Wenn ein Hamburger Generalunternehmer seine Baustellen-Dokumentationssoftware bei einem US-amerikanischen Cloud-Anbieter betreibt, wenn ein Münchner Projektentwickler die Personalakten seiner Subunternehmer auf einem Server in Singapur speichert oder wenn ein mittelständisches Bauunternehmen aus dem Ruhrgebiet seine Building-Information-Modelling-Plattform (BIM) über einen Dienstleister aus Indien betreut – in all diesen Konstellationen findet ein internationaler Datentransfer im Sinne der DSGVO statt. Die Frage, ob dieser Transfer rechtssicher gestaltet ist, betrifft nicht abstrakt die Compliance-Abteilung, sondern den Geschäftsführer persönlich.
Internationale Datentransfers in Drittstaaten außerhalb des Europäischen Wirtschaftsraums (EWR) sind nach der Datenschutz-Grundverordnung (DSGVO) nur zulässig, wenn ein angemessenes Schutzniveau nachgewiesen wird – in der Praxis primär durch EU-Standardvertragsklauseln (SCC), einen Angemessenheitsbeschluss der EU-Kommission oder verbindliche interne Datenschutzvorschriften (BCR). Fehlt dieser Nachweis, drohen Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes sowie behördliche Anordnungen, die den Betrieb konkreter Software-Systeme stoppen können. Dieser Branchenreport erläutert die rechtlichen Grundlagen, typische Transferszenarien in der Bauwirtschaft und den strukturierten Prüfpfad zur rechtskonformen Gestaltung.
Der folgende Bericht gliedert sich in sieben Abschnitte: Rechtsrahmen und Transferinstrumente, branchenspezifische Risikokonstellationen, die Rolle der Standardvertragsklauseln in der Baupraxis, das Transfer Impact Assessment als Pflichtbestandteil, Konsequenzen für die Geschäftsführerhaftung, den strukturierten Prüfpfad für mittelständische Unternehmen sowie die aktuellen Entwicklungen durch den EU-US Data Privacy Framework.
Rechtsrahmen: Welche Regelungen gelten für internationale Datentransfers?
Die DSGVO erlaubt den Transfer personenbezogener Daten in Drittstaaten nur unter eng definierten Voraussetzungen, die in den Artt. 44 bis 49 DSGVO abschließend geregelt sind. Das Kapitel V der DSGVO ist kein bloßes Ordnungsrecht; es ist ein zentrales Element des europäischen Grundrechtsschutzes, das durch den Europäischen Gerichtshof in zwei Leitentscheidungen – „Schrems I" (2015) und „Schrems II" (2020) – nachdrücklich bestätigt wurde.
Als Transferinstrumente kommen in der Praxis des deutschen Mittelstands vor allem drei Mechanismen in Betracht. Erstens: der Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO, der für bestimmte Länder (u. a. Japan, Schweiz, Vereinigtes Königreich, Südkorea und – mit dem EU-US Data Privacy Framework seit Juli 2023 – die USA für zertifizierte Unternehmen) das angemessene Schutzniveau festschreibt. Zweitens: die EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO, die die EU-Kommission zuletzt mit Beschluss vom Juni 2021 in modernisierter Form veröffentlicht hat und die das Hauptinstrument für den globalen Datenverkehr darstellen. Drittens: verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR) nach Art. 47 DSGVO, die primär für konzerninterne Transfers in Betracht kommen.
In der Mandatspraxis sehen wir, dass mittelständische Bauunternehmen die Tragweite des Kapitels V häufig unterschätzen. Der Einsatz von SaaS-Lösungen, Cloud-Plattformen und extern betriebenen ERP-Systemen, deren Serverinfrastruktur sich zumindest teilweise außerhalb des EWR befindet, genügt, um die Transferpflichten auszulösen – unabhängig davon, ob der Vertrag mit einem deutschen Dienstleister geschlossen wurde. Die bloße Vereinbarung eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO ist für diese Fälle notwendig, aber nicht hinreichend.
Zur Einordnung: Die deutschen Datenschutzbehörden und das Bundesdatenschutzgesetz (BDSG) konkretisieren die DSGVO-Vorgaben, ändern aber nichts an der unmittelbaren Anwendbarkeit von Kapitel V. Verstöße gegen Art. 44 DSGVO können Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 Abs. 5 DSGVO).
