Kapitel V der Verordnung ist der Teil, dem ein Softwareunternehmen an dem Tag begegnet, an dem es sich für eine Hosting-Region, einen Support-Desk oder ein Analysewerkzeug anmeldet, das von außerhalb des Europäischen Wirtschaftsraums betrieben wird. Artikel 44 setzt den Grundsatz: jede Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation findet nur statt, wenn der Verantwortliche und der Auftragsverarbeiter die Bedingungen des Kapitels einhalten, auch bei Weiterübermittlungen, und alle seine Bestimmungen werden so angewandt, dass das von der Verordnung gewährleistete Schutzniveau nicht untergraben wird. Dieser Artikel liest das Kapitel gegen den Katalog, den StandardOS über die Verordnung führt, und gegen die eigene Liste der Angemessenheitsbeschlüsse der Kommission, mit der kostenlosen Seite, die das Instrument aus Ziel und den zwei Rollen wählt.

Erste Frage: ist es überhaupt eine Übermittlung

Ein Empfänger in einem der 27 Mitgliedstaaten oder in Island, Liechtenstein oder Norwegen ist nicht in einem Drittland: die Verordnung gilt dort unmittelbar, durch die Verträge und das EWR-Abkommen, und Kapitel V ist nicht berührt. Das Verzeichnis der Verarbeitungstätigkeiten nennt den Empfänger trotzdem (Artikel 30 Absatz 1 Buchstabe d), aber es braucht kein Instrument. Alles außerhalb dieser 30 Staaten ist ein Drittland, ob der Empfänger ein bekanntes Unternehmen ist oder nicht, ob die Daten unterwegs verschlüsselt sind oder nicht, und ob der Empfänger sich DSGVO-konform nennt oder nicht. Die Frage beantwortet das Land der Niederlassung, die die Daten verarbeitet, nicht die Flagge auf der Website des Importeurs.

Zweite Frage: gibt es einen Angemessenheitsbeschluss

Artikel 45 Absatz 1 lässt eine Übermittlung an ein Land, für das die Kommission ein angemessenes Schutzniveau festgestellt hat, ohne besondere Genehmigung zu. Die Seite der Kommission zur Angemessenheit in Nicht-EU-Ländern, gelesen am 12. September 2026, sagt, dass sie bisher 17 anerkannt hat: Andorra, Argentinien, Brasilien, Kanada, die Färöer, Guernsey, Israel, die Isle of Man, Japan, Jersey, Neuseeland, die Republik Korea, die Schweiz, das Vereinigte Königreich, die Vereinigten Staaten, Uruguay und die Europäische Patentorganisation. Elf davon wurden unter der Richtlinie 95/46/EG erlassen und im Bericht der Kommission vom 15. Januar 2024 überprüft; die übrigen unter Artikel 45, wobei die neuesten Rechtsakte, die die Seite aufführt, der Beschluss zu Brasilien vom 26. Januar 2026, die Erneuerung des Beschlusses zum Vereinigten Königreich am 19. Dezember 2025, der Beschluss zur Europäischen Patentorganisation vom 15. Juli 2025 und die erste Überprüfung des Beschlusses zur Republik Korea am 23. Juli 2026 sind. Zwei Beschlüsse haben einen Anwendungsbereich, den ein Softwareunternehmen prüfen muss: der für Kanada erfasst kommerzielle Organisationen, und der für die Vereinigten Staaten erfasst nur kommerzielle Organisationen, die am EU-US Data Privacy Framework teilnehmen, sodass ein US-Importeur angemessen ist, wenn er zertifiziert ist, und ein Drittland-Importeur wie jeder andere, wenn nicht. Die Seite hält diese Liste als Daten, mit dem Datum, an dem sie gelesen wurde, und das Werkzeug zur Übermittlung stellt die Frage nach dem Anwendungsbereich, wo ein Beschluss einen hat.

