Ein Baukonzern aus dem Münchner Großraum führt sein Projektmanagement über eine US-amerikanische Cloud-Plattform, der Polier in Wien greift auf dieselbe Software zu, und der Subunternehmer in Warschau überträgt Stundenzettel per App nach Frankfurt. Was wie eine alltägliche Betriebssituation wirkt, ist datenschutzrechtlich ein komplexes Transfergeflecht mit erheblichem Haftungspotenzial für die Geschäftsführung.
Internationale Datentransfers sind nach der Datenschutz-Grundverordnung (DSGVO) nur dann rechtmäßig, wenn ein angemessenes Schutzniveau im Empfängerland entweder durch einen Angemessenheitsbeschluss der Europäischen Kommission, durch Standardvertragsklauseln (SCC) oder durch andere geeignete Garantien sichergestellt ist. Für die Bauwirtschaft bedeutet das: Jeder Datenaustausch mit Planungsbüros, Subunternehmern, Lieferanten oder Cloud-Diensten außerhalb des Europäischen Wirtschaftsraums muss auf einer dieser Grundlagen beruhen – andernfalls drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.
Der folgende Beitrag analysiert die geltende Rechtslage, zeigt praxiserprobte Gestaltungsinstrumente und benennt die konkreten Handlungsschritte, die Geschäftsführer mittelständischer Bauunternehmen jetzt ergreifen sollten.
Was macht Datentransfers in der Bauwirtschaft rechtlich besonders sensibel?
Bauunternehmen stehen vor einer strukturellen Besonderheit: Ihre Wertschöpfungskette ist international fragmentiert, die Datenlage aber hochgradig personenbezogen. Auf Baustellen werden Lohnlisten, Arbeitszeiten, biometrische Zugangskontrollen und Gesundheitsdaten erhoben. Diese Daten fließen über Softwarelösungen, Enterprise-Resource-Planning-Systeme und Subunternehmer-Portale in Drittländer – oft ohne dass sich die Geschäftsführung dessen bewusst ist.
Die DSGVO erfasst jeden Übermittlungsvorgang, bei dem personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR) gelangen oder aus einem solchen Land abgerufen werden können. Entscheidend ist nicht, wo der Serverstandort formal lokalisiert ist, sondern ob ein Unternehmen außerhalb des EWR Zugriff auf die Daten nehmen kann. Bereits der Fernzugriff eines US-amerikanischen IT-Dienstleisters auf ein deutsches System ist ein Drittlandtransfer im Sinne von Art. 44 DSGVO.
In der Mandatspraxis sehen wir regelmäßig, dass mittelständische Bauunternehmen die Drittlandeigenschaft von Cloud-Diensten, Abrechnungssoftware und Kameraleitsystemen unterschätzen. Ein Subunternehmer aus der Türkei, der Arbeitnehmerdaten auf einem türkischen Server speichert und dabei Zugang zu deutschen Mitarbeiterdaten erhält, löst die vollständige DSGVO-Transferkette aus – obwohl das operative Geschäft inland abgewickelt wird.
Für die Bauwirtschaft typische Risikopunkte sind dabei: Gehaltsabrechnungssysteme mit US-amerikanischen Muttergesellschaften, internationale Planungssoftware (BIM-Plattformen), Drohnen-Aufnahmen, die in Rechenzentren außerhalb des EWR verarbeitet werden, sowie Arbeitszeiterfassungssysteme mit Cloudanbindung an asiatische oder amerikanische Anbieter.
Welche Rechtsgrundlagen erlauben internationale Datentransfers?
Art. 44 bis 49 DSGVO begrenzen die zulässigen Transfermechanismen abschließend. Kein anderes Instrument – kein Konzernvertrag, keine interne Richtlinie – ersetzt diese Grundlagen. Für die Praxis relevant sind im Wesentlichen drei Instrumente.
Erstens: Angemessenheitsbeschlüsse der EU-Kommission. Die Kommission stellt für bestimmte Drittländer per Beschluss fest, dass dort ein dem europäischen Standard vergleichbares Datenschutzniveau besteht. Für die USA existiert seit Juli 2023 das EU-US Data Privacy Framework (EU-US DPF), das den Transfer zu zertifizierten US-Unternehmen unter den dort festgelegten Voraussetzungen erlaubt. Für das Vereinigte Königreich liegt seit dem Brexit ein eigener Angemessenheitsbeschluss vor; dieser ist allerdings auf eine begrenzte Laufzeit ausgestellt und muss regelmäßig überprüft werden. Andere für die Bauwirtschaft relevante Länder – darunter die Türkei, Serbien oder die Ukraine – verfügen nicht über einen Angemessenheitsbeschluss.
