Beyond Borders
Internationale Datenschutzgesetze und die Praxis von Drittlandübermittlungen aus Unternehmenssicht
Von Dr. Evelyne Sørensen, Partnerin | activeMind.legal Rechtsanwaltsgesellschaft
Grenzüberschreitende Datenflüsse sind für international tätige Unternehmen unverzichtbar – doch die rechtlichen Anforderungen variieren stark. Während die Datenschutz-Grundverordnung (DSGVO) in Europa den Rahmen vorgibt, stellen Länder wie die USA oder China eigene Regeln auf. Doch wie können Unternehmen Datenflüsse rechtskonform und strategisch gestalten? Ein Überblick – und warum das Thema brisanter wie eh und je ist.
Internationale Transfers
Ihr Unternehmen arbeitet mit Partnern in den USA, Asien oder weltweit – doch mit jedem Datenpaket, das Grenzen überquert, wachsen die rechtlichen Risiken. Die DSGVO bleibt der Maßstab für Datenübermittlungen in Drittländer. Doch die Realität ist ein Flickenteppich: Während Europa klare Regeln vorgibt, entstehen weltweit neue Datenschutzgesetze mit unterschiedlichen Anforderungen. Unternehmen müssen nicht nur rechtliche Risiken managen, sondern auch strategische Entscheidungen treffen, um Datenflüsse sicher und effizient zu gestalten.
Aktuelle Entwicklungen – ein Blick über die Grenzen
Die internationale Datenschutzlandschaft ist in Bewegung. Im Folgenden werfen wir einen Blick auf einige der prominentesten Beispiele, die zeigen, wie unterschiedlich die Anforderungen weltweit sind – und warum Unternehmen jetzt handeln müssen.
USA: Mehr Gesetze, mehr Unsicherheit
Das EU-US Data Privacy Framework soll Transfers erleichtern – doch die Rechtslage bleibt fragil. Klagen gegen den Angemessenheitsbeschluss sind anhängig, und die Frage, ob das Framework langfristig Bestand hat, ist offen. Parallel wächst die Zahl der einzelstaatlichen Gesetze: Kalifornien (CCPA/CPRA), Colorado, Virginia, Connecticut, Utah und weitere Staaten haben umfassende Datenschutzgesetze verabschiedet, weitere folgen. Ein nationales Gesetz wie der American Privacy Rights Act (APRA) ist in Diskussion, aber noch nicht beschlossen. Für Unternehmen bedeutet das: Compliance wird komplexer, nicht einfacher.
China: PIPL und neue Transferregeln
Die Personal Information Protection Law (PIPL) gilt als eines der strengsten Datenschutzgesetze weltweit. Für internationale Transfers sind Sicherheitsbewertungen, Zertifizierungen oder chinesische Standardvertragsklauseln Pflicht. Neu sind Erleichterungen für bestimmte Szenarien, doch die Compliance-Anforderungen bleiben hoch. Verstöße können Bußgelder nach sich ziehen. Unternehmen müssen sich für neue Zertifizierungs- und SCC-Regeln vorbereiten.
Indien: Digital Personal Data Protection Act
Mit dem DPDP Act hat Indien erstmals ein umfassendes Datenschutzgesetz verabschiedet. Es gilt für digitale personenbezogene Daten und sieht eine extraterritoriale Anwendung vor, wenn Unternehmen Personen in Indien adressieren. Die Umsetzung erfolgt schrittweise, ergänzt durch die neuen Digital Personal Data Protection Rules 2025, die strengeren Anforderungen an Governance, Audits und Datenlokalisierung bringen.
UK: Reform nach dem Brexit
Das Vereinigte Königreich hat mit dem Data Use and Access Act (DUAA) 2025 sein Datenschutzrecht modernisiert. Die Reform bringt Lockerungen bei DSARs und Cookie-Regeln, führt aber auch neue Pflichten ein, etwa für internationale Transfers. Die EU prüft derzeit, ob das neue Regelwerk den Angemessenheitsstatus gefährdet.
Was bedeutet das für Unternehmen?
Die Praxis wirft entscheidende Fragen auf: Reichen Standardvertragsklauseln noch aus? Wann sind Binding Corporate Rules sinnvoll? Und wie aufwendig sind Transfer Impact Assessments wirklich? Antworten darauf hängen nicht nur von der Rechtslage ab, sondern auch von strategischen Entscheidungen und technischen Maßnahmen.
Strategische Perspektive
Globale Datenflüsse sind kein Randthema, sondern ein Wettbewerbsfaktor. Wer die Anforderungen kennt und klug umsetzt, gewinnt Vertrauen und Effizienz. Wer zögert, riskiert Bußgelder und Reputationsschäden. Die gute Nachricht: Es gibt Lösungen – und Chancen für Unternehmen, die früh handeln.
Fazit & Einladung
Die internationale Datenschutzlandschaft ist nicht nur komplex, sie verändert sich in rasantem Tempo. Unternehmen stehen vor der Herausforderung, gleichzeitig die Anforderungen der DSGVO, die Unsicherheiten rund um das EU-US Data Privacy Framework, die strengen Vorgaben der chinesischen PIPL sowie neue Gesetze in Indien und Reformen im Vereinigten Königreich zu berücksichtigen.
Wer hier den Überblick behält, sich frühzeitig vorbereitet und eine globale Datenschutzstrategie entwickelt, kann Risiken minimieren und Wettbewerbsvorteile sichern. Compliance ist längst kein reines „Pflichtprogramm“ mehr – sie wird zum strategischen Erfolgsfaktor.
Datenschutztage: Tag 1, Vortrag 4 - 14. April 2026 in Frankfurt am Main & online
Der Vortrag beleuchtet die internationalen Anforderungen an Datenübermittlungen und zeigt, wie Unternehmen grenzüberschreitende Datenflüsse rechtskonform und strategisch gestalten können. Im Fokus stehen die Grundprinzipien der DSGVO, aktuelle Entwicklungen in den USA sowie Datenschutzregelungen in Asien (u. a. China, Japan).Bei jeder Verletzung einer Pflicht der DS-GVO droht ein Schadensersatzanspruch. In diesem Vortrag wird das Risiko erläutert und Sie lernen davon ausgehend die in der Praxis auftretenden Situation proaktiv einzuschätzen!
FFD Forum für Datenschutz
eine Marke der TALENTUS GmbH
Friedrichstraße 16-18
65185 Wiesbaden
Telefon 0611 23 600 50
info@ffd-seminare.de
Datenschutzkongress
14.-16. 04.2026
Frankfurt am Main oder virtuell
