Ein Baukonzern aus dem bayerischen Mittelstand bezieht Planungsleistungen von einem Subunternehmer in der Türkei, ein Hamburger Generalunternehmer nutzt eine Cloud-Plattform mit Serverstandort in den USA für sein Projektmanagement, und ein mittelständischer Fertigteilhersteller aus Sachsen überträgt Mitarbeiterdaten an seinen indischen IT-Dienstleister. Was alle drei Szenarien verbindet: Personenbezogene Daten verlassen den Europäischen Wirtschaftsraum – und die Geschäftsführer haften persönlich, wenn dabei der Rechtsrahmen der Datenschutz-Grundverordnung (DSGVO) nicht eingehalten wird.
Internationale Datentransfers rechtssicher gestalten gelingt durch den Einsatz geeigneter Transfermechanismen nach Kapitel V DSGVO – namentlich Standardvertragsklauseln (SCC) der Europäischen Kommission, Binding Corporate Rules (BCR) oder den EU-US-Datenschutzrahmen (Data Privacy Framework). Fehlt ein solcher Mechanismus, drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes sowie Anordnungen der Aufsichtsbehörde, Datenflüsse sofort einzustellen. Dieser Beitrag zeigt Bauunternehmen, welche Instrumente in der Praxis tragfähig sind, welche Fallstricke besondere Aufmerksamkeit erfordern und wie die anwaltliche Begleitung den Prozess absichert.
Im Folgenden beleuchten wir zunächst den Rechtsrahmen für internationale Datentransfers, analysieren dann die typischen Datenflüsse der Bauwirtschaft, erläutern die Standardvertragsklauseln als Kerninstrument, gehen auf das Transfer Impact Assessment (Folgenabschätzung für den Datentransfer) als Pflichtschritt ein, beschreiben das Verfahren bei Behördenaufsicht und schließen mit einem strukturierten Fahrplan für die Umsetzung.
Welche Rechtsgrundlage gilt für internationale Datentransfers nach der DSGVO?
Sobald personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden, greifen die Drittlandtransfer-Regeln des Kapitels V DSGVO. Die DSGVO kennt hierfür drei Hierarchiestufen: Angemessenheitsbeschlüsse der EU-Kommission, geeignete Garantien (Art. 46 DSGVO) sowie enge Ausnahmen für Einzelfälle (Art. 49 DSGVO).
Angemessenheitsbeschlüsse existieren derzeit u. a. für die Schweiz, Japan, das Vereinigte Königreich, Kanada (teilweise) und seit Juli 2023 für die USA im Rahmen des EU-US-Datenschutzrahmens. Für Drittländer ohne Angemessenheitsbeschluss – darunter die Türkei, Indien, China und viele Baumarkt-Zieljurisdiktionen – sind geeignete Garantien nach Art. 46 DSGVO zwingend erforderlich. Die in der Praxis bei weitem häufigste Garantie sind die Standardvertragsklauseln (SCC) der Europäischen Kommission in der Fassung von 2021. Die Ausnahmen des Art. 49 DSGVO – etwa ausdrückliche Einwilligung oder Vertragserfüllung – sind nach der Rechtsprechung des Europäischen Gerichtshofs und den Leitlinien des Europäischen Datenschutzausschusses (EDSA) nur für gelegentliche und nicht repetitive Transfers zulässig; auf eine dauerhafte Nutzung in Cloud-Infrastrukturen oder Subunternehmerbeziehungen lassen sie sich nicht stützen.
Für Geschäftsführer mittelständischer Bauunternehmen bedeutet das: Wer dauerhaft und systematisch Daten ins Ausland überträgt – was bei moderner Bauprojektverwaltung praktisch immer der Fall ist –, muss einen tragfähigen Transfermechanismus nachweisen können. Die Aufsichtsbehörden, allen voran das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) und die Berliner Beauftragte für Datenschutz und Informationsfreiheit, prüfen genau diesen Punkt bei Beschwerden und anlassbezogenen Prüfungen.