Dritte Frage: welche Garantie, und welches Modul

Ohne Beschluss verlangt Artikel 46 Absatz 1 geeignete Garantien, die den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe geben, und Artikel 46 Absatz 2 zählt sechs auf, die keine besondere Genehmigung brauchen: ein rechtlich bindendes Instrument zwischen Behörden, verbindliche interne Datenschutzvorschriften, von der Kommission erlassene Standarddatenschutzklauseln, von einer Aufsichtsbehörde angenommene und von der Kommission genehmigte Klauseln, genehmigte Verhaltensregeln und eine genehmigte Zertifizierung. Für ein Softwareunternehmen ist die Antwort das Dritte: die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021, dessen Anhang vier Module nach den Rollen der Parteien hat. Modul Eins ist Verantwortlicher an Verantwortlichen, das Unternehmen, das eigene Kundendaten an einen Partner sendet, der entscheidet, was damit geschieht; Modul Zwei ist Verantwortlicher an Auftragsverarbeiter, das Unternehmen, das eigene Daten an ein CRM, eine Lohnabrechnung oder einen E-Mail-Anbieter sendet; Modul Drei ist Auftragsverarbeiter an Auftragsverarbeiter, das Unternehmen, das die Daten seiner Kunden an seinen Hosting-, Support- oder KI-Unterauftragsverarbeiter sendet; Modul Vier ist Auftragsverarbeiter an Verantwortlichen, der seltene Fall eines Auftragsverarbeiters, der Daten an einen Verantwortlichen außerhalb der EU zurückgibt. Das Modul zu unterzeichnen ist nicht die ganze Garantie: Klausel 14 verlangt, dass die Parteien vor der Übermittlung beurteilt haben, ob die Rechtsvorschriften und Gepflogenheiten im Land des Importeurs ihn daran hindern, die Klauseln einzuhalten, das ist die Beurteilung, die der Gerichtshof in Schrems II verlangt hat, und Klausel 15 legt die Pflichten des Importeurs fest, wenn eine Behörde die Daten verlangt. Die Beurteilung wird dokumentiert und für die Aufsichtsbehörde aufbewahrt. Verbindliche interne Datenschutzvorschriften nach Artikel 47 sind für eine Unternehmensgruppe und brauchen die Genehmigung einer Behörde; Verhaltensregeln oder eine Zertifizierung helfen nur, wo es sie für den Importeur gibt.

Vierte Frage: ist dies eine besondere Situation

Artikel 49 Absatz 1 erlaubt eine Übermittlung ohne Angemessenheit oder Garantien unter einer von sieben Bedingungen: ausdrückliche Einwilligung nach Unterrichtung über die Risiken, die Erfüllung eines Vertrags mit der betroffenen Person, ein Vertrag im Interesse der betroffenen Person, wichtige Gründe des öffentlichen Interesses, Rechtsansprüche, lebenswichtige Interessen oder ein öffentliches Register. Sein zweiter Unterabsatz fügt die für zwingende berechtigte Interessen erforderliche Übermittlung hinzu, die nicht wiederholt erfolgen darf, nur eine begrenzte Zahl betroffener Personen betreffen, beurteilt und dokumentiert und der Aufsichtsbehörde mitgeteilt werden muss. Nichts davon beschreibt ein Produkt in Nutzung: ein Hosting-Anbieter verarbeitet die Daten jedes Kunden jeden Tag, und eine Einwilligung, die von jedem Endnutzer jedes Kunden des Unternehmens eingeholt werden müsste, ist kein Instrument. Die Ausnahmen sind für den Einzelfall, die eine Datei, die einmal gesendet wird, und ein Unternehmen, das seine Architektur darauf stützt, hat kein Instrument.

Was damit zu tun ist

Nehmen Sie das Verzeichnis der Verarbeitungstätigkeiten und seine Spalte der Empfänger und geben Sie jedem Empfänger außerhalb des EWR ein Land und ein Instrument: den Angemessenheitsbeschluss, der ihn trägt, mit geprüftem Anwendungsbereich bei einem US- oder kanadischen Importeur, oder das mit seinen Anhängen unterzeichnete SCC-Modul und die datierte Beurteilung nach Klausel 14. Verlangen Sie von einem US-Importeur seine Zertifizierung unter dem Data Privacy Framework und prüfen Sie sie auf der Liste des Department of Commerce; verlangen Sie von einem britischen oder japanischen Importeur nichts weiter als den Vertrag; verlangen Sie von einem indischen, australischen oder singapurischen Importeur die unterzeichneten Klauseln und seine eigene Liste der Unterauftragsverarbeiter, da Weiterübermittlungen unter Kapitel V bleiben. Setzen Sie das Instrument in den Auftragsverarbeitungsvertrag, den ein Kunde schickt, weil Artikel 28 Absatz 4 einen Unterauftragsverarbeiter denselben Pflichten wie den Auftragsverarbeiter unterwirft, und in das Verzeichnis, weil Artikel 30 Absatz 1 Buchstabe e nach den Übermittlungen und ihren Garantien fragt. Die Seite zur Übermittlung trifft die Feststellung aus Ziel und den zwei Rollen und schreibt sie; die Bestimmung der Pflichten sagt, ob Übermittlungen überhaupt zu den Pflichten des Unternehmens gehören.