Ein Softwareanbieter sitzt in den USA, der Cloud-Dienstleister in Singapur, die Muttergesellschaft in der Schweiz: Für viele mittelständische Unternehmen sind grenzüberschreitende Datenweitergaben längst Alltag – und dennoch fehlt häufig das vertragliche Fundament, das die DSGVO zwingend verlangt. Datenschutzbehörden in Deutschland und Europa nehmen internationale Datentransfers seit dem Schrems-II-Urteil des Europäischen Gerichtshofs mit erhöhter Aufmerksamkeit in den Blick; die Bußgeldobergrenzen liegen bei bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO).
Internationale Datentransfers sind nach der DSGVO nur dann rechtmäßig, wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt, Standardvertragsklauseln (SCC) oder Binding Corporate Rules (BCR) vereinbart wurden oder eine der gesetzlichen Ausnahmen nach Art. 49 DSGVO greift. Für mittelständische Unternehmen bedeutet das: Vor jeder Übermittlung personenbezogener Daten in ein Drittland – also in einen Staat außerhalb des Europäischen Wirtschaftsraums – ist eine strukturierte Prüfung der Rechtsgrundlage Pflicht, ergänzt durch ein Transfer Impact Assessment (TIA), das die Schutzniveauäquivalenz im Empfängerland bewertet.
Dieses FAQ-Dossier beantwortet die zwölf wichtigsten Fragen, die Geschäftsführer mittelständischer Unternehmen zum Thema internationale Datentransfers stellen – mit Fokus auf den gesetzlichen Rahmen, praktische Handlungsschritte und die Konsequenzen bei Verstößen.
Was gilt als „internationaler Datentransfer" im Sinne der DSGVO?
Ein internationaler Datentransfer liegt vor, wenn personenbezogene Daten an einen Empfänger in einem Staat außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden oder für diesen bestimmungsgemäß zugänglich sind. Der EWR umfasst die 27 EU-Mitgliedstaaten sowie Island, Liechtenstein und Norwegen.
Entscheidend ist dabei: Bereits der lesende Zugriff eines Dienstleisters mit Sitz oder Serverstandort in einem Drittland auf EWR-gespeicherte Daten kann als Übermittlung zu qualifizieren sein, wenn er auf diese Daten zugreifen kann. In der Mandatspraxis sehen wir regelmäßig Fälle, in denen Unternehmen Software-as-a-Service-Lösungen (SaaS) nutzen, ohne zu prüfen, ob die Anbieter-Muttergesellschaft in den USA Support-Zugriff auf EU-Datenbankserver hat. Dieser Zugriff – und nicht nur der physische Datentransfer – löst die Anforderungen des Kapitel V der DSGVO aus.
Nicht als internationaler Transfer gilt hingegen die bloße Durchleitung durch Drittlandnetze ohne Zugriffsmöglichkeit des Betreibers sowie der Transfer zwischen EWR-Standorten desselben oder verschiedener Unternehmen. Für Übermittlungen innerhalb des EWR gelten die allgemeinen Anforderungen der DSGVO, nicht das spezifische Drittlandregime.
Welche Rechtsgrundlagen erlauben eine Übermittlung in Drittländer?
Die DSGVO kennt drei Kategorien von Rechtsgrundlagen für internationale Datentransfers, die in einer klaren Rangfolge angewendet werden sollten.
An erster Stelle stehen Angemessenheitsbeschlüsse der EU-Kommission (Art. 45 DSGVO). Mit einem solchen Beschluss stellt die Kommission fest, dass das Datenschutzniveau im Zielland dem EWR-Niveau gleichwertig ist. Aktuell anerkannt sind – neben Ländern wie Japan, Kanada (für bestimmte Kategorien) und dem Vereinigten Königreich – die USA im Rahmen des EU-U.S. Data Privacy Framework (DPF), das im Juli 2023 in Kraft trat und den invalidenklärten Privacy Shield ersetzte. Ob das DPF langfristig Bestand hat, ist angesichts der anhängigen Klageverfahren und der politischen Entwicklungen in den USA anwaltlich laufend zu beobachten.
