Globale Lieferketten sind das Rückgrat der Automobilzulieferindustrie. Teilelieferanten, Tier-1- und Tier-2-Zulieferer übertragen täglich Konstruktionsdaten, Mitarbeiterdaten und Produktionsprozess-Informationen an Abnehmer und Partnerwerke in Nordamerika, Südostasien und anderswo. Seit dem Schrems-II-Urteil des Europäischen Gerichtshofs ist die Frage, wie internationale Datentransfers rechtssicher gestaltet werden können, kein rein technisches Thema mehr – sie betrifft die persönliche Haftung der Geschäftsführung.
Für Datentransfers in Drittstaaten außerhalb des Europäischen Wirtschaftsraums schreibt die DSGVO geeignete Garantien vor. Das bewährteste Instrument sind die von der EU-Kommission erlassenen Standardvertragsklauseln (SCC). Ergänzend sind technisch-organisatorische Zusatzmaßnahmen zu dokumentieren, wenn das Recht des Empfängerlandes kein gleichwertiges Schutzniveau bietet. Wer diesen Mechanismus nicht oder fehlerhaft implementiert, riskiert Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes – und trägt als Geschäftsführer die Darlegungs- und Beweislast gegenüber der Aufsichtsbehörde.
Dieser Branchenreport zeigt, welche Transfermechanismen für Automobilzulieferer relevant sind, wo die Praxis häufig scheitert und wie Sie die Compliance Ihres Unternehmens Schritt für Schritt auf ein belastbares Fundament stellen.
Warum internationale Datentransfers in der Automobilzulieferindustrie besonders komplex sind
Die Automobilzulieferindustrie zeichnet sich durch mehrstufige globale Wertschöpfungsstrukturen aus. Ein mittelständischer Tier-2-Zulieferer beliefert häufig mehrere Tier-1-Lieferanten gleichzeitig, die ihrerseits Entwicklungsdaten, Qualitätsmanagementsysteme und Logistikplattformen mit dem Endhersteller teilen. Praktisch bedeutet das: Mitarbeiterdaten, Lieferantenprofile, Konstruktions-CAD-Dateien und Predictive-Maintenance-Daten aus vernetzten Maschinen fließen in Echtzeit über Kontinente.
Die Verarbeitungskette endet dabei selten beim direkten Vertragspartner. Cloud-Dienste für ERP-Systeme, Product-Lifecycle-Management-Plattformen (PLM) oder gemeinsame Entwicklungsportale werden von den OEM-Konzernen vorgegeben – und sitzen regelmäßig auf Servern in den USA, China oder Indien. Drittstaatentransfers können damit allein durch die Nutzung konzernvorgegebener IT-Infrastruktur entstehen, ohne dass der mittelständische Zulieferer selbst eine bewusste Entscheidung getroffen hat.
Hinzu kommt der Druck der Abnehmerseite. OEMs verlangen im Rahmen ihrer eigenen DSGVO-Compliance von Zulieferern zunehmend den Nachweis rechtssicherer Datentransfers. In der Mandatspraxis sehen wir regelmäßig Fälle, in denen Tier-1-Lieferanten ihren Zulieferern Fragebögen zum Datentransfer-Management vorlegen – und eine fehlende oder mangelhafte Antwort vertragliche Konsequenzen nach sich ziehen kann, bis hin zur Listenstreichung als Lieferant.
Welches Rechtsregime für Drittstaatentransfers gilt – und wo die Lücken liegen
Das maßgebliche Regelungssystem findet sich in Kapitel V der DSGVO (Artikel 44 bis 49). Der Grundsatz ist klar: Personenbezogene Daten dürfen nur dann in einen Drittstaat übermittelt werden, wenn die Europäische Kommission durch einen Angemessenheitsbeschluss festgestellt hat, dass dieses Land ein gleichwertiges Datenschutzniveau bietet – oder wenn der Verantwortliche geeignete Garantien bereitstellt und die betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe besitzen.
Für die wichtigsten Handelspartner der deutschen Automobilzulieferindustrie stellt sich die Rechtslage differenziert dar. Die USA verfügen seit Juli 2023 über das EU-US Data Privacy Framework (DPF) als neuem Angemessenheitsbeschluss. Dieser Beschluss ist jedoch politisch sensibel: Vor dem Hintergrund geänderter Datenschutzsignale aus Washington prüfen wir in aktuellen Mandaten stets, ob zusätzliche vertragliche Sicherungen angezeigt sind. China verfügt über keinen Angemessenheitsbeschluss; hier sind ergänzende Garantien zwingend. Für Indien gilt dasselbe, wenngleich dort Gespräche über eine engere Kooperation laufen.