Zweitens: Standardvertragsklauseln (Standard Contractual Clauses, SCC). Die aktuellen SCC wurden von der EU-Kommission im Juni 2021 verabschiedet und lösten die alten Klauseln ab. Sie sind modular aufgebaut und decken vier Konstellationen ab: Verantwortlicher zu Verantwortlichem, Verantwortlicher zu Auftragsverarbeiter, Auftragsverarbeiter zu Auftragsverarbeiter sowie Auftragsverarbeiter zu Verantwortlichem. Für nahezu alle Drittlandtransfers in der Bauwirtschaft, die nicht auf einem Angemessenheitsbeschluss beruhen, sind die SCC das praktisch bedeutsamste Instrument.
Drittens: Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR). BCR kommen für Unternehmensgruppen in Betracht, die konzerninterne Transfers regeln wollen. Das Genehmigungsverfahren durch eine federfürende Aufsichtsbehörde ist aufwendig und für mittelständische Unternehmen mit überschaubarem Konzernverbund nur selten wirtschaftlich sinnvoll.
Ausnahmetatbestände nach Art. 49 DSGVO – etwa die Einwilligung der betroffenen Person oder die Notwendigkeit zur Vertragserfüllung – sind nach der Rechtsprechung des Europäischen Gerichtshofs und der Praxis der deutschen Aufsichtsbehörden eng auszulegen. Sie greifen nicht bei systematischen, wiederkehrenden Transfers, wie sie in Bauunternehmen die Regel sind.
Standardvertragsklauseln: Wie funktioniert das Instrument in der Praxis?
Die SCC sind kein bürokratisches Formular, sondern ein vertraglich bindendes Regelwerk, das zwischen dem Datenexporteur im EWR und dem Datenimporteur im Drittland abgeschlossen wird. Zentrales Element ist das Modul-System: Je nach Verhältnis der Vertragsparteien – Verantwortlicher oder Auftragsverarbeiter – ist das passende Modul auszuwählen und mit einer Anlage (Anhang I bis III) zu befüllen, die Art, Umfang und Kategorien der übermittelten Daten beschreibt.
Was in der Theorie geradlinig klingt, ist in der Praxis fehleranfällig. Nach unserer Erfahrung scheitern die häufigsten SCC-Implementierungen an drei Punkten: Die falsche Modulwahl führt dazu, dass der Vertrag den tatsächlichen Datenfluss nicht abbildet. Die Anhänge werden nicht sorgfältig ausgefüllt, was die Datenschutzbehörde als formellen Mangel wertet. Und der Transfer Impact Assessment (TIA) – die Risikoanalyse, die seit dem Schrems-II-Urteil des EuGH ergänzend erforderlich ist – wird entweder überhaupt nicht durchgeführt oder auf eine Worthülse reduziert.
Der Transfer Impact Assessment verpflichtet den Datenexporteur, vor dem Transfer zu prüfen, ob das Recht des Empfängerlandes die Wirksamkeit der SCC-Garantien unterläuft. Konkret: Gibt es im Empfängerland staatliche Zugriffsrechte auf private Daten (zum Beispiel durch Sicherheitsbehörden), die über das europäisch akzeptable Maß hinausgehen? Wenn ja, sind ergänzende technische oder organisatorische Maßnahmen – etwa Ende-zu-Ende-Verschlüsselung, Pseudonymisierung oder Zugriffsbeschränkungen – zu implementieren, bevor der Transfer stattfinden darf.
Für die Bauwirtschaft ist der TIA besonders relevant bei Transfers in die USA (trotz EU-US DPF, da die Zertifizierung des Empfängers zu prüfen ist), in die Türkei, in asiatische Länder wie Indien oder China sowie in osteuropäische Nicht-EU-Staaten. Die Dokumentation des TIA muss dem Rechenschaftsprinzip des Art. 5 Abs. 2 DSGVO genügen – sie ist also nicht nur intern sinnvoll, sondern behördlich einforderbar.
Welche Konsequenzen drohen Geschäftsführern bei Verstößen?
