Forschungsdaten zu neuen Wirkstoffverbindungen, Produktionsprotokolle mit Gesundheitsdaten der Belegschaft, Lieferantenverträge mit umfangreichen Kontaktdaten – ein mittelständisches Unternehmen der Chemie- oder Pharmaindustrie verarbeitet täglich Daten, bei denen ein einziger Compliance-Fehler eine behördliche Untersuchung auslösen kann. Die Aufsichtsbehörden haben ihre Prüftätigkeit in dieser Branche spürbar intensiviert.
DSGVO-Compliance für Unternehmen der Chemie- und Pharmaindustrie erfordert einen systematischen Ansatz: Verarbeitungstätigkeiten vollständig erfassen, geeignete Rechtsgrundlagen sichern, Auftragsverarbeitungsverträge rechtskonform gestalten und die Meldepflichten bei Datenpannen einhalten. Verstöße können Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes nach sich ziehen – und persönliche Haftungsrisiken für die Geschäftsführung begründen. Dieser Praxisleitfaden führt Schritt für Schritt durch die datenschutzrechtlichen Kernpflichten.
Im Folgenden erläutern wir die sieben wesentlichen Handlungsschritte, erklären branchenspezifische Besonderheiten und zeigen, welche Maßnahmen Sie als Geschäftsführer im Mittelstand jetzt ergreifen sollten.
Schritt 1: Warum ist DSGVO-Compliance für Unternehmen in der Chemie- und Pharmaindustrie besonders komplex?
Unternehmen der Chemie- und Pharmaindustrie verarbeiten im Regelfall mehrere Kategorien besonders sensibler Daten gleichzeitig: Gesundheitsdaten der Beschäftigten in der Betriebsmedizin, Forschungsdaten mit Personenbezug aus klinischen Studien sowie umfangreiche Lieferanten- und Kundendaten in länderübergreifenden Lieferketten. Diese Datenkategorien unterliegen nach Art. 9 DSGVO einem erhöhten Schutzniveau – ihre Verarbeitung ist grundsätzlich untersagt, es sei denn, einer der abschließend geregelten Erlaubnistatbestände greift.
Was bedeutet das in der Praxis? Der Betrieb einer Betriebsarztpraxis oder die Durchführung von Pflichtuntersuchungen nach dem Arbeitssicherheitsgesetz fällt unter die Verarbeitung von Gesundheitsdaten und bedarf neben der DSGVO-Rechtsgrundlage oft einer gesonderten Legitimation im nationalen Recht – in Deutschland insbesondere nach dem BDSG. Klinische Prüfungen oder experimentelle Studien wiederum unterliegen zusätzlich dem Arzneimittelgesetz und der EU-Verordnung über klinische Prüfungen, was zu einem Geflecht sich überlagernder Normen führt.
In der Mandatspraxis sehen wir regelmäßig, dass mittelständische Pharmaunternehmen den Aufwand für ein vollständiges Verzeichnis von Verarbeitungstätigkeiten zunächst unterschätzen – und erst im Rahmen einer Behördenanfrage feststellen, dass wesentliche Prozesse nicht dokumentiert sind. Genau hier setzt ein wirkungsvolles Compliance-System an.
Hinzu kommt die internationale Dimension: Chemieunternehmen mit Produktionsstandorten in mehreren EU-Mitgliedstaaten oder mit Drittlandsbezug nach Asien oder in die USA müssen die Anforderungen an Drittlandstransfers nach Kapitel V DSGVO sorgfältig prüfen. Fehlt eine gültige Transfergrundlage, droht ein Verstoß, der Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes auslösen kann (Art. 83 Abs. 5 DSGVO).
Schritt 2: Verzeichnis von Verarbeitungstätigkeiten – Grundlage jeder DSGVO-Compliance
Das Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist das Fundament jeder datenschutzrechtlichen Compliance-Struktur. Ohne ein aktuelles, vollständiges VVT ist weder eine belastbare Risikoanalyse noch eine Datenschutz-Folgenabschätzung möglich – und eine Datenpanne lässt sich nicht fristgerecht melden.
