Artikel 48 DSGVO und der US-Discovery-Antrag: Ein praktisches Handbuch zur Datenminimierung

Wenn ein US-amerikanisches Beweissicherungsverfahren (Litigation Hold) ein europäisches Unternehmen trifft, folgen meist zwei Reflexe. Der erste ist, alle relevanten Unterlagen herauszugeben, getreu der Theorie: Gerichtsbeschluss ist Gerichtsbeschluss. Der zweite ist die strikte Verweigerung mit der Begründung, die DSGVO verbiete dies. Beide Reflexe sind falsch und beide sind teuer.

Die DSGVO verbietet die Übermittlung personenbezogener Daten in ein US-Verfahren nicht grundsätzlich. Sie knüpft diese Übermittlung jedoch an Bedingungen, und diese Bedingungen belohnen Parteien, die den Datenbestand eingrenzen, bevor er den Atlantik überquert, und nicht erst danach.

Dieser Beitrag befasst sich mit der tatsächlichen Funktionsweise von Artikel 48, der Ausnahme (Derogation), auf die sich Prozessparteien realistischerweise stützen können, der Frage, warum Datenminimierung der entscheidende Arbeitsschritt und keine reine Formsache ist, und wie dies so dokumentiert wird, dass es sowohl von einem US-Gericht als auch von einer europäischen Aufsichtsbehörde akzeptiert wird. Kurz gesagt: Das Datenvolumen, das Sie übermitteln, ist die Variable, die Sie selbst steuern können, und genau darauf achten beide Seiten.

Artikel 48 schränkt die Anerkennung ein, begründet aber kein Verbot

Artikel 48 besagt, dass ein Urteil eines Gerichts oder eine Entscheidung einer Verwaltungsbehörde eines Drittlands, die von einem Verantwortlichen die Übermittlung oder Offenlegung personenbezogener Daten verlangt, nur dann anerkannt oder vollstreckbar ist, wenn sie auf einer internationalen Übereinkunft wie einem Rechtshilfeabkommen beruht.

Lesen Sie das genau. Es handelt sich um eine Regelung über den Stellenwert der ausländischen Anordnung innerhalb der Rechtsordnung der Union. Es ist keine Regelung, die besagt, dass die Daten niemals übermittelt werden dürfen. Die Bestimmung gilt unbeschadet der übrigen Grundlagen für die Übermittlung in Kapitel V.

Der Europäische Datenschutzausschuss (EDSA) hat dies in seinen im Juni 2025 verabschiedeten Leitlinien 02/2024 zu Artikel 48 unmissverständlich klargestellt. Eine ausländische Anordnung ist an sich kein Übermittlungsinstrument. Wenn Sie eine Übermittlung beabsichtigen, benötigen Sie dennoch eine Rechtsgrundlage nach Artikel 6 und einen separaten Übermittlungsmechanismus nach Kapitel V. Die Anordnung liefert weder das eine noch das andere. Der Ausschuss erwartet zudem, dass die Anfrage und Ihre Begründung dokumentiert werden, unabhängig davon, ob Sie dem stattgeben oder die Anfrage ablehnen.

Die praktische Konsequenz ist, dass „ein US-Gericht hat uns dazu verpflichtet“ keine Antwort für eine europäische Aufsichtsbehörde ist, und „die DSGVO verbietet es“ keine Antwort für einen US-amerikanischen Richter. Sie benötigen eine eigene, fundierte Argumentation.

Die Ausnahme, auf die Sie sich stützen, ist enger gefasst als das Auskunftsersuchen

Die meisten Prozessparteien stützen sich auf Artikel 49 Absatz 1 Buchstabe e: die Übermittlung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich. Erwägungsgrund 111 bestätigt, dass dies auch die Offenlegung von Beweismitteln im Vorverfahren (Pre-Trial Discovery) in Zivilprozessen umfasst.

