Ein Automobilzulieferer aus dem süddeutschen Mittelstand liefert nicht nur Bauteile – er überträgt täglich Konstruktionsdaten, Lieferantenstammdaten und Qualitätskennzahlen an Abnehmer, Logistikdienstleister und Fertigungsstandorte in den USA, China oder Mexiko. Was technisch als routinemäßige Datensynchronisation erscheint, ist aus der Perspektive der Datenschutz-Grundverordnung (DSGVO) ein genehmigungspflichtiger Vorgang mit handfesten Haftungsrisiken für die Geschäftsführung.
Internationale Datentransfers rechtssicher gestalten bedeutet im Kern: Jede Übermittlung personenbezogener Daten in ein Drittland außerhalb des Europäischen Wirtschaftsraums (EWR) bedarf einer geeigneten Rechtsgrundlage – regelmäßig Standardvertragsklauseln (SCC), einen Angemessenheitsbeschluss der EU-Kommission oder eine Binding Corporate Rule (BCR). Die DSGVO macht keine Ausnahme für den Mittelstand. Bei Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.
Dieser FAQ-Beitrag beantwortet die wichtigsten Fragen, die Geschäftsführer von Automobilzulieferern regelmäßig stellen – von den zulässigen Transferinstrumenten über die Pflichten beim Transfer Impact Assessment bis hin zu konkreten nächsten Schritten bei Behördenanfragen.
Was ist überhaupt ein „Drittlandtransfer" und wann liegt er im Automobilumfeld vor?
Ein Drittlandtransfer liegt vor, sobald personenbezogene Daten – einschließlich Beschäftigtendaten, Lieferantenkontakte oder Kundenansprechpartner – an einen Empfänger übermittelt oder zugänglich gemacht werden, der sich in einem Staat außerhalb des EWR befindet. Schon der bloße Lesezugriff eines US-amerikanischen IT-Dienstleisters auf eine europäische Cloud-Datenbank kann diesen Tatbestand erfüllen.
In der Automobilzulieferindustrie trifft dies besonders häufig zu. Zulieferer, die in mehrstufige globale Wertschöpfungsketten eingebunden sind, transferieren regelmäßig Daten in Drittländer – sei es über konzernweite ERP-Systeme, Joint-Development-Plattformen mit asiatischen Erstausrüstern (Original Equipment Manufacturers, OEM) oder Software-as-a-Service-Lösungen (SaaS) amerikanischer Anbieter. Auch die Übermittlung von Mitarbeiterdaten an ausländische Muttergesellschaften ist ein klassischer Anwendungsfall.
In der Mandatspraxis sehen wir, dass viele mittelständische Zulieferer den Drittlandtransfer erst im Rahmen einer Datenschutzprüfung oder nach einer Anfrage der Datenschutzbehörde als solchen identifizieren. Die technische Integration geht der rechtlichen Absicherung häufig voraus – ein strukturelles Risiko, das der Geschäftsführung direkt zugerechnet werden kann.
Welche Rechtsgrundlagen kommen für internationale Datentransfers in Betracht?
Die DSGVO sieht ein abgestuftes System von Transferinstrumenten vor, die sich in Aufwand, Flexibilität und Belastbarkeit unterscheiden. Das Instrument mit der geringsten Anforderung ist ein Angemessenheitsbeschluss der EU-Kommission für das Empfängerland.
Für Transfers in die USA gilt seit Juli 2023 das EU-U.S. Data Privacy Framework (DPF) als gültiger Angemessenheitsbeschluss – allerdings nur für US-Unternehmen, die sich dem DPF-Register aktiv angeschlossen haben. Die politische und rechtliche Stabilität dieses Rahmens ist Gegenstand laufender Diskussionen; nach den Erfahrungen mit Privacy Shield I und II empfiehlt sich eine ergänzende vertragliche Absicherung.
Für alle anderen Drittländer ohne Angemessenheitsbeschluss – darunter China, Mexiko, Indien und die Türkei – sind die zentralen Instrumente:
- Standardvertragsklauseln (SCC) der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO: Seit 2021 gelten überarbeitete SCC in vier modularen Varianten (Verantwortlicher → Verantwortlicher, Verantwortlicher → Auftragsverarbeiter, Auftragsverarbeiter → Auftragsverarbeiter, Auftragsverarbeiter → Verantwortlicher). Sie sind das in der Praxis meistgenutzte Transferinstrument.