Für Unternehmen der Chemie- und Pharmaindustrie bedeutet dies konkret: Jeder Prozess, der personenbezogene Daten berührt, muss erfasst sein. Dazu gehören neben den offensichtlichen HR-Prozessen und der Kundenverwaltung auch Laborinformationsmanagementsysteme (LIMS), Enterprise-Resource-Planning-Systeme mit Lieferantendaten, Videoüberwachung in Produktionsbereichen sowie Cloud-basierte Forschungsplattformen. Art. 30 DSGVO verpflichtet Verantwortliche grundsätzlich ab einer Unternehmensgröße von 250 Mitarbeitern zur schriftlichen Führung eines VVT – bei der Verarbeitung sensibler Datenkategorien gilt diese Pflicht unabhängig von der Mitarbeiterzahl.
Die Praxis zeigt: Ein VVT ist kein einmaliges Projekt, sondern ein lebendiges Dokument. Jede Einführung neuer Software, jede Änderung im Produktionsprozess und jede neue Auftragsverarbeitungsbeziehung muss zeitnah nachgepflegt werden. Wir empfehlen, die Pflege des VVT organisatorisch demjenigen Fachbereich zuzuweisen, der für den jeweiligen Prozess operativ verantwortlich ist – unter Koordination des Datenschutzbeauftragten.
Schritt 3: Rechtsgrundlagen sichern – welche Erlaubnistatbestände gelten in der Praxis?
Jede Verarbeitung personenbezogener Daten setzt eine taugliche Rechtsgrundlage nach Art. 6 DSGVO voraus. In der Chemie- und Pharmaindustrie kommen typischerweise drei Grundlagen zum Einsatz, die genau gegeneinander abzugrenzen sind.
Erstens die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO: Diese Grundlage trägt die Verarbeitung von Kontakt- und Bestelldaten im Rahmen von Einkaufs- und Lieferverträgen – nicht jedoch die anlasslose Auswertung von Mitarbeiterdaten zu Produktivitätszwecken. Zweitens die Erfüllung rechtlicher Verpflichtungen nach Art. 6 Abs. 1 lit. c DSGVO: Sie legitimiert Verarbeitungen, die das Arbeitssicherheitsgesetz, das Bundesimmissionsschutzgesetz oder berufsrechtliche Dokumentationspflichten erfordern. Drittens das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO: Es kann betriebliche Sicherheitsmaßnahmen wie Zutrittskontrollsysteme oder Werkschutzmaßnahmen tragen – vorausgesetzt, eine Interessenabwägung fällt zugunsten des Unternehmens aus.
Warum ist die Wahl der Rechtsgrundlage keine Formalie? Weil Betroffenenrechte – Löschung, Einschränkung, Widerspruch – entscheidend davon abhängen, auf welchen Erlaubnistatbestand sich das Unternehmen stützt. Ein Unternehmen, das Mitarbeiterdaten fälschlicherweise auf Einwilligung stützt, muss diese bei Widerruf sofort beenden – selbst wenn der Betrieb dadurch beeinträchtigt wird. In der Mandatspraxis erleben wir häufig, dass diese Rechtsgrundlagen-Wahl in den Datenschutzhinweisen und in der internen Dokumentation auseinanderfallen – ein Zustand, der bei einer Behördenprüfung sofort auffällt.
Für Gesundheitsdaten nach Art. 9 DSGVO genügen die Grundtatbestände des Art. 6 DSGVO allein nicht; es bedarf stets eines zusätzlichen Erlaubnistatbestands aus Art. 9 Abs. 2 DSGVO sowie – sofern das nationale Recht dies verlangt – einer Regelung im BDSG. § 26 BDSG erlaubt die Verarbeitung von Gesundheitsdaten im Beschäftigungsverhältnis nur, wenn sie zur Durchführung des Beschäftigungsverhältnisses erforderlich ist – ein enger Maßstab, der betriebsärztliche und sicherheitsrelevante Verarbeitungen einschließt, darüber hinaus aber streng geprüft werden muss.