Fehlt ein Angemessenheitsbeschluss, kommen als zweite Kategorie geeignete Garantien (Art. 46 DSGVO) in Betracht. Der praktisch wichtigste Mechanismus sind die von der EU-Kommission genehmigten Standardvertragsklauseln (Standard Contractual Clauses, SCC) in der Fassung vom Juni 2021. Daneben sind Binding Corporate Rules (BCR) für konzerninterne Transfers sowie genehmigte Verhaltensregeln und Zertifizierungen nach Art. 40, 42 DSGVO möglich, letztere in der Praxis für den Mittelstand jedoch selten relevant.
Als dritte, streng subsidiäre Kategorie existieren die Ausnahmen nach Art. 49 DSGVO, etwa für ausdrücklich eingewilligte Transfers, für die Vertragserfüllung oder für wichtige Gründe des öffentlichen Interesses. Die Aufsichtsbehörden betonen einhellig, dass Art. 49 DSGVO nicht als Dauergrundlage für wiederkehrende Geschäftsprozesse taugt. In der Mandatspraxis beraten wir Unternehmen, die Art. 49 DSGVO als Standardlösung eingesetzt hatten, beim Wechsel auf ein tragfähiges SCC-Konstrukt.
Was sind Standardvertragsklauseln (SCC) und wann sind sie ausreichend?
Standardvertragsklauseln sind von der EU-Kommission vorformulierte Vertragsmodule, die zwischen dem Datenexporteur im EWR und dem Datenimporteur im Drittland abgeschlossen werden. Sie schaffen vertraglich das Schutzniveau, das im Zielland gesetzlich fehlt. Die aktuell geltende SCC-Fassung vom Juni 2021 enthält vier Module, die unterschiedliche Konstellationen abdecken: Controller-to-Controller, Controller-to-Processor, Processor-to-Controller und Processor-to-Processor.
Allein der Abschluss von SCC ist jedoch seit dem Schrems-II-Urteil des EuGH (Juli 2020) nicht mehr hinreichend. Zusätzlich ist ein Transfer Impact Assessment (TIA) durchzuführen, das bewertet, ob das Recht des Empfängerlandes die vertraglich zugesagten Garantien untergräbt – etwa durch Geheimdienstgesetze wie den US CLOUD Act oder FISA Section 702. Ergibt das TIA, dass das Schutzniveau nicht gewährleistet ist, müssen ergänzende technische Maßnahmen (z. B. Ende-zu-Ende-Verschlüsselung mit alleiniger Schlüsselhoheit im EWR) oder organisatorische Maßnahmen ergriffen oder der Transfer muss eingestellt werden.
Wann reichen SCC zuverlässig? Wenn das TIA ergibt, dass das Recht des Drittlandes die vertraglich zugesagten Rechte in der Praxis nicht unterläuft, die zutreffenden Module gewählt und vollständig ausgefüllt sind sowie zusätzliche technische Schutzmaßnahmen implementiert wurden. Für rein verschlüsselte, vom Empfänger nicht entschlüsselbare Daten (sogenannte pseudonymisierte oder verschlüsselte Daten ohne Schlüsselzugang) kann das TIA zu einem günstigeren Ergebnis führen.
Was ist ein Transfer Impact Assessment (TIA) und wer muss es erstellen?
Das Transfer Impact Assessment ist eine strukturierte Risikoanalyse, die der Datenexporteur – also das EWR-ansässige Unternehmen – vor jedem Drittlandtransfer auf Basis geeigneter Garantien durchführen muss. Es gibt keine gesetzlich vorgeschriebene Musterform; der Europäische Datenschutzausschuss (EDSA) hat aber in seinen Empfehlungen 01/2020 einen anerkannten Rahmen definiert.
Ein TIA umfasst typischerweise vier Schritte: erstens die Identifikation aller Transfers und der übermittelten Datenkategorien; zweitens die Bewertung der einschlägigen Rechtsvorschriften und Praktiken im Empfängerland (insbesondere Überwachungs- und Geheimdienstrecht); drittens die Bewertung, ob die im SCC zugesagten Garantien in der Praxis durchgesetzt werden können; und viertens – bei negativem Ergebnis – die Identifikation und Implementierung ergänzender Maßnahmen.
