Bausoftware aus den USA, BIM-Plattformen mit Servern in Singapur, Subunternehmer-Datenbanken in der Ukraine: Wer in der Bauwirtschaft heute Projekte koordiniert, überträgt täglich personenbezogene Daten in Drittstaaten außerhalb des Europäischen Wirtschaftsraums – oft ohne sich dessen bewusst zu sein. Für den Geschäftsführer eines mittelständischen Bau- oder Planungsunternehmens ist das keine abstrakte Datenschutzfrage, sondern eine konkrete Haftungsfrage.
Internationale Datentransfers sind rechtssicher zu gestalten, indem ein gültiger Übermittlungsmechanismus nach Art. 44 ff. DSGVO vorliegt – etwa Standardvertragsklauseln (SCC), ein Angemessenheitsbeschluss der EU-Kommission oder Binding Corporate Rules. Fehlt dieser Mechanismus, drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes sowie zivilrechtliche Haftungsrisiken für die Geschäftsführung. Dieser Praxisleitfaden führt Schritt für Schritt durch die Anforderungen der DSGVO – mit besonderem Augenmerk auf die typischen Konstellationen der Bauwirtschaft.
Der Leitfaden gliedert sich in sieben Schritte: von der Bestandsaufnahme der Datenflüsse über die Auswahl des richtigen Übermittlungsmechanismus bis hin zur laufenden Überwachung und Dokumentation – jeweils mit konkreten Handlungsempfehlungen für Bau- und Planungsunternehmen.
Schritt 1: Warum internationale Datentransfers in der Bauwirtschaft systematisch unterschätzt werden
Der Transfer personenbezogener Daten in ein Drittland liegt immer dann vor, wenn Daten an einen Empfänger übermittelt, weitergeleitet, bereitgestellt oder abrufbar gemacht werden, der sich außerhalb des EWR befindet – unabhängig davon, ob die Übertragung aktiv oder passiv erfolgt. In der Bauwirtschaft betrifft das regelmäßig mehr Prozesse, als zunächst erkennbar.
Typische Transferpfade in Bau- und Planungsunternehmen umfassen: cloud-basierte Projektmanagementsoftware mit Serverstandorten in den USA, gemeinsame BIM-Modelle (Building Information Modelling), die auf globalen Plattformen gehostet werden, HR-Systeme multinationaler Anbieter, die Mitarbeiterdaten in Drittstaaten speichern, sowie die Kommunikation mit ausländischen Nachunternehmern oder Lieferanten über US-amerikanische Collaboration-Tools. Bereits das Versenden einer E-Mail über einen Dienst, dessen Infrastruktur außerhalb des EWR liegt, kann einen meldepflichtigen Transfer auslösen.
In der Mandatspraxis sehen wir regelmäßig, dass gerade inhabergeführte Bauunternehmen diese Transferpfade nicht erfasst haben – weil die Verantwortung für die IT-Infrastruktur beim Systemhaus liegt, nicht beim Geschäftsführer selbst. Das ändert nichts an der datenschutzrechtlichen Verantwortlichkeit: Für die DSGVO-konforme Gestaltung ist der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO zuständig – und das ist das Bauunternehmen, nicht sein IT-Dienstleister.
Welche konkreten Transferpfade existieren in Ihrem Unternehmen? Diese Frage steht am Beginn jeder rechtssicheren Gestaltung.
Schritt 2: Bestandsaufnahme – Das Verarbeitungsverzeichnis als Ausgangspunkt
Jedes Unternehmen, das personenbezogene Daten in Drittstaaten überträgt, muss diese Transfers im Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentieren. Das Verarbeitungsverzeichnis ist der Ausgangspunkt jeder Bestandsaufnahme – und in der Praxis oft der erste Prüfungspunkt einer Datenschutzbehörde.
