Was das LG München I zur Zulässigkeit nach der DSGVO entschieden hat
Seit dem EuGH-Urteil Schrems II (C-311/18) ist die Unsicherheit groß: Darf ein Unternehmen personenbezogene Daten von EU-Bürgern noch in die USA übermitteln – und wenn ja, unter welchen Bedingungen?
Mit seinem Urteil vom 27.08.2025 (Az. 33 O 635/25) bringt das LG München I etwas mehr Licht ins datenschutzrechtliche Dunkel. Im Zentrum stand eine Klage gegen ein bekanntes US-Sozialnetzwerk (genauer: dessen europäische Tochtergesellschaft in Irland), das personenbezogene Daten seiner Nutzer regelmäßig in die USA übermittelt. Der Kläger machte immateriellen Schadensersatz, Unterlassung und Auskunft geltend – und unterlag in allen Punkten.
Doch die Entscheidung enthält mehr als eine bloße Klageabweisung. Sie liefert eine klare rechtliche Bewertung internationaler Datentransfers in Drittstaaten – und stellt dabei die bisherigen Positionen deutscher Gerichte auf eine konsistente Grundlage.
Der rechtliche Rahmen: DSGVO, SCCs und das EU-U.S. Data Privacy Framework
Nach Art. 44 ff. DSGVO dürfen personenbezogene Daten nur dann in Drittländer außerhalb der EU übermittelt werden, wenn dort ein angemessenes Datenschutzniveau gewährleistet ist. Fehlt ein Angemessenheitsbeschluss (wie es ihn aktuell für die USA über das Data Privacy Framework gibt), kommen vor allem zwei Optionen in Betracht:
-
Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO
-
Einzelfallbezogene Ausnahmen nach Art. 49 DSGVO
Spätestens seit dem Schrems II-Urteil des EuGH, das das Privacy Shield für ungültig erklärt hatte, steht fest: Standardvertragsklauseln sind nur wirksam, wenn sie durch zusätzliche Maßnahmen ergänzt werden, die den Schutz personenbezogener Daten auch gegenüber dem Zugriff ausländischer Behörden absichern.
Was sagt das LG München I?
Das Gericht stellt klar: Die Datenübermittlung in die USA durch die Beklagte war nicht rechtswidrig, weil sie durch wirksam vereinbarte Standardvertragsklauseln und flankierende Schutzmaßnahmen gedeckt war.
Entscheidend war aus Sicht der Kammer, dass:
-
zwischen dem europäischen Unternehmen und seiner US-Muttergesellschaft Standardvertragsklauseln abgeschlossen wurden;
-
die Beklagte außerdem eine sog. Transfer Impact Assessment (TIA) durchgeführt hatte;
-
zusätzliche technische und organisatorische Maßnahmen implementiert wurden, etwa die Verschlüsselung der Daten und die Prüfung von Behördenanfragen.
Das Gericht hält es deshalb für gerechtfertigt, dass sich die Beklagte auf Art. 46 Abs. 1 und 2 DSGVO stützen konnte. Daneben sei ergänzend auch Art. 49 Abs. 1 lit. c DSGVO (Vertragserfüllung) einschlägig.
Zitat des Gerichts:
„Es ist davon auszugehen, dass auch in den USA dem Betroffenen wirksame Rechtsbehelfe zur Verfügung stehen.“
(LG München I, Urt. v. 27.08.2025 – 33 O 635/25)
DSGVO contra Realität? Einordnung und Praxisrelevanz
Die Entscheidung unterstreicht, was in der datenschutzrechtlichen Praxis längst gilt: Wer als Unternehmen Daten in Drittländer überträgt, muss sich auf rechtssichere Mechanismen stützen – und diese nachvollziehbar dokumentieren.
Die Anforderungen sind hoch, aber nicht unüberwindbar:
-
Standardvertragsklauseln allein reichen nicht – sie müssen durch ein angemessenes Sicherheitskonzept abgesichert werden.
-
Eine sorgfältige und einzelfallbezogene Transferfolgenabschätzung (TIA) ist unerlässlich.
-
Unternehmen sollten die aktuellen Entwicklungen im Datenschutzrecht der USA im Blick behalten – gerade im Hinblick auf Zugriffe durch Behörden nach dem FISA oder Cloud Act.
Der Fall zeigt auch: Ein pauschales Misstrauen gegenüber US-Datentransfers führt nicht automatisch zur Rechtswidrigkeit.
Was Unternehmen jetzt beachten sollten
Für datenverarbeitende Unternehmen in der EU – insbesondere solche mit Konzernbezug in die USA – liefert das Urteil mehrere klare Handlungsempfehlungen:
✅ Prüfen Sie Ihre Datenflüsse in Drittländer – welche Daten fließen wohin, auf welcher Grundlage?
✅ Verwenden Sie aktuelle Standardvertragsklauseln (2021er Fassung) – und dokumentieren Sie deren Implementierung.
✅ Erstellen Sie eine individuelle Transfer Impact Assessment (TIA) – diese sollte regelmäßig aktualisiert werden.
✅ Stellen Sie sicher, dass Sie auf berechtigte Behördenanfragen angemessen reagieren können, ohne gegen die DSGVO zu verstoßen.
Fazit: Kein Freibrief, aber ein Weg durch den Dschungel
Das Urteil des LG München I ist kein Freibrief für grenzenlose Datenübertragung, aber es zeigt: Mit der richtigen Vorbereitung und Sorgfalt lassen sich internationale Datentransfers rechtssicher gestalten. Unternehmen, die sich auf Standardvertragsklauseln plus Schutzmaßnahmen verlassen und ihre Prozesse transparent dokumentieren, sind auf der sicheren Seite – auch gegenüber möglichen Schadensersatzforderungen.
Gleichzeitig stellt das Urteil klar, dass Datenschutz nicht als pauschale Haftungsquelle missbraucht werden darf. Wer Dienste freiwillig nutzt, muss auch die damit verbundenen – transparent gemachten – Datenverarbeitungen hinnehmen.