Einen US-Formulardienst unter der DSGVO nutzen

Die Artikel 44 bis 49 der DSGVO regeln Übermittlungen personenbezogener Daten in Länder außerhalb der EU und des EWR. Eine Übermittlung braucht eine von drei Grundlagen: einen Angemessenheitsbeschluss für das Zielland (Artikel 45), geeignete Garantien wie Standardvertragsklauseln (Artikel 46) oder für Einzelfälle eine der Ausnahmen in Artikel 49.

Bei einem Formular liegt der Anbieter, der Einsendungen empfängt und speichert, naheliegenderweise im Blickpunkt. Er ist aber nicht der einzige. Die Benachrichtigungs-E-Mail kann in einem Postfach im Ausland landen, und ein Webhook oder ein Automatisierungstool kann dieselben Daten weiterleiten. Jede dieser Stellen ist eine eigene Frage.

Am 16. Juli 2020 entschied der Europäische Gerichtshof in Data Protection Commissioner v Facebook Ireland and Schrems (C-311/18). Er erklärte das EU-US-Privacy-Shield für ungültig, weil das US-Überwachungsrecht und die Rechtsbehelfe für Europäer dem EU-Standard nicht genügten.

Der Gerichtshof hielt Standardvertragsklauseln aufrecht, allerdings mit einer Bedingung: Der Datenexporteur muss im Einzelfall prüfen, ob das Recht im Zielland dem Importeur erlaubt, seine Zusagen einzuhalten, und wo dies nicht der Fall ist, zusätzliche Maßnahmen ergänzen. Der Europäische Datenschutzausschuss hat in seinen Empfehlungen 01/2020 zu zusätzlichen Maßnahmen beschrieben, wie das gelingt. Die endgültige Fassung wurde am 18. Juni 2021 angenommen.

Am 10. Juli 2023 erließ die Kommission den Durchführungsbeschluss (EU) 2023/1795. Darin stellt sie fest, dass die Vereinigten Staaten für Daten, die an Unternehmen übermittelt werden, die nach dem EU-US Data Privacy Framework zertifiziert sind, ein angemessenes Schutzniveau gewährleisten. Grundlage ist die US-Executive-Order 14086, die Beschränkungen für die signalerfassende Aufklärung einführt und einen Rechtsbehelfsweg über ein Data Protection Review Court eröffnet.

Für Formularbetreiber bedeutet das: Ist der US-Anbieter zertifiziert und deckt seine Zertifizierung die Art der Daten ab, die Sie senden, benötigt die Übermittlung kein weiteres Instrument. Sie können ein Unternehmen in der offiziellen Data-Privacy-Framework-Liste prüfen. Ein Anbieter, der nicht auf der Liste steht, braucht eine andere Grundlage, in der Regel Standardvertragsklauseln.

Das Framework wird angefochten. Das Gericht der Europäischen Union hat die Klage in Latombe v Commission (T-553/23) am 3. September 2025 abgewiesen, und der Kläger hat Rechtsmittel beim Gerichtshof eingelegt, Rechtssache C-703/25 P. Zwei frühere Regelungen, Safe Harbor und Privacy Shield, hat dieser Gerichtshof für ungültig erklärt. Deshalb halten viele Organisationen in ihren Verträgen eine Rückfalloption bereit, falls auch das Framework fällt.

Die derzeit gültigen Klauseln wurden mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 angenommen. Sie sind in Module für verschiedene Beziehungen unterteilt; für einen Formulardienst, der in Ihrem Auftrag handelt, ist meist das Modul Verantwortlicher an Auftragsverarbeiter üblich. Ihre Anwendung bedeutet, eine Transfer-Folgenabschätzung durchzuführen und das Ergebnis zu dokumentieren, was für eine kleine Website echte Arbeit ist. Das ist einer der Gründe, warum das Data Privacy Framework bei US-Anbietern beliebt ist, die sich zertifiziert haben.

Diese Fragen gelten gleichermaßen für US-amerikanische und europäische Anbieter, und ein guter Anbieter beantwortet sie in öffentlichen Dokumenten:

1. Wo werden Einsendungen, Datei-Uploads und Backups gespeichert?
2. Welche Unterauftragsverarbeiter verarbeiten Einsendungsdaten, und in welchen Ländern sitzen sie?
3. Welches Instrument gilt für jede Übermittlung außerhalb der EU: Angemessenheitsbeschluss, DPF-Zertifizierung oder Standardvertragsklauseln?
4. Ist der Auftragsverarbeitungsvertrag (AVV) vor der Anmeldung veröffentlicht oder verfügbar, und listet er die Unterauftragsverarbeiter auf?
5. Können Mitarbeitende außerhalb der EU für den Support auf die Daten zugreifen, und unter welchen Kontrollen?
6. Enthält die Benachrichtigungs-E-Mail die vollständige Einsendung, und können Sie das abschalten?
7. Wie geht der Anbieter mit einer Datenanfrage einer ausländischen Behörde um?

Unsere Vergleichsseiten fassen zusammen, was mehrere Anbieter öffentlich über den Speicherort der Daten sagen. Prüfen Sie zusätzlich deren aktuelle Dokumente, da sich Richtlinien ändern.

Formward wird von einem schwedischen Unternehmen betrieben. Die App, die Datenbank und die Datei-Uploads werden in Schweden gehostet. Die Benachrichtigungs-E-Mail wird über einen EU-Anbieter versendet, und die optionalen KI-Funktionen in den Tarifen Professional und Business laufen bei Mistral in der EU. Die Abrechnung erfolgt über Stripe Payments Europe, Limited, in Irland und betrifft nur die Abrechnungsdaten des zahlenden Kunden selbst.

Der einzige US-Berührungspunkt ist Cloudflare Turnstile, eine Anti-Bot-Prüfung, die deaktiviert ist, solange Sie sie für ein Formular nicht einschalten. Ist sie aktiv, sieht Cloudflare Challenge-Daten aus dem Browser des Besuchers, nicht die Antworten im Formular. Ziele, die Sie selbst hinzufügen, etwa ein Webhook, ein Slack-Kanal oder ein Postfach bei einem anderen Anbieter, erhalten die Daten dorthin, wohin Sie sie leiten.