Die persönliche Verantwortung der Geschäftsführung für Datenschutzverstöße ist ein Thema, das in der Bauwirtschaft noch zu wenig wahrgenommen wird. Dabei sind die Risiken handfest.
Auf der Ebene des Unternehmens sieht Art. 83 Abs. 5 DSGVO für Verstöße gegen die Drittlandtransfervorschriften Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Deutsche Aufsichtsbehörden haben in den vergangenen Jahren auch gegen mittelständische Unternehmen Bußgelder in nennenswerter Höhe verhängt, wenn systematische Verstöße bei Drittlandtransfers festgestellt wurden.
Auf der Ebene der Geschäftsführer kommt eine zivilrechtliche Haftung gegenüber der Gesellschaft in Betracht, wenn der Verstoß auf pflichtwidrigem Unterlassen beruht – etwa wenn bekannte Risiken nicht beseitigt wurden. Daneben drohen strafrechtliche Aspekte im Bereich des Wirtschaftsstrafrechts, wenn der Datenschutzverstoß mit anderen Rechtsverletzungen verbunden ist.
Praktisch bedeutsam ist ferner das zivilrechtliche Haftungsrisiko gegenüber Betroffenen: Art. 82 DSGVO gewährt Arbeitnehmern und anderen natürlichen Personen einen Schadensersatzanspruch gegen das Unternehmen, wenn ihnen durch einen unrechtmäßigen Transfer ein Schaden entstanden ist. Immaterieller Schaden – Kontrollverlust über eigene Daten – wird von deutschen Gerichten zunehmend anerkannt.
Ist die Datenschutzbehörde erst einmal tätig geworden, läuft die Zeit. Behörden können Transfers untersagen, Dokumentation anfordern und Bußgeldverfahren einleiten. Die Verteidigungsstrategie hängt dann entscheidend davon ab, ob das Unternehmen im Vorfeld eine saubere Dokumentation aufgebaut hat.
Mikro-Fall aus der Kanzleipraxis (anonymisiert)
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Tiefbauunternehmen aus dem Ruhrgebiet mit rund 280 Mitarbeitern. Ausgangslage: Das Unternehmen nutzte eine US-amerikanische BIM-Plattform zur Bauprojektplanung. Projektbezogene Daten – darunter Arbeitszeiten, Subunternehmer-Kontakte und Fotodokumentation – wurden täglich in die US-Cloud übertragen. Ein Auftragsverarbeitungsvertrag bestand, jedoch fehlten die für Drittlandtransfers erforderlichen SCC-Module und jede TIA-Dokumentation. Vorgehen: Nach einer strukturierten Bestandsaufnahme aller Datentransfers wurden die SCC-Module I und II eingeführt, der TIA für den US-Transfer auf Basis des EU-US DPF dokumentiert und technische Zugriffskontrollen erweitert. Ergebnis: Die behördliche Prüfung im Anschluss an eine Mitarbeiterbeschwerde konnte mit vollständiger Dokumentation beantwortet werden; das Verfahren wurde ohne Bußgeld eingestellt. Das Ergebnis ist auf die Besonderheiten des Einzelfalls zurückzuführen und nicht verallgemeinerbar.
Drittlandtransfers und Arbeitnehmerdaten: Ein besonderes Risiko im Baugewerbe
Kaum ein anderer Wirtschaftszweig ist bei Arbeitnehmerdaten so exponiert wie die Bauwirtschaft. Lohnabrechnungssysteme, Arbeitszeiterfassung, Fahrerkarten-Auswertung, Baustellenkameras und biometrische Zugangssysteme erzeugen täglich große Mengen personenbezogener Daten. Arbeitnehmerdaten zählen zu den sensibelsten Datenkategorien des Betriebsalltags – nicht im Sinne von Art. 9 DSGVO (besondere Kategorien), aber im Sinne des strukturellen Schutzbedürfnisses des Arbeitnehmers.
Wird ein externer Lohndienstleister mit Rechenzentrum außerhalb des EWR eingesetzt, ist dieser Drittlandtransfer vollständig nach Art. 44 ff. DSGVO zu qualifizieren – unabhängig davon, ob das Vertragsverhältnis als Auftragsverarbeitung oder Funktionsübertragung eingeordnet wird. In der Praxis der deutschen Aufsichtsbehörden wird die Arbeitnehmerüberlassung und die Lohnabrechnung im Drittland regelmäßig als Auftragsverarbeitungsverhältnis mit Drittlandtransfer gewertet, das sowohl einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO als auch SCC-Klauseln erfordert.