Schritt 4: Auftragsverarbeitungsverträge – Pflicht und häufige Fehlerquellen
Chemie- und Pharmaunternehmen greifen in großem Umfang auf externe Dienstleister zurück: Cloud-Anbieter für Forschungsdaten, CROs (Contract Research Organizations, Auftragsforschungsorganisationen) für klinische Studien, IT-Dienstleister für ERP-Systeme und Lohnbuchhaltungsanbieter für Personalabrechnung. Jede dieser Beziehungen, bei der ein Dienstleister weisungsgebunden personenbezogene Daten im Auftrag verarbeitet, erfordert einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
Ein fehlender AVV ist kein Bagatellverstoß. Er bedeutet, dass der Dienstleister rechtlich als eigenverantwortlicher Dritter gilt – mit der Folge, dass jede Datenweitergabe an ihn ohne eigenständige Rechtsgrundlage unzulässig ist. In der Behördenpraxis führt dies regelmäßig zu empfindlichen Bußgeldern.
Nach unserer Erfahrung enthält ein hoher Anteil der in der Chemie- und Pharmaindustrie verwendeten AVV wesentliche Mängel: fehlende oder unzureichende Regelungen zu Subauftragsverarbeitern, unklare Weisungsrechte, keine Regelung zur Rückgabe oder Löschung von Daten nach Vertragsende sowie unvollständige Angaben zu technischen und organisatorischen Maßnahmen (TOM). Gerade bei international agierenden CROs finden sich häufig AVV nach US-amerikanischem Recht, die den Anforderungen der DSGVO nicht standhalten.
Besonders relevant ist die Frage der Subauftragsverarbeitung: Setzt der Dienstleister seinerseits Unterauftragnehmer ein – was bei Cloud-Diensten und CROs regelmäßig der Fall ist –, bedarf auch diese Kette einer vollständigen AVV-Kette. Art. 28 Abs. 4 DSGVO schreibt vor, dass dem Subauftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden müssen wie dem Hauptauftragsverarbeiter.
Schritt 5: Datenschutz-Folgenabschätzung – wann ist sie in der Chemie- und Pharmaindustrie Pflicht?
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist für Verarbeitungsvorgänge durchzuführen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen. In der Chemie- und Pharmaindustrie sind dies typischerweise: die systematische und umfangreiche Verarbeitung von Gesundheitsdaten im Rahmen klinischer Studien, die großflächige Videoüberwachung in Produktionsbereichen sowie der Einsatz von KI-gestützten Systemen zur Analyse von Beschäftigtendaten.
Die deutschen Datenschutzbehörden haben in einer gemeinsamen Liste festgelegt, welche Verarbeitungstypen stets einer DSFA bedürfen. Für Pharmaunternehmen ist dabei insbesondere der Einsatz von Systemen zur Verarbeitung genetischer oder biometrischer Daten im großen Umfang relevant.
Was ist bei der Durchführung einer DSFA zu beachten? Die DSFA ist kein einmaliges Formular, sondern ein strukturierter Prozess: Beschreibung der Verarbeitung, Bewertung der Notwendigkeit und Verhältnismäßigkeit, Einschätzung der Risiken und Beschreibung der Maßnahmen zur Risikominderung. Ergibt die DSFA, dass das verbleibende Risiko trotz aller Maßnahmen hoch ist, muss gemäß Art. 36 DSGVO eine vorherige Konsultation der Datenschutzbehörde erfolgen. Die Nichtdurchführung einer erforderlichen DSFA stellt selbst einen bußgeldfähigen Verstoß dar – nach Art. 83 Abs. 4 DSGVO bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
In der Mandatspraxis empfehlen wir, die DSFA-Pflicht als festen Bestandteil des Projektfreigabeprozesses zu verankern: Jedes neue IT-Projekt und jede neue Verarbeitungsform wird zunächst auf DSFA-Pflicht geprüft, bevor die Implementierung beginnt.
Schritt 6: Meldepflichten bei Datenpannen – 72-Stunden-Frist als harte Grenze
Eine Datenpanne – also eine Verletzung der Sicherheit personenbezogener Daten – muss nach Art. 33 DSGVO binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzbehörde gemeldet werden. Diese Frist beginnt nicht erst, wenn die vollständige Analyse abgeschlossen ist, sondern sobald dem Unternehmen bekannt ist, dass eine Verletzung eingetreten ist. Bereits eine wahrscheinliche, nicht abschließend geklärte Verletzung löst die Meldepflicht aus – sofern voraussichtlich ein Risiko für betroffene Personen besteht.
