Wer KI-Tools von Anbietern außerhalb der EU einsetzt, stößt schnell auf den Begriff Angemessenheitsbeschluss. Er entscheidet mit darüber, ob eine Datenübermittlung in ein Drittland ohne zusätzliche Schutzmaßnahmen zulässig ist — oder ob KMU selbst aktiv werden müssen.
Was bedeutet Angemessenheitsbeschluss?
Ein Angemessenheitsbeschluss ist eine Entscheidung der EU-Kommission nach Art. 45 DSGVO, die einem Drittland (einem Land außerhalb der EU/des EWR) ein mit der EU vergleichbares Datenschutzniveau bescheinigt. Liegt ein solcher Beschluss vor, dürfen personenbezogene Daten in dieses Land übermittelt werden, ohne dass zusätzliche Garantien wie Standardvertragsklauseln (SCCs) erforderlich sind.
Die EU-Kommission hat Angemessenheitsbeschlüsse unter anderem für die Schweiz, Japan, Kanada (für kommerzielle Organisationen), Israel, Neuseeland, Großbritannien und für am EU-US Data Privacy Framework zertifizierte US-Unternehmen erlassen (Stand: 2026-07, Liste bei der EU-Kommission prüfen — sie wird regelmäßig aktualisiert und teils gerichtlich überprüft).
Warum ist der Angemessenheitsbeschluss für mein Unternehmen wichtig?
Für KMU entscheidet das Vorliegen eines Angemessenheitsbeschlusses, wie viel zusätzlicher Aufwand bei der Nutzung eines Drittstaaten-Tools entsteht. Mit Beschluss reicht in der Regel der normale Auftragsverarbeitungsvertrag (AVV). Ohne Beschluss braucht es zusätzlich Standardvertragsklauseln und häufig eine Transfer Impact Assessment (TIA), die dokumentiert, warum die Übermittlung trotzdem vertretbar ist.
Für Länder ohne Angemessenheitsbeschluss — etwa China — gilt jede Datenübermittlung als besonders prüfungsbedürftig, weil die zusätzlichen Schutzmechanismen in der Praxis oft nur eingeschränkt wirksam sind, wenn lokale Gesetze (z. B. staatliche Zugriffsrechte) entgegenstehen.
Angemessenheitsbeschluss in der Praxis
Ein KMU möchte ein KI-Tool eines südkoreanischen Anbieters einsetzen. Südkorea verfügt über einen Angemessenheitsbeschluss der EU-Kommission. In diesem Fall genügt grundsätzlich ein normaler AVV mit dem Anbieter — eine zusätzliche Absicherung über SCCs ist nicht erforderlich, sofern der Anbieter tatsächlich unter den Beschluss fällt.
Anders bei einem Anbieter mit Sitz in einem Land ohne Angemessenheitsbeschluss: Hier muss das Unternehmen selbst prüfen, ob SCCs abgeschlossen wurden und ob eine TIA vorliegt, bevor personenbezogene Daten übermittelt werden.
Weiterführendes
- Was ist eine Drittlandübermittlung? — der übergeordnete Rechtsrahmen
- Was sind Standardvertragsklauseln (SCCs)? — die Alternative ohne Angemessenheitsbeschluss
- Was ist das EU-US Data Privacy Framework (DPF)? — ein spezieller Angemessenheitsbeschluss für zertifizierte US-Anbieter
Häufige Fragen
Was passiert, wenn kein Angemessenheitsbeschluss für ein Land vorliegt?
Dann braucht die Datenübermittlung zusätzliche Garantien wie Standardvertragsklauseln, häufig ergänzt um eine Transfer Impact Assessment, die das verbleibende Risiko dokumentiert.
Gilt der Angemessenheitsbeschluss automatisch für jeden Anbieter im jeweiligen Land?
Nicht immer. Bei zertifizierungsbasierten Beschlüssen wie dem EU-US Data Privacy Framework muss der konkrete Anbieter selbst zertifiziert sein, damit der Beschluss greift.
Können Angemessenheitsbeschlüsse wieder aufgehoben werden?
Ja. Angemessenheitsbeschlüsse werden regelmäßig überprüft und können durch die EU-Kommission oder gerichtliche Entscheidungen geändert oder aufgehoben werden — daher lohnt sich eine Prüfung zum jeweils aktuellen Stand.
Weiterführende Artikel
DeepSeek (Hosted) ist aus DSGVO-Sicht für Unternehmen mit personenbezogenen Daten nicht geeignet – wir zeigen die Risiken und empfehlen Alternativen mit DSGVO-Score.