Für die Bestandsaufnahme empfehlen wir, in vier Teilschritten vorzugehen. Zunächst sind alle Verarbeitungstätigkeiten zu erfassen, bei denen Software, Plattformen oder Dienstleister eingesetzt werden – einschließlich der Frage, wo deren Server physisch stehen und wer die Muttergesellschaft ist. Im zweiten Schritt ist für jeden Dienst zu klären, ob Daten aktiv übermittelt werden oder ob der Anbieter lediglich Zugriffsmöglichkeiten auf Daten hat, die im EWR gespeichert sind. Auch ein bloßer Remote-Zugriff aus einem Drittland kann einen Transfer im Sinne von Art. 44 DSGVO darstellen, wie die Datenschutzaufsichtsbehörden in ihrer Koordinierungspraxis klargestellt haben.
Im dritten Schritt ist zu prüfen, ob der jeweilige Anbieter als Auftragsverarbeiter oder als eigenständig Verantwortlicher einzuordnen ist – diese Unterscheidung bestimmt, welcher Übermittlungsmechanismus in Frage kommt. Im vierten Schritt schließlich sind alle identifizierten Transfers im Verarbeitungsverzeichnis zu dokumentieren, einschließlich des genutzten Übermittlungsmechanismus.
Nach unserer Erfahrung ist das Verarbeitungsverzeichnis in Bauunternehmen häufig entweder gar nicht vorhanden oder nicht auf aktuelle Softwaretools aktualisiert. Datenschutzbehörden haben in jüngerer Zeit verstärkt anlassunabhängige Prüfungen in mittelständischen Unternehmen durchgeführt – das Fehlen eines Verarbeitungsverzeichnisses ist dabei regelmäßig bußgeldbewehrt.
Welche Übermittlungsmechanismen kommen für die Bauwirtschaft in Betracht?
Liegt ein Drittlandtransfer vor, muss ein geeigneter Übermittlungsmechanismus nach Art. 44 ff. DSGVO vorliegen. Die DSGVO kennt im Wesentlichen vier Instrumente, deren Eignung von der konkreten Konstellation abhängt.
Der Angemessenheitsbeschluss (Art. 45 DSGVO) ist der komfortabelste Weg: Die EU-Kommission hat für bestimmte Drittstaaten festgestellt, dass ein dem EWR vergleichbares Datenschutzniveau besteht. Für US-amerikanische Unternehmen gilt seit dem EU-US Data Privacy Framework (DPF) von 2023 ein Angemessenheitsbeschluss – allerdings nur für solche US-Anbieter, die sich dem DPF zertifiziert haben. Ob ein konkreter Softwareanbieter zertifiziert ist, lässt sich im DPF-Register der US-amerikanischen Behörde FTC überprüfen. Für die Bauwirtschaft relevant: Viele spezialisierte Bausoftwareanbieter sind kleinere Unternehmen, die sich nicht zertifiziert haben – hier greift der Angemessenheitsbeschluss nicht.
Die Standardvertragsklauseln (SCC, Art. 46 Abs. 2 lit. c DSGVO) sind in der Praxis der häufigste Mechanismus. Die EU-Kommission hat im Juni 2021 aktualisierte SCC veröffentlicht, die vier Modulvarianten für unterschiedliche Transferkonstellationen vorsehen. Für das Bauunternehmen als Verantwortlichen, das Daten an einen US-amerikanischen Auftragsverarbeiter übermittelt, ist Modul 2 (Verantwortlicher zu Auftragsverarbeiter) maßgeblich. Die SCC sind in den Auftragsverarbeitungsvertrag (AVV) zu integrieren oder gesondert abzuschließen.
Binding Corporate Rules (BCR, Art. 47 DSGVO) kommen für konzernintterne Transfers in Betracht. Für den Mittelstand in der Bauwirtschaft sind BCR in der Regel nicht praktikabel, da das Genehmigungsverfahren bei der Datenschutzbehörde aufwändig und zeitintensiv ist.
