an eine internationale Organisation, einschließlich der Weiterübermittlung, und gilt für Verantwortliche und Auftragsverarbeiter (Art. 44). Verstöße gegen Art. 44 bis 49 können mit Geldbußen von bis zu 20 Millionen Euro oder, bei einem Unternehmen, bis zu 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 Buchst. c).
Die Wechselregeln des Data Act (Kapitel VI) richten sich an Anbieter von Datenverarbeitungsdiensten, in der Praxis Cloud-Dienste. Erwägungsgrund 81 nennt IaaS, PaaS und SaaS als Bereitstellungsmodelle. Für kundenspezifisch entwickelte Dienste und Testversionen gilt eine leichtere Regelung (Art. 31). Art. 32 betrifft nicht personenbezogene Daten in der Union; für personenbezogene Daten bleibt die DSGVO maßgeblich.
Eine Übermittlung ist nur zulässig, wenn die Bedingungen von Kapitel V erfüllt sind, damit das durch die DSGVO gewährleistete Schutzniveau nicht untergraben wird (Art. 44).
Angemessenheitsbeschluss (Art. 45): Hat die Kommission ein angemessenes Schutzniveau festgestellt, ist keine besondere Genehmigung nötig. Die Liste der Kommission umfasst unter anderem die Schweiz, Japan, das Vereinigte Königreich und die Republik Korea. Für die USA gilt der Beschluss nur für Organisationen, die am Data Privacy Framework teilnehmen. Das Gericht der EU wies die Nichtigkeitsklage am 3. September 2025 ab (T-553/23); am 31. Oktober 2025 wurde ein Rechtsmittel eingelegt (C-703/25 P). Den Stand des Verfahrens finden Sie auf curia.europa.eu.
Geeignete Garantien (Art. 46): Ohne Angemessenheitsbeschluss müssen geeignete Garantien bestehen, mit durchsetzbaren Rechten und wirksamen Rechtsbehelfen für Betroffene. Weit verbreitet sind die von der Kommission erlassenen Standarddatenschutzklauseln (Art. 46 Abs. 2 Buchst. c), seit 2021 im Durchführungsbeschluss (EU) 2021/914 mit vier Modulen (Verantwortlicher an Verantwortlichen, an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter, Auftragsverarbeiter an Verantwortlichen). In Klausel 14 sichern die Parteien zu, keinen Grund zur Annahme zu haben, dass Rechtsvorschriften und Praktiken des Drittlands den Importeur an der Erfüllung hindern; lassen sich keine geeigneten Garantien sicherstellen, setzt der Exporteur die Übermittlung aus. Nach Klausel 15 muss der Importeur den Exporteur über Anfragen von Behörden informieren, deren Rechtmäßigkeit prüfen, sie bei Anlass anfechten und nur das zulässige Minimum herausgeben.
Ergänzende Maßnahmen: Die Empfehlungen 01/2020 des EDSA (Version 2.0, 18. Juni 2021) nennen sechs Schritte: Übermittlungen kennen, Übermittlungsinstrument bestimmen, Wirksamkeit des Instruments im Drittland beurteilen (in der Praxis oft Transfer Impact Assessment genannt), ergänzende Maßnahmen ergreifen, Verfahrensschritte einhalten und regelmäßig neu bewerten. Verschlüsselung hält der EDSA für wirksam, wenn die Schlüssel ausschließlich unter der Kontrolle des Exporteurs oder einer vertrauenswürdigen Stelle im EWR oder in einem Rechtsraum mit im Wesentlichen gleichwertigem Schutzniveau bleiben (Use Case 1). Benötigt ein Cloud-Auftragsverarbeiter die Daten im Klartext und gilt in der Praxis problematisches Recht, sieht der EDSA keine wirksame technische Maßnahme (Use Case 6). Auch Fernzugriff gilt als Übermittlung (Use Case 7).
Anordnungen aus dem Ausland (Art. 48): Ein Urteil oder eine Verwaltungsentscheidung eines Drittlands, mit der eine Übermittlung oder Offenlegung verlangt wird, ist nur anerkennbar oder vollstreckbar, wenn sie auf einer internationalen Übereinkunft beruht, etwa einem Rechtshilfeabkommen. Art. 49 enthält Ausnahmen für bestimmte Fälle, etwa die ausdrückliche Einwilligung nach Information über die Risiken.
