DSGVO Datentransfer: Drittland und Standardvertragsklauseln

Ein Drittlandtransfer liegt vor, wenn personenbezogene Daten an einen Empfänger in einem Land außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden. Art. 44 DSGVO legt fest, dass solche Transfers nur unter bestimmten Bedingungen zulässig sind, etwa auf Basis eines Angemessenheitsbeschlusses, geeigneter Garantien wie Standardvertragsklauseln oder Ausnahmen nach Art. 49 DSGVO. Auch der reine Fernzugriff aus einem Drittland auf Daten im EWR gilt als Transfer. ADVISORI unterstützt Sie bei der Identifikation und rechtlichen Bewertung aller Drittlandtransfers in Ihrer Organisation.

Seit dem 27. Dezember 2022 gelten ausschließlich die neuen EU-Standardvertragsklauseln der Europäischen Kommission vom Juni 2021. Diese decken vier Module ab: Controller-to-Controller (Modul 1), Controller-to-Processor (Modul 2), Processor-to-Processor (Modul 3) und Processor-to-Controller (Modul 4). Für jeden SCC-basierten Transfer ist zusätzlich ein Transfer Impact Assessment (TIA) erforderlich. ADVISORI hilft Ihnen bei der Modulauswahl, Vertragsanpassung und Durchführung der TIA.

Das Schrems-II-Urteil des EuGH vom Juli 2020 erklärte das EU-US Privacy Shield für ungültig und verschärfte die Anforderungen an alle Transferinstrumente. Unternehmen müssen seither für jeden Drittlandtransfer individuell prüfen, ob das Datenschutzniveau im Zielland im Wesentlichen gleichwertig zum EU-Niveau ist. Standardvertragsklauseln allein reichen nicht aus, es sind ergänzende technische und organisatorische Maßnahmen (Supplementary Measures) erforderlich, wenn das Zielland kein angemessenes Schutzniveau bietet. ADVISORI bewertet Ihre Transfers nach den Schrems-II-Kriterien und empfiehlt passende Zusatzmaßnahmen.

Ein Transfer Impact Assessment (TIA) ist die vorgeschriebene Risikobewertung für jeden Datentransfer auf Basis von Standardvertragsklauseln oder Binding Corporate Rules. Dabei wird geprüft, ob die Rechtsordnung des Ziellandes den Schutz der übermittelten Daten beeinträchtigen kann, insbesondere durch Zugriffsbefugnisse staatlicher Behörden. Die Bewertung umfasst die Analyse der lokalen Gesetzgebung, die Praxis staatlicher Zugriffe und die Wirksamkeit der vereinbarten Schutzmaßnahmen. ADVISORI führt TIAs systematisch durch und dokumentiert die Ergebnisse prüfungssicher.

Das EU-US Data Privacy Framework (DPF) ist der im Juli 2023 von der EU-Kommission verabschiedete Angemessenheitsbeschluss für die USA. Er erlaubt Datentransfers an US-Unternehmen, die sich beim US Department of Commerce zertifiziert haben, ohne zusätzliche Garantien wie SCC. Die Zertifizierung wird über die DPF-Liste geprüft. Wichtig: Der Beschluss gilt nur für zertifizierte Unternehmen, für nicht zertifizierte US-Empfänger sind weiterhin SCC und TIA erforderlich. ADVISORI prüft die Zertifizierung Ihrer US-Partner und berät zur optimalen Transferstrategie.

Art. 46 und 49 DSGVO sehen verschiedene Transfermechanismen vor: Angemessenheitsbeschlüsse der EU-Kommission (Art. 45), Standardvertragsklauseln (Art. 46 Abs. 2 lit. c), Binding Corporate Rules für Konzerne (Art. 47), genehmigte Verhaltensregeln (Art. 46 Abs. 2 lit. e) und Zertifizierungen (Art. 46 Abs. 2 lit. f). Für Einzelfälle gelten Ausnahmen nach Art. 49 DSGVO, etwa bei ausdrücklicher Einwilligung oder Vertragserfüllung. ADVISORI bewertet, welcher Mechanismus für Ihre spezifischen Transfers am besten geeignet ist.

ADVISORI begleitet Sie beim Aufbau eines strukturierten Drittlandtransfer-Managements: Wir beginnen mit einer Bestandsaufnahme aller internationalen Datenflüsse, bewerten die Rechtsgrundlagen und führen Transfer Impact Assessments durch. Anschließend implementieren wir geeignete Transfermechanismen, schulen Ihre Mitarbeiter und richten ein laufendes Monitoring ein, damit Sie auf regulatorische Änderungen, wie neue Angemessenheitsbeschlüsse oder Gerichtsurteile, zeitnah reagieren können.