Schließlich existieren Ausnahmetatbestände nach Art. 49 DSGVO, etwa die ausdrückliche Einwilligung der betroffenen Person oder die Erfüllung eines Vertrags. Diese Ausnahmen sind eng auszulegen und für regelmäßige Datenübermittlungen im Geschäftsbetrieb grundsätzlich nicht geeignet – sie kommen allenfalls für gelegentliche, nicht wiederholte Transfers in Betracht.
Schritt 3: Transfer Impact Assessment – Risikoanalyse vor dem Transfer
Seit dem Schrems-II-Urteil des EuGH (Rechtssache C-311/18) genügt es nicht mehr, allein auf die vertragliche Absicherung durch SCC zu verweisen. Verantwortliche müssen zusätzlich eine eigenständige Risikobewertung vornehmen – das sogenannte Transfer Impact Assessment (TIA, auch: Drittlandtransfer-Folgenabschätzung). Dieses Instrument prüft, ob die Rechtsordnung des Drittlands den durch die SCC gewährleisteten Schutz untergräbt.
Für ein Bauunternehmen bedeutet das konkret: Bevor personenbezogene Daten an einen US-amerikanischen BIM-Plattformanbieter übermittelt werden, ist zu prüfen, ob das US-Recht – etwa im Rahmen des CLOUD Act – Behörden den Zugriff auf die Daten ermöglicht, ohne dass die betroffene Person davon erfährt. Ist das Risiko hoch, sind ergänzende technische Schutzmaßnahmen zu ergreifen oder der Transfer ist zu unterlassen.
Das TIA ist zu dokumentieren und auf dem aktuellen Stand zu halten. Es ist nicht einmalig durchzuführen, sondern bei wesentlichen Änderungen – etwa einem neuen Softwareanbieter, einem Anbieterwechsel oder einer geänderten Rechtslage im Drittland – zu aktualisieren. Datenschutzbehörden verlangen das TIA zunehmend als Nachweis im Prüfungsverfahren.
Praktischer Hinweis für Bau- und Planungsunternehmen: Viele SaaS-Anbieter stellen standardisierte TIA-Vorlagen bereit. Diese sind jedoch anbieterfreundlich formuliert und ersetzen nicht die eigenständige Risikobewertung durch das Bauunternehmen. Nach unserer Erfahrung werden die Vorlagen des Anbieters häufig unkritisch übernommen – das begründet im Prüfungsverfahren keinen Vertrauensschutz.
Schritt 4: Standardvertragsklauseln richtig abschließen – Checkliste für die Bauwirtschaft
Der Abschluss von SCC ist keine Formalität. Fehler bei der Implementierung – falsches Modul, fehlende Anhänge, veraltete Version – können dazu führen, dass der Mechanismus rechtlich unwirksam ist und der Transfer als ungesichert gilt. Die folgenden Punkte sind in der Praxis besonders fehlerträchtig.
Erstens ist das korrekte Modul zu wählen: Modul 1 (Verantwortlicher zu Verantwortlichem), Modul 2 (Verantwortlicher zu Auftragsverarbeiter), Modul 3 (Auftragsverarbeiter zu Auftragsverarbeiter) oder Modul 4 (Auftragsverarbeiter zu Verantwortlichem). Für das Bauunternehmen, das einen US-Cloud-Anbieter für Projektdaten einsetzt, ist Modul 2 der Regelfall. Zweitens müssen die drei Anhänge vollständig ausgefüllt sein: Anhang I (Parteien, Beschreibung der Übermittlung), Anhang II (technische und organisatorische Maßnahmen, TOM) und Anhang III (Unterauftragsverarbeiter). Ein SCC ohne vollständig ausgefüllte Anhänge ist nach herrschender Auffassung nicht wirksam.
Drittens sind ausschließlich die aktuellen SCC der EU-Kommission vom Juni 2021 zu verwenden. Ältere Fassungen aus dem Jahr 2010 oder 2004 wurden von der Kommission für ungültig erklärt. Viertens sind die SCC sprachlich unverändert zu übernehmen – Änderungen am Klauseltext selbst sind unzulässig; Anpassungen sind nur in den Anhängen erlaubt.