Hinzu kommt die Arbeitszeiterfassung. Das Bundesarbeitsgericht hat mit Beschluss vom 13. September 2022 die Pflicht zur systematischen Arbeitszeiterfassung auf Grundlage von Art. 31 GRCh und § 3 ArbSchG bestätigt. Ob die dafür eingesetzte Software Daten in Drittländer übermittelt, ist eine der zentralen Compliance-Fragen für Bauunternehmen. Ein nur im Referentenentwurf vorliegendes Arbeitszeitgesetz (Stand Juni 2026, noch nicht in Kraft) würde diese Anforderungen weiter verschärfen – es ist daher ratsam, die Systemarchitektur bereits jetzt datensparsam zu gestalten.
Nach unserer Erfahrung übersehen Bauunternehmen besonders häufig, dass auch die Nutzung von Subunternehmer-Portalen, in die Nachunternehmer Mitarbeiterdaten eintragen, einen eigenständigen Transfervorgang auslösen kann. Wenn das Portal durch einen Drittlandbetreiber gehostet wird, liegt ein Transfer vor – selbst wenn der Bauunternehmer selbst nur auf Ergebnisse zugreift.
Gestaltungsoptionen: Welche Transfermechanismen sind für Bauunternehmen praktikabel?
Nicht jeder Transfermechanismus ist für jede Unternehmenskonstellation gleich gut geeignet. Welcher Weg zu wählen ist, hängt von der Transferkonstellation, dem Empfängerland und dem Volumen der übermittelten Daten ab.
Konstellation A – Transfer an einen zertifizierten US-Dienstleister (EU-US DPF): Ist der US-Empfänger unter dem Data Privacy Framework zertifiziert, entfällt grundsätzlich die Notwendigkeit, SCC zu vereinbaren. Die Zertifizierung muss vor dem Transfer und anschließend jährlich überprüft werden. Das DPF schützt nicht vor staatlichem Zugriff nach US-Sicherheitsgesetzen; eine vollständige Risikoanalyse bleibt empfehlenswert.
Konstellation B – Transfer in ein Land ohne Angemessenheitsbeschluss (z. B. Türkei, Indien): Hier sind die aktuellen SCC (Modul I oder II je nach Rollenverteilung) verpflichtend. Ergänzend ist ein TIA durchzuführen. Bei hohem Risiko (etwa Übertragung besonderer Datenkategorien oder großer Datenmengen) sind technische Schutzmaßnahmen wie Verschlüsselung oder Datenlokalisierung zu erwägen.
Konstellation C – Konzerninterne Transfers: Für Baugruppen mit Tochterfirmen in Drittländern kommen BCR in Betracht. Das Genehmigungsverfahren dauert erfahrungsgemäß ein bis zwei Jahre; für kleinere Gruppen sind SCC in der Regel der effizientere Weg.
Konstellation D – Ausnahmen nach Art. 49 DSGVO: Die einmalige, nicht wiederholte Übermittlung auf Basis einer Einwilligung oder zur Vertragserfüllung bleibt im Ausnahmefall möglich. Für die regelmäßige Betriebspraxis in Bauunternehmen scheidet dieser Weg praktisch aus. Aufsichtsbehörden prüfen sehr genau, ob tatsächlich ein Ausnahmefall vorliegt oder ob Art. 49 DSGVO als Dauerlösung missbraucht wird.
Die Entscheidungsmatrix zeigt: Ein zertifizierter US-Clouddienstleister ist bei laufender Überprüfung der Zertifizierung der komfortabelste Weg. Ein nicht-zertifizierter US-Dienstleister erfordert SCC plus TIA plus Maßnahmen. Ein Dienstleister aus einem Land ohne Angemessenheitsbeschluss und ohne Reformperspektive macht es erforderlich, die Systemarchitektur zu überdenken – etwa durch Datenlokalisierung innerhalb des EWR.
Was müssen Geschäftsführer konkret unternehmen? Handlungsschritte im Überblick
Die Frage, die Geschäftsführer mittelständischer Bauunternehmen sich stellen sollten, lautet nicht: „Haben wir ein Datenschutzproblem?" – sondern: „Wissen wir, wo unsere Daten sind und auf welcher Grundlage sie transferiert werden?" Die ehrliche Antwort fällt in der Praxis selten beruhigend aus.
