Schrems II und die E-Mail-Liste – was eine Übermittlung aus der EU wirklich verlangt

Eine E-Mail-Liste ist eine Datei mit personenbezogenen Daten, und das Tool, mit dem sie versendet wird, ist ein Auftragsverarbeiter. Übermittelt das Tool die Liste aus der EU, braucht die Übermittlung eine Grundlage – und rund um genau diese Grundlage sind zwei Dinge passiert, die man vor der Wahl des Tools kennen sollte.

Kurze Antwort

Eine Übermittlung aus der EU ist nicht verboten. Sie verlangt eine Übermittlungsgrundlage nach Kapitel V der Datenschutz-Grundverordnung, und die Grundlagen haben eine Rangfolge: zuerst der Angemessenheitsbeschluss der Kommission, in dessen Ermangelung zum Beispiel Standardvertragsklauseln mit ergänzenden Bewertungen.

Die einfachste Lösung ist, nicht zu übermitteln. Fünf der sieben E-Mail-Tools in unserem Vergleich speichern die Listendaten in der EU, und dann entfällt dieses ganze Kapitel aus Ihrer eigenen Dokumentation.

Was das Schrems-II-Urteil entschied

Der Gerichtshof der Europäischen Union hat in der Rechtssache C-311/18 am 16.7.2020 geurteilt. Zwei Dinge wurden auf einmal entschieden, und sie zeigen in verschiedene Richtungen.

• Der Privacy Shield wurde für ungültig erklärt. Der fünfte Punkt des Tenors ist eindeutig: „Commission Implementing Decision (EU) 2016/1250 … is invalid.“
• Die Standardvertragsklauseln blieben bestehen. Nach dem vierten Punkt hat die Prüfung des Beschlusses 2010/87 „disclosed nothing to affect the validity of that decision“.

Die praktische Änderung war aber nicht, dass ein Beschluss durch einen anderen ersetzt wurde. Es war die Bedingung, die der Gerichtshof an die Nutzung der Standardvertragsklauseln knüpfte: Der Übermittler muss sicherstellen, dass die betroffenen Personen im Zielland „a level of protection essentially equivalent to that guaranteed within the European Union“ erhalten, und die Bewertung muss auch den Zugriff der Behörden des Ziellandes auf die Daten berücksichtigen. Die Verantwortung wanderte also vom Kommissionsbeschluss zum Übermittler selbst. Derselbe Tenor verpflichtet die Aufsichtsbehörde, die Übermittlung auszusetzen oder zu verbieten, wenn der Schutz nicht sichergestellt werden kann.

Was den Privacy Shield ersetzte

Die Kommission hat am 10.7.2023 den Durchführungsbeschluss (EU) 2023/1795 zum EU-US Data Privacy Framework erlassen. Ein Detail entscheidet, was der Beschluss für Sie bedeutet: Er gilt nicht für die USA als Land.

Artikel 1 des Beschlusses beschränkt die Angemessenheit auf Übermittlungen „to organisations in the United States that are included in the ’Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce“. Die Angemessenheit gilt also je Organisation. Praktisch bedeutet das einen Arbeitsschritt: Wenn Sie einen US-Dienst erwägen, prüfen Sie, ob genau diese Organisation auf der Liste steht – und suchen Sie nach dem offiziellen Firmennamen, weil der Dienst unter dem Namen der Muttergesellschaft gelistet sein kann.

Der Beschluss enthält auch seine eigene Aufhebungsklausel. Nach Artikel 3 Absatz 5 kann die Kommission „suspend, amend or repeal this Decision, or limit its scope“, wenn ein angemessenes Schutzniveau nicht mehr gewährleistet ist.

Ist der neue Beschluss von Dauer

Hier die ehrliche Antwort: Er wurde bereits angefochten, und einmal ist ein entsprechender Beschluss gekippt. Das Gericht der Europäischen Union hat am 3.9.2025 eine Nichtigkeitsklage abgewiesen, Rechtssache T-553/23 (Latombe/Kommission). Laut Pressemitteilung des Gerichts „confirms that, on the date of adoption of the contested decision, the United States of America ensured an adequate level of protection“.

Gegen die Entscheidung ist ein Rechtsmittel beim Gerichtshof eingelegt (Rechtssache C-703/25 P, eingelegt am 31.10.2025). Den Verfahrensstand danach haben wir nicht geprüft, und wir sagen den Ausgang nicht voraus.

Für den Leser folgt daraus ein praktischer Hinweis, keine Prognose: Bauen Sie auf den Angemessenheitsbeschluss nichts, was Sie nicht rückgängig machen können. Beim E-Mail-Tool heißt das, dass die Übertragbarkeit der Liste aus dem Dienst heraus Teil des Risikomanagements ist – und das ist ohnehin eine gute Anforderung.

Wenn der Angemessenheitsbeschluss den Dienst nicht abdeckt

Dann braucht die Übermittlung eine geeignete Garantie nach Artikel 46 der Datenschutz-Grundverordnung. Die häufigste sind die von der Kommission angenommenen Standardvertragsklauseln nach Artikel 46 Absatz 2 Buchstabe c. Absatz 1 des Artikels stellt zudem eine Bedingung: Neben den Garantien müssen den betroffenen Personen „enforceable data subject rights and effective legal remedies“ zur Verfügung stehen.