Schließlich sind die SCC in das Gesamtvertragswerk mit dem Dienstleister zu integrieren, typischerweise als Bestandteil des AVV. Dabei ist sicherzustellen, dass im Konfliktfall die SCC dem AVV vorgehen – anderenfalls besteht das Risiko, dass kommerzielle Klauseln des Anbieters den Datenschutzschutz aushöhlen.
Mikro-Fall aus der Mandatspraxis: Die Kanzlei beriet ein mittelständisches Generalunternehmen aus der Bauwirtschaft mit rund 200 Mitarbeitern. Ausgangslage: Das Unternehmen hatte seit Jahren eine US-amerikanische Projektmanagementplattform für die Bauleitung eingesetzt. Im Rahmen einer internen Compliance-Prüfung stellte sich heraus, dass weder SCC noch ein TIA vorlagen. Der Anbieter hatte einen AVV angeboten, der jedoch auf veralteten SCC basierte und dessen Anhänge weitgehend leer geblieben waren. Vorgehen: Die Kanzlei analysierte die Transferpfade, wählte das korrekte SCC-Modul aus, erstellte gemeinsam mit dem Unternehmen ein TIA und handelte mit dem Anbieter einen aktualisierten AVV einschließlich vollständig ausgefüllter Anhänge aus. Ergebnis: Das Unternehmen konnte die Plattform weiterbetreiben, verfügte über eine vollständige Dokumentation und war für eine Behördenanfrage strukturell vorbereitet. Die Übermittlungssituation ist seitdem im Verarbeitungsverzeichnis lückenlos abgebildet.
Schritt 5: Technische und organisatorische Maßnahmen als ergänzende Schutzebene
Technische und organisatorische Maßnahmen (TOM) sind nicht nur Bestandteil des AVV, sondern zugleich ein eigenständiges Schutzinstrument für internationale Datentransfers. Sie können – je nach Risikobewertung im TIA – dazu beitragen, ein im Drittland bestehendes Schutzdefizit auszugleichen.
Für die Bauwirtschaft sind insbesondere folgende TOM relevant: Verschlüsselung von Daten im Ruhezustand und während der Übertragung (Ende-zu-Ende-Verschlüsselung), Pseudonymisierung personenbezogener Daten vor dem Transfer, Zugriffsbeschränkungen (Need-to-know-Prinzip), Protokollierung von Zugriffen auf Daten durch Drittland-Anbieter sowie vertraglich vereinbarte Benachrichtigungspflichten des Anbieters bei behördlichen Zugriffsanfragen. Datenschutzbehörden prüfen zunehmend, ob die im Anhang II der SCC beschriebenen TOM tatsächlich implementiert sind – eine rein formale Auflistung genügt nicht.
In der Praxis stellen wir fest, dass die TOM-Dokumentation in Bauunternehmen häufig als Einmaldokument behandelt wird, das nach der Erstellung nicht mehr aktualisiert wird. Softwareversionen, Verschlüsselungsstandards und Infrastrukturen ändern sich – die TOM-Dokumentation muss diesen Änderungen folgen. Dies gilt erst recht, wenn das Bauunternehmen selbst als Auftragsverarbeiter für öffentliche Auftraggeber oder große Generalunternehmer auftritt und entsprechende Nachweise erbringen muss.
Schritt 6: Dokumentation, Rechenschaftspflicht und laufende Überwachung
Die DSGVO kennt das Prinzip der Rechenschaftspflicht (Accountability, Art. 5 Abs. 2 DSGVO): Der Verantwortliche muss nicht nur die Einhaltung der datenschutzrechtlichen Grundsätze sicherstellen, sondern dies auch nachweisen können. Für internationale Datentransfers bedeutet das eine lückenlose Dokumentationspflicht.