Damit sind zwei Einschränkungen verbunden. Die Übermittlung muss gelegentlich und sie muss notwendig sein. Der EDSA legt die Ausnahmen des Artikels 49 eng aus, nämlich als Ausnahmen und nicht als routinemäßigen Ersatz für einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

An der Notwendigkeit scheitern die meisten Datenherausgaben. Erforderlich ist ein enger und wesentlicher Zusammenhang zwischen den spezifischen Daten und dem konkreten Anspruch oder der Verteidigung. Eine Anfrage, die sich an bestimmten Personen (Custodians) und Datumsbereichen orientiert, stellt diesen Zusammenhang nicht für jedes darin enthaltene Dokument her. Die Erheblichkeit (Responsiveness) für ein US-Discovery-Verfahren und die Erforderlichkeit nach Artikel 49 Absatz 1 Buchstabe e sind unterschiedliche Prüfungsmaßstäbe, wobei der zweite strenger ist.

Diese Lücke ist kein Problem, das man einfach wegdiskutieren kann. Sie ist eine klare Vorgabe zur Eingrenzung des Umfangs.

Datenminimierung ist der eigentliche Arbeitsschritt, und er findet vor der Übermittlung statt

Wenn die Erforderlichkeit Dokument für Dokument geprüft wird, dann ist die vertretbare Datenherausgabe diejenige, bei der tatsächlich jemand die Dokumente geprüft hat. Drei Arbeitsschritte erledigen diese Aufgabe, und zwar in folgender Reihenfolge.

Die Aussortierung (Culling) entfernt alles, was nichts mit dem Fall zu tun hat. Nicht nur das, was außerhalb der Suchbegriffe liegt, sondern was außerhalb des eigentlichen Falls liegt. Das Postfach eines Mitarbeiters enthält Gehaltsabrechnungen, krankheitsbedingte Fehlzeiten, Familienkorrespondenz und Betriebsratsunterlagen, die kein Relevanzkriterium jemals erfassen sollte.

Pseudonymisierung und Schwärzung betreffen die verbleibenden Daten. Namen unbeteiligter Dritter, nationale Kennzeichnungen, Gesundheitsdaten und andere besondere Kategorien von Daten nach Artikel 9 können häufig entfernt werden, ohne den Beweiswert des Dokuments zu beeinträchtigen. Der Beweiswert eines E-Mail-Verlaufs über eine Vertragsverhandlung wird nicht dadurch gemindert, dass die private Wohnadresse eines unbeteiligten Mitarbeiters geschwärzt wird.

Die Überprüfung (Review) zeigt Ihnen, was was ist. Dies ist der Punkt, an dem ein KI-gestützter erster Durchgang seinen Wert beweist, denn die Alternative ist das lineare menschliche Lesen eines Datenbestands, dessen Übermittlung Sie noch gar nicht gerechtfertigt haben. Eine themenbezogene Überprüfung des gesamten Bestands, einschließlich eines separaten Durchgangs für personenbezogene Daten und Daten besonderer Kategorien, liefert die Relevanzentscheidung und das Protokoll zur Datenminimierung in einem einzigen Arbeitsgang. Claira führt dies innerhalb von Nuix Discover aus, und der Workflow zur Identifizierung personenbezogener Daten ist genau für diesen Zweck dokumentiert.

Die Formulierung ist entscheidend. Die KI-gestützte Überprüfung ist hier das Werkzeug zur Datenminimierung. Sie sorgt dafür, dass Sie weniger Daten übertragen, und nicht dafür, dass mehr Daten gefährdet werden.

Die Sedona-Prinzipien verlangen, dass Sie Ihre Arbeit nachweisen

Die Internationalen Prinzipien der Sedona Conference zu Discovery, Offenlegung und Datenschutz bieten US-Gerichten ein entsprechendes Vokabular. Prinzip 1 fordert Gerichte und Parteien auf, ausländisches Datenschutzrecht gebührend zu respektieren. Prinzip 2 besagt, dass bei Konflikten zwischen den beiden Rechtssystemen das Verhalten nach den Maßstäben von Treu und Glauben sowie Angemessenheit zu beurteilen ist. Prinzip 3 ist dasjenige, an dem man sich orientieren sollte: Ein Verantwortlicher, der mit Aufbewahrungs-, Offenlegungs- oder Discovery-Verpflichtungen konfrontiert ist, sollte darauf vorbereitet sein, nachzuweisen, dass den Datenschutzverpflichtungen Rechnung getragen und angemessene Garantien eingerichtet wurden.

„Darauf vorbereitet sein, nachzuweisen“ ist ein Beweismaßstab, keine bloße Absichtsbekundung. Gerichte, die die Abwägung der staatlichen Interessen (Comity Analysis) gemäß der Aérospatiale-Entscheidung durchführen, zeigen sich in der Regel unbeeindruckt von der unbewiesenen Behauptung, das europäische Recht mache eine Herausgabe unmöglich. Sie zeigten sich jedoch wesentlich empfänglicher für eine Partei, die mit einem eingegrenzten Datenbestand, einer dargelegten Methode und einer Begründung für die systematische Eingrenzung auftritt.

Guter Glaube lässt sich leichter mit einem Protokoll belegen als mit einem Brief.

Wo die Überprüfung stattfindet, ändert die Anforderungen an die Rechtfertigung

Es gibt einen Schritt vor der Frage der Übermittlung, der oft übersprungen wird. Die Überprüfung ist eine Verarbeitung, und die Verarbeitung ist nicht dasselbe Ereignis wie die Übermittlung. Wenn die Analyse, die Aussortierung und die Schwärzung auf einer Infrastruktur innerhalb der Union stattfinden, verlässt nur der minimierte Datenbestand die Union.

Das ändert den Umfang dessen, was Sie verteidigen müssen. Wir haben bereits früher über die Inlandshosting-Lösungen für deutsche und europäische Angelegenheiten geschrieben, und der Grund, warum dies hier von Bedeutung ist, liegt genau in dieser Reihenfolge. Minimieren Sie in der Region und übermitteln Sie dann den Rest.

Der umgekehrte Weg – der Export des gesamten Datenbestands auf eine US-Plattform und die dortige Filterung – bedeutet, dass die Übermittlung, die Sie nach Kapitel V rechtfertigen müssen, den gesamten Datenbestand betrifft und nicht nur den Teil, den Sie tatsächlich benötigt haben.

Wo man anfangen sollte

Drei Dinge, in dieser Reihenfolge.

Erstellen Sie eine einseitige Übermittlungsnotiz (Transfer Note), bevor Daten bewegt werden. Nennen Sie den Anspruch, die betroffenen Datenkategorien, die herangezogene Ausnahme und die angewandten Schritte zur Datenminimierung. Wenn Sie diese Seite nicht ausfüllen können, sind Sie noch nicht bereit für die Datenherausgabe.

Führen Sie den Minimierungsschritt als eigenständigen Arbeitsschritt mit eigenem Protokoll durch und nicht als Nebenprodukt der Relevanzprüfung. Die beiden Prüfungen sind unterschiedlich, und das Protokoll sollte zeigen, dass beide durchgeführt wurden.

Thematisieren Sie den Umfang frühzeitig mit der Gegenseite. Ein ausgehandeltes Protokoll, das europäische Vorgaben berücksichtigt, ist weitaus kostengünstiger als ein Antrag auf Erzwingung der Herausgabe (Motion to Compel), der entschieden wird, nachdem Sie die Herausgabe bereits verweigert haben.

Nichts davon bringt den Konflikt zum Verschwinden. Aber es macht ihn zu etwas, das Sie dokumentieren können – und das ist die einzige Form, in der eine Aufsichtsbehörde oder ein Gericht Ihnen dies anrechnen kann. Wenn Sie sehen möchten, wie eine Datenminimierung bei einem europäischen Datenbestand abläuft, bevor Daten eine Grenze überschreiten, buchen Sie einen kurzen Termin mit unserem Team.