- Binding Corporate Rules (BCR): Konzerninterne Datenschutzregeln, die von der zuständigen Datenschutzbehörde genehmigt werden müssen. Aufwand und Dauer der Genehmigung machen BCR eher für Großkonzerne geeignet.
- Genehmigte Verhaltensregeln und Zertifizierungen (Art. 40, 42 DSGVO): In der Automobilzulieferindustrie noch wenig verbreitet.
- Ausnahmetatbestände des Art. 49 DSGVO: u. a. ausdrückliche Einwilligung oder Notwendigkeit zur Vertragserfüllung. Diese Ausnahmen sind eng auszulegen und nach der Rechtsprechung und Leitlinien der Europäischen Datenschutzbehörden (EDPB) auf nichtwiederholende, gelegentliche Transfers beschränkt.
Welches Instrument passt, hängt von Transferrichtung, Empfängerkategorie, Sensibilität der Daten und der Einbettung in Konzernstrukturen ab. Nach unserer Erfahrung bilden SCC in Kombination mit einem Transfer Impact Assessment (TIA) für den mittelständischen Zulieferer regelmäßig die tragfähigste Grundlage.
Was sind Standardvertragsklauseln (SCC) und warum reichen sie allein oft nicht aus?
Standardvertragsklauseln sind von der EU-Kommission erlassene Musterverträge, die zwischen dem Datenexporteur (europäisches Unternehmen) und dem Datenimporteur (Empfänger im Drittland) abzuschließen sind. Sie sind rechtlich verbindlich und können nicht individuell abgewandelt werden – Ergänzungen sind zulässig, solange sie den SCC nicht widersprechen.
Das Grundproblem: SCC stellen einen vertraglichen Rahmen bereit, sie können aber nicht das Recht des Empfängerlandes außer Kraft setzen. Wenn staatliche Behörden im Drittland – etwa US-Geheimdienste nach dem Foreign Intelligence Surveillance Act (FISA) oder chinesische Sicherheitsbehörden nach dem Cybersecurity Law – Zugriff auf die Daten verlangen können, bleibt die vertragliche Absicherung strukturell begrenzt.
Genau deshalb hat der Europäische Gerichtshof (EuGH) in der Entscheidung, die als „Schrems II" bekannt wurde, klargestellt, dass Datenexporteure vor jedem SCC-basierten Transfer eine eigenständige Risikoanalyse durchführen müssen – das sogenannte Transfer Impact Assessment. Dieses Erfordernis ist heute in den Empfehlungen des EDPB (01/2020) konkretisiert und wird von deutschen Datenschutzbehörden aktiv geprüft.
Für Automobilzulieferer mit Transferbeziehungen in mehrere Drittländer gleichzeitig bedeutet das: SCC sind der Ausgangspunkt, nicht das Ziel. Die ergänzenden technischen und organisatorischen Maßnahmen sowie das TIA sind integraler Bestandteil der Rechtskonformität.
Was ist ein Transfer Impact Assessment (TIA) und wie wird es erstellt?
Ein Transfer Impact Assessment ist die rechtliche und tatsächliche Bewertung, ob das Schutzniveau im Empfängerland dem europäischen Standard im Wesentlichen gleichwertig ist – und welche zusätzlichen Maßnahmen erforderlich sind, wenn es das nicht ist. Es ist kein optionales Zusatzdokument, sondern zwingende Voraussetzung für rechtskonforme Drittlandtransfers auf SCC-Basis.
Die Erstellung folgt einem strukturierten Prüfpfad:
- Transferidentifikation: Welche Datenkategorien, Datenmengen und Empfänger sind betroffen? ERP-Stammdaten, Qualitätsprotokolle, Personalakten und Telematikdaten haben unterschiedliche Risikogewichte.
- Rechtslagebewertung im Empfängerland: Welche staatlichen Zugriffsbefugnisse bestehen? Gibt es Datenschutzgesetze, effektive Rechtsmittel für Betroffene, unabhängige Aufsichtsbehörden?
- Lückenbewertung: Wo weicht das Schutzniveau vom europäischen Maßstab ab? Dieser Schritt erfordert rechtskundige Kenntnis des jeweiligen nationalen Rechts – für China, Mexiko und die USA ergeben sich strukturell unterschiedliche Probleme.
- Ergänzende Maßnahmen: Verschlüsselung (sodass nur der Empfänger in Europa den Schlüssel hält), Pseudonymisierung, Datensparsamkeit, vertragliche Klauseln über Benachrichtigung bei Behördenanfragen.
