Warum der internationale Datentransfer rechtssicher gestaltet werden sollte
In diesem Beitrag erfahren Sie, wie das Transfer Impact Assessment (TIA) den internationalen Datentransfer in Ihrem Unternehmen absichern kann und wie Datenübermittlungen in Drittländer rechtssicher gestaltet werden.
Wie kann der internationale Datentransfer abgesichert werden?
Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union ist nur unter strengen Voraussetzungen zulässig. Datenübermittlungen in sogenannte Drittländer wie beispielsweise Indien oder China, für die kein vergleichbares Datenschutzniveau besteht, müssen insbesondere seit der Schrems‑II‑Entscheidung des Europäischen Gerichtshofs aus dem Jahr 2020 erhöhte Anforderungen erfüllen, um als DSGVO‑konform zu gelten.
Wir haben bereits in früheren Beiträgen über die hierfür häufig erforderlichen Standardvertragsklauseln (SCC) sowie über den Ablauf der damaligen Übergangsfristen berichtet.
Klausel 14 der neuen Standardvertragsklauseln sieht vor, dass bei Datenübermittlungen in außereuropäische Drittländer künftig ein sogenanntes Transfer Impact Assessment (TIA) durchgeführt werden muss. Im Rahmen des TIA ist jeder Datenexporteur verpflichtet, das Datenschutzniveau im Empfängerland sowie insbesondere das Risiko eines Zugriffs öffentlicher Behörden auf die übermittelten Daten zu bewerten.
Was ist das Transfer Impact Assessment (TIA)?
Das Transfer Impact Assessment dient der Analyse des Datenschutzniveaus im jeweiligen Drittland, in das Sie als Verantwortlicher und Datenexporteur personenbezogene Daten übermitteln möchten. Bewertet werden dabei insbesondere die im Importland geltenden Rechtsvorschriften und tatsächlichen Gepflogenheiten im Hinblick auf mögliche Offenlegungspflichten des Datenimporteurs gegenüber staatlichen Stellen.
Ein niedriges Datenschutzniveau liegt beispielsweise dann vor, wenn öffentliche Behörden im Drittland jederzeit Zugriff auf die exportierten Daten erhalten können und der Datenimporteur einer unumgehbaren Offenlegungspflicht unterliegt.
Zusätzliche Schutzmaßnahmen als Ergebnis des TIA
Ergibt das Transfer Impact Assessment ein unzureichendes Datenschutzniveau, müssen geeignete zusätzliche Sicherheitsmaßnahmen identifiziert werden, um dieses Defizit auszugleichen. Der Datenimporteur muss in diesem Fall zusichern, dass anderweitig ein angemessener Schutz der übermittelten Daten gewährleistet wird, der dem Schutzstandard der europäischen DSGVO möglichst nahekommt.
Die Eintrittswahrscheinlichkeit eines behördlichen Zugriffs ist unter Berücksichtigung der konkreten Umstände des Datentransfers zu beurteilen. Maßgebliche Faktoren sind unter anderem die nationalen Gesetze im Empfängerland, die Tätigkeit der Beteiligten sowie die vor Ort umgesetzten Sicherheitsmaßnahmen. Auch die Art des Transfers kann relevant sein – etwa ob Daten digital oder in Papierform übermittelt werden oder ob es sich beim Datenimporteur um einen Anbieter elektronischer Kommunikationsdienste oder einen Softwarehersteller handelt.
Zur Veranschaulichung solcher Bewertungen stellt die International Association of Privacy Professionals (IAPP) entsprechende Musterdokumente zur Verfügung, anhand derer sich das Ergebnis einer TIA‑Bewertung nachvollziehen lässt.
Wer ist betroffen?
Betroffen sind alle Unternehmen, die eigenständig oder durch externe Dienstleister wie Hosting‑Anbieter oder SaaS‑Dienste Kunden‑, Nutzer‑ oder Beschäftigtendaten in Drittländer übermitteln. Drittländer im Sinne der DSGVO sind beispielsweise China, Mexiko, Bangladesch, die Philippinen oder Brasilien.
Was können Sie tun?
Wenn Sie personenbezogene Daten in Drittländer übermitteln, sollten Sie zunächst prüfen, ob die grundlegenden Voraussetzungen erfüllt sind. Dazu gehören etwa wirksame Auftragsverarbeitungsverträge sowie der Einsatz des jeweils passenden Moduls der Standardvertragsklauseln.
Darüber hinaus empfiehlt es sich, bestehende internationale Datenflüsse transparent zu dokumentieren und regelmäßig zu überprüfen. Langfristig kann es sinnvoll sein, zu prüfen, ob auf Subunternehmer in Drittländern verzichtet werden kann und stattdessen Dienstleister aus Ländern mit Angemessenheitsbeschluss oder aus dem Europäischen Wirtschaftsraum eingesetzt werden. Dies reduziert den datenschutzrechtlichen Dokumentations‑ und Prüfaufwand erheblich.
Sofern für eine Datenübermittlung kein Angemessenheitsbeschluss oder keine anderweitigen geeigneten Garantien im Sinne der Art. 46 ff. DSGVO vorliegen, ist zwingend ein entsprechendes Transfer Impact Assessment durchzuführen. Unterstützung bei der konzeptionellen und praktischen Umsetzung internationaler Datenschutzanforderungen bieten unsere Compliance‑ & Datenschutz‑Lösungen für Unternehmen.
Schulung und Sensibilisierung im Unternehmen
Da internationale Datenübermittlungen häufig mehrere Abteilungen betreffen, ist es entscheidend, Verantwortliche und Mitarbeitende frühzeitig einzubinden. Ein gemeinsames Verständnis für die Anforderungen an TIAs, SCC und internationale Datentransfers hilft, Fehler zu vermeiden und datenschutzkonforme Prozesse nachhaltig im Unternehmen zu verankern.
Dabei unterstützen Datenschutz‑ & Compliance‑Schulungen für Mitarbeitende.
Haben Sie Fragen zu Datenübermittlungen in Drittländer, Transfer Impact Assessments, Datenschutz, DSGVO oder Compliance‑Pflichten in Ihrem Unternehmen? Wir unterstützen Unternehmen mit praxisnaher Beratung, strukturierten Lösungen und klarer Orientierung. Nehmen Sie gerne unverbindlich Kontakt mit uns auf.