Typische Datenflüsse in der Bauwirtschaft: Wo entstehen Transferrisiken?
Die Bauwirtschaft unterscheidet sich von anderen Branchen durch einen hohen Grad an Projektarbeit, eine stark fragmentierte Lieferkette aus internationalen Subunternehmern und Planern sowie eine zunehmend digitale Infrastruktur. Aus datenschutzrechtlicher Sicht entstehen internationale Datentransfers deshalb an mehreren Stellen gleichzeitig.
Erstens: Building Information Modelling (BIM) und cloudbasierte Projektmanagementsoftware. Plattformen wie Autodesk Construction Cloud, Procore oder vergleichbare Werkzeuge speichern Projektdaten – darunter personenbezogene Informationen zu Mitarbeitern, Subunternehmervertretern und Bauherren – auf Servern, die häufig in den USA oder anderen Drittstaaten betrieben werden. Selbst wenn der Anbieter einen EU-Serverstandort anbietet, können Support-Zugriffe aus Drittländern datenschutzrechtlich relevante Transfers auslösen.
Zweitens entstehen Datenflüsse durch internationale Subunternehmer und Nachunternehmer. Ein Generalunternehmer, der auf einer deutschen Großbaustelle Fachkräfte eines polnischen, türkischen oder ukrainischen Subunternehmers einsetzt, überträgt für Zutrittskontrollen, Lohnabrechnung oder Versicherungsnachweise personenbezogene Daten – mitunter auch an Server in Drittländern, auf die der Subunternehmer zugreift.
Drittens nutzen viele Bauunternehmen global aufgestellte HR-, ERP- oder Buchhaltungssysteme, deren Support und Wartung von Standorten außerhalb des EWR aus erfolgt. Auch der Abruf von Projektdaten durch ausländische Muttergesellschaften oder Joint-Venture-Partner stellt einen Transfer dar, der einer Rechtsgrundlage bedarf.
In der Mandatspraxis sehen wir regelmäßig, dass Bauunternehmen diese Datenflüsse nicht systematisch erfasst haben. Ein lückenhaftes Verarbeitungsverzeichnis nach Art. 30 DSGVO ist dann die Ausgangslage – und zugleich der erste Ansatzpunkt für eine behördliche Beanstandung.
Standardvertragsklauseln: Das Kerninstrument für internationale Datentransfers
Die Standardvertragsklauseln der Europäischen Kommission in der aktuellen Fassung vom Juni 2021 sind für die übergroße Mehrheit mittelständischer Bauunternehmen das praktisch handhabbarste Instrument, um internationale Datentransfers rechtssicher zu gestalten. Sie sind vorgefertigte Vertragsmodule, die zwischen dem Datenexporteur (z. B. dem deutschen Bauunternehmen) und dem Datenimporteur (z. B. dem US-amerikanischen Cloud-Anbieter oder dem türkischen Subunternehmer) abgeschlossen werden.
Die aktuellen SCC unterscheiden vier Übertragungsszenarien: Verantwortlicher → Verantwortlicher; Verantwortlicher → Auftragsverarbeiter; Auftragsverarbeiter → Auftragsverarbeiter; Auftragsverarbeiter → Verantwortlicher. Für Bauunternehmen relevant sind besonders die Module 1 und 2: Wenn die BIM-Plattform als Auftragsverarbeiter handelt, ist Modul 2 einschlägig; wenn ein ausländischer Planungspartner eigene Entscheidungsbefugnisse über die Datenverarbeitung hat, ist Modul 1 der richtige Rahmen.
Wichtig: Die SCC dürfen nicht inhaltlich verändert werden; zulässig ist lediglich die Aufnahme von Zusatzklauseln, soweit diese den Schutz nicht unterschreiten. Ein häufiger Fehler in der Praxis besteht darin, SCC lediglich als Anhang zum Hauptvertrag zu integrieren, ohne die maßgeblichen Anhänge (Beschreibung der Übertragung, Sicherheitsmaßnahmen, Liste der Unterauftragsverarbeiter) sorgfältig auszufüllen. Leere oder pauschal ausgefüllte Anhänge sind nach Einschätzung der Aufsichtsbehörden nicht ausreichend.