Die Pflicht zur Erstellung trifft das exportierende Unternehmen, also den Verantwortlichen oder Auftragsverarbeiter im EWR. In der Praxis wird das TIA häufig gemeinsam mit dem Importeur erarbeitet, der Angaben zum Recht seines Landes beisteuert. Nach unserer Erfahrung unterschätzen mittelständische Unternehmen den Dokumentationsaufwand: Ein nachvollziehbares TIA kann im Prüfungsfall durch die Datenschutzbehörde entscheidend sein – nicht nur als Compliance-Nachweis, sondern auch zur Milderung eines Bußgeldes.
Welche Folgen drohen bei fehlerhaftem Drittlandtransfer?
Die DSGVO sieht für Verstöße gegen die Drittland-Anforderungen des Kapitel V die schärfste Bußgeldkategorie vor. Datenschutzbehörden können Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO) verhängen, je nachdem, welcher Betrag höher ist. Hinzu kommen Untersagungsverfügungen, die den Transfer mit sofortiger Wirkung stoppen können – mit direkten operativen Folgen für das Unternehmen.
Praktisch relevant sind zudem Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO. Der Bundesgerichtshof hat in seiner Rechtsprechung klargestellt, dass auch immaterielle Schäden ersatzfähig sind; über die Höhe entscheidet die konkrete Beeinträchtigung im Einzelfall. Für Geschäftsführer bedeutet das eine persönliche Haftungsexposition, wenn nachweisbar ist, dass die Überwachungspflicht gegenüber dem Datenschutzbeauftragten und dem operativen Betrieb vernachlässigt wurde.
Behörden wie die Berliner Beauftragte für Datenschutz und Informationsfreiheit oder die bayerischen Aufsichtsbehörden haben in der Vergangenheit Unternehmen wegen rechtswidriger US-Transfers abgemahnt und Bußgelder verhängt. Die Meldepflicht bei einer Datenschutzverletzung binnen 72 Stunden (Art. 33 DSGVO) gilt auch dann, wenn der Verstoß durch einen unzureichend abgesicherten Drittlandtransfer ausgelöst wurde.
Gilt das EU-U.S. Data Privacy Framework als verlässliche Grundlage für US-Transfers?
Das EU-U.S. Data Privacy Framework (DPF) wurde im Juli 2023 durch einen Angemessenheitsbeschluss der EU-Kommission als Rechtsgrundlage für Transfers personenbezogener Daten aus dem EWR an zertifizierte US-Unternehmen anerkannt. Für Transfers an DPF-zertifizierte Empfänger ist kein separater SCC-Abschluss mehr erforderlich; die Zertifizierungsliste des US-Handelsministeriums muss vor dem Transfer überprüft werden.
Die Verlässlichkeit des DPF ist jedoch politisch und rechtlich umstritten. Vor dem Europäischen Gerichtshof sind Klageverfahren anhängig, die das DPF – ähnlich wie das Safe Harbor-Abkommen 2015 und den Privacy Shield 2020 – zu Fall bringen könnten. Hinzu kommen politische Entwicklungen in den USA, die die Substanz des Datenschutzrahmens beeinflussen können. Nach unserer Erfahrung empfehlen wir Unternehmen mit erheblichem US-Transfervolumen, parallel eine SCC-Lösung als Fallback vorzuhalten und das TIA laufend zu aktualisieren, um im Falle einer Invalidierung des DPF unmittelbar handlungsfähig zu sein.
Für Empfänger, die nicht DPF-zertifiziert sind, gelten unverändert die Anforderungen des Art. 46 DSGVO, also in der Regel SCC plus TIA.