Das bloße Unterzeichnen der Klauseln reicht nicht. Die Empfehlungen 01/2020 des Europäischen Datenschutzausschusses (Version 2.0, angenommen am 18.6.2021) beschreiben sechs Schritte. Vier davon sind echte Arbeit des Übermittlers, der fünfte sind förmliche Verfahren, die eine zusätzliche Maßnahme verlangen kann:

1. Kennen Sie Ihre Übermittlungen. Erfassen Sie, welche personenbezogenen Daten wohin übermittelt werden – die Empfehlung nennt das den ersten Schritt und merkt an, dass er oft eine schwierige Übung ist.
2. Prüfen Sie das Übermittlungsinstrument. Deckt ein Angemessenheitsbeschluss der Kommission den Empfänger ab, ist nichts weiter nötig, als die Geltung des Beschlusses zu verfolgen – und für die USA heißt das die Organisation, nicht das Land.
3. Bewerten Sie Recht und Praxis des Ziellandes. Das ist die Transfer-Folgenabschätzung: Schwächt die Rechtslage im Zielland die Wirkung der Garantien in genau Ihrer Übermittlung.
4. Ergreifen Sie zusätzliche Maßnahmen, wenn die Bewertung sie verlangt, und bewerten Sie die Lage regelmäßig neu.

Zwei Stellen der Empfehlung sollte man wörtlich lesen. Dokumentation: „You should conduct this assessment with due diligence and document it thoroughly. Your competent supervisory and/or judicial authorities may request it and hold you accountable for any decision you take on that basis.“ Und die Situation, in der nichts reicht: „In those cases where no supplementary measure is suitable, you must avoid, suspend or terminate the transfer.“

Was das für die Wahl des E-Mail-Tools bedeutet

An dieser Stelle wird aus Juristerei eine Kaufentscheidung, und das Ergebnis ist einfacher, als der Text oben vermuten lässt.

Fünf der sieben Tools in unserem Vergleich speichern die Listendaten in der EU: Brevo, GetResponse, Systeme.io, MailerLite und EmailOctopus. Bei ihnen braucht es gar keine Übermittlungsgrundlage nach Kapitel V, weil keine Übermittlung stattfindet. Die beiden übrigen, Mailchimp und ActiveCampaign, übermitteln Daten aus der EU – rechtmäßig, aber mit Übermittlungsgrundlage und Einträgen. Die Lage je Anbieter: E-Mail-Marketing und DSGVO; alle sieben Erklärungen nebeneinander und datiert: Datenstandort von E-Mail-Tools.

Das heißt nicht, dass ein Tool außerhalb der EU die falsche Wahl wäre. Es heißt, dass sein Preis einen Arbeitsschritt enthält, den der Preis des EU-Anbieters nicht enthält – und im Ein-Personen-Unternehmen ist dieser Schritt teurer als ein paar Euro Monatsdifferenz.

Vier Dinge, die ein kleines Unternehmen tun sollte

1. Klären Sie, wo Ihre Liste liegt. Die Antwort steht in der Datenschutzerklärung des Dienstes, nicht auf der Marketingseite. Fragen Sie nach Vertragspartner und Rechenzentrumsstandort – die können in verschiedenen Ländern liegen.
2. Tragen Sie den Auftragsverarbeiter in Ihre eigene Datenschutzerklärung ein. Findet eine Übermittlung aus der EU statt, verlangt Artikel 13 Absatz 1 Buchstabe f die Information über die Übermittlung und darüber, ob ein Angemessenheitsbeschluss vorliegt oder nicht.
3. Schließen Sie einen Auftragsverarbeitungsvertrag. Das ist etwas anderes als die Übermittlungsgrundlage und in jedem Fall nötig, auch mit einem EU-Anbieter. Was der Vertrag enthalten muss.
4. Übermitteln Sie mit Standardvertragsklauseln, dokumentieren Sie die Bewertung. Die Empfehlung des Datenschutzausschusses sagt direkt, dass die Behörde sie verlangen kann.

Die Verordnung selbst fasst dasselbe kurz zusammen. Die Grundregel in Artikel 44: Eine Übermittlung personenbezogener Daten in ein Drittland „ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden“. Gelesen in EUR-Lex am 13.9.2026.

Was diese Seite nicht ist

Dies ist keine Rechtsberatung. Wir sagen, was in den Originalquellen steht, und jede davon ist im Text verlinkt: Urteilstext, Kommissionsbeschluss, Artikel der Verordnung und Empfehlung des Datenschutzausschusses. Die Anwendung auf Ihre eigene Situation ist Ihre Sache oder die Ihres Anwalts.

Wir veröffentlichen auch keinen Data-Privacy-Framework-Status einzelner Dienste. Der Grund ist methodisch: Der Status kann sich ohne Ankündigung ändern, und unser 90-Tage-Prüfturnus würde seine Aktualität nicht garantieren. Die Liste ist öffentlich, und sie zu prüfen geht schneller, als sie bei uns zu lesen. Die Methode im Ganzen: so vergleichen wir.