Nach unserer Erfahrung aus der Beratung von Bauunternehmen werden SCC zwar häufig abgeschlossen, aber selten gepflegt. Wechseln Subunternehmer, ändern sich Serverstandorte oder treten neue Unterauftragsverarbeiter hinzu, muss das Vertragswerk aktualisiert werden. Andernfalls besteht eine formelle Lücke, die im Rahmen einer behördlichen Prüfung sofort sichtbar wird.
Transfer Impact Assessment: Warum eine reine SCC-Unterzeichnung nicht ausreicht
Seit dem Schrems-II-Urteil des Europäischen Gerichtshofs vom Juli 2020 und den nachfolgenden Empfehlungen des EDSA ist klargestellt: Die bloße Unterzeichnung von SCC genügt nicht. Datenexporteure müssen zusätzlich ein Transfer Impact Assessment (TIA) – zu Deutsch: eine Folgenabschätzung für den Datentransfer – durchführen. Dieses Dokument prüft, ob die Rechtsordnung des Zieldrittstatlandes den durch die SCC gewährten Schutz in der Praxis untergräbt.
Ein TIA für die Bauwirtschaft muss folgende Elemente umfassen: Zunächst eine Analyse des Rechtssystems im Drittland, insbesondere staatlicher Zugriffsmöglichkeiten auf Daten (z. B. durch Geheimdienstgesetze wie den US CLOUD Act). Dann eine Bewertung, ob die vertraglich vereinbarten Schutzmaßnahmen – technische Maßnahmen wie Ende-zu-Ende-Verschlüsselung, organisatorische Maßnahmen wie Zugriffsbeschränkungen – ausreichen, um staatliche Zugriffe wirksam zu verhindern oder ins Leere laufen zu lassen. Schließlich eine Schlussfolgerung: Ist der Transfer trotz Risiken tragbar, oder sind zusätzliche Schutzmaßnahmen (sog. supplementary measures) erforderlich?
Für Transfers in die USA ermöglicht der EU-US-Datenschutzrahmen (Data Privacy Framework, DPF) seit Juli 2023 einen vereinfachten Weg: Ist der US-amerikanische Empfänger unter dem DPF zertifiziert, entfällt die Notwendigkeit eines TIA für diesen Transfer. Für Länder ohne vergleichbaren Angemessenheitsbeschluss – darunter die Türkei, Indien und weite Teile des Nahen Ostens – bleibt das TIA hingegen Pflicht.
In der Beratungspraxis stellen wir fest, dass TIAs in vielen mittelständischen Bauunternehmen entweder gar nicht existieren oder als einmalige Übung abgehakt wurden. Da sich sowohl die Rechtslage in Drittländern als auch die technischen Gegebenheiten ändern, ist eine regelmäßige Überprüfung – mindestens jährlich oder bei wesentlichen Änderungen der Verarbeitungsstruktur – geboten.
Was droht bei Verstößen? Behördenaufsicht und persönliche Haftung der Geschäftsführung
Verstöße gegen die Drittlandtransfer-Regeln der DSGVO zählen zu den bußgeldbewehrten Tatbeständen im oberen Sanktionsrahmen. Die Aufsichtsbehörden können Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängen – je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Für mittelständische Bauunternehmen mit einem Jahresumsatz von beispielsweise 50 Mio. € bedeutet das ein maximales Bußgeldrisiko von 2 Mio. €.
Neben dem Bußgeld kann die Aufsichtsbehörde nach Art. 58 Abs. 2 DSGVO auch Abhilfemaßnahmen anordnen – bis hin zur Untersagung der Datenverarbeitung oder der Einstellung von Datentransfers. Eine solche Anordnung kann den Betriebsablauf erheblich stören: Muss eine BIM-Plattform abgeklemmt werden, weil der Transfer nicht legalisiert ist, sind Projektverzögerungen und Vertragsstrafen gegenüber Bauherren die unmittelbare Folge.