Praxisbeispiel (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Industrieunternehmen aus dem Maschinen- und Anlagenbau, das CRM- und ERP-Software eines US-Anbieters einsetzte. Ausgangslage: Der Anbieter war DPF-zertifiziert, jedoch hatte die IT-Abteilung keinen Nachweis über die laufende Zertifizierungsgültigkeit und kein TIA erstellt; zudem existierte kein aktueller Auftragsverarbeitungsvertrag. Vorgehen: Die Kanzlei erstellte gemeinsam mit dem Unternehmen eine Transfer-Bestandsaufnahme, verifizierte den DPF-Eintrag, schloss SCC als Fallback-Mechanismus ab und erstellte ein dokumentiertes TIA für die kritischen Datenkategorien (Mitarbeiterdaten, Kundendaten). Ergebnis: Das Unternehmen konnte seiner Datenschutzbehörde im Rahmen einer Anfrage eine vollständige Transferdokumentation vorlegen; eine Untersagung wurde abgewendet.
Wie unterscheiden sich Binding Corporate Rules von Standardvertragsklauseln?
Binding Corporate Rules (BCR) sind konzernweite Datenschutzregeln, die von der zuständigen Datenschutzbehörde genehmigt werden und konzerninternen Transfers in Drittländer als Rechtsgrundlage dienen. Der entscheidende Vorteil gegenüber SCC: BCR gelten einheitlich für alle Konzernentitäten, ohne dass für jede bilaterale Transferbeziehung einzelne Verträge abgeschlossen werden müssen.
Der Nachteil: Der Genehmigungsprozess ist aufwendig und kann – abhängig von der federführenden Behörde – Monate bis über ein Jahr in Anspruch nehmen. BCR sind daher in der Praxis vor allem für größere Konzerne mit regelmäßigen, komplexen konzerninternen Datenflüssen in viele Drittländer wirtschaftlich sinnvoll. Für mittelständische Unternehmen mit überschaubarer internationaler Konzernstruktur sind SCC in aller Regel das effizientere Instrument.
SCC hingegen können vergleichsweise schnell abgeschlossen werden; sie erfordern keine behördliche Genehmigung, sondern lediglich die unveränderte Übernahme des Kommissionstexts (Modifikationen sind nur in den dafür vorgesehenen Feldern zulässig). Für konzernexterne Transfers – etwa an Dienstleister, Lieferanten oder Geschäftspartner in Drittländern – sind SCC ohnehin das primäre Instrument, da BCR nur für Intragroup-Transfers gelten.
Welche Pflichten gelten für Auftragsverarbeiter bei internationalen Transfers?
Ein Auftragsverarbeiter im EWR, der Daten in ein Drittland weitergibt oder dort verarbeiten lässt (Unterauftragsverarbeitung), unterliegt denselben Anforderungen des Kapitel V der DSGVO wie ein Verantwortlicher. Der Abschluss eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO zwischen Verantwortlichem und Auftragsverarbeiter ist für diese Konstellation zwingend; zusätzlich sind SCC oder eine andere geeignete Garantie für den Transfer an den Unterauftragsverarbeiter im Drittland erforderlich.
In der Praxis entstehen Haftungslücken häufig dann, wenn Auftragsverarbeiter Unterauftragsverarbeiter in Drittländern einschalten, ohne den Verantwortlichen (also das mittelständische Unternehmen als Auftraggeber) zu informieren und dessen Zustimmung einzuholen. Der AVV muss nach Art. 28 Abs. 2 DSGVO regeln, unter welchen Bedingungen Unterauftragsverarbeiter eingesetzt werden dürfen. Fehlt diese Regelung oder wird sie missachtet, haftet grundsätzlich der Auftragsverarbeiter; der Verantwortliche bleibt aber gegenüber betroffenen Personen und der Aufsichtsbehörde in der Pflicht, die Einhaltung der DSGVO nachzuweisen.
Für Geschäftsführer bedeutet das: Beim Einkauf von IT-Dienstleistungen sollte standardmäßig geprüft werden, ob und welche Unterauftragsverarbeiter in Drittländern eingesetzt werden und ob dafür eine geeignete Transfergrundlage besteht.
Was ist bei Transfers in die Schweiz, das Vereinigte Königreich oder andere EWR-nahe Länder zu beachten?
