Die Angemessenheit setzt nicht voraus, dass das Datenschutzniveau des Drittlands mit dem der EU identisch ist, sondern beruht auf dem Kriterium der „wesentlichen Gleichwertigkeit“. Dies beinhaltet eine umfassende Bewertung der Rechtslage eines Landes, sowohl in Bezug auf den Schutz personenbezogener Daten als auch in Bezug auf die verfügbaren Aufsichts- und Rechtsbehelfsmechanismen.
Die DSGVO sieht in Art. 45 verschiedene Kriterien vor, die bei dieser Bewertung berücksichtigt werden müssen, wie z. B. das Vorhandensein grundlegender Datenschutzprinzipien, individueller Rechte, einer unabhängigen Aufsicht und wirksamer Rechtsbehelfe.