Der erste Schritt ist eine systematische Transferkartierung. Alle Datenflüsse, die das Unternehmen in Drittländer führen oder aus denen ein Drittlandzugriff resultieren kann, sind zu identifizieren und im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) zu dokumentieren. Für Bauunternehmen sollte diese Kartierung ausdrücklich ERP-Systeme, BIM-Plattformen, Arbeitszeiterfassungssoftware, Lohndienstleister, Kamerasysteme und Subunternehmer-Portale einschließen.
Im zweiten Schritt ist für jeden Transfer die Rechtsgrundlage zu prüfen: Besteht ein Angemessenheitsbeschluss? Ist der Empfänger DPF-zertifiziert? Liegen SCC vor – und zwar in der aktuellen Fassung von 2021? Wenn nein: unverzügliche Nachholung.
Der dritte Schritt umfasst den TIA für alle Transfers in Länder ohne Angemessenheitsbeschluss. Die Analyse muss dokumentiert und regelmäßig aktualisiert werden – jedenfalls dann, wenn sich die Rechtslage im Empfängerland ändert.
Im vierten Schritt sind technische und organisatorische Maßnahmen anzupassen: Zugriffskontrollen, Verschlüsselung, Datensparsamkeit, Löschkonzepte. Diese Maßnahmen sind nicht nur datenschutzrechtlich geboten, sondern stärken die Verhandlungsposition gegenüber Aufsichtsbehörden.
Fünfter Schritt: Vertragliche Absicherung gegenüber Subunternehmern. Kein Werkvertrag in der Bauwirtschaft sollte heute ohne datenschutzrechtliche Klausel abgeschlossen werden, wenn der Subunternehmer Zugang zu personenbezogenen Daten des Auftraggebers erhält. Standardmäßig zu prüfen ist, ob ein AVV (Auftragsverarbeitungsvertrag) und, bei Drittlandtransfers, SCC erforderlich sind.
Nach unserer Erfahrung unterschätzen Geschäftsführer in der Bauwirtschaft die Dokumentationslast erheblich. Die DSGVO verlangt nach dem Rechenschaftsprinzip nicht nur, dass das Unternehmen compliant ist – es muss dies auch nachweisen können. Ein vollständiges Transferdokumentationspaket, das TIA, SCC-Vertragswerk, AVV und Verarbeitungsverzeichnis umfasst, bildet die Verteidigungsbasis im Behördenverfahren.
Aufsichtsbehörden und Vollzugspraxis: Worauf achten Behörden in der Bauwirtschaft?
Die deutschen Datenschutzaufsichtsbehörden – auf Bundesebene der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), auf Landesebene die zuständigen Landesdatenschutzbehörden – haben Drittlandtransfers in den vergangenen Jahren zu einem Schwerpunkt ihrer Prüftätigkeit gemacht. Das ist kein Zufall: Nach dem Schrems-II-Urteil des EuGH aus dem Jahr 2020 hatten viele Unternehmen ihre Transferpraxis nicht angepasst.
Konkret achten Aufsichtsbehörden auf: das Vorhandensein und die Aktualität der SCC (alte Klauseln vor 2021 sind nicht mehr verwendbar), die Vollständigkeit der Anhänge I bis III, die Existenz und Qualität des TIA sowie die tatsächliche Implementierung der im TIA beschriebenen Schutzmaßnahmen. Papier allein reicht nicht: Behörden fragen nach, ob die technischen Maßnahmen tatsächlich umgesetzt wurden.
Für die Bauwirtschaft ist besonders relevant, dass Behörden auch auf anlassbezogene Prüfungen reagieren – also auf Beschwerden von Mitarbeitern, Subunternehmern oder Wettbewerbern. Ein Mitarbeiter, der erfährt, dass seine Arbeitszeitdaten in die USA übertragen werden, kann Beschwerde bei der zuständigen Aufsichtsbehörde einlegen. Die Behörde prüft dann die gesamte Transferstruktur – nicht nur den konkreten Anlass.
Die Konsequenzen eines Behördenverfahrens gehen über das mögliche Bußgeld hinaus. Behörden können den Transfer untersagen (Art. 58 Abs. 2 lit. j DSGVO), was je nach operativer Bedeutung der betroffenen Software die Betriebsfähigkeit des Unternehmens beeinträchtigen kann. Eine solche Untersagungsverfügung kann unmittelbare wirtschaftliche Folgen haben, die das Bußgeld selbst übersteigen.
