Drittlandübermittlung neu gedacht: Die Datenschutzbehörde erlaubt wiederholte Transfers nach Art 49 Abs 1 lit b DSGVO

Mit Bescheid vom 31. Juli 2026 (GZ 2026-0.617.893) hat die österreichische Datenschutzbehörde eine Frage entschieden, die in der Beratungspraxis seit Jahren offen war: Kann sich ein Verantwortlicher auf die Ausnahmetatbestände des Art 49 DSGVO auch dann stützen, wenn die Übermittlung nicht nur einmalig erfolgt? Die Antwort fällt differenzierter aus, als es die bisherige Auslegungspraxis erwarten ließ.

Der Sachverhalt

Eine in Irland niedergelassene Betreiberin eines E-Commerce-Marktplatzes verbindet im EWR Konsumenten mit Händlern und Produktanbietern. Ein Nutzer legte auf dieser Plattform ein Konto an. Verarbeitet wurden dabei E-Mail-Adresse, Zugangsdaten, Name, Telefonnummer und Lieferadresse sowie Informationen zu Seitenaufrufen, Bestellungen, Endgeräten, Konto, Profil, Cookies und Datenempfängern.

Diese Daten wurden an Empfänger in den Vereinigten Staaten und in der Volksrepublik China übermittelt. Der Nutzer erhob daraufhin Datenschutzbeschwerde und machte eine Verletzung der Bestimmungen über den internationalen Datenverkehr geltend.

Die Übermittlung in die USA

Für die US-Transfers fiel die Beurteilung knapp aus. Die Europäische Kommission hat mit dem EU-US Data Privacy Framework einen Angemessenheitsbeschluss erlassen. Solange dieser nicht für ungültig erklärt wird, darf die Datenschutzbehörde keine Maßnahmen treffen, die ihm widersprechen.

Zwei Punkte hielt die Behörde ausdrücklich fest. Erstens gilt der Beschluss nur partiell, nämlich für jene Datenimporteure, die in der Data Privacy Framework List geführt werden. Die betroffenen US-Empfänger schienen dort auf. Zweitens war die Übermittlung auch in zeitlicher Hinsicht gedeckt, weil der Nutzer sein Konto erst nach Erlassung des Angemessenheitsbeschlusses angelegt hatte.

Diese Klarstellung ist für die Praxis wertvoller, als sie auf den ersten Blick wirkt. Sie bestätigt, dass die Prüfung eines Angemessenheitsbeschlusses zwei Dimensionen hat: die Listung des konkreten Empfängers und den zeitlichen Anwendungsbereich. Wer den DPF-Status seiner Dienstleister in der Verarbeitungsdokumentation nur pauschal vermerkt, prüft zu wenig.

Die Übermittlung nach China

Für China existiert kein Angemessenheitsbeschluss. Die Plattformbetreiberin stützte den Transfer vorrangig auf Standardvertragsklauseln nach Art 46 Abs 2 lit c DSGVO.

Die Datenschutzbehörde wiederholte hier die bekannte Linie: Geeignete Garantien müssen ein Schutzniveau gewährleisten, das dem in der Union garantierten der Sache nach gleichwertig ist. Der Verantwortliche hat dabei nicht nur die vertraglichen Regelungen zwischen Exporteur und Importeur zu betrachten, sondern auch die Zugriffsmöglichkeiten von Behörden des Drittlands und die maßgeblichen Elemente von dessen Rechtsordnung. Diese Erkenntnisse sind in den technischen und organisatorischen Maßnahmen abzubilden.

Zur Frage, ob die Standardvertragsklauseln im konkreten Fall trugen, musste die Behörde letztlich nicht abschließend Stellung nehmen. Denn sie fand die Rechtfertigung auf einer anderen Ebene.

Der eigentliche Kern: Art 49 Abs 1 lit b DSGVO

Liegen keine geeigneten Garantien vor, ist eine Übermittlung dennoch zulässig, wenn die Voraussetzungen des Art 49 DSGVO erfüllt sind.

Art 49 Abs 1 lit b erlaubt die Übermittlung, wenn sie für die Erfüllung eines Vertrags zwischen betroffener Person und Verantwortlichem oder zur Durchführung vorvertraglicher Maßnahmen auf Antrag der betroffenen Person erforderlich ist.

Die Behörde prüfte zunächst das Wesen des Vertragsverhältnisses. Dieses besteht in der Bereitstellung eines Zugangs zu einer Plattform, auf der unabhängige Händler ihre Waren anbieten und verkaufen. Der Nutzer hatte den Kauf aktiv und ohne Zwang angestoßen. Die Übermittlung der für die Abwicklung notwendigen Daten ließ sich damit auch als vorvertragliche Maßnahme auf Antrag des Betroffenen einordnen.

