Datenübermittlung in Drittländer
Eine Übermittlung in ein Drittland braucht zwei Dinge: eine Rechtsgrundlage für die Verarbeitung und zusätzlich ein Transferinstrument nach Kapitel V der DSGVO. Das eine ersetzt das andere nicht.
Ein verbreiteter Fehler liegt vor der Wahl des Instruments. Ein Transfer wird gar nicht erst als solcher erkannt, weil die Server in Europa stehen und der Zugriff aus dem Drittland im Vertrag nur eine Nebenzeile ist.
Zwei Ebenen, die beide zu klären sind
Rechtsgrundlage
- Richtet sich nach Art. 6 und gegebenenfalls Art. 9 DSGVO
- Beantwortet, ob die Verarbeitung überhaupt zulässig ist
- Gilt unabhängig davon, wo verarbeitet wird
- Ohne Rechtsgrundlage bleibt auch ein zulässiges Transferinstrument ohne Wirkung
Transferinstrument
- Angemessenheitsbeschluss, Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften
- Beantwortet, ob die Daten das Schutzniveau mitnehmen
- Bei Standardvertragsklauseln kommt die Prüfung des Ziellandes hinzu
- Ergibt die Prüfung Lücken, sind ergänzende Maßnahmen nötig
So gehen wir vor
Schritt 1: Transfers finden
Wir gehen die Dienstleisterkette durch, einschließlich Support, Fernwartung und Unterauftragsverarbeitern. Der Serverstandort allein sagt wenig.
Schritt 2: Instrument wählen
Angemessenheitsbeschluss, wo er greift, sonst Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften im Konzern.
Schritt 3: Zielland prüfen
Erlaubt das dortige Recht das versprochene Schutzniveau? Diese Prüfung ist zu dokumentieren, auch wenn sie zu einem unproblematischen Ergebnis kommt.
Schritt 4: Ergänzende Maßnahmen
Wo Lücken bleiben, kommen technische und organisatorische Maßnahmen hinzu, etwa Verschlüsselung mit Schlüsselhoheit in Europa oder Pseudonymisierung vor der Übermittlung.
Wie wir unterstützen
Wir erheben die Transfers, wählen das Instrument, führen die Prüfung des Ziellandes und verhandeln die vertraglichen Zusagen mit dem Anbieter. Wo ein Angemessenheitsbeschluss trägt, sagen wir auch, was zu tun wäre, wenn er wegfiele.
Dienstleister mit Zugriff aus dem Ausland?
Wir prüfen, ob der Transfer erkannt und abgesichert ist.
Kontakt aufnehmenHäufige Fragen
Wann liegt überhaupt eine Übermittlung vor?
Nicht erst, wenn Daten körperlich das Land verlassen. Es genügt, wenn von einem Drittland aus zugegriffen werden kann, etwa im Support oder in der Fernwartung. Genau diese Zugriffsmöglichkeit wird in Verträgen oft übersehen, weil die Server in Europa stehen.
Reichen Standardvertragsklauseln aus?
Sie sind das Instrument, nicht die Antwort. Nach der Rechtsprechung des EuGH ist zusätzlich zu prüfen, ob das Recht des Ziellandes das durch die Klauseln versprochene Schutzniveau tatsächlich zulässt. Ergibt die Prüfung Lücken, sind ergänzende Maßnahmen nötig, etwa Verschlüsselung mit Schlüsselhoheit in Europa.
Wie steht es mit Anbietern aus den USA?
Für Anbieter, die unter einem geltenden Angemessenheitsbeschluss zertifiziert sind, entfällt das Erfordernis eines gesonderten Instruments. Zu prüfen bleibt, ob die Zertifizierung den konkreten Dienst erfasst und noch besteht. Angemessenheitsbeschlüsse sind in der Vergangenheit wiederholt aufgehoben worden, deshalb gehört ein Ausweichszenario in die Planung.