Bauwirtschaft im Fokus: Wo entstehen typische Transferrisiken?
Die Bauwirtschaft weist eine digitale Infrastruktur auf, die in ihrer Komplexität oft unterschätzt wird. Generalunternehmer, Projektsteuerer, Bauträger und spezialisierte Subunternehmer setzen eine Vielzahl von Software-Systemen ein, deren Betrieb routinemäßig internationale Datentransfers auslöst. Vier Konstellationen treten in der Praxis besonders häufig auf.
Building Information Modelling (BIM): BIM-Plattformen wie Autodesk BIM 360 oder vergleichbare Produkte amerikanischer Anbieter speichern Projekt- und Planungsdaten auf US-amerikanischen Servern. Sobald diese Daten auch personenbezogene Informationen enthalten – Namen von Planern, Bauleitern, Subunternehmern, Unterschriften auf Plänen –, fällt der Transfer unter Kapitel V DSGVO. In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Generalunternehmen aus der Baubranche mit rund 180 Mitarbeitern. Ausgangslage: Das Unternehmen nutzte seit Jahren eine US-amerikanische BIM-Plattform, ohne dass SCC abgeschlossen oder ein Transfer Impact Assessment (TIA) durchgeführt worden war. Vorgehen: Wir analysierten sämtliche Datenflüsse, identifizierten personenbezogene Dateninhalte auf der Plattform, erstellten ein TIA und begleiteten den Abschluss aktualisierter SCC mit dem Anbieter. Ergebnis: Der Betrieb der Plattform konnte fortgesetzt werden; das Unternehmen verfügt nunmehr über eine dokumentationsfähige Transfergrundlage.
Personalverwaltung und Lohnabrechnung: Viele mittelständische Bauunternehmen lagern ihre Lohnabrechnung an externe Dienstleister aus, die wiederum Subprozessoren in Drittstaaten einsetzen. Hier entsteht eine Transferkette, bei der nicht nur der direkte Dienstleister, sondern auch dessen Sub-Auftragsverarbeiter datenschutzrechtlich relevant werden. Die Genehmigungspflicht für den Einsatz von Subprozessoren ist in Art. 28 Abs. 2 DSGVO geregelt; ohne entsprechende vertragliche Klauseln droht eine Haftungslücke.
Sicherheits- und Zutrittssysteme auf Baustellen: Zunehmend setzen Bauunternehmen biometrische Zutrittskontrollsysteme ein, deren Betrieb häufig durch Anbieter aus dem asiatisch-pazifischen Raum erfolgt. Biometrische Daten sind nach Art. 9 DSGVO besonders schutzwürdig; ein Transfer ohne geeignete Grundlage stellt einen qualifizierten Verstoß dar.
Kommunikation und Dokumentenmanagement: Die Nutzung von Microsoft 365, Google Workspace oder ähnlichen Diensten durch Baubetriebe ist weit verbreitet. Ob der eingesetzte Dienst unter den EU-US Data Privacy Framework fällt und das anbietende Unternehmen dort zertifiziert ist, muss vor dem Einsatz geprüft werden. Eine pauschale Annahme, der Transfer sei bereits abgesichert, ist rechtlich nicht tragfähig.
Standardvertragsklauseln in der Baupraxis: Was sind die konkreten Anforderungen?
EU-Standardvertragsklauseln (SCC) sind das in der Baupraxis am häufigsten eingesetzte Transferinstrument. Die im Juni 2021 von der EU-Kommission verabschiedeten modularisierten SCC ersetzen die älteren Fassungen und enthalten vier Module für unterschiedliche Transferkonstellationen: Controller-to-Processor, Controller-to-Controller, Processor-to-Controller und Processor-to-Processor.
Für ein Bauunternehmen, das als Verantwortlicher (Controller) Daten an einen US-amerikanischen Software-Anbieter in seiner Eigenschaft als Auftragsverarbeiter (Processor) überträgt, ist Modul 2 (Controller-to-Processor) maßgeblich. Die SCC müssen dabei wörtlich und vollständig – ohne inhaltliche Abänderung – in den Vertrag mit dem Dienstleister aufgenommen werden. Ergänzungen sind nur in den ausdrücklich vorgesehenen Feldern zulässig.
Nach unserer Erfahrung aus der Mandatspraxis scheitert die Rechtssicherheit häufig nicht am Willen der Parteien, sondern an formalen Umsetzungsfehlern: SCC-Klauseln werden als Anlage beigefügt, aber nicht unterzeichnet; Module werden falsch gewählt; Annex I (Beschreibung der Übermittlung) und Annex II (technische und organisatorische Maßnahmen) werden unvollständig ausgefüllt. Ein SCC-Vertrag, der Annex I oder II nicht vollständig ausfüllt, ist wirkungslos.
Darüber hinaus ist zu beachten, dass SCC seit dem Schrems-II-Urteil nicht mehr für sich allein stehen können. Sie müssen durch ein Transfer Impact Assessment (TIA) flankiert werden, in dem geprüft wird, ob das Recht des Empfängerlandes die Wirksamkeit der SCC-Garantien beeinträchtigt – insbesondere durch staatliche Zugriffsrechte auf Daten. Dieser Punkt wird im folgenden Abschnitt vertieft.
Relevant ist auch der Umgang mit bestehenden Verträgen: Verträge, die unter den alten SCC aus den Jahren 2001/2004/2010 abgeschlossen wurden, hatten eine Übergangsfrist für die Anpassung an die neuen SCC – diese Frist ist abgelaufen. Wer noch mit alten Klauseln arbeitet, operiert ohne wirksame Transfergrundlage. Wie verhält sich Ihr Unternehmen in dieser Frage?
Transfer Impact Assessment: Warum reichen Standardvertragsklauseln allein nicht aus?
Das Transfer Impact Assessment (TIA) ist die datenschutzrechtliche Risikofolgenabschätzung für den konkreten Drittstaattransfer. Der EuGH hat im Schrems-II-Urteil vom Juli 2020 unmissverständlich klargestellt, dass der Datenexporteur vor jeder Übermittlung in einen Drittstaat eigenverantwortlich prüfen muss, ob das Schutzniveau im Empfängerland dem europäischen Standard entspricht.
Ein TIA gliedert sich typischerweise in vier Prüfschritte. Erstens: Bestimmung des Transferszenarios – welche Daten, an wen, in welches Land, für welchen Zweck? Zweitens: Analyse der einschlägigen Rechtsordnung des Empfängerlands – gibt es Gesetze, die staatlichen Behörden Zugriff auf die Daten ermöglichen, ohne dass die betroffenen Personen oder der Exporteur hiervon erfahren? Für die USA ist hier etwa der Foreign Intelligence Surveillance Act (FISA Section 702) relevant. Drittens: Bewertung der gewählten Transferinstrumente – sind SCC geeignet, das identifizierte Risiko zu kompensieren, ggf. ergänzt durch zusätzliche technische Schutzmaßnahmen (z. B. Ende-zu-Ende-Verschlüsselung, bei der der Anbieter keinen Schlüssel hält)? Viertens: Dokumentation und Entscheidung – entweder Transfer freigeben oder ergänzende Maßnahmen definieren oder Transfer untersagen.
In der Bauwirtschaft stellt das TIA eine besondere Herausforderung dar, weil viele Unternehmen keine eigene Rechtsabteilung haben, die diese Analyse vornehmen kann. Die Beauftragung externer Datenschutzberater oder Anwälte ist hier keine Kür, sondern Teil der Rechenschaftspflicht des Verantwortlichen nach Art. 5 Abs. 2 DSGVO. Die Datenschutzbehörden – insbesondere die Bayerische Datenschutzaufsicht (BayLDA) und der Hamburgische Beauftragte für Datenschutz – haben in Prüfverfahren wiederholt das Fehlen eines TIA als eigenständigen Verstoß gewertet.
Technische Schutzmaßnahmen können die rechtliche Wirkung des TIA erheblich verbessern. Wer Daten vor dem Transfer pseudonymisiert oder verschlüsselt und den Schlüssel ausschließlich in der EU hält, reduziert das Risiko staatlicher Zugriffe im Drittland spürbar. Für Bauunternehmen mit sensiblen Projekt- und Personaldaten ist diese Maßnahme sowohl technisch realisierbar als auch rechtlich wirksam.
Welche Haftungsrisiken tragen Geschäftsführer bei fehlenden Transfergrundlagen?
Die DSGVO richtet sich an das verantwortliche Unternehmen als juristische Person. Die persönliche Haftung des Geschäftsführers folgt jedoch aus anderen Rechtsgrundlagen – und diese sind nicht zu unterschätzen. Im Überblick sind vier Haftungsstränge relevant.
Bußgeldhaftung des Unternehmens: Verstöße gegen Kapitel V DSGVO können Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 Abs. 5 DSGVO). Die Aufsichtsbehörden orientieren sich bei der Bemessung an der Kooperationsbereitschaft des Unternehmens, der Schwere des Verstoßes und der Dauer der Nichterfüllung. Für mittelständische Bauunternehmen mit einem Jahresumsatz von 50 bis 200 Mio. € bedeutet das ein Bußgeldrisiko im siebenstelligen Bereich.
Innenhaftung des Geschäftsführers: Erleidet die Gesellschaft aufgrund eines Datenschutzverstoßes einen Schaden – etwa durch Bußgelder, Schadensersatzzahlungen an Betroffene oder Kosten für Sicherheitsmaßnahmen –, kann der Geschäftsführer der GmbH gegenüber nach § 43 GmbHG persönlich in Regress genommen werden, wenn er seine Sorgfaltspflicht verletzt hat. Das Unterlassen einer angemessenen Datenschutzorganisation, einschließlich der Absicherung internationaler Datentransfers, wird von den Gerichten regelmäßig als haftungsbegründende Pflichtverletzung eingestuft.
Schadensersatzansprüche Betroffener: Art. 82 DSGVO begründet einen unmittelbaren Schadensersatzanspruch der betroffenen Person gegen den Verantwortlichen. Betroffene sind in der Bauwirtschaft Mitarbeiter, Subunternehmer, Projektteilnehmer und Dritte, deren Daten auf einer Drittland-Plattform verarbeitet werden. Der EuGH hat in jüngeren Entscheidungen den Schadensbegriff des Art. 82 DSGVO weit ausgelegt und auch immaterielle Schäden anerkannt.
Anordnungsbefugnis der Aufsichtsbehörde: Abseits von Bußgeldern kann die Datenschutzaufsichtsbehörde nach Art. 58 Abs. 2 lit. j DSGVO die Übermittlung von Daten in einen Drittstaat vorübergehend oder dauerhaft untersagen. Eine solche Anordnung trifft das betroffene Bauunternehmen unmittelbar operativ: Wenn ein BIM-System oder ein Cloud-ERP gesperrt wird, steht die Projektdokumentation still. Das ist keine theoretische Gefahr – deutsche Aufsichtsbehörden haben vergleichbare Anordnungen in anderen Branchen bereits ausgesprochen.
Nach unserer Erfahrung reagieren Geschäftsführer auf diese Haftungslandschaft häufig erst, wenn ein konkreter Anlassfall eintritt. Effizienter – und letztlich kostengünstiger – ist die proaktive Prüfung. Haben Sie zuletzt geprüft, welche Ihrer Software-Systeme Daten in Drittstaaten übermitteln?
EU-US Data Privacy Framework: Was hat sich für die Bauwirtschaft geändert?
Mit dem EU-US Data Privacy Framework (DPF), das die EU-Kommission am 10. Juli 2023 durch Angemessenheitsbeschluss anerkannte, steht erstmals seit der Invalidierung des Privacy Shield im Jahr 2020 wieder ein Angemessenheitsbeschluss für US-amerikanische Unternehmen zur Verfügung. Das DPF gilt jedoch nicht pauschal für alle US-Unternehmen, sondern nur für solche, die sich aktiv beim US-Handelsministerium zertifiziert haben und auf der entsprechenden Zertifizierungsliste stehen.
Für Bauunternehmen bedeutet das: Vor dem Einsatz eines US-amerikanischen Software-Dienstleisters ist zunächst zu prüfen, ob dieser im DPF-Register eingetragen ist. Große Anbieter wie Microsoft und Google haben die Zertifizierung erworben; für viele spezialisierte Bausoftware-Anbieter trifft das nicht zu. Der Rückgriff auf SCC und TIA bleibt daher auch unter dem DPF für einen erheblichen Teil der in der Bauwirtschaft eingesetzten US-Dienstleister erforderlich.
Darüber hinaus ist das DPF rechtlich nicht unangefochten. Datenschutzorganisationen haben angekündigt, die Neuregelung gerichtlich überprüfen zu lassen. Ein Unternehmen, das seine Transferstrategie ausschließlich auf das DPF stützt, geht ein Restrisiko ein. Unsere Empfehlung an die mittelständische Bauwirtschaft lautet daher: DPF nutzen, wo es gilt, aber parallel SCC als Backup-Instrument vorbereiten – eine Doppelabsicherung, die bei einer erneuten Invalidierung des Angemessenheitsbeschlusses unmittelbar greift.
Zu beachten ist weiterhin, dass das DPF keine Lösung für Transfers in andere Drittstaaten bietet. China, Indien, Russland oder die Vereinigten Arabischen Emirate verfügen über keinen Angemessenheitsbeschluss; für Transfers in diese Länder bleiben SCC und TIA zwingend erforderlich. Gerade im internationalen Bauprojektgeschäft – mit Sub- und Nachunternehmern aus aller Welt – ist dieser Punkt von erheblicher praktischer Relevanz.
Strukturierter Prüfpfad: Wie gestalten mittelständische Bauunternehmen ihre Datentransfers rechtssicher?
Ein rechtssicheres Transfermanagement entsteht nicht durch eine einmalige Prüfung, sondern durch einen institutionalisierten Prozess. Der folgende strukturierte Prüfpfad hat sich in der Beratungspraxis für mittelständische Bauunternehmen bewährt.
Schritt 1 – Transferbestandsaufnahme (Data Transfer Mapping): Erfassen Sie sämtliche Software-Systeme, Cloud-Dienste und externen Dienstleister, bei denen personenbezogene Daten verarbeitet werden. Prüfen Sie für jeden Dienst, ob die Serverinfrastruktur oder ein Subprozessor außerhalb des EWR liegt. Ergebnis: eine vollständige Liste aller internationalen Datentransfers Ihres Unternehmens. Diese Liste ist zugleich Bestandteil des Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 DSGVO.
Schritt 2 – Transfergrundlage prüfen: Für jeden identifizierten Transfer prüfen Sie, ob ein Angemessenheitsbeschluss besteht (z. B. DPF für zertifizierte US-Unternehmen), ob aktuelle SCC in der Fassung von 2021 vereinbart sind und ob ein vollständig ausgefülltes TIA vorliegt. Konstellation A (Angemessenheitsbeschluss vorhanden, Anbieter zertifiziert) → kein weiterer Handlungsbedarf, Dokumentation sicherstellen. Konstellation B (kein Angemessenheitsbeschluss, aber SCC 2021 und TIA vorhanden) → Transfer zulässig, regelmäßige Überprüfung des TIA einplanen. Konstellation C (kein Angemessenheitsbeschluss, keine SCC, kein TIA) → sofortiger Handlungsbedarf; Transfer ohne wirksame Grundlage einstellen oder absichern.
Schritt 3 – Vertragsanpassung: Schließen Sie für alle Konstellationen der Kategorie B und C die notwendigen SCC in aktueller Fassung ab, fügen Sie vollständige Annexe hinzu und dokumentieren Sie das TIA. Für Dienstleister, die keine SCC akzeptieren oder nicht auf zumutbare technische Schutzmaßnahmen eingehen, ist ein Anbieterwechsel zu prüfen.
Schritt 4 – Technische Schutzmaßnahmen implementieren: Wo immer möglich, ergänzen Sie die rechtliche Absicherung durch technische Maßnahmen: Ende-zu-Ende-Verschlüsselung mit ausschließlich in der EU gehaltenem Schlüsselmaterial, Pseudonymisierung vor dem Transfer, Zugriffskontrolle und Protokollierung. Diese Maßnahmen verbessern nicht nur das TIA-Ergebnis, sondern sind auch für sich genommen Ausdruck der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Schritt 5 – Schulung und laufende Überwachung: Sensibilisieren Sie die für die Einführung neuer Software-Systeme zuständigen Mitarbeiter dafür, dass jede neue Cloud-Lösung vor dem Einsatz auf internationale Datentransfers geprüft werden muss. Etablieren Sie einen internen Freigabeprozess. Führen Sie das TIA mindestens einmal jährlich oder bei wesentlichen Änderungen der Rechtsgrundlage (z. B. bei einer neuen Schrems-Entscheidung) erneut durch.
In der Mandatspraxis sehen wir regelmäßig, dass Bauunternehmen, die diesen Prozess einmal strukturiert aufgesetzt haben, nachfolgende Prüfungen mit deutlich geringerem Aufwand abwickeln können. Der initiale Investitionsaufwand – typischerweise Rechtsberatung plus interne Arbeitszeit für das Transfer Mapping – zahlt sich durch die Vermeidung von Bußgeldrisiken und behördlichen Anordnungen in aller Regel in kurzer Zeit aus.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Bauunternehmen mit Sitz in Nordrhein-Westfalen, das neben BIM-Software auch eine cloudbasierte Subunternehmer-Verwaltungsplattform eines australischen Anbieters einsetzte. Ausgangslage: Australien verfügt über einen EU-Angemessenheitsbeschluss, jedoch nur für bestimmte Bereiche der australischen Datenschutzgesetzgebung; der Anbieter fiel nicht unter die begünstigten Kategorie. SCC lagen nicht vor. Vorgehen: Die Kanzlei führte ein TIA für Australien durch, verhandelte mit dem Anbieter aktuelle SCC-Module in der Fassung 2021, ergänzte technische Schutzmaßnahmen durch Datenverschlüsselung und dokumentierte den gesamten Prozess für das Verarbeitungsverzeichnis. Ergebnis: Der Betrieb der Plattform konnte fortgeführt werden; das Unternehmen kann bei einer Behördenanfrage den vollständigen Compliance-Pfad nachweisen.
Die vorstehende Darstellung betrifft die Regelfälle der Transfergestaltung nach DSGVO. Ihr konkreter Fall erfordert die Prüfung Ihrer Dienstleisterverträge, der eingesetzten Software-Systeme, der jeweiligen Empfängerländer und der aktuellen Rechtsprechung der zuständigen Aufsichtsbehörde. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Zusammenfassung: Handlungsempfehlungen für Geschäftsführer in der Bauwirtschaft
Wer als Geschäftsführer eines mittelständischen Bauunternehmens in Deutschland die Digitalisierung seiner Projektabwicklung, Personalverwaltung und Kommunikation vorantreibt, kommt an den datenschutzrechtlichen Anforderungen des Kapitel V DSGVO nicht vorbei. Die Rechtslage ist klar, die Behörden sind aktiv, und die Bußgeldrahmen sind erheblich.
Die wichtigsten Handlungsempfehlungen im Überblick:
- Führen Sie ein vollständiges Transfer Mapping durch und pflegen Sie dieses laufend fort.
- Prüfen Sie für jeden Drittstaat-Transfer, ob ein gültiger Angemessenheitsbeschluss vorliegt – und ob der konkrete Anbieter unter diesen fällt.
- Schließen Sie SCC in der Fassung von 2021 ab; alte Klauseln sind nicht mehr wirksam.
- Erstellen Sie für jeden Transfer, der nicht auf einem Angemessenheitsbeschluss beruht, ein dokumentiertes TIA.
- Ergänzen Sie die vertragliche Absicherung durch technische Schutzmaßnahmen, insbesondere Verschlüsselung und Pseudonymisierung.
- Überprüfen Sie Ihre Transfergrundlagen mindestens jährlich und bei wesentlichen Rechtsänderungen anlassbezogen.
- Integrieren Sie die Datentransferprüfung in den Einführungsprozess neuer Software-Systeme und Cloud-Dienste.
Nach unserer Erfahrung sind Bauunternehmen, die diese Schritte konsequent umsetzen, nicht nur rechtlich besser abgesichert, sondern profitieren auch von einer strukturierteren IT-Governance insgesamt. Datenschutz-Compliance und operative Effizienz schließen sich nicht aus – sie bedingen einander, wenn der Prozess einmal aufgesetzt ist.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers in der Bauwirtschaft
Was ist ein internationaler Datentransfer im Sinne der DSGVO?
Ein internationaler Datentransfer liegt vor, wenn personenbezogene Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt oder dort zugänglich gemacht werden. Das gilt auch dann, wenn der unmittelbare Vertragspartner ein deutsches Unternehmen ist, das Serverinfrastruktur oder Sub-Auftragsverarbeiter außerhalb des EWR einsetzt. Für jeden solchen Transfer muss eine geeignete Rechtsgrundlage nach Artt. 44 ff. DSGVO vorliegen.
Reicht ein Auftragsverarbeitungsvertrag (AVV) für internationale Datentransfers aus?
Nein. Ein AVV nach Art. 28 DSGVO ist eine notwendige, aber keine hinreichende Bedingung für rechtskonforme internationale Datentransfers. Er regelt die Pflichten des Auftragsverarbeiters im Verhältnis zum Verantwortlichen, nicht aber das für Drittstaattransfers erforderliche angemessene Schutzniveau. Hierfür bedarf es zusätzlich eines Angemessenheitsbeschlusses, gültiger EU-Standardvertragsklauseln (SCC) oder eines anderen anerkannten Transferinstruments nach Art. 46 DSGVO.
Welche Bußgelder drohen bei Verstößen gegen die Transfervorschriften der DSGVO?
Verstöße gegen Kapitel V DSGVO – also gegen die Vorschriften zu internationalen Datentransfers – unterfallen dem höchsten Bußgeldrahmen des Art. 83 Abs. 5 DSGVO. Dieser beträgt bis zu 20 Mio. € oder, bei Unternehmen, bis zu 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Hinzu kommen mögliche behördliche Anordnungen zur Aussetzung der Datenübermittlung.
Gilt der EU-US Data Privacy Framework für alle US-amerikanischen Software-Anbieter?
Nein. Der EU-US Data Privacy Framework gilt ausschließlich für US-Unternehmen, die sich aktiv beim US-Handelsministerium (U.S. Department of Commerce) zertifiziert haben und auf der öffentlich einsehbaren DPF-Liste eingetragen sind. Die Zertifizierung muss vor jedem Transfer geprüft werden. Für nicht zertifizierte US-Anbieter – und für Anbieter aus allen anderen Drittstaaten ohne Angemessenheitsbeschluss – sind weiterhin SCC und ein Transfer Impact Assessment erforderlich.
Was ist ein Transfer Impact Assessment (TIA) und wer muss es erstellen?
Ein Transfer Impact Assessment (TIA) ist eine dokumentierte Risikoanalyse, in der der Datenexporteur vor jedem Drittstaattransfer prüft, ob das Recht und die Praxis des Empfängerlands die Wirksamkeit der gewählten Transferinstrumente – insbesondere der SCC – beeinträchtigen. Die Pflicht zur Erstellung des TIA trifft den Verantwortlichen (Datenexporteur) unmittelbar und ergibt sich aus Art. 5 Abs. 2 DSGVO i.V.m. den Leitlinien des Europäischen Datenschutzausschusses (EDSA). Das TIA ist intern zu dokumentieren und auf Anfrage der Aufsichtsbehörde vorzulegen.
Wie lange muss ein Transfer Impact Assessment aufbewahrt werden?
Die DSGVO schreibt keine spezifische Aufbewahrungsfrist für das TIA vor. Da es jedoch Bestandteil der Rechenschaftsdokumentation nach Art. 5 Abs. 2 DSGVO ist, empfiehlt sich eine Aufbewahrung mindestens für die Dauer des Transfers zuzüglich der allgemeinen zivilrechtlichen Regelverjährung von 3 Jahren (§ 195 BGB) ab Ende der Verarbeitung. In der Praxis wird häufig eine Aufbewahrungsdauer von fünf bis zehn Jahren empfohlen, um behördliche Prüfungen auch im Nachgang dokumentieren zu können.
Was passiert, wenn mein Datenschutz-Dienstleister einen Sub-Auftragsverarbeiter in einem Drittstaat einsetzt, ohne mich zu informieren?
Nach Art. 28 Abs. 2 DSGVO bedarf der Einsatz eines weiteren Auftragsverarbeiters (Sub-Prozessor) durch den Hauptauftragsverarbeiter der vorherigen Genehmigung des Verantwortlichen – entweder einer spezifischen oder einer allgemeinen, verbunden mit einer Informationspflicht. Erfolgt der Sub-Einsatz in einem Drittstaat ohne Information und ohne wirksame Transfergrundlage, liegt ein Verstoß vor, der dem Verantwortlichen als eigenem Pflichtverstoß zugerechnet werden kann. Der AVV sollte entsprechende Informations- und Zustimmungsklauseln enthalten.
Die vorstehende Darstellung betrifft die typischen Regelfälle internationaler Datentransfers in der Bauwirtschaft. Ihr konkreter Fall erfordert die Prüfung Ihrer bestehenden Dienstleisterverträge, der eingesetzten Software-Systeme sowie der aktuellen behördlichen und gerichtlichen Praxis. Für eine erste Durchsicht Ihrer Unterlagen und Transferdokumentation erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.