Die Schweiz und das Vereinigte Königreich (UK) gelten nicht als EWR-Länder; Transfers dorthin unterliegen dem Drittlandregime der DSGVO. Für beide Länder existieren jedoch Angemessenheitsbeschlüsse: Die EU-Kommission hat für das UK im Juni 2021 einen Angemessenheitsbeschluss erlassen; dieser gilt zunächst bis Juni 2025 und wurde – vorbehaltlich aktueller politischer Entwicklungen – verlängert. Die Schweiz ist für den EU-Datentransfer durch einen älteren Beschluss anerkannt; gleichzeitig verfügt die Schweiz über ein eigenes revidiertes Datenschutzgesetz (revDSG, in Kraft seit 1. September 2023), das eigene Anforderungen stellt.
Für Länder wie Kanada, Japan, Südkorea, Neuseeland oder Israel bestehen ebenfalls Angemessenheitsbeschlüsse – teils für alle Daten, teils nur für bestimmte Bereiche. Die Kommissionsliste der anerkannten Länder ist laufend zu prüfen, da Beschlüsse befristet sind oder nach EuGH-Urteilen wegfallen können. Fehlt ein Angemessenheitsbeschluss – etwa für Indien, China, Russland oder Brasilien – sind SCC plus TIA die Standardlösung.
Welche Dokumentationspflichten bestehen für internationale Datentransfers?
Das Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO muss internationale Datentransfers einschließlich der gewählten Transfergarantien dokumentieren. Diese Anforderung gilt für alle Unternehmen unabhängig von ihrer Größe; für Unternehmen mit weniger als 250 Beschäftigten gelten eingeschränkte VVT-Pflichten, jedoch nur für nicht gelegentliche Verarbeitungen, solche mit erhöhtem Risiko oder für besondere Datenkategorien – Drittlandtransfers fallen regelmäßig darunter.
Darüber hinaus sind TIA-Dokumentationen aufzubewahren und im Prüfungsfall der Datenschutzbehörde vorzulegen. Auskunftsansprüche nach Art. 15 DSGVO sind grundsätzlich binnen eines Monats zu beantworten – auch Informationen über Drittlandempfänger sind Teil der Auskunftspflicht. Die Benennung von Drittlandempfängern in Datenschutzhinweisen (Privacy Policy) ist ebenfalls Pflicht nach Art. 13, 14 DSGVO.
In der Mandatspraxis stellen wir fest, dass Dokumentationslücken bei Drittlandtransfers häufig erst dann auffallen, wenn eine Datenschutzbehörde prüft oder eine betroffene Person Auskunft verlangt. Eine proaktive Transfer-Bestandsaufnahme – idealerweise eingebettet in ein jährliches Datenschutz-Audit – reduziert dieses Risiko erheblich.
Wie sollte ein Geschäftsführer vorgehen, der unsicher ist, ob seine Datentransfers DSGVO-konform sind?
Der erste Schritt ist eine Transfer-Bestandsaufnahme: Welche personenbezogenen Daten verlassen den EWR, an wen, zu welchem Zweck und auf welcher Rechtsgrundlage? Diese Analyse sollte abteilungsübergreifend erfolgen – IT, Marketing, HR und Einkauf sind typischerweise alle betroffen. Erfahrungsgemäß zeigt diese Bestandsaufnahme, dass mehrere Transfers ohne jede Grundlage oder auf Basis veralteter Mechanismen stattfinden.
Im zweiten Schritt ist für jeden identifizierten Transfer zu prüfen: Besteht ein Angemessenheitsbeschluss? Wenn nein, sind SCC abgeschlossen und ist ein TIA erstellt? Wenn beides fehlt, besteht unmittelbarer Handlungsbedarf. Der dritte Schritt ist die Dokumentation im VVT und in den Datenschutzhinweisen. Schließlich empfiehlt sich die Einrichtung eines Prozesses zur laufenden Überwachung: Neue Dienstleister, neue Software, neue Länder müssen systematisch erfasst und geprüft werden, bevor der Transfer beginnt.