Für Geschäftsführer einer GmbH kommt hinzu: Die Pflicht zur DSGVO-konformen Organisation gehört nach ganz herrschender Auffassung zu den Leitungsaufgaben im Sinne des § 43 GmbHG. Ein Geschäftsführer, der keine angemessenen Transfermechanismen eingerichtet und keine TIAs dokumentiert hat, riskiert bei einem daraus folgenden Schaden die persönliche Innenhaftung gegenüber der Gesellschaft. Fragt Sie ein Bauherr nach dem Nachweis DSGVO-konformer Datenverarbeitung – was bei öffentlichen Vergaben zunehmend Praxis ist –, fehlt dieser Nachweis, droht der Auftragsverlust.
Besonderes Augenmerk verdient in der Bauwirtschaft das Thema Datenpannen: Werden bei einem Cyberangriff auf eine Projektmanagement-Plattform personenbezogene Daten abgegriffen, die zuvor ohne ausreichende Transfergrundlage in ein Drittland übermittelt wurden, liegt neben dem Datenpannen-Verstoß ein weiterer Verstoß gegen Kapitel V DSGVO vor. Die Meldepflicht gegenüber der Aufsichtsbehörde gilt binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO) – parallel zur Aufarbeitung des Transferverstoßes.
Aus der Mandatspraxis: Die Kanzlei beriet ein mittelständisches Bauunternehmen mit rund 300 Beschäftigten aus dem Rhein-Main-Gebiet, das im Rahmen eines Großprojekts eine cloudbasierte Projektmanagementlösung eines US-amerikanischen Anbieters eingesetzt hatte. Ausgangslage: Die für den Betrieb vereinbarten SCC lagen zwar als Anhang zum Auftragsverarbeitungsvertrag vor, die Anhänge zur Beschreibung der Übertragung waren jedoch blanko geblieben; ein TIA existierte nicht. Im Rahmen einer anlassbezogenen Prüfung durch die zuständige Landesbehörde wurden beide Lücken beanstandet. Vorgehen: Die Kanzlei koordinierte die unverzügliche Nachbefüllung der SCC-Anhänge, erstellte gemeinsam mit dem Unternehmen ein strukturiertes TIA unter Berücksichtigung des DPF-Zertifizierungsstatus des Anbieters und bereitete eine dokumentierte Stellungnahme gegenüber der Behörde vor. Ergebnis: Die Behörde sah von der Verhängung eines Bußgeldes ab und vermerkte die vollständige Kooperation des Unternehmens in ihrer Akte. Das Projekt konnte ohne Betriebsunterbrechung fortgesetzt werden.
Wie sieht ein strukturierter Fahrplan zur Umsetzung aus?
Internationale Datentransfers rechtssicher zu gestalten ist kein einmaliges Projekt, sondern ein fortlaufender Compliance-Prozess. Für Bauunternehmen hat sich in der Beratungspraxis ein fünfstufiger Fahrplan bewährt.
Stufe 1 – Bestandsaufnahme: Identifikation aller Datenflüsse ins Drittland. Das setzt ein vollständiges Verarbeitungsverzeichnis nach Art. 30 DSGVO voraus, das für jeden Verarbeitungsprozess auch den Übermittlungsweg und den Drittlandbezug ausweist. Erfahrungsgemäß sind gerade BIM-Plattformen, HR-Systeme und Remote-Support-Zugänge die blinden Flecken in diesem Verzeichnis.
Stufe 2 – Klassifizierung der Transfers: Für jedes Drittland prüfen, ob ein Angemessenheitsbeschluss vorliegt. Transfers in Angemessenheitsländer (z. B. Schweiz, UK, Japan) oder an DPF-zertifizierte US-Empfänger sind einfacher handhabbar. Alle übrigen Transfers erfordern eine geeignete Garantie.