Die vorstehende Darstellung betrifft die Regelfälle des Transferrechts nach der DSGVO. Ihr konkreter Fall erfordert die Prüfung der eingesetzten Systeme, der bestehenden Vertragswerke und der Dokumentation. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers in der Bauwirtschaft
Ist der Einsatz einer US-amerikanischen Cloud-Software in der Bauwirtschaft zulässig?
Grundsätzlich ja – sofern der US-Anbieter entweder unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln (SCC) in der aktuellen Fassung von 2021 vereinbart wurden und ein Transfer Impact Assessment vorliegt. Entscheidend ist nicht der Serverstandort, sondern ob ein US-Unternehmen Zugriff auf personenbezogene Daten nehmen kann. Die Zertifizierung des Anbieters ist vor dem Transfer und anschließend regelmäßig zu überprüfen. Ohne diese Grundlagen ist der Transfer unzulässig und kann mit Bußgeldern von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden.
Müssen Subunternehmer-Verträge datenschutzrechtliche Klauseln enthalten?
Ja, soweit Subunternehmer im Auftrag des Hauptunternehmers personenbezogene Daten verarbeiten. Erhält ein Subunternehmer Zugang zu Mitarbeiterdaten, Stundenzettelauswertungen oder Projektdaten mit Personenbezug, ist in der Regel ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Hat der Subunternehmer seinen Sitz in einem Drittland, kommen ergänzend die Standardvertragsklauseln hinzu. Das Fehlen dieser Vertragswerke stellt einen selbstständigen DSGVO-Verstoß dar und belastet die Haftungsposition der Geschäftsführung.
Was ist ein Transfer Impact Assessment (TIA) und wer muss es erstellen?
Ein Transfer Impact Assessment ist eine vom Datenexporteur durchzuführende Risikoanalyse, die beurteilt, ob das Recht des Empfängerlandes die Wirksamkeit der vereinbarten Schutzmaßnahmen (insbesondere der SCC) unterläuft. Sie ist seit dem Schrems-II-Urteil des EuGH (2020) für alle Drittlandtransfers ohne Angemessenheitsbeschluss zwingend. Erstellen muss das TIA das datenexportierende Unternehmen – also regelmäßig der Bauunternehmer selbst. Das Ergebnis ist zu dokumentieren und bei Änderungen der Rechtslage im Empfängerland zu aktualisieren. Eine fehlende TIA-Dokumentation ist für Aufsichtsbehörden ein unmittelbares Prüfziel.
Gilt die DSGVO auch für Daten, die nur kurzfristig ins Ausland übertragen werden?
Ja. Die DSGVO unterscheidet nicht zwischen dauerhaften und kurzfristigen Transfers. Auch die einmalige, vorübergehende Übermittlung personenbezogener Daten in ein Drittland unterliegt Art. 44 ff. DSGVO und bedarf einer Rechtsgrundlage. Lediglich für gelegentliche, nicht-systematische Übermittlungen in konkreten Ausnahmesituationen sieht Art. 49 DSGVO begrenzte Erleichterungen vor. Diese Ausnahmen sind von den Aufsichtsbehörden eng auszulegen und eignen sich nicht als Dauerlösung für betriebliche Routinetransfers.
Wie lange müssen Transferdokumente aufbewahrt werden?
Die DSGVO enthält keine explizite Aufbewahrungsfrist für Transferdokumente. Aus dem Rechenschaftsprinzip (Art. 5 Abs. 2 DSGVO) und der allgemeinen zivilrechtlichen Verjährung (regelmäßig drei Jahre nach § 195 BGB, bei bestimmten Ansprüchen länger) ergibt sich in der Praxis eine Aufbewahrungsempfehlung von mindestens fünf bis sieben Jahren. SCC, TIA-Dokumentationen und AVV sollten so lange aufbewahrt werden, wie die zugrundeliegende Verarbeitung besteht, zuzüglich eines angemessenen Zeitraums nach deren Ende. Im Einzelfall ist anwaltliche Prüfung empfehlenswert.
Die vorstehende Darstellung betrifft die Regelfälle des Transferrechts. Ihr konkreter Fall erfordert die Prüfung Ihrer Systeme, Verträge und Dokumentation im Einzelnen. Zur Klärung, welche Transfermechanismen für Ihr Unternehmen in Betracht kommen, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.