- Gesamtbewertung und Dokumentation: Ist der Transfer trotz verbleibendem Restrisiko vertretbar? Diese Entscheidung muss dokumentiert und von der verantwortlichen Stelle – also dem Unternehmen – getroffen werden.
Nach unserer Erfahrung unterschätzen mittelständische Unternehmen den Dokumentationsaufwand erheblich. Ein belastbares TIA umfasst je nach Transferkomplexität erfahrungsgemäß mehrere Dutzend Seiten. Es ist gleichzeitig das wichtigste Verteidigungsdokument gegenüber der Datenschutzbehörde, wenn diese im Rahmen einer Prüfung nachfragt.
Welche Besonderheiten gelten für Datentransfers in der Automobilzulieferkette?
Die Automobilzulieferindustrie hat strukturelle Eigenheiten, die Datentransfers besonders komplex machen. Zulieferer sind typischerweise sowohl Datenverantwortliche (gegenüber ihren eigenen Beschäftigten und Kunden) als auch Auftragsverarbeiter (wenn sie Daten im Auftrag des OEM verarbeiten) – und gelegentlich beides in einem einzigen Prozess.
Telematik- und Fahrzeugdaten, Konstruktionsdaten und Qualitätsinformationen können personenbezogene Daten enthalten, wenn sie auf identifizierbare Personen rückführbar sind – etwa auf Testfahrer, Fertigungsmitarbeiter oder Auftragnehmer. Die Grenze zwischen Unternehmens- und Personendaten ist fließend und wird von Datenschutzbehörden zunehmend streng gezogen.
Hinzu kommt die Lieferkettenverpflichtung aus Richtung der OEMs: Große Automobilhersteller integrieren Datenschutzanforderungen mittlerweile in ihre Lieferantenaudits. Ein Zulieferer, der keine belastbaren SCC-Verträge und kein TIA vorweisen kann, riskiert nicht nur Bußgelder durch die Datenschutzbehörde, sondern auch den Verlust von Lieferantenzertifizierungen oder der Eignung für neue Ausschreibungen.
Darüber hinaus sehen wir in der Mandatspraxis zunehmend Situationen, in denen konzernweite IT-Plattformen (häufig von US-Anbietern betrieben) gleichzeitig Daten aus europäischen Fertigungsstandorten, asiatischen Entwicklungszentren und nordamerikanischen Vertriebsgesellschaften verarbeiten. In diesen Konstellationen ist die Verantwortlichkeitsabgrenzung und die korrekte Modulwahl bei den SCC eine eigenständige rechtliche Herausforderung.
Welche Pflichten treffen die Geschäftsführung persönlich?
Die DSGVO richtet sich an den Verantwortlichen – das ist bei einer GmbH das Unternehmen selbst. Die persönliche Haftung der Geschäftsführer folgt jedoch aus dem Gesellschaftsrecht: Wer als Geschäftsführer die Einführung datenschutzrechtswidriger Prozesse duldet oder nicht für ausreichende Compliance-Strukturen sorgt, kann nach § 43 GmbHG gegenüber der Gesellschaft haftbar gemacht werden.
Behörden und Gerichte haben in verschiedenen Mitgliedstaaten begonnen, Bußgeldverfahren auch gegen natürliche Personen zu führen – in Deutschland ist dies nach geltendem BDSG zwar strukturell limitiert, aber das unternehmensgerichtete Bußgeld trifft die wirtschaftliche Substanz unmittelbar. Bußgelder nach Art. 83 DSGVO können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen – der jeweils höhere Wert gilt.
Konkret: Die Geschäftsführung eines mittelständischen Zulieferers mit 80 Millionen Euro Jahresumsatz, der personenbezogene Daten ohne gültige Transfergrundlage nach China übermittelt, setzt das Unternehmen einem Bußgeldrisiko von potenziell 3,2 Millionen Euro aus. Das ist eine Governance-Frage, keine IT-Frage.
Welche Schritte schützen die Geschäftsführung? Die Einrichtung eines nachweisbaren Datenschutz-Management-Systems, regelmäßige Überprüfung der Transfergrundlagen, dokumentierte Verantwortlichkeiten und die zeitnahe Einbindung des Datenschutzbeauftragten (DSB) gehören zu den Mindestanforderungen, die in einem Verfahren als Entlastungsindizien herangezogen werden können.
Was passiert, wenn die Datenschutzbehörde einen Drittlandtransfer prüft?
Eine Prüfung durch die Datenschutzbehörde beginnt typischerweise entweder aufgrund einer Beschwerde – von einem Mitarbeiter, Kunden oder einer NGO – oder aufgrund einer anlasslosen Prüfkampagne der Behörde. In Deutschland haben die Landesbehörden (z. B. der Bayerische Landesbeauftragte für Datenschutz oder die Berliner Beauftragte für Datenschutz) in den vergangenen Jahren gezielt Transfers in Drittländer geprüft.
Der typische Ablauf: Die Behörde übermittelt einen Fragebogen oder eine förmliche Auskunftsanfrage nach § 40 BDSG. Unternehmen haben in der Regel eine Antwortfrist von wenigen Wochen, die im Einzelfall verlängerbar ist. Die Antwort muss vollständig und konsistent sein – Widersprüche zwischen Verzeichnis von Verarbeitungstätigkeiten, TIA und tatsächlicher Praxis sind ein häufiges Angriffspunkt.
Folgen bei festgestellten Mängeln: Beanstandung ohne Bußgeld, Anweisung zur Unterlassung des Transfers, förmliches Bußgeldverfahren oder – im Extremfall – vorübergehende Aussetzung des Transfers. Letzteres kann bei einem Zulieferer, der in Echtzeit Produktionsdaten mit einem asiatischen Fertigungsstandort synchronisiert, unmittelbare Betriebsunterbrechungen auslösen.
Nach unserer Erfahrung zeigt eine strukturierte, vollständige und proaktive Antwort gegenüber der Datenschutzbehörde erhebliche positive Wirkung. Unternehmen, die ein belastbares TIA, aktuell unterzeichnete SCC und ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten vorweisen können, beenden Prüfverfahren regelmäßig ohne förmliche Sanktionen.
Was gilt für Datenmeldepflichten nach einer Datenpanne bei Drittlandtransfers?
Drittlandtransfers und Datenpannenmeldungen sind rechtlich voneinander unabhängige Pflichten – aber sie treten in der Praxis häufig gemeinsam auf. Wenn ein Sicherheitsvorfall bei einem Empfänger im Drittland eintritt – etwa ein Ransomware-Angriff auf einen chinesischen Zulieferer mit Zugriff auf europäische Mitarbeiterdaten –, beginnt die 72-Stunden-Meldepflicht nach Art. 33 DSGVO unmittelbar mit dem Zeitpunkt, zu dem der Verantwortliche Kenntnis erlangt.
Die Meldung muss binnen 72 Stunden an die zuständige Datenschutzbehörde erfolgen – unabhängig davon, ob der Vorfall im Inland oder im Drittland stattgefunden hat. Liegt die Kenntnis des Vorfalls erst nach 72 Stunden vor, ist die verspätete Meldung zu begründen. Eine fehlende oder verspätete Meldung ist selbst ein Bußgeldtatbestand.
Für Automobilzulieferer mit externen Verarbeitern im Drittland bedeutet das: Die vertraglichen Vereinbarungen in den SCC müssen eine Verpflichtung des Datenimporteurs enthalten, den Exporteur unverzüglich über Sicherheitsvorfälle zu informieren. Fehlt diese Klausel oder wird sie nicht gelebt, entsteht eine strukturelle Lücke in der 72-Stunden-Kette.
Wie sollte ein mittelständischer Automobilzulieferer seine Transferstruktur dokumentieren?
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist die Ausgangsbasis. Für jeden Verarbeitungsvorgang mit Drittlandbezug ist dort die Transfergrundlage zu benennen. In der Praxis stellen wir fest, dass VVTs häufig unvollständig gepflegt werden – insbesondere fehlen Angaben zu konzerninternen Weiterleitungen oder zu Cloud-Diensten mit Serverstandorten außerhalb des EWR.
Eine belastbare Dokumentationsstruktur für Drittlandtransfers umfasst mindestens:
- VVT-Eintrag mit konkreter Angabe des Empfängerlandes, der Empfängerkategorie und der gewählten Transfergrundlage;
- Unterzeichnete SCC in der aktuellen Fassung (seit 2021) mit allen relevanten Anlagen und ggf. Ergänzungsklauseln;
- TIA-Dokumentation für jeden Drittlandtransfer, datiert und von der verantwortlichen Person freigegeben;
- Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, wenn der Empfänger als Auftragsverarbeiter tätig ist – zusätzlich zu, nicht alternativ zu den SCC;
- Regelmäßige Überprüfung mindestens jährlich oder anlassbezogen (z. B. nach Rechtsänderungen im Empfängerland, Wechsel des Dienstleisters, Änderung der verarbeiteten Datenkategorien).
Wird die Dokumentation lückenlos geführt und aktuell gehalten, dient sie nicht nur der rechtlichen Absicherung, sondern auch als Instrument zur internen Governance: Die Geschäftsführung kann jederzeit den Status der Transferabsicherung gegenüber Gesellschaftern, Aufsichtsräten oder Versicherern nachweisen.
Gibt es Unterschiede je nach Empfängerland – USA, China, Mexiko?
Ja, erhebliche. Die Rechtsrahmen der häufigsten Drittländer in der Automobilzulieferkette unterscheiden sich grundlegend.
Vereinigte Staaten: Seit Juli 2023 gilt der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework. Dieser gilt jedoch nur für zertifizierte US-Unternehmen. Ist der Empfänger nicht DPF-zertifiziert, sind SCC + TIA erforderlich. Das US-Recht enthält weitreichende staatliche Zugriffsbefugnisse (u. a. FISA Section 702, Executive Order 12333), die im TIA zu bewerten sind.
China: Kein Angemessenheitsbeschluss. Chinesisches Recht (insbesondere Personal Information Protection Law – PIPL, Data Security Law – DSL, Cybersecurity Law – CSL) verlangt unter Umständen selbst eine Genehmigung für Datentransfers aus China heraus. Das TIA für China-Transfers ist besonders komplex und muss das Spannungsverhältnis zwischen chinesischen Datenherausgabepflichten gegenüber Behörden und der DSGVO ausleuchten. Die Vereinbarkeit von SCC mit dem PIPL-Regime ist rechtlich noch nicht vollständig geklärt.
Mexiko: Kein Angemessenheitsbeschluss. Mexiko verfügt mit dem Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) über ein eigenes Datenschutzgesetz, das international als moderat angesehen wird. SCC können verwendet werden; das TIA fällt im Vergleich zu China regelmäßig weniger aufwändig aus, ist aber gleichwohl erforderlich.
Welcher Aufwand im Einzelfall gerechtfertigt ist, hängt von der Sensibilität der transferierten Daten, dem Volumen und der Häufigkeit der Transfers sowie der strategischen Bedeutung der Transferbeziehung ab.
Was sind typische Fehler bei der Gestaltung internationaler Datentransfers?
Aus der Beratungspraxis lassen sich wiederkehrende Muster identifizieren, die bei Behördenprüfungen regelmäßig beanstandet werden:
- Veraltete SCC: Die alten Standardvertragsklauseln aus dem Jahr 2010 bzw. 2004 durften nur bis Ende 2022 für neue Transfers verwendet werden. Werden sie noch eingesetzt, fehlt die wirksame Transfergrundlage.
- Fehlende TIA: SCC wurden abgeschlossen, aber kein TIA dokumentiert. Nach Schrems II ist das SCC ohne TIA keine ausreichende Grundlage.
- Falsches SCC-Modul: Modul 1 (Verantwortlicher → Verantwortlicher) und Modul 2 (Verantwortlicher → Auftragsverarbeiter) werden verwechselt. Die Folge: Der Vertrag deckt die tatsächliche Verarbeitungsstruktur nicht ab.
- AVV und SCC nicht aufeinander abgestimmt: Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und die SCC enthalten widersprüchliche Regelungen zu Löschfristen, Subauftragsverarbeitung oder Audit-Rechten.
- Nicht aktualisiertes VVT: Cloud-Dienstleister, die ihren Serverstandort von Europa in die USA verlagern, lösen automatisch einen neuen Drittlandtransfer aus – aber das VVT wird nicht angepasst.
- Keine Überprüfung bei Rechtsänderungen: Das TIA für China-Transfers aus dem Jahr 2021 berücksichtigt weder das PIPL noch das DSL, die danach in Kraft traten.
Fragt man sich, ob das eigene Unternehmen von diesen Fehlern betroffen ist, lohnt ein strukturierter Datenschutz-Audit mit Fokus auf Drittlandtransfers. Dieser ist in der Regel schneller und weniger aufwändig als ein behördliches Bußgeldverfahren.
Wann sollte ein Automobilzulieferer anwaltliche Begleitung hinzuziehen?
Die rechtliche Bewertung eines Drittlandtransfers setzt Kenntnisse des europäischen Datenschutzrechts, des nationalen Rechts des Empfängerlandes und der einschlägigen EDPB-Leitlinien voraus. Ein interner Datenschutzbeauftragter kann diese Aufgabe in vielen Fällen nicht allein leisten – insbesondere dann nicht, wenn Transfers in mehrere Länder gleichzeitig abgesichert werden müssen oder wenn die verarbeiteten Daten besonders sensitiv sind.
Anwaltliche Begleitung ist in folgenden Situationen besonders geboten:
- Erstmalige Einführung eines globalen ERP-Systems oder Cloud-Dienstes mit Drittlandbezug;
- Akquisition eines ausländischen Unternehmens oder Integration einer neuen Landesgesellschaft;
- Anfrage oder Prüfung durch eine Datenschutzbehörde;
- Hinweis auf Datenpanne beim Empfänger im Drittland;
- Überarbeitung der gesamten Datenschutzdokumentation nach Rechtsänderungen (z. B. nach Schrems II oder dem Inkrafttreten des PIPL);
- Anforderungen durch OEMs oder Lieferantenaudits, die den Nachweis konformer Drittlandtransfers verlangen.
Die vorstehende Darstellung beschreibt die Regelfälle. Ihr konkreter Transfer erfordert die Prüfung Ihrer spezifischen Datenflüsse, Vertragswerke, Empfängerländer und der einschlägigen aktuellen Rechtsprechung und Behördenpraxis.
Zur Klärung, welche Transferinstrumente auf Ihr Unternehmen wirken und wie Sie Ihre Drittlandtransfers belastbar absichern, wenden Sie sich an info@brandtfalk.com.
Häufige Fragen zu internationalen Datentransfers in der Automobilzulieferindustrie
Was ist ein Drittlandtransfer nach der DSGVO?
Ein Drittlandtransfer liegt vor, wenn personenbezogene Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt oder zugänglich gemacht werden. Dies gilt auch für Remote-Zugriffe ausländischer IT-Dienstleister auf europäische Systeme. Die DSGVO stellt in Art. 44–49 strenge Anforderungen an die Zulässigkeit solcher Transfers. Ausnahmen für den Mittelstand sieht das Gesetz nicht vor.
Sind Standardvertragsklauseln (SCC) für alle Drittländer geeignet?
SCC können grundsätzlich für Transfers in jedes Drittland ohne Angemessenheitsbeschluss eingesetzt werden. Sie müssen jedoch durch ein Transfer Impact Assessment (TIA) ergänzt werden, das die Rechtsschutzlage im Empfängerland bewertet. Für Transfers nach China ist die Vereinbarkeit von SCC mit dem chinesischen PIPL-Regime noch nicht abschließend geklärt und erfordert besondere Sorgfalt.
Welche Strafe droht bei unrechtmäßigen Drittlandtransfers?
Nach Art. 83 Abs. 5 DSGVO drohen bei Verstößen gegen die Drittland-Transfervorschriften Bußgelder von bis zu 20 Millionen Euro oder – bei Unternehmen – bis zu 4 % des gesamten weltweiten Jahresumsatzes, wobei der jeweils höhere Betrag gilt. Hinzu können Anordnungen zur Aussetzung des Transfers kommen, die unmittelbare Betriebsfolgen haben können.
Muss für jeden Drittlandtransfer ein eigenes TIA erstellt werden?
Das TIA muss für jeden Transfer in ein Drittland erstellt werden, für das kein Angemessenheitsbeschluss besteht. Es ist jedoch möglich, für gleichartige Transfers in dasselbe Land ein TIA zu erstellen und dieses auf mehrere Verarbeitungsvorgänge anzuwenden, sofern die tatsächlichen Umstände vergleichbar sind. Das TIA ist anlassbezogen zu aktualisieren – insbesondere bei Rechtsänderungen im Empfängerland.
Gilt das EU-U.S. Data Privacy Framework (DPF) für alle US-Unternehmen?
Nein. Das DPF gilt nur für US-Unternehmen, die sich freiwillig beim DPF-Register des US-Handelsministeriums zertifiziert haben. Ist der US-Empfänger nicht zertifiziert, ist das DPF keine gültige Transfergrundlage – es sind SCC plus TIA erforderlich. Die Liste zertifizierter Unternehmen ist öffentlich einsehbar und sollte vor Transferbeginn geprüft werden.
Was passiert, wenn die Datenschutzbehörde einen laufenden Transfer beanstandet?
Die Datenschutzbehörde kann zunächst eine Beanstandung aussprechen und Abhilfemaßnahmen anordnen. In schwerwiegenden Fällen kann sie die vorübergehende oder dauerhafte Aussetzung des Transfers anordnen und ein Bußgeldverfahren einleiten. Eine kooperative, vollständige und schnelle Reaktion auf behördliche Anfragen sowie belastbare Dokumentation reduzieren das Sanktionsrisiko erheblich.
Müssen neben SCC auch Auftragsverarbeitungsverträge (AVV) abgeschlossen werden?
Ja, wenn der Empfänger im Drittland Daten im Auftrag des europäischen Unternehmens verarbeitet, ist zusätzlich ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich – und zwar als eigenständiges Dokument, das neben den SCC besteht. SCC und AVV müssen inhaltlich aufeinander abgestimmt sein; Widersprüche zwischen beiden Dokumenten sind ein häufiger Beanstandungsgrund.
Welche Rolle spielt der Datenschutzbeauftragte (DSB) bei Drittlandtransfers?
Der DSB ist gemäß Art. 39 DSGVO in alle datenschutzrelevanten Maßnahmen frühzeitig einzubeziehen. Bei der Einführung neuer Drittlandtransfers sollte er die Auswahl des Transferinstruments und die TIA-Erstellung begleiten. Der DSB kann jedoch nicht die Verantwortung der Geschäftsführung ersetzen – rechtliche Entscheidungen über Transfergrundlagen treffen die Verantwortlichen des Unternehmens.
Wie oft müssen SCC und TIA überprüft werden?
Eine regelmäßige Überprüfung mindestens einmal jährlich ist empfehlenswert. Anlassbezogen ist eine sofortige Überprüfung erforderlich: bei Rechtsänderungen im Empfängerland, bei Wechsel des Dienstleisters oder Änderungen im Verarbeitungsumfang, nach Sicherheitsvorfällen beim Empfänger sowie nach neuen EDPB-Leitlinien oder Entscheidungen des EuGH. Veraltete TIA sind bei Behördenprüfungen ein besonders häufiger Beanstandungsgrund.
Was gilt bei konzerninternen Datentransfers zwischen europäischen und außereuropäischen Gesellschaften?
Konzerninterne Transfers sind grundsätzlich genauso zu behandeln wie Transfers an externe Empfänger. Als Instrument stehen neben SCC auch Binding Corporate Rules (BCR) zur Verfügung, die von der zuständigen Behörde genehmigt werden müssen. BCR bieten mehr Flexibilität bei konzernweiten Datenflüssen, erfordern aber einen erheblichen Implementierungsaufwand und sind vor allem für größere Konzernstrukturen geeignet.
Gibt es Erleichterungen für kleine und mittelständische Unternehmen (KMU) bei Drittlandtransfers?
Die DSGVO kennt keine formellen Erleichterungen für KMU bei den materiellen Anforderungen an Drittlandtransfers. Unternehmen mit weniger als 250 Mitarbeitern sind unter bestimmten engen Voraussetzungen von der Pflicht zur Führung eines vollständigen Verzeichnisses von Verarbeitungstätigkeiten befreit – wenn die Verarbeitung jedoch Risiken für Betroffene birgt oder regelmäßig erfolgt, gilt diese Ausnahme nicht. Das RIsikopotenzial unrechtmäßiger Transfers ist für KMU ebenso hoch wie für Großunternehmen.
Was sollte ein Automobilzulieferer als ersten Schritt unternehmen?
Der erste Schritt ist eine vollständige Bestandsaufnahme aller Datenflüsse mit Drittlandbezug: Welche Daten fließen wohin, auf welcher Grundlage, mit welchem Vertragswerk? Diese Transferkartierung bildet die Grundlage für die Priorisierung der notwendigen Maßnahmen. Im zweiten Schritt sind für jeden identifizierten Transfer die SCC-Verträge und TIAs auf Aktualität und Vollständigkeit zu prüfen. Die anwaltliche Begleitung beider Schritte ist empfehlenswert.
Verwandte Leistungen
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Transferstruktur, Vertragswerke, Fristen und der einschlägigen Behördenpraxis. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.