Auftragsverarbeiter (Art. 28): Ein Auftragsverarbeiter nimmt ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung keinen weiteren Auftragsverarbeiter in Anspruch. Bei allgemeiner Genehmigung informiert er den Verantwortlichen über beabsichtigte Änderungen, sodass dieser Einspruch erheben kann (Art. 28 Abs. 2). Er handelt nur auf dokumentierte Weisung, auch bei Übermittlungen in ein Drittland (Art. 28 Abs. 3 Buchst. a), und haftet für seine Unterauftragsverarbeiter weiterhin in vollem Umfang (Art. 28 Abs. 4). SCC-Klausel 9 bietet zwei Optionen: gesonderte vorherige Genehmigung oder allgemeine Genehmigung mit Liste und Vorabinformation.
Anbieter müssen kommerzielle, technische, vertragliche und organisatorische Hindernisse für den Wechsel beseitigen (Art. 23). Diese Pflicht gilt nur für Dienste, Verträge und Praktiken des Anbieters, den der Kunde verlässt (Art. 24).
Art. 25 legt Mindestvertragsinhalte fest. Die Kündigungsfrist für die Einleitung des Wechsels beträgt höchstens zwei Monate (Art. 25 Abs. 2 Buchst. d). Der Wechsel erfolgt unverzüglich und in jedem Fall innerhalb einer Übergangsfrist von höchstens 30 Kalendertagen (Art. 25 Abs. 2 Buchst. a). Ist das technisch nicht machbar, teilt der Anbieter dies innerhalb von 14 Arbeitstagen nach dem Wechselantrag mit und nennt einen alternativen Zeitraum von höchstens sieben Monaten (Art. 25 Abs. 4); der Kunde kann die Übergangsfrist einmal verlängern (Art. 25 Abs. 5). Der Vertrag nennt außerdem alle übertragbaren Kategorien von Daten und digitalen Vermögenswerten (Art. 25 Abs. 2 Buchst. e), einen Datenabrufzeitraum von mindestens 30 Kalendertagen (Buchst. g), die vollständige Löschung der vom Kunden unmittelbar erzeugten exportierbaren Daten und digitalen Vermögenswerte (Buchst. h), die zulässigen Wechselentgelte (Buchst. i) und die Unterstützung der Ausstiegsstrategie des Kunden (Buchst. b).
Wechselentgelte werden schrittweise abgeschafft (Art. 29). Vom 11. Januar 2024 bis zum 12. Januar 2027 sind ermäßigte Entgelte zulässig, die die unmittelbar mit dem Wechsel verbundenen Kosten nicht übersteigen. Ab dem 12. Januar 2027 dürfen keine Wechselentgelte mehr erhoben werden. Vor Vertragsschluss muss der Anbieter klar über Standardentgelte, Vertragsstrafen bei vorzeitiger Beendigung und die ermäßigten Wechselentgelte informieren (Art. 29 Abs. 4) sowie über Dienste, bei denen der Wechsel sehr komplex oder kostspielig oder unmöglich ist (Art. 29 Abs. 5). Bei paralleler Nutzung zweier Dienste dürfen nur Egress-Entgelte (Datenabfluss) erhoben werden, die tatsächliche Kosten weitergeben, ohne sie zu übersteigen (Art. 34 Abs. 2).
Technisch muss ein IaaS-Anbieter angemessene Maßnahmen ergreifen, um funktionale Gleichwertigkeit zu erleichtern (Art. 30 Abs. 1). Andere Anbieter, auch SaaS, stellen offene Schnittstellen bereit (Art. 30 Abs. 2) und richten sich nach gemeinsamen Spezifikationen, sobald diese veröffentlicht sind (Art. 30 Abs. 3). Exportierbare Daten werden in einem strukturierten, gängigen und maschinenlesbaren Format exportiert (Art. 30 Abs. 5).
Art. 28: Anbieter veröffentlichen auf ihrer Website, welcher Rechtsordnung die IKT-Infrastruktur jedes Dienstes unterliegt, und beschreiben allgemein ihre Maßnahmen gegen rechtswidrigen Zugriff von Regierungen außerhalb der EU auf nicht personenbezogene Daten. Diese Websites werden im Vertrag aufgeführt.
Art. 32: Anbieter ergreifen alle angemessenen technischen, organisatorischen und rechtlichen Maßnahmen, auch vertragliche, um den rechtswidrigen Zugriff auf in der Union gespeicherte nicht personenbezogene Daten und deren Übermittlung durch Drittländer zu verhindern (Absatz 1). Eine Entscheidung eines Drittlands wird nur anerkannt oder ist nur vollstreckbar, wenn sie auf einer internationalen Übereinkunft beruht (Absatz 2). Ohne eine solche ist der Zugriff nur unter Bedingungen möglich: Begründung und Verhältnismäßigkeit, Überprüfung eines Einspruchs durch ein Gericht im Drittland und Berücksichtigung der rechtlichen Interessen des Datenbereitstellers (Absatz 3). Der Anbieter gibt nur das zulässige Minimum heraus (Absatz 4) und informiert den Kunden vorab, außer bei Ersuchen zu Strafverfolgungszwecken (Absatz 5).