Chemie- und Pharmaunternehmen sind wegen ihrer Datenarten besonders exponiert. Ein Ransomware-Angriff auf ein Forschungsnetzwerk, ein gestohlener Laptop eines Außendienstmitarbeiters mit Patientendaten aus einer klinischen Studie oder ein Fehlversand von Laborberichten – all das kann meldepflichtige Datenpannen auslösen. Bei besonders sensiblen Datenkategorien nach Art. 9 DSGVO ist zusätzlich eine Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO zu prüfen.
Was läuft in der Praxis schief? Nach unserer Erfahrung fehlt es häufig an einem internen Eskalationsprozess: Mitarbeiter erkennen einen Vorfall, melden ihn aber intern zu spät – oder die Meldekette ist unklar, sodass die 72-Stunden-Frist ungenutzt verstreicht. Wir empfehlen daher dringend, einen dokumentierten Incident-Response-Prozess mit klaren Zuständigkeiten, Meldeformularen und einem internen Frühwarnsystem einzurichten. Der Datenschutzbeauftragte muss in diesen Prozess von Anfang an eingebunden sein.
Wird die 72-Stunden-Frist versäumt oder eine meldepflichtige Panne gar nicht gemeldet, riskiert das Unternehmen Bußgelder und – bei medialer Aufmerksamkeit – erhebliche Reputationsschäden. Die Meldepflicht besteht auch dann, wenn die Datenpanne letztlich folgenlos geblieben ist – maßgeblich ist die ex-ante-Risikoeinschätzung zum Zeitpunkt des Bekanntwerdens.
Schritt 7: Drittlandstransfers – besondere Herausforderungen für die Chemieindustrie
Globale Lieferketten, internationale Forschungskooperationen und weltweit tätige Konzernstrukturen machen Drittlandstransfers in der Chemie- und Pharmaindustrie zum Alltag. Die DSGVO erlaubt die Übermittlung personenbezogener Daten in Länder außerhalb der EU und des EWR nur unter strengen Voraussetzungen.
Für Länder ohne Angemessenheitsbeschluss der EU-Kommission – etwa für die USA nach dem Urteil des EuGH im Fall Schrems II – sind Standardvertragsklauseln (SCC, Standarddatenschutzklauseln) das gebräuchlichste Instrument. Seit der Überarbeitung der SCC durch die EU-Kommission im Jahr 2021 müssen Unternehmen zusätzlich ein Transfer Impact Assessment (TIA, Übertragungsfolgenabschätzung) durchführen: eine Prüfung, ob das Rechtssystem des Empfängerlandes den Datenschutzstandards der EU tatsächlich genügt.
In der Mandatspraxis sehen wir, dass insbesondere bei der Nutzung US-amerikanischer Cloud-Dienste und bei der Zusammenarbeit mit Auftragsforschungsorganisationen in Asien die TIA-Dokumentation fehlt oder unzureichend ist. Aufsichtsbehörden prüfen dies gezielt. Unternehmen, die sich auf den EU-US Data Privacy Framework stützen, sollten seine Gültigkeit und die Zertifizierung ihrer Partner regelmäßig überprüfen – die Rechtsprechungshistorie zeigt, dass solche Abkommen politischen und juristischen Risiken ausgesetzt sind.
Für innerbetriebliche Datentransfers innerhalb eines Konzerns – etwa an die Konzernmutter in den USA oder an ein Tochterunternehmen in China – sind Binding Corporate Rules (BCR, verbindliche interne Datenschutzvorschriften) eine Alternative, die jedoch eines aufwändigen Genehmigungsverfahrens bedürfen und für mittelständische Unternehmen in der Regel nur bei erheblichem Volumen sinnvoll sind.
