Angemessenheitsbeschluss
Auch: Adequacy Decision
Ein Angemessenheitsbeschluss ist eine Entscheidung der EU-Kommission, mit der einem Land außerhalb der EU/des EWR ein angemessenes Datenschutzniveau bescheinigt wird. Datenübermittlungen in solche Länder sind dann ohne zusätzliche Garantien zulässig.
Ausführliche Erklärung
Personenbezogene Daten dürfen nach der DSGVO grundsätzlich nur dann in ein Land außerhalb der EU/des EWR ("Drittland") übermittelt werden, wenn dort ein angemessenes Datenschutzniveau sichergestellt ist. Die EU-Kommission kann dies für bestimmte Länder oder Sektoren per Angemessenheitsbeschluss (Art. 45 DSGVO) feststellen. Liegt ein solcher Beschluss vor, ist die Datenübermittlung ohne weitere Schutzmaßnahmen (z. B. Standardvertragsklauseln) zulässig.
Für Makler ist das relevant, sobald Software- oder Cloud-Dienstleister außerhalb der EU eingesetzt werden, z. B.:
- CRM-Systeme oder E-Mail-Marketing-Tools mit Servern in den USA.
- Cloud-Speicher für Exposés, Fotos, Bonitätsunterlagen bei US-Anbietern.
- Videokonferenz- oder Signatur-Tools mit Datenverarbeitung außerhalb der EU.
Aktuell bestehen Angemessenheitsbeschlüsse u. a. für die Schweiz, das Vereinigte Königreich, Japan, Kanada (teilweise) sowie – besonders praxisrelevant – für die USA im Rahmen des EU-U.S. Data Privacy Framework (DPF), das seit 2023 gilt und den früheren "Privacy Shield" (für ungültig erklärt durch den EuGH, "Schrems II") ersetzt. Wichtig für den Makler: Ein US-Dienstleister ist nur dann über den Angemessenheitsbeschluss abgesichert, wenn er sich aktiv beim DPF zertifiziert hat – das muss im Einzelfall geprüft werden (öffentliches DPF-Register).
Fehlt ein Angemessenheitsbeschluss oder ist der Anbieter nicht zertifiziert, braucht es andere Garantien wie Standardvertragsklauseln (SCC) plus ergänzende technische/organisatorische Maßnahmen, sonst ist die Datenübermittlung unzulässig.
Beispiel aus der Praxis
Ein Makler nutzt ein CRM-System eines US-Anbieters zur Verwaltung von Interessentendaten. Ist der Anbieter im DPF-Register als zertifiziert gelistet, greift der Angemessenheitsbeschluss der EU-Kommission und die Datenübermittlung in die USA ist ohne zusätzlichen Vertrag zulässig. Ist er nicht gelistet, muss der Makler zusätzlich Standardvertragsklauseln abschließen oder auf einen EU-Anbieter ausweichen.
Rechtsgrundlage
- Art. 45 DSGVO – Datenübermittlung auf Grundlage eines Angemessenheitsbeschlusses.
- EU-U.S. Data Privacy Framework – aktueller Angemessenheitsbeschluss für zertifizierte US-Unternehmen (Beschluss der EU-Kommission von 2023).