Die häufigste Transfergarantie in der Praxis sind die Standardvertragsklauseln (SCC) der EU-Kommission, zuletzt aktualisiert und in vier Module unterteilt: Verantwortlicher an Verantwortlichen (Modul 1), Verantwortlicher an Auftragsverarbeiter (Modul 2), Auftragsverarbeiter an Auftragsverarbeiter (Modul 3) sowie Auftragsverarbeiter an Verantwortlichen (Modul 4). Welches Modul anwendbar ist, hängt von der genauen Rolle der Parteien im Datenverarbeitungsprozess ab – eine Frage, die in der Praxis häufig falsch bewertet wird.
Nach dem EuGH-Urteil in der Rechtssache Schrems II (C-311/18) reicht der bloße Abschluss von SCC nicht mehr aus. Der Datenexporteur muss zusätzlich einen sogenannten Transfer Impact Assessment (TIA) durchführen – eine Prüfung, ob das Recht des Empfängerlandes die Wirksamkeit der SCC unterhöhlt, insbesondere durch staatliche Zugriffsbefugnisse auf übertragene Daten. Liegt eine Beeinträchtigung vor, sind ergänzende technische oder organisatorische Maßnahmen (TOMs) zu ergreifen oder der Transfer ist zu unterlassen.
Standardvertragsklauseln korrekt einsetzen: Was Automobilzulieferer konkret beachten müssen
Die Entscheidung für SCC ist erst der Anfang. In der Mandatspraxis sehen wir, dass viele mittelständische Zulieferer zwar SCC-Vorlagen beschafft, sie aber nicht korrekt ausgefüllt oder in das bestehende Vertragswerk integriert haben. Das führt zu einer Situation, die datenschutzrechtlich keine Schutzwirkung entfaltet.
Folgende Punkte sind für den rechtssicheren Einsatz zentral: Erstens muss das richtige SCC-Modul identifiziert werden. Ein Zulieferer, der als Auftragsverarbeiter für einen OEM tätig ist und Daten an ein Subunternehmen in einem Drittstaat weiterleitet, benötigt Modul 3, nicht Modul 2. Zweitens müssen die Anhänge der SCC vollständig und präzise ausgefüllt werden – Anhang I beschreibt die Verarbeitungstätigkeiten, Anhang II die technisch-organisatorischen Maßnahmen, Anhang III die Subauftragsverarbeiter. Lückenhafte Anhänge führen zu dem Ergebnis, dass die SCC zwar formal abgeschlossen wurden, die Aufsichtsbehörde aber keine ausreichende Transparenz über die konkrete Verarbeitung feststellt.
Drittens ist der Transfer Impact Assessment zu dokumentieren. Die Dokumentationspflicht ergibt sich aus dem Rechenschaftsprinzip des Art. 5 Abs. 2 DSGVO: Im Falle eines behördlichen Verfahrens oder einer Datenpanne muss das Unternehmen nachweisen können, dass es den Transfer sorgfältig geprüft hat. Wer das TIA auf einer Seite abhandelt oder gar kein TIA dokumentiert, hat im Verfahren vor der Aufsichtsbehörde eine schwache Ausgangsposition.
In der Praxis raten wir Automobilzulieferern, den TIA strukturiert aufzubauen: Identifizierung aller Drittstaaten, in die Daten fließen → Analyse des dortigen Rechts (Überwachungsgesetze, staatliche Zugriffsrechte) → Bewertung der Risiken für die betroffenen Personen → Festlegung ergänzender TOMs (z. B. End-to-End-Verschlüsselung, Pseudonymisierung, Zero-Knowledge-Architekturen) → Entscheidungsdokumentation mit Genehmigungsvermerk der Geschäftsführung.
Mikro-Fall aus der Kanzleipraxis (anonymisiert)
In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Automobilzulieferer mit Sitz in Süddeutschland, der Kunststoffspritzgussteile für mehrere Tier-1-Lieferanten produziert. Ausgangslage: Ein von einem OEM vorgeschriebenes PLM-Portal wurde auf Servern in den USA betrieben. Der Zulieferer hatte keine SCC abgeschlossen und keinen TIA durchgeführt; das Unternehmen war davon ausgegangen, dass die Verantwortung allein beim OEM liege. Vorgehen: Zunächst wurde die Rollenverteilung im Datenverarbeitungsprozess gemeinsam mit dem Unternehmen analysiert und festgestellt, dass es als eigenverantwortlicher Verantwortlicher im Sinne der DSGVO agiert, nicht lediglich als weisungsgebundener Auftragsverarbeiter. Daraufhin wurden SCC-Modul-1-Verträge mit dem US-Plattformbetreiber verhandelt und abgeschlossen, ein TIA auf Basis öffentlich zugänglicher Lageberichte zur US-Überwachungsgesetzgebung dokumentiert und die internen Datenschutzrichtlinien aktualisiert. Ergebnis: Das Unternehmen konnte gegenüber dem OEM einen vollständigen Nachweis seines Transfermechanismus vorlegen und die Lieferantenqualifikation aufrechterhalten.
Welche Rolle spielt das EU-US Data Privacy Framework für Zulieferer?
Das EU-US Data Privacy Framework (DPF), in Kraft seit Juli 2023, stellt für zertifizierte US-Unternehmen einen Angemessenheitsbeschluss der EU-Kommission bereit. Für Automobilzulieferer, die mit US-Dienstleistern arbeiten, bedeutet das: Sofern der amerikanische Empfänger unter dem DPF zertifiziert ist, kann ein Transfer ohne zusätzliche SCC erfolgen.
Die Praxis zeigt jedoch zwei wesentliche Risikofaktoren. Erstens ist der Zertifizierungsstatus zu prüfen. Nicht jeder US-Anbieter, der im Marketingmaterial auf das DPF hinweist, ist tatsächlich aktiv zertifiziert. Die zuständige Behörde führt ein öffentliches Register; der aktuelle Zertifizierungsstatus muss vor Transferbeginn und in regelmäßigen Abständen geprüft und dokumentiert werden. Zweitens ist das DPF – wie seine Vorgänger Privacy Shield und Safe Harbor – juristisch angreifbar. Nach dem Scheitern des Privacy Shield durch Schrems II ist eine erneute Überprüfung durch den EuGH politisch nicht ausgeschlossen. Zulieferer, die sich ausschließlich auf das DPF stützen, ohne Vorhalte-SCC vorzubereiten, setzen sich einem Risiko aus, das im Rahmen des Risikomanagements bewertet werden sollte.
Nach unserer Erfahrung empfehlen wir mittelständischen Zulieferern deshalb eine Doppelabsicherung: DPF-basierter Transfer dort, wo der US-Partner zertifiziert ist, ergänzt durch parallel abgeschlossene SCC als Rückfalloption für den Fall eines erneuten Wegfalls des Angemessenheitsbeschlusses. Diese Lösung erhöht den Dokumentationsaufwand moderat, schützt aber vor einer erneuten Transferunterbrechung.
Haftungsrisiken für die Geschäftsführung: Was gilt persönlich?
Datenschutzrechtliche Verstöße treffen in erster Linie das Unternehmen als Verantwortlichen. Das entlastet die Geschäftsführung indes nicht vollständig. Nach der gefestigten Rechtsprechung verschiedener Landgerichte und OLG können Gesellschafter oder der Aufsichtsrat Schadensersatzansprüche gegen den Geschäftsführer geltend machen, wenn dieser Compliance-Pflichten vernachlässigt hat, die zur Verhängung eines erheblichen Bußgelds geführt haben. Das Haftungsrisiko ergibt sich hier nicht direkt aus der DSGVO, sondern aus dem allgemeinen Gesellschaftsrecht.
Bußgelder nach Art. 83 DSGVO können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Für einen mittelständischen Zulieferer mit einem Umsatz von beispielsweise 80 Millionen Euro läge der umsatzbezogene Höchstrahmen damit bei 3,2 Millionen Euro. Ob und in welcher Höhe ein Bußgeld tatsächlich verhängt wird, hängt von zahlreichen Faktoren ab – unter anderem von der Schwere des Verstoßes, dem Grad der Kooperation mit der Aufsichtsbehörde und den ergriffenen Abhilfemaßnahmen. Diese Faktoren sind jedoch erst dann bewertbar, wenn ein Verfahren bereits eröffnet wurde. Vorsorge ist daher wirtschaftlich und haftungsrechtlich die klügere Strategie.
Daneben rückt ein weiterer Aspekt zunehmend in den Fokus: Auditrechte. OEMs und Tier-1-Lieferanten verlangen in ihren Lieferantenverträgen zunehmend das Recht, Datenschutz-Audits bei Zulieferern durchzuführen oder entsprechende Nachweise einzufordern. In der Mandatspraxis sehen wir, dass Unternehmen, die auf ein solches Audit unvorbereitet reagieren, nicht nur datenschutzrechtlich, sondern auch vertraglich unter Druck geraten können. Wer seine Transfermechanismen und TIAs sauber dokumentiert hat, steht hier deutlich besser.
Branchenspezifische Risikofaktoren: Fahrzeugdaten, Produktionsdaten, Mitarbeiterdaten
Nicht alle Datenkategorien, die in der Automobilzulieferindustrie international übertragen werden, sind datenschutzrechtlich gleichrangig. Es lohnt sich, die relevanten Datenarten zu differenzieren, weil die Anforderungen an Transfermechanismen und Schutzmaßnahmen je nach Kategorie variieren können.
Mitarbeiterdaten – Gehaltsabrechnungen, Urlaubsdaten, Bewerbungsunterlagen, Leistungsbeurteilungen – sind personenbezogene Daten im unmittelbaren Sinne der DSGVO und unterliegen beim Transfer in Drittstaaten den vollen Anforderungen des Kapitel V. Häufig werden diese Daten in konzernweiten HR-Systemen verarbeitet, die in den USA oder Indien betrieben werden. Hier sind in aller Regel Modul-1-SCC (Verantwortlicher an Verantwortlichen) oder Modul-2-SCC (Verantwortlicher an Auftragsverarbeiter) einschlägig.
Produktionsdaten aus vernetzten Maschinen (Industrial IoT) können ebenfalls Personenbezug aufweisen, wenn sie einzelnen Mitarbeitern zuordenbar sind – etwa Maschinenbedienerdaten oder Schichtprotokolle mit Identifizierbarkeit. In diesem Fall sind die gleichen Transferanforderungen zu beachten. Aggregierte, nicht personenbezogene Produktionsdaten – etwa maschinenstatistische Auswertungen ohne Personenbezug – fallen grundsätzlich nicht in den Anwendungsbereich der DSGVO, wenngleich sie geistigem Eigentum und Betriebsgeheimnissen unterliegen können.
Konstruktionsdaten und CAD-Dateien sind in der Regel keine personenbezogenen Daten, können aber vertraglichen Geheimhaltungspflichten und dem Geschäftsgeheimnisschutz nach dem Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) unterliegen. Dieses Regelungssystem ist datenschutzrechtlich eigenständig, sollte aber im Rahmen eines integrierten Datenschutz- und IP-Management-Ansatzes mitgedacht werden.
Welche praktischen Schritte empfehlen sich für Automobilzulieferer jetzt?
Nach unserer Erfahrung beginnt die Arbeit mit einer sorgfältigen Bestandsaufnahme. Wer nicht weiß, welche Drittstaatentransfers in seinem Unternehmen stattfinden, kann keine geeigneten Garantien bereitstellen. Die folgende strukturierte Vorgehensweise hat sich in der Mandatspraxis bewährt.
Schritt 1: Drittstaatentransfer-Mapping. Identifizieren Sie alle Übermittlungen personenbezogener Daten in Länder außerhalb des EWR. Ausgangspunkt ist das Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO, das ohnehin zu führen ist. Ergänzen Sie dort eine Spalte für Empfängerland und Transfermechanismus. Viele Zulieferer stellen bei dieser Übung fest, dass Cloud-Dienste für E-Mail, ERP oder PLM Transfers auslösen, die bislang nicht erfasst waren.
Schritt 2: Angemessenheitsbeschlüsse und DPF-Status prüfen. Für jeden Empfänger in einem Drittstaat ist zu klären, ob ein Angemessenheitsbeschluss besteht. Für US-Empfänger ist der DPF-Zertifizierungsstatus im öffentlichen Register zu prüfen und das Prüfergebnis zu dokumentieren.
Schritt 3: SCC abschließen und Anhänge vollständig ausfüllen. Wo kein Angemessenheitsbeschluss greift oder der DPF-Status nicht gesichert ist, müssen SCC abgeschlossen werden. Das richtige Modul ist anhand der Rollen der Parteien zu bestimmen. Die Anhänge sind vollständig und präzise auszufüllen. Unvollständige Anhänge sind ein häufiger Befund in behördlichen Prüfungen.
Schritt 4: Transfer Impact Assessment dokumentieren. Für jeden nicht durch Angemessenheitsbeschluss abgedeckten Transfer ist ein TIA durchzuführen und schriftlich zu dokumentieren. Bewertungsgrundlagen sind öffentlich zugängliche Quellen: Länderberichte von Datenschutzbehörden, Berichte des Europäischen Datenschutzausschusses (EDPB), Stellungnahmen staatlicher Stellen zum Überwachungsrecht des Empfängerlandes.
Schritt 5: Ergänzende TOMs festlegen und umsetzen. Wo das TIA erhöhte Risiken ergibt, sind technische Maßnahmen zu ergreifen. In der Praxis kommen End-to-End-Verschlüsselung, die Speicherung von Schlüsseln ausschließlich im EWR oder eine Datenpseudonymisierung vor dem Transfer in Betracht. Diese Maßnahmen müssen im Anhang II der SCC und in der internen Dokumentation niedergelegt sein.
Schritt 6: Regelmäßige Überprüfung einplanen. Datenschutzrecht ist dynamisch. Das DPF kann wegfallen, Angemessenheitsbeschlüsse können widerrufen werden, neue Empfängerländer können hinzukommen. Ein jährlicher Review-Zyklus, in dem das Transfer-Mapping und die TIAs aktualisiert werden, ist geboten und entspricht dem Rechenschaftsprinzip der DSGVO.
Die vorstehende Darstellung betrifft die Regelfälle internationaler Datentransfers in der Automobilzulieferindustrie. Ihr konkreter Fall erfordert die Prüfung Ihrer bestehenden Vertragsunterlagen, Ihrer Verarbeitungstätigkeiten und der einschlägigen Transfermechanismen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Schnittstelle zu Auftragsverarbeitungsverträgen und Meldepflichten bei Datenpannen
Internationale Datentransfers lassen sich nicht isoliert betrachten. Sie sind regelmäßig eingebettet in Auftragsverarbeitungsbeziehungen, die ihrerseits einen ordnungsgemäßen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erfordern. Ein häufiges Problem in der Mandatspraxis: Unternehmen schließen SCC für den Drittstaatentransfer ab, vergessen dabei aber, dass parallel ein AVV erforderlich ist – oder umgekehrt. SCC und AVV erfüllen unterschiedliche Funktionen und schließen sich nicht aus, sondern ergänzen einander.
Ebenso relevant ist das Meldepflicht-Regime bei Datenpannen. Kommt es im Zusammenhang mit einem internationalen Transfer zu einer Datenschutzverletzung – etwa weil ein Server in einem Drittstaat unbefugt zugegriffen wurde –, gilt die 72-Stunden-Meldefrist nach Art. 33 DSGVO gegenüber der zuständigen Aufsichtsbehörde. Die 72-Stunden-Frist beginnt mit dem Zeitpunkt, zu dem dem Verantwortlichen die Verletzung bekannt wird, nicht mit dem Zeitpunkt des Vorfalls. Für grenzüberschreitende Verarbeitungen mit Einbeziehung mehrerer EU-Mitgliedstaaten gilt das One-Stop-Shop-Prinzip; die federführende Aufsichtsbehörde richtet sich nach dem Hauptniederlassungsort. Gerade für international aufgestellte Automobilzulieferer ist diese Zuständigkeitsfrage im Vorfeld zu klären.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers in der Automobilzulieferindustrie
Was sind Standardvertragsklauseln (SCC) und warum sind sie für Automobilzulieferer relevant?
Standardvertragsklauseln sind von der EU-Kommission verbindlich erlassene Vertragsvorlagen, die sicherstellen sollen, dass personenbezogene Daten auch bei einer Übermittlung in Drittstaaten ohne Angemessenheitsbeschluss ausreichend geschützt werden. Für Automobilzulieferer sind sie das wichtigste Instrument, weil ihre Lieferketten regelmäßig Datenflüsse in die USA, nach China oder Indien umfassen – Länder, für die kein vollständiger oder stabiler Angemessenheitsbeschluss besteht. Der bloße Abschluss reicht nicht aus; die Anhänge müssen vollständig ausgefüllt und durch einen Transfer Impact Assessment ergänzt werden.
Muss ich als Zulieferer selbst SCC abschließen, wenn der OEM die IT-Plattform vorgibt?
Ja, wenn Sie als eigenverantwortlicher Verantwortlicher im Sinne der DSGVO Daten in diese Plattform einspeisen. Die Tatsache, dass ein OEM eine Plattform vorschreibt, verlagert nicht automatisch die datenschutzrechtliche Verantwortung. Entscheidend ist, wer über Zweck und Mittel der Verarbeitung entscheidet. In der Mandatspraxis ist die Rollenverteilung sorgfältig zu analysieren, bevor die Transferverantwortung eindeutig zugeordnet werden kann.
Was ist ein Transfer Impact Assessment (TIA) und wer muss ihn durchführen?
Ein TIA ist eine dokumentierte Prüfung, ob das Recht des Empfängerlandes die Wirksamkeit der vereinbarten SCC oder sonstigen Garantien beeinträchtigt. Der Datenexporteur – also das übertragende Unternehmen – ist für die Durchführung und Dokumentation des TIA verantwortlich. Die Prüfung muss das Überwachungsrecht des Empfängerlands, staatliche Zugriffsbefugnisse und die vorhandenen Rechtsbehelfe für betroffene Personen berücksichtigen. Die Dokumentation gehört zur Nachweispflicht nach dem Rechenschaftsprinzip der DSGVO.
Reicht das EU-US Data Privacy Framework aus, oder brauche ich zusätzlich SCC?
Wenn Ihr US-amerikanischer Dienstleister aktiv unter dem DPF zertifiziert ist und dieser Status bei Transferbeginn sowie regelmäßig im öffentlichen Register verifiziert und dokumentiert wird, ist ein zusätzlicher SCC-Abschluss nach derzeitiger Rechtslage nicht zwingend erforderlich. Angesichts der politischen Fragilitität des DPF empfehlen wir jedoch, parallel SCC als Rückfalloption vorzuhalten, um bei einem erneuten Wegfall des Angemessenheitsbeschlusses handlungsfähig zu bleiben.
Welche Bußgelder drohen bei rechtswidrigen Drittstaatentransfers?
Verstöße gegen die Transfervorschriften des Kapitels V der DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes des Unternehmens geahndet werden, je nachdem, welcher Betrag höher ist. Die tatsächliche Bußgeldhöhe richtet sich nach Schwere, Dauer, Art des Verstoßes sowie Kooperationsbereitschaft und ergriffenen Abhilfemaßnahmen. Für einen mittelständischen Zulieferer mit relevanten Jahresumsätzen kann der umsatzbezogene Rahmen erheblich sein.
Wie hängen AVV und SCC zusammen?
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO regelt die Beziehung zwischen Verantwortlichem und Auftragsverarbeiter innerhalb der DSGVO-Grundstruktur. Standardvertragsklauseln (SCC) sind das Instrument für den grenzüberschreitenden Transfer in Drittstaaten. Wenn ein Auftragsverarbeiter in einem Drittstaat sitzt, werden beide Instrumente gleichzeitig benötigt. Sie schließen sich nicht aus; SCC können in einen AVV integriert oder als separates Dokument abgeschlossen werden.
Fallen Maschinendaten und CAD-Dateien unter die DSGVO?
Rein technische Maschinendaten und CAD-Konstruktionsdaten ohne Personenbezug fallen grundsätzlich nicht in den Anwendungsbereich der DSGVO. Sobald diese Daten jedoch einem identifizierten oder identifizierbaren Mitarbeiter zuordenbar sind – etwa Bedienerprotokolle mit Mitarbeiter-IDs –, liegt Personenbezug vor, und die DSGVO-Anforderungen einschließlich der Drittstaatentransfer-Regeln sind zu beachten. Unabhängig davon können solche Daten dem Schutz nach dem Gesetz zum Schutz von Geschäftsgeheimnissen unterliegen.
Wie oft muss das Transfer-Mapping aktualisiert werden?
Das Rechenschaftsprinzip der DSGVO verlangt eine fortlaufende Überprüfung der Compliance-Maßnahmen. In der Praxis empfehlen wir einen strukturierten jährlichen Review-Zyklus sowie anlassbezogene Aktualisierungen bei wesentlichen Änderungen – Einführung neuer IT-Systeme, Wechsel von Dienstleistern, Änderungen der Rechtslage im Empfängerland oder Wegfall eines Angemessenheitsbeschlusses. Gerade das DPF macht anlassbezogene Prüfungen im aktuellen politischen Umfeld ratsam.
Die vorstehende Darstellung betrifft die Regelfälle internationaler Datentransfers. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragsunterlagen, bestehender Transfermechanismen und der Rollen der beteiligten Parteien. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.