Fallbeispiel aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Pharmaunternehmen mit rund 400 Beschäftigten aus der Wirkstoffforschung. Ausgangslage: Das Unternehmen hatte eine klinische Studie mit einer US-amerikanischen CRO begonnen, ohne einen den DSGVO-Anforderungen entsprechenden AVV zu schließen. Zusätzlich fehlte das TIA für den Datentransfer in die USA. Als die Datenschutzbehörde im Rahmen einer Routineprüfung Nachweise anforderte, konnte das Unternehmen weder einen konformen AVV noch ein TIA vorlegen. Vorgehen: BRANDT & FALK erstellte zunächst ein vollständiges Verzeichnis der Verarbeitungstätigkeiten für alle Studienprozesse, verhandelte einen DSGVO-konformen AVV mit der CRO einschließlich einer vollständigen Subauftragsverarbeiterkette und erstellte ein detailliertes TIA. Parallel wurde ein interner Datenpannen-Eskalationsprozess eingeführt. Ergebnis: Das Unternehmen konnte gegenüber der Behörde eine vollständige und aktuelle Compliance-Dokumentation vorlegen und das Verfahren ohne Bußgeldentscheidung abschließen.
Schritt 8: Datenschutzbeauftragter – Pflicht, Auswahl und organisatorische Einbindung
Die Benennung eines Datenschutzbeauftragten (DSB) ist nach Art. 37 DSGVO in Verbindung mit § 38 BDSG für Unternehmen verpflichtend, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen – eine Schwelle, die in der Chemie- und Pharmaindustrie nahezu ausnahmslos überschritten wird. Unabhängig davon ist ein DSB immer dann zu benennen, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht, was für Pharma- und Forschungsunternehmen typischerweise zutrifft.
Welche Anforderungen muss ein DSB erfüllen? Er muss über Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis verfügen. Die Funktion kann intern besetzt oder an externe Fachleute vergeben werden – letzteres bietet den Vorteil spezialisierter Expertise und größerer Unabhängigkeit, ist aber organisatorisch sorgfältig einzubetten.
Nach unserer Erfahrung scheitert die praktische Wirksamkeit eines DSB häufig nicht an rechtlichem Fachwissen, sondern an fehlender organisatorischer Einbindung: Der DSB wird zu spät einbezogen – erst wenn ein Projekt bereits in der Umsetzungsphase ist –, verfügt über keine direkte Berichtslinie zur Geschäftsführung und hat keinen Zugang zu den relevanten IT-Systemen. Art. 38 DSGVO schreibt ausdrücklich vor, dass der DSB bei allen einschlägigen Fragen frühzeitig einzubinden ist und dass die Geschäftsleitung ihn bei der Erfüllung seiner Aufgaben unterstützt. Diese Anforderung ist nicht nur rechtlich geboten, sondern in der Praxis entscheidend für die Effektivität des Compliance-Systems.
Die Kontaktdaten des DSB müssen der zuständigen Datenschutzbehörde gemeldet und auf der Unternehmenswebsite veröffentlicht werden (Art. 37 Abs. 7 DSGVO) – ein häufig übersehenes Detail, das Behörden bei Routineprüfungen als erstes kontrollieren.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance in der Chemie- und Pharmaindustrie. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Verarbeitungstätigkeiten, bestehender Vertragswerke und der einschlägigen Rechtsprechung Ihrer zuständigen Aufsichtsbehörde.
Für eine erste Durchsicht Ihrer Unterlagen – bestehender AVV, DSFA-Dokumentation, Verzeichnis der Verarbeitungstätigkeiten – sowie zur Bewertung Ihrer aktuellen Compliance-Lage erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance in der Chemie- und Pharmaindustrie
Wann ist in der Pharmaindustrie eine Datenschutz-Folgenabschätzung zwingend erforderlich?
Eine DSFA nach Art. 35 DSGVO ist immer dann Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für betroffene Personen mit sich bringt. In der Pharmaindustrie betrifft das regelmäßig klinische Studien mit Gesundheitsdaten, den Einsatz von Systemen zur Verarbeitung genetischer Daten im großen Umfang sowie die Videoüberwachung in Produktionsbereichen. Die deutschen Datenschutzbehörden haben in einer gemeinsamen Positivliste konkrete Verarbeitungstypen benannt, die stets einer DSFA bedürfen. Die Nichtdurchführung ist selbst bußgeldfähig.