Die wesentlichen Dokumente umfassen: das aktualisierte Verarbeitungsverzeichnis mit Transferdokumentation, die abgeschlossenen SCC einschließlich vollständig ausgefüllter Anhänge, das TIA für jeden wesentlichen Drittlandtransfer, die TOM-Dokumentation sowie Nachweise über die regelmäßige Überprüfung der Zertifizierungsstatus von US-Anbietern im DPF-Register. Bußgelder nach Art. 83 DSGVO können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes betragen – die Höhe richtet sich unter anderem nach dem Grad der Kooperation mit der Behörde und der Qualität der Dokumentation.
Für die laufende Überwachung empfehlen wir, einen jährlichen Review-Zyklus zu etablieren. Dabei sind folgende Punkte zu prüfen: Haben sich Serverstandorte oder Konzernstrukturen der Anbieter geändert? Sind neue Drittlandtransfers durch neue Software oder neue Dienstleister hinzugekommen? Hat die EU-Kommission neue Angemessenheitsbeschlüsse erlassen oder bestehende aufgehoben? Haben Datenschutzbehörden neue Leitlinien zu einzelnen Transfermechanismen veröffentlicht?
Ist im Unternehmen ein Datenschutzbeauftragter (DSB) bestellt – was bei vielen Bauunternehmen ab einer bestimmten Größe verpflichtend ist –, sollte dieser in den Review-Prozess eingebunden werden. Fehlt ein DSB, obwohl die Bestellungspflicht greift, ist das ein eigenständiger Bußgeldtatbestand.
Schritt 7: Besondere Risiken für Geschäftsführer – Haftung und Behördenverfahren
Für Geschäftsführer mittelständischer Bauunternehmen ist die DSGVO-Compliance bei internationalen Datentransfers keine rein operative IT-Frage. Sie ist eine Leitungsverantwortung. Datenschutzrechtliche Bußgelder treffen das Unternehmen, nicht die Geschäftsführung persönlich – doch Regressansprüche der Gesellschaft gegen den Geschäftsführer wegen Pflichtverletzung sind nach § 43 GmbHG möglich, wenn die Verstöße auf eine mangelnde Kontroll- und Organisationspflicht zurückzuführen sind.
Datenschutzbehörden leiten Verfahren in der Bauwirtschaft typischerweise auf drei Wegen ein: aufgrund von Beschwerden betroffener Personen (z. B. Mitarbeiter, die von einem Datentransfer Kenntnis erlangt haben), aufgrund von Datenpannen, die das Unternehmen selbst melden muss, sowie aufgrund anlassunabhängiger Prüfungen, bei denen Behörden bestimmte Branchen oder Softwareprodukte gezielt überprüfen. Bei Datenschutzverletzungen gilt eine Meldepflicht binnen 72 Stunden gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) – das setzt voraus, dass das Unternehmen überhaupt weiß, welche Daten wo gespeichert und übertragen werden.
Was sollte ein Geschäftsführer konkret veranlassen? Zunächst die Einholung eines Überblicks über alle eingesetzten Software-Tools und deren Serverstandorte. Dann die Überprüfung, ob für alle Drittlandtransfers ein gültiger Mechanismus vorliegt. Anschließend die Sicherstellung, dass das Verarbeitungsverzeichnis aktuell und die TIA-Dokumentation vorhanden ist. Und schließlich die Etablierung eines jährlichen Review-Prozesses. Diese vier Schritte bilden das Minimum einer strukturell verantwortungsbewussten Geschäftsführung im Bereich internationaler Datentransfers.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung.
Für eine erste Durchsicht Ihrer Unterlagen zu internationalen Datentransfers – Verarbeitungsverzeichnis, SCC, TIA und AVV – erreichen Sie uns unter info@brandtfalk.com. Wir prüfen die datenschutzrechtliche Grundlage Ihrer Drittlandtransfers und zeigen Ihnen, welche Schritte zur Rechtssicherheit noch ausstehen.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers in der Bauwirtschaft
Was ist ein internationaler Datentransfer im Sinne der DSGVO?