Entscheidend ist der nächste Aussage:

Die in der Aufsichtspraxis stets betonte Beschränkung auf gelegentliche und sich nicht wiederholende Übermittlungen findet sich, so die Datenschutzbehörde, nur in Erwägungsgrund 101 der DSGVO und gerade nicht im Gesetzeswortlaut. Bei Online-Plattformen, die auf eine permanente Vernetzung von Nutzern ausgelegt sind, kann daher auch eine wiederholte Drittlandsübermittlung auf Art 49 Abs 1 lit b gestützt werden, sofern sie für die dahinterliegende Vertragserfüllung notwendig ist.

Im konkreten Fall war die Datenübermittlung nur einmal anlässlich einer Bestellung erfolgt und für die Vertragserfüllung erforderlich. Die Beschwerde blieb daher erfolglos.

Ein Randthema mit Signalwirkung: Rechtsmissbrauch

Die Behörde hielt fest, dass der Nutzer die Bestellung erst kurz vor Abschluss des Verfahrens getätigt hatte und die Beschwerde Teil einer Kampagne gegen chinesische Unternehmen war. Rechtsmissbräuchlich sei sie damit gerade noch nicht. Die Formulierung ist deutlich genug, um sie als Fingerzeig zu lesen: Die Datenschutzbehörde schärft ihre Linie zum Rechtsmissbrauch nach Art 57 Abs 4 DSGVO derzeit in mehreren Verfahren nach, und aktivistisch motivierte Beschwerdeserien bewegen sich näher an dieser Grenze, als es früher der Fall war.

Was das für die berufliche Praxis bedeutet

Für Verantwortliche mit internationalen Datenflüssen ergeben sich vier Konsequenzen.

• Die Prüfreihenfolge bleibt unverändert. Angemessenheitsbeschluss, dann geeignete Garantien, dann Ausnahmetatbestände. Die Entscheidung verschiebt keine Stufen, sie präzisiert die dritte.
• Zweitens verliert die pauschale Aussage, Art 49 tauge nur für Einzelfälle, ihre Absolutheit. Der Ausnahmetatbestand wird damit nicht zur Dauerlösung, aber die reine Häufigkeit einer Übermittlung ist kein selbständiges Ausschlusskriterium mehr. Maßgeblich ist die Erforderlichkeit für die konkrete Vertragserfüllung, und diese ist eng zu bestimmen. Übermittlungen zu Analyse-, Marketing- oder allgemeinen Optimierungszwecken sind davon nicht erfasst.
• Außerdem gewinnt die saubere Beschreibung des Vertragsgegenstands an Bedeutung. Die Behörde argumentiert vom Wesen des Vertrags her. Wer in Datenschutzerklärung, Verzeichnis der Verarbeitungstätigkeiten und Vertragsdokumentation unterschiedliche Zwecke beschreibt, verliert genau dieses Argument.
• Und viertens ersetzt das Ergebnis keine Transfer Impact Assessment. Die Behörde hat die Anforderungen an geeignete Garantien nicht abgesenkt, sondern die Rechtfertigung auf eine andere Grundlage gestellt. Wer strukturelle, laufende Übermittlungen in Drittländer ohne Angemessenheitsbeschluss abwickelt, kommt an Art 46 und der zugehörigen Risikobeurteilung nicht vorbei.

Einordnung

Die Entscheidung ist ein Beispiel dafür, wie sich eine Aufsichtsbehörde vom Erwägungsgrund zurück zum Normtext bewegt. Das ist methodisch nachvollziehbar, weil Erwägungsgründe Auslegungshilfen und keine Tatbestandsmerkmale sind. Ob der Europäische Datenschutzausschuss, dessen Leitlinien 2/2018 zu Art 49 eine deutlich engere Position vertreten, dieser Lesart folgt, ist offen. Eine Überprüfung im Rechtsmittelweg würde die Frage weiter klären.

Für die Beurteilung digitaler Souveränität bleibt der Befund unverändert. Eine Übermittlung, die rechtlich zulässig ist, ist damit noch nicht risikofrei. Behördliche Zugriffsmöglichkeiten im Empfängerstaat bestehen unabhängig davon, auf welchen Tatbestand sich der Exporteur stützt. Die Entscheidung erweitert den rechtlichen Spielraum, sie verkleinert nicht das tatsächliche Risiko.

Fundstelle: Datenschutzbehörde 31.07.2026, GZ 2026-0.617.893, veröffentlicht im Rechtsinformationssystem des Bundes. Seit 13. Februar 2026 werden Entscheidungen der Datenschutzbehörde gemeinsam mit jenen des Parlamentarischen Datenschutzkomitees in der RIS-Applikation "Datenschutz-Aufsichtsbehörden" publiziert.

Mrak Consulting e.U. berät zu Datenschutz, Informationssicherheit und Compliance. Bei Fragen zur Bewertung Ihrer Drittlandübermittlungen stehe ich gerne zur Verfügung.