Nutzen Sie diese Punkte in Ausschreibungen, Fragebögen und Auftragsverarbeitungsverträgen. Fragen Sie nach Möglichkeit nach der Vertragsklausel und nach Dokumentation, nicht nur nach einer Erklärung.
NIS2, DORA und der Cyber Resilience Act betreffen Sicherheit, Resilienz und Produktsicherheit; DSGVO und Data Act betreffen, wohin Daten gelangen und zu welchen Bedingungen. Der CLOUD Act ist US-Recht und wird gesondert behandelt. Art. 48 DSGVO und Art. 32 Abs. 2 Data Act legen aus EU-Sicht fest, wann eine Anordnung einer ausländischen Behörde anerkannt oder vollstreckt werden kann.
Digital Omnibus: Die Kommission legte am 19. November 2025 einen Vorschlag vor (COM(2025) 837), der unter anderem die DSGVO und den Data Act betrifft. Laut Legislative Observatory des Europäischen Parlaments (2025/0360(COD)) ist der Vorschlag am 11. Oktober 2026 weder angenommen noch veröffentlicht; die Akte befindet sich im Stadium „Warten auf Ausschussbeschluss“. Die Regeln auf dieser Seite sind die derzeit geltenden.
Der Score ist keine Bewertung der Einhaltung von DSGVO oder Data Act und belegt nicht, dass ein Anbieter die Vorgaben erfüllt. Die Gesetze helfen aber, die Fragen hinter einigen Dimensionen zu formulieren.
Möchten Sie wissen, wie Ihr eigener Software-Stack bei der digitalen Souveränität abschneidet? Machen Sie das kostenlose Assessment.
Kostenloses Assessment startenNicht automatisch. Kapitel V betrifft Übermittlungen in Drittländer, auch Weiterübermittlungen (Art. 44), und der EDSA wertet Fernzugriff als Übermittlung (Empfehlungen 01/2020, Use Case 7). Fragen Sie daher auch nach Unterauftragsverarbeitern und Support.
SCC sind eine geeignete Garantie (Art. 46 Abs. 2 Buchst. c), die Parteien müssen aber auch beurteilen, ob Recht und Praxis im Drittland die Einhaltung verhindern (Klausel 14). Der EDSA beschreibt in den Empfehlungen 01/2020 sechs Schritte.
Der Beschluss vom 10. Juli 2023 gilt nur für teilnehmende US-Organisationen. Das Gericht der EU wies am 3. September 2025 eine Nichtigkeitsklage ab (T-553/23); am 31. Oktober 2025 wurde ein Rechtsmittel eingelegt (C-703/25 P).
Noch nicht vollständig. Bis zum 12. Januar 2027 sind ermäßigte Wechselentgelte bis zur Höhe der unmittelbaren Kosten zulässig (Art. 29 Abs. 2 und 3); danach dürfen keine Wechselentgelte mehr erhoben werden (Art. 29 Abs. 1). Bei paralleler Nutzung dürfen Egress-Entgelte tatsächliche Kosten weitergeben, ohne sie zu übersteigen (Art. 34 Abs. 2).
Erwägungsgrund 81 nennt SaaS als Bereitstellungsmodell von Datenverarbeitungsdiensten. Funktionale Gleichwertigkeit (Art. 30 Abs. 1) gilt für IaaS; andere Dienste müssen unter anderem offene Schnittstellen bieten (Art. 30 Abs. 2). Für kundenspezifische Dienste und Testversionen gilt eine leichtere Regelung (Art. 31).
Die Vorschrift verpflichtet Anbieter zu angemessenen Maßnahmen gegen rechtswidrigen Zugriff auf in der Union gespeicherte nicht personenbezogene Daten und deren Übermittlung durch Drittländer. Entscheidungen von Behörden aus Drittländern werden nur aufgrund einer internationalen Übereinkunft (Absatz 2) oder unter den Bedingungen von Absatz 3 anerkannt.
Nein. Der Vorschlag vom 19. November 2025 (COM(2025) 837) war laut Legislative Observatory am 11. Oktober 2026 weder angenommen noch veröffentlicht.