Eine anwaltliche Begleitung ist insbesondere dann sinnvoll, wenn Drittlandtransfers von sensiblen Datenkategorien (Gesundheitsdaten, HR-Daten, Finanzdaten) oder großem Volumen betroffen sind, wenn US-Dienstleister mit DPF-Unsicherheit eingesetzt werden oder wenn eine Datenschutzbehörde bereits Anfragen gestellt hat.
Was gilt bei der Nutzung US-amerikanischer KI-Dienste und Cloud-Plattformen?
Die Nutzung von KI-Diensten und Cloud-Plattformen US-amerikanischer Anbieter – etwa großer Sprachmodelle oder Collaboration-Lösungen – ist datenschutzrechtlich nur dann unproblematisch, wenn personenbezogene Daten entweder gar nicht in die Verarbeitungsprozesse einfließen oder wenn die Transferanforderungen der DSGVO erfüllt sind. Häufig unterschätzte Risikofaktoren: Eingaben in generative KI-Modelle können Mitarbeiterdaten, Kundendaten oder Geschäftsgeheimnisse enthalten; die Verarbeitungsinfrastruktur liegt oft in den USA, teilweise ohne DPF-Zertifizierung des Anbieters.
Für die Praxis bedeutet das: Vor dem unternehmensweiten Einsatz eines KI-Dienstes sollte die Datenschutzfolgenabschätzung (DSFA) nach Art. 35 DSGVO geprüft werden; bei wahrscheinlich hohem Risiko ist sie Pflicht. Parallel sind die Transfermechanismen des Anbieters zu verifizieren und die Nutzungsbedingungen auf Drittlandklauseln zu analysieren. Viele Anbieter bieten mittlerweile EU-Datenresidenz-Optionen an, die das Risiko reduzieren – diese sind jedoch nicht automatisch aktiviert und müssen vertraglich vereinbart werden.
Die vorstehende Darstellung betrifft die typischen Konstellationen, mit denen mittelständische Unternehmen bei internationalen Datentransfers konfrontiert sind. Ihr konkreter Fall erfordert die Prüfung Ihrer Dienstleisterverträge, der eingesetzten Transfermechanismen und der aktuellen Behördenpraxis. Für eine erste fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers
Muss ich für jeden Transfer in die USA separate Standardvertragsklauseln abschließen?
Grundsätzlich ja – es sei denn, der US-Empfänger ist aktuell unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert und die Zertifizierung ist gültig. In diesem Fall genügt der Angemessenheitsbeschluss als Grundlage; SCC sind nicht zwingend, aber als Fallback-Instrument empfehlenswert. Für nicht DPF-zertifizierte Empfänger sind SCC in der aktuellen Fassung von 2021 erforderlich, ergänzt durch ein Transfer Impact Assessment.
Was passiert, wenn das EU-U.S. Data Privacy Framework vom EuGH für ungültig erklärt wird?
Bei einer Invalidierung würden Transfers, die allein auf dem DPF beruhen, unmittelbar rechtswidrig. Unternehmen müssen dann auf einen alternativen Mechanismus – in der Regel SCC plus TIA – umstellen. Die Übergangsfrist wäre im Zweifel sehr kurz. Daher empfehlen wir, parallel zum DPF immer SCC als Rückfallebene vorzuhalten und das TIA aktuell zu halten.
Reicht es aus, wenn mein US-Dienstleister mir „DSGVO-Compliance" zusichert?
Nein. Eine vertragliche Zusicherung ersetzt keine der gesetzlich vorgesehenen Transfergarantien. Verantwortlich für die Rechtskonformität ist das datenexportierende Unternehmen im EWR, also in der Regel Ihr Unternehmen. Sie müssen sicherstellen, dass entweder ein Angemessenheitsbeschluss greift oder SCC abgeschlossen und ein TIA erstellt wurde – unabhängig von vertraglichen Versprechen des Anbieters.
Gilt die 72-Stunden-Meldepflicht auch, wenn ein Drittlandtransfer zur Datenpanne geführt hat?
Ja. Die Meldepflicht nach Art. 33 DSGVO besteht bei jeder Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für betroffene Personen führt – unabhängig davon, ob der Auslöser ein fehlerhafter Drittlandtransfer, ein Cyberangriff oder eine interne Fehlkonfