Ein Geschäftsführer eines mittelständischen Automobilzulieferers aus dem Raum Stuttgart übermittelt täglich Qualitätsdaten, Lieferantenprofile und Mitarbeiterdaten an Konzernpartner in den USA, China und der Türkei – ohne belastbare Rechtsgrundlage. Dann prüft die zuständige Aufsichtsbehörde. Was folgt, ist kein Kavaliersdelikt.
Internationale Datentransfers an Empfänger in Drittstaaten außerhalb des Europäischen Wirtschaftsraums sind nach der Datenschutz-Grundverordnung (DSGVO) nur zulässig, wenn ein angemessenes Schutzniveau nachgewiesen werden kann – in der Praxis überwiegend durch Standardvertragsklauseln (SCC) der EU-Kommission, ergänzt durch eine Transfer Impact Assessment (TIA). Ohne gültige Übertragungsgrundlage drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Geschäftsführer in der Automobilzulieferindustrie tragen hierfür die persönliche Verantwortung.
Diese Checkliste führt Sie Schritt für Schritt durch die zentralen Prüfpunkte, benennt die einschlägigen Normen und zeigt, welche Unterlagen und Vertragswerke Sie vorbereiten müssen, bevor personenbezogene Daten Ihre IT-Systemgrenzen überschreiten.
Warum internationale Datentransfers für Automobilzulieferer besonders heikel sind
Die Automobilzulieferindustrie ist durch globale Lieferketten, Just-in-Sequence-Produktion und OEM-gesteuerte IT-Plattformen strukturell auf internationalen Datenaustausch angewiesen. Warenwirtschaft, Engineering-Daten, HR-Systeme und Qualitätssicherung laufen regelmäßig über Server in Drittstaaten – häufig ohne dass die Geschäftsführung dies in seiner datenschutzrechtlichen Tragweite erfasst hat.
In der Mandatspraxis sehen wir, dass gerade Tier-2- und Tier-3-Zulieferer die Datenflüsse ihres ERP-Systems oder ihrer Cloud-Produktionsplattform nicht vollständig kartiert haben. Die eingesetzten Systeme – oft von US-amerikanischen oder asiatischen Anbietern – speichern und verarbeiten personenbezogene Daten auf Servern außerhalb des EWR, ohne dass ein Auftragsverarbeitungsvertrag (AVV) oder ein Standardvertragsklausel-Set vorliegt.
Die DSGVO unterscheidet dabei klar: Transfers in sogenannte Drittstaaten sind nur zulässig, wenn entweder ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO vorliegt, geeignete Garantien im Sinne des Art. 46 DSGVO bestehen – allen voran Standardvertragsklauseln – oder in eng begrenzten Einzelfällen eine Ausnahme nach Art. 49 DSGVO greift. Das DSGVO-Bußgeld beträgt bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO). Für einen mittelständischen Zulieferer mit 80 Millionen Euro Jahresumsatz sind das potenzielle Sanktionen von über 3 Millionen Euro.
Schritt 1: Datenflüsse vollständig kartieren – das Transfer Mapping
Am Anfang jeder rechtssicheren Gestaltung steht die Bestandsaufnahme. Ohne vollständige Kenntnis aller Datenflüsse ist keine Compliance möglich.
Erfassen Sie systematisch, welche personenbezogenen Daten Ihr Unternehmen an Empfänger außerhalb des EWR überträgt. Dazu gehören nicht nur vertragliche Übermittlungen, sondern auch Remote-Zugriffe von Servicetechnikern in Drittstaaten, die Nutzung internationaler Cloud-Dienste, automatisierte Synchronisierungen mit Konzernmutter oder Sublieferanten sowie Support-Tickets, die an Helpdesks in Drittstaaten weitergeleitet werden.
- Alle eingesetzten IT-Systeme mit Serverstandort und Subdienstleister-Kette erfassen
- Kategorien übertragener personenbezogener Daten dokumentieren (Mitarbeiterdaten, Kundendaten, Lieferantenprofile)
- Empfängerländer identifizieren und nach Angemessenheitsbeschluss-Status einteilen
- Volumen und Frequenz der Transfers festhalten
- Verantwortlichkeiten intern klären: Wer zeichnet für welchen Datenfluss?
Nach unserer Erfahrung unterschätzen Automobilzulieferer die Zahl der tatsächlichen Drittstaats-Transfers erheblich. Ein erster Befund zeigt regelmäßig 30 bis 60 % mehr Transferpfade, als die IT-Abteilung initial angegeben hatte.
Schritt 2: Angemessenheitsbeschlüsse prüfen – welche Länder privilegiert sind
Die EU-Kommission hat für eine Reihe von Drittstaaten Angemessenheitsbeschlüsse nach Art. 45 DSGVO erlassen. Transfers in diese Länder sind – solange der Beschluss in Kraft ist – ohne zusätzliche Garantien zulässig.
Für Automobilzulieferer besonders relevant: Die wichtigsten Absatzmärkte und Produktionsstandorte China, USA (mit Einschränkungen, siehe Data Privacy Framework) und die Türkei verfügen über keinen unbeschränkten allgemeinen Angemessenheitsbeschluss, der alle Verarbeitungskontexte abdeckt. Für Transfers in diese Länder sind belastbare Garantien nach Art. 46 DSGVO zwingend erforderlich.
- Prüfen, ob für das Empfängerland ein gültiger Angemessenheitsbeschluss besteht (laufend aktualisierte Liste der EU-Kommission)
- Für USA: Gilt das EU-US Data Privacy Framework nur für DPF-zertifizierte Empfänger – Zertifizierung des konkreten Dienstleisters verifizieren
- Für China: kein Angemessenheitsbeschluss; SCC oder Binding Corporate Rules (BCR) erforderlich
- Für die Türkei: kein Angemessenheitsbeschluss; SCC erforderlich
- Gültigkeit bestehender Beschlüsse kontinuierlich monitoren (Schrems-II-Risiko beachten)
Schritt 3: Standardvertragsklauseln (SCC) implementieren – Normbasis und Vertragsstruktur
Für die überwiegende Zahl der Drittstaats-Transfers in der Automobilzulieferindustrie bilden die Standardvertragsklauseln der EU-Kommission (Beschluss 2021/914/EU) die zentrale Rechtsgrundlage. Sie gelten seit dem 27. Juni 2021 und haben die früheren Klausel-Sets vollständig abgelöst.
Die aktuellen SCC bestehen aus vier Modulen, die je nach Übertragungskonstellation zu wählen sind: Modul 1 für Controller-zu-Controller-Transfers, Modul 2 für Controller-zu-Processor-Transfers, Modul 3 für Processor-zu-Processor-Transfers und Modul 4 für Processor-zu-Controller-Konstellationen. Für den typischen Zulieferer, der personenbezogene Daten an einen Auftragsverarbeiter in den USA oder China übermittelt, ist in der Regel Modul 2 einschlägig.
- Übertragungskonstellation bestimmen und das korrekte SCC-Modul wählen
- SCC vollständig und unverändert in den Vertrag oder als Anlage zum AVV integrieren
- Anhang I (Datenverarbeitungsbeschreibung), Anhang II (technische und organisatorische Maßnahmen) und Anhang III (Subverarbeiter, falls Modul 2/3) vollständig ausfüllen
- Vertragssprache sicherstellen: Deutschsprachige Version zulässig, maßgeblich bleibt die amtliche EU-Version bei Widersprüchen
- Abschluss der SCC vor dem ersten Datentransfer – nicht nachträglich
In der Mandatspraxis sehen wir immer wieder, dass Unternehmen zwar SCC-Formulare verwenden, aber die Anhänge unvollständig oder pauschal ausfüllen. Aufsichtsbehörden bewerten dies im Prüfungsfall als nicht ausreichend – die SCC entfalten dann keine Schutzwirkung.
Schritt 4: Transfer Impact Assessment (TIA) durchführen – Recht des Drittstaats bewerten
Seit dem Schrems-II-Urteil des EuGH (Rechtssache C-311/18, Data Protection Commissioner gegen Facebook Ireland) und der Leitlinie 02/2021 des Europäischen Datenschutzausschusses (EDSA) ist klar: Standardvertragsklauseln allein genügen nicht. Der Datenexporteur muss zusätzlich prüfen, ob das Recht des Empfängerlandes die vertraglichen Garantien der SCC untergräbt.
Dieses Transfer Impact Assessment (TIA) ist kein bloßes Formaldokument, sondern eine inhaltliche Risikoanalyse. Sie muss das Rechtssystem des Empfängerlandes bewerten, insbesondere Geheimdienstbefugnisse, staatliche Zugriffsrechte und den Rechtschutz für betroffene Personen.
- TIA für jedes Transfer-Zielland schriftlich erstellen und dokumentieren
- Quellen: amtliche Rechtsinformationen des Empfängerlandes, EDSA-Toolbox, ggf. juristische Expertise aus der Zieldestination
- Risikobewertung: Bestehen staatliche Zugriffsrechte (z. B. FISA 702 für USA, Geheimdienstgesetze China)?
- Ergänzende technische Maßnahmen prüfen: Verschlüsselung, Pseudonymisierung, Zugangsbeschränkungen
- TIA regelmäßig aktualisieren, mindestens bei wesentlichen Rechtsänderungen im Empfängerland
- TIA im Verzeichnis der Verarbeitungstätigkeiten (VVT) dokumentieren
Besonders für Transfers nach China: Das Datensicherheitsgesetz (DSL) und das Netzwerksicherheitsgesetz der Volksrepublik China enthalten weitreichende staatliche Zugriffsrechte. Ein TIA muss dieses Spannungsverhältnis ausdrücklich adressieren und beurteilen, ob ergänzende Maßnahmen das Schutzniveau auf EWR-Standard heben können.
Aus der Mandatspraxis: Die Kanzlei beriet ein Tier-1-Unternehmen aus der Automobil-Zulieferkette mit Sitz in Bayern, das Produktionsdaten und Mitarbeiterinformationen an ein Joint-Venture-Unternehmen in der Volksrepublik China übermittelte. Ausgangslage: Bestehende Verträge enthielten keine SCC; ein TIA fehlte vollständig; das Verzeichnis der Verarbeitungstätigkeiten dokumentierte die Transfers nur rudimentär. Vorgehen: Vollständiges Transfer Mapping, Einführung modulgerechter SCC nach Beschluss 2021/914/EU, Erstellung eines strukturierten TIA unter Auswertung der einschlägigen chinesischen Gesetzgebung sowie Implementierung ergänzender Verschlüsselungsmaßnahmen. Ergebnis: Strukturell compliant gestaltete Übertragungsgrundlage, vollständige Dokumentationslage für den Behördenfall – ohne Quantifizierung einer Erfolgsgarantie, aber mit klarer Handlungsfähigkeit gegenüber der Aufsichtsbehörde.
Schritt 5: Verzeichnis der Verarbeitungstätigkeiten und interne Dokumentation aktualisieren
Das Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist kein bürokratisches Ornament, sondern das zentrale Nachweisdokument gegenüber der Aufsichtsbehörde. Fehlen die Einträge zu Drittstaats-Transfers, kann die Behörde unmittelbar auf Bußgeld erkennen – unabhängig davon, ob ein tatsächlicher Datenschutzverstoß vorliegt.
- Alle identifizierten Drittstaats-Transfers vollständig im VVT nach Art. 30 Abs. 1 lit. e DSGVO eintragen
- Empfänger, Empfängerland, Rechtsgrundlage (Angemessenheitsbeschluss / SCC / Ausnahme Art. 49) sowie Fundstelle der eingesetzten Garantie dokumentieren
- TIA-Dokument als Anhang zum VVT oder mit eindeutigem Verweis hinterlegen
- AVV und SCC mit Versionsdatum archivieren – Aufsichtsbehörden erwarten die konkrete Vertragsversion
- Zuständige interne Person (Datenschutzbeauftragter oder benannter Verantwortlicher) für Pflege und Aktualisierung festlegen
Schritt 6: Datenpannen, Meldepflichten und Eskalationsweg sicherstellen
Auch bei sorgfältig gestalteten Drittstaats-Transfers können Datenpannen eintreten – durch Sicherheitslücken beim Empfänger, unbefugte staatliche Zugriffe oder Fehlkonfigurationen. Die DSGVO schreibt vor, dass Datenschutzverletzungen binnen 72 Stunden nach Kenntnisnahme bei der zuständigen Aufsichtsbehörde zu melden sind (Art. 33 DSGVO). Diese Frist ist absolut; sie beginnt nicht erst mit vollständiger Sachverhaltskenntnis.
Gerade bei internationalen Übertragungspfaden verlängert sich erfahrungsgemäß die interne Erkennungskette erheblich. Ein funktionierendes Incident-Response-System ist daher keine Option, sondern datenschutzrechtliche Pflicht.
- Meldeprozess (wer meldet, an welche Behörde, in welcher Form) schriftlich festlegen und intern kommunizieren
- Vertragliche Pflicht des Drittstaats-Empfängers zur unverzüglichen Meldung bei Datenpannen in den SCC bzw. AVV verankern
- Eskalationsmatrix: Wer informiert wen intern innerhalb der ersten 24 Stunden?
- Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO: Alle Datenpannen – auch meldepflichtige wie nicht meldepflichtige – sind zu protokollieren
- Versicherungsschutz (Cyber-Police) auf grenzüberschreitende Vorfälle hin prüfen
Schritt 7: Laufendes Monitoring und Governance-Struktur etablieren
Datenschutz-Compliance bei internationalen Transfers ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Angemessenheitsbeschlüsse können aufgehoben werden – die Schrems-II-Entscheidung hat eindrücklich gezeigt, dass ein jahrelang für selbstverständlich gehaltenes Übertragungsinstrument über Nacht wegfallen kann. Auch Lieferantenstrukturen und IT-Systeme ändern sich in der Automobilzulieferindustrie regelmäßig.
- Jährliche Überprüfung aller Drittstaats-Transfers und ihrer Rechtsgrundlagen einplanen
- Anlassbezogene Überprüfung bei: Wechsel eines IT-Dienstleisters, Erschließung eines neuen Produktionsstandorts in einem Drittstaat, Rechtsänderungen im Empfängerland, Aufhebung oder Aussetzung eines Angemessenheitsbeschlusses
- Datenschutzbeauftragten in alle relevanten IT-Beschaffungs- und Vertragsverhandlungen einbeziehen – Privacy by Design (Art. 25 DSGVO)
- Schulungen für Mitarbeitende in Einkauf, IT und HR, die an Drittstaats-Transfers beteiligt sind
- Interne Meldewege für neu erkannte Datenflüsse in Drittstaaten etablieren
Die vorstehende Darstellung betrifft die wesentlichen Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragsunterlagen, Ihrer IT-Systemlandschaft und der einschlägigen Behördenpraxis. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Was bedeutet das für Geschäftsführer persönlich?
Geschäftsführer einer GmbH tragen die Organisationsverantwortung für die DSGVO-Compliance ihres Unternehmens. Das ist keine bloß abstrakte Pflicht. Aufsichtsbehörden prüfen im Bußgeldverfahren, ob die Unternehmensleitung die erforderlichen Maßnahmen ergriffen, finanziert und kontrolliert hat.
Können Sie als Geschäftsführer im Prüfungsfall kein aktuelles Transfer Mapping, keine vollständig ausgefüllten SCC-Anhänge und kein TIA vorlegen, signalisiert das der Behörde: systematisches Organisationsverschulden. Das ist ein erschwerender Umstand bei der Bußgeldbemessung. Umgekehrt: Eine vollständige, aktuell gepflegte Dokumentation ist das stärkste Argument für eine maßvolle Sanktion – auch wenn einzelne Fehler aufgedeckt werden.
Für mittelständische Automobilzulieferer mit internationaler Lieferkette empfehlen wir daher, die Verantwortung für Drittstaats-Transfers explizit in der Geschäftsführungsverantwortung zu verankern – und nicht ausschließlich an den Datenschutzbeauftragten zu delegieren. Die Meldepflicht bei Datenschutzverletzungen besteht binnen 72 Stunden (Art. 33 DSGVO) – eine Frist, die in der Praxis nur mit vorbereiteten Prozessen einzuhalten ist.
Haben Sie die Frage, ob Ihre bestehenden SCC-Verträge nach dem aktuellen Kommissionsbeschluss 2021/914/EU noch gültig sind, bereits für alle Vertragspartner geklärt? Und: Wissen Sie, welcher Ihrer Lieferanten oder Cloud-Anbieter aktuell Daten auf Servern in China oder der Türkei verarbeitet?
Verwandte Leistungen
Häufige Fragen: Internationale Datentransfers in der Automobilzulieferindustrie
Was sind Standardvertragsklauseln (SCC) und wann sind sie erforderlich?
Standardvertragsklauseln (SCC) sind von der EU-Kommission vorformulierte Vertragswerke, die ein angemessenes Datenschutzniveau bei Transfers in Drittstaaten vertraglich gewährleisten sollen. Sie sind nach Art. 46 Abs. 2 lit. c DSGVO als geeignete Garantie anerkannt und kommen zum Einsatz, wenn kein Angemessenheitsbeschluss für das Empfängerland besteht – also insbesondere für Transfers in die USA (ohne DPF-Zertifizierung des Empfängers), nach China und in die Türkei. Der aktuelle Beschluss der EU-Kommission datiert vom 27. Juni 2021 (2021/914/EU).
Was ist ein Transfer Impact Assessment (TIA) und ist es rechtlich verpflichtend?
Ein Transfer Impact Assessment (TIA) ist eine Risikoanalyse des Rechtsumfelds im Empfängerland, insbesondere staatlicher Zugriffsrechte auf personenbezogene Daten. Der EuGH hat im Schrems-II-Urteil (C-311/18) klargestellt, dass SCC allein kein ausreichendes Schutzniveau garantieren, wenn das Recht des Drittstaats die vertraglichen Garantien faktisch untergräbt. Das TIA ist zwar nicht in diesem Wortlaut kodifiziert, ergibt sich aber aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO in Verbindung mit Art. 46 DSGVO. Aufsichtsbehörden erwarten es als Prüfungsnachweis.
Welche Bußgelder drohen bei unzulässigen Drittstaats-Transfers?
Unzulässige Drittstaats-Transfers können nach Art. 83 Abs. 5 lit. c DSGVO mit Bußgeldern von bis zu 20 Millionen Euro oder – bei Unternehmen – bis zu 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist. Aufsichtsbehörden berücksichtigen bei der Bemessung unter anderem die Schwere des Verstoßes, das Vorliegen von Dokumentation und die Kooperationsbereitschaft des Unternehmens.
Gilt das EU-US Data Privacy Framework für alle US-amerikanischen Dienstleister?
Nein. Das EU-US Data Privacy Framework (DPF) vom Juli 2023 gilt ausschließlich für US-Unternehmen, die sich dem Rahmenwerk gegenüber dem US-Handelsministerium zertifiziert haben und auf der öffentlichen DPF-Liste geführt werden. Transfers an nicht-zertifizierte US-Empfänger müssen weiterhin über SCC oder eine andere geeignete Garantie nach Art. 46 DSGVO abgesichert werden. Eine Prüfung der Zertifizierung vor jedem Transfer ist daher zwingend.
Benötigt jede Datenübertragung ins Ausland eine eigene Rechtsgrundlage?
Ja, sofern personenbezogene Daten in einen Drittstaat (außerhalb des EWR) übertragen werden. Innerhalb des EWR – also in alle EU-Mitgliedstaaten sowie Norwegen, Island und Liechtenstein – gilt die DSGVO einheitlich; keine gesonderte Transfergrundlage ist erforderlich. Für Drittstaats-Transfers muss für jeden Transfer (oder jede homogene Transfer-Kategorie) eine belastbare Rechtsgrundlage nach Art. 45, 46 oder 49 DSGVO vorliegen und dokumentiert sein.
Was passiert, wenn ein Datenpannen-Vorfall beim Drittstaats-Empfänger eintritt?
Tritt beim Drittstaats-Empfänger eine Datenschutzverletzung auf, bleibt das übertragende Unternehmen als Verantwortlicher (Controller) nach DSGVO in der Pflicht. Es muss die Meldepflicht nach Art. 33 DSGVO binnen 72 Stunden prüfen und ggf. erfüllen. Vertraglich sollte der Empfänger zur unverzüglichen Benachrichtigung bei Vorfällen verpflichtet sein – dies ist in die SCC-Anhänge aufzunehmen. Fehlt diese vertragliche Absicherung, verliert das Unternehmen im Ernstfall wertvolle Zeit.
Die vorstehende Darstellung betrifft die zentralen Regelfälle bei internationalen Datentransfers. Ihr konkreter Fall – Ihre Vertragspartner, Ihre IT-Systemlandschaft, Ihr Empfängerland – erfordert eine individuelle Prüfung der Unterlagen, Fristen und einschlägigen Aufsichtsbehördenpraxis. Für eine erste Durchsicht Ihrer bestehenden SCC, Ihres VVT und Ihrer TIA-Dokumentation wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.