Stufe 3 – Vertragswerk aktualisieren: Für jeden Transfer ohne Angemessenheitsbeschluss die passenden SCC-Module auswählen, Anhänge vollständig ausfüllen und im Hauptvertrag verankern. Bestehende AVV (Auftragsverarbeitungsverträge) müssen auf Konformität mit den SCC 2021 geprüft werden – ältere Fassungen (vor 2021) verloren ihre Gültigkeit.
Stufe 4 – Transfer Impact Assessment: Für jede relevante Drittlandjurisdiktion ein dokumentiertes TIA erstellen. Die Dokumentation ist nicht nur Pflicht, sie ist auch Schutzschild im Behördenverfahren: Wer ein sorgfältig erstelltes TIA vorlegt, demonstriert die gebotene Sorgfalt.
Stufe 5 – Laufendes Monitoring: Verarbeitungsverzeichnis und TIAs mindestens jährlich überprüfen sowie bei wesentlichen Änderungen (neue Dienstleister, neue Serverstandorte, Gesetzesänderungen im Drittland) aktualisieren. Zudem Zuständigkeiten intern klären: Wer im Unternehmen ist verantwortlich für die Pflege des Transferregisters?
Welche Reihenfolge im Einzelfall sinnvoll ist, hängt von der konkreten Struktur des Bauunternehmens, dem Umfang internationaler Projekttätigkeit und dem Reifegrad des bestehenden Datenschutz-Management-Systems ab. Pauschale Empfehlungen greifen hier zu kurz.
Besonderheiten bei grenzüberschreitender Projekttätigkeit: Welche Regeln gelten auf der Baustelle?
Bauunternehmen, die selbst grenzüberschreitend tätig sind – etwa mit eigenen Mitarbeitern auf Baustellen in Osteuropa, dem Nahen Osten oder Nordafrika –, stehen vor einer weiteren Dimension: Nicht nur der Transfer von Daten in diese Länder muss DSGVO-konform gestaltet werden, sondern auch die dortige Datenverarbeitung unterliegt, sofern die Verarbeitung im Auftrag des deutschen Unternehmens erfolgt, dessen Datenschutzpflichten.
Für Mitarbeiterdaten – Arbeitszeitnachweise, Zutrittskontrolldaten, medizinische Eignungsnachweise – gelten besondere Anforderungen. Als besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) dürfen Gesundheitsdaten nur auf eng begrenzten Rechtsgrundlagen verarbeitet werden. Werden diese Daten an einen Drittland-Server übermittelt, multipliziert sich das Risiko: Sowohl der Transferverstoß als auch der Verstoß gegen Art. 9 DSGVO kann jeweils mit dem Höchstbußgeld geahndet werden.
Bei Joint Ventures mit ausländischen Partnern stellt sich zudem die Frage der gemeinsamen Verantwortlichkeit (Art. 26 DSGVO): Treffen zwei Unternehmen gemeinsam Entscheidungen über Zwecke und Mittel der Verarbeitung, sind sie gemeinsam Verantwortliche und müssen ihre Verhältnisse untereinander in einer Vereinbarung regeln – unabhängig davon, in welchem Land der Partner sitzt.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Verarbeitungsstruktur, der eingesetzten Dienstleister und der Rechtslage in den betroffenen Drittländern.
Für eine fachliche Einschätzung Ihrer Transferstruktur und eine erste Durchsicht Ihrer bestehenden SCC und TIA-Dokumentation schreiben Sie an info@brandtfalk.com. Wir beraten Geschäftsführer mittelständischer Bauunternehmen bundesweit zu allen Fragen des Datenschutzes bei internationalen Projekten.
Verwandte Leistungen
Häufig gestellte Fragen zu internationalen Datentransfers in der Bauwirtschaft
Müssen Bauunternehmen für jeden Datentransfer in ein Drittland eigene SCC abschließen?
Grundsätzlich ja: Fehlt für ein Drittland ein Angemessenheitsbeschluss der EU-Kommission, benötigt jeder Transfer eine geeignete Garantie nach Art. 46 DSGVO. Standardvertragsklauseln (SCC) sind das häufigste Instrument. Für Transfers an DPF-zertifizierte US-Anbieter kann alternativ auf den EU-US-Datenschutzrahmen verwiesen werden. Eine pauschale Konzernklausel oder ein AVV ohne SCC-Anlage genügt nicht. Die Vertragsgestaltung muss den konkreten Transfer – Kategorien, Empfänger, Zweck, Sicherheitsmaßnahmen – vollständig abbilden.
Was ist ein Transfer Impact Assessment (TIA) und wer muss es erstellen?
Ein TIA ist eine dokumentierte Bewertung, ob das Recht und die Praxis des Empfängerlandes den durch SCC gewährten Schutz faktisch unterlaufen. Erstellt werden muss es vom Datenexporteur – also dem deutschen Bauunternehmen als verantwortlichem Unternehmen. Es umfasst eine Analyse staatlicher Zugriffsmöglichkeiten im Drittland und eine Bewertung der vereinbarten technischen und organisatorischen Schutzmaßnahmen. Das TIA ist zu dokumentieren und auf Anforderung der Aufsichtsbehörde vorzulegen.
Gilt die DSGVO auch für Baustellen außerhalb der EU, die von einem deutschen Unternehmen geleitet werden?
Die DSGVO gilt für Verantwortliche mit einer Niederlassung in der EU, unabhängig davon, wo die Verarbeitung stattfindet. Verarbeitet ein deutsches Bauunternehmen Daten seiner Mitarbeiter oder Subunternehmer im Zusammenhang mit einem Auslandsprojekt auf deutschen Servern oder in deutschen Systemen, unterliegt diese Verarbeitung der DSGVO. Für Transfers dieser Daten an lokale Behörden, Partner oder Dienstleister im Drittland gelten wiederum die Kapitel-V-Regeln.
Welche Sofortmaßnahmen sind bei einem Datenschutzverstoß im Kontext internationaler Transfers geboten?
Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, die mit einem unrechtmäßigen Transfer in Verbindung steht, greift die Meldepflicht nach Art. 33 DSGVO: Binnen 72 Stunden nach Bekanntwerden ist die zuständige Aufsichtsbehörde zu informieren. Gleichzeitig müssen die Transferstruktur und das betroffene Vertragswerk gesichert, die Ursache des Verstoßes dokumentiert und – soweit möglich – weitere Schäden verhindert werden. Rechtliche Begleitung von Beginn an schützt vor Verfahrensfehlern in der Kommunikation mit der Behörde.
Können Bauunternehmen für fehlerhafte Datentransfers von Behörden geprüft werden, ohne dass eine Beschwerde vorliegt?
Ja. Die Datenschutzbehörden sind nach Art. 57 DSGVO nicht auf Beschwerden angewiesen; sie können von Amts wegen prüfen. Anlassbezogene und thematische Prüfungen zu internationalen Datentransfers haben mehrere europäische Aufsichtsbehörden bereits durchgeführt, darunter koordinierte Aktionen des EDSA. Bauunternehmen, die Cloud-Dienste mit US-Bezug einsetzen, standen dabei im Fokus. Eine lückenlose Dokumentation – Verarbeitungsverzeichnis, SCC mit vollständigen Anhängen, TIA – ist deshalb nicht nur reaktive Absicherung, sondern proaktiver Schutz.
Die vorstehende Darstellung betrifft die Regelfälle des Datenschutzrechts bei internationalen Transfers. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Verarbeitungsstruktur, bestehenden Vertragswerke und der aktuellen Rechtslage in den betroffenen Drittländern. Zur Klärung, wie die Anforderungen an internationale Datentransfers auf Ihr Bauunternehmen wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.