Müssen Chemieunternehmen für alle Cloud-Dienste einen AVV abschließen?
Ja – sofern der Cloud-Anbieter personenbezogene Daten weisungsgebunden im Auftrag verarbeitet, ist ein AVV nach Art. 28 DSGVO zwingend. Das gilt für HR-Systeme, ERP-Lösungen, Forschungsplattformen und Kommunikationsdienste gleichermaßen. Fehlt der AVV, gilt der Anbieter als eigenverantwortlicher Dritter, was die Datenweitergabe ohne eigenständige Rechtsgrundlage unzulässig macht. Besonderes Augenmerk gilt der Subauftragsverarbeiterkette und der Regelung zur Datenlöschung nach Vertragsende.
Was gilt bei einem Ransomware-Angriff auf Forschungsdaten – muss sofort gemeldet werden?
Wird beim Ransomware-Angriff der Zugriff auf personenbezogene Daten auch nur möglicherweise kompromittiert, beginnt die 72-Stunden-Meldepflicht nach Art. 33 DSGVO ab dem Zeitpunkt, zu dem dem Unternehmen die Verletzung bekannt ist. Eine vollständige forensische Analyse ist nicht abzuwarten. Enthält der betroffene Datenbestand Gesundheitsdaten oder Forschungsdaten mit Personenbezug, ist zudem die Pflicht zur Benachrichtigung betroffener Personen nach Art. 34 DSGVO zu prüfen. Ein dokumentierter Incident-Response-Prozess ist daher keine Kür, sondern Pflicht.
Ab wie vielen Mitarbeitern muss ein Datenschutzbeauftragter benannt werden?
Nach § 38 BDSG in Verbindung mit Art. 37 DSGVO ist ein DSB zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für Chemie- und Pharmaunternehmen, deren Kerntätigkeit die umfangreiche Verarbeitung von Gesundheits- oder Forschungsdaten einschließt, besteht die Pflicht unabhängig von dieser Schwelle. Die Kontaktdaten des DSB sind der Aufsichtsbehörde zu melden und auf der Unternehmenswebsite zu veröffentlichen.
Welche Rechtsgrundlage trägt die Verarbeitung von Gesundheitsdaten der Beschäftigten?
Gesundheitsdaten der Beschäftigten dürfen nach Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG verarbeitet werden, soweit dies zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist – etwa für Pflichtuntersuchungen nach dem Arbeitssicherheitsgesetz. Eine Einwilligung ist nur in engen Grenzen taugliche Grundlage, da das Machtgefälle im Beschäftigungsverhältnis ihre Freiwilligkeit zweifelhaft macht. Im konkreten Fall ist stets zu prüfen, ob der Verarbeitungszweck die Inanspruchnahme der Ausnahme nach Art. 9 Abs. 2 DSGVO tatsächlich rechtfertigt.
Wie sichert man Drittlandstransfers an US-amerikanische Auftragsforschungsorganisationen ab?
Für Datentransfers in die USA ohne Angemessenheitsbeschluss – oder bei CROs, die nicht unter den EU-US Data Privacy Framework zertifiziert sind – sind aktualisierte Standardvertragsklauseln (SCC) der EU-Kommission das gängige Instrument. Zwingend hinzu kommt ein Transfer Impact Assessment (TIA), das prüft, ob das US-Recht den mit den SCC versprochenen Schutz im konkreten Fall untergräbt. Fehlt das TIA, droht ein bußgeldbewehrter Verstoß gegen Art. 44 ff. DSGVO. Die DSGVO-Konformität des gesamten AVV einschließlich Subauftragsverarbeiterkette ist dabei gleichzeitig sicherzustellen.
Die vorstehende Darstellung betrifft die typischen Konstellationen in der Chemie- und Pharmaindustrie. Ihre konkrete Compliance-Lage erfordert die individuelle Prüfung bestehender Verträge, Prozessdokumentationen und behördlicher Vorgaben Ihrer zuständigen Aufsichtsbehörde. Für eine erste Durchsicht Ihrer Unterlagen – Verzeichnis der Verarbeitungstätigkeiten, AVV, DSFA-Dokumentation – schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.