Ein internationaler Datentransfer liegt vor, wenn personenbezogene Daten an einen Empfänger in einem Staat außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt, bereitgestellt oder für diesen zugänglich gemacht werden. Auch ein bloßer Remote-Zugriff eines Drittland-Dienstleisters auf Daten, die im EWR gespeichert sind, kann als Transfer gelten. Für Bauunternehmen betrifft das häufig Cloud-Software, BIM-Plattformen und HR-Systeme, deren Infrastruktur oder Muttergesellschaft außerhalb des EWR ansässig ist.
Welcher Übermittlungsmechanismus ist für den Mittelstand in der Bauwirtschaft am praktikabelsten?
Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO sind in der Praxis der am häufigsten genutzte Mechanismus. Sie sind zwischen dem Bauunternehmen und dem Drittland-Dienstleister abzuschließen, wobei das korrekte Modul zu wählen ist. Für US-amerikanische Anbieter, die sich dem EU-US Data Privacy Framework zertifiziert haben, steht alternativ der Angemessenheitsbeschluss zur Verfügung – die Zertifizierung ist vorab zu prüfen.
Was ist ein Transfer Impact Assessment (TIA) und wer muss es erstellen?
Ein TIA ist eine Risikoanalyse, die bewertet, ob die Rechtsordnung des Ziellandes den durch SCC gewährleisteten Datenschutz in der Praxis untergräbt. Es ist vom Verantwortlichen – also dem Bauunternehmen – eigenständig durchzuführen und zu dokumentieren. Standardisierte Vorlagen von Softwareanbietern sind ein Ausgangspunkt, ersetzen aber nicht die eigenständige Bewertung. Das TIA ist bei wesentlichen Änderungen zu aktualisieren.
Welche Bußgelder drohen bei ungesicherten Datentransfers in Drittländer?
Verstöße gegen die Pflicht zur Absicherung internationaler Datentransfers können nach Art. 83 Abs. 5 DSGVO mit Bußgeldern von bis zu 20 Mio. € oder 4 % des gesamten weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Daneben können zivilrechtliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO entstehen. Die Höhe des Bußgelds hängt unter anderem vom Schweregrad des Verstoßes, der Kooperation mit der Behörde und der Qualität der vorhandenen Dokumentation ab.
Muss ein Bauunternehmen für jeden Softwareanbieter einen separaten SCC-Vertrag abschließen?
Grundsätzlich ja: Für jeden Drittlandtransfer zu einem eigenständigen Empfänger ist ein gesonderter SCC-Abschluss erforderlich. In der Praxis werden SCC häufig als Anlage in den Auftragsverarbeitungsvertrag (AVV) mit dem jeweiligen Anbieter integriert. Viele größere Softwareanbieter bieten standardisierte SCC-Pakete an – diese sind jedoch inhaltlich zu prüfen, da sie nicht immer das korrekte Modul oder vollständig ausgefüllte Anhänge enthalten.
Was gilt, wenn ein Bauunternehmen selbst Daten für öffentliche Auftraggeber verarbeitet?
Tritt das Bauunternehmen gegenüber einem öffentlichen Auftraggeber als Auftragsverarbeiter auf, gelten die DSGVO-Anforderungen erst recht – der öffentliche Auftraggeber ist als Verantwortlicher rechenschaftspflichtig und wird entsprechende Nachweise verlangen. Das Bauunternehmen muss in diesem Fall nicht nur eigene Datentransfers absichern, sondern auch sicherstellen, dass Subunternehmer, die Daten des Auftraggebers verarbeiten, ebenfalls entsprechende Mechanismen vorhalten. Eine vertragliche Weitergabepflicht (Unterauftragsverarbeitungsklausel) ist im AVV mit dem öffentlichen Auftraggeber in der Regel explizit geregelt.
Die vorstehende Darstellung betrifft die typischen Konstellationen in der Bauwirtschaft. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Vertragsunterlagen, der genutzten Software-Infrastruktur und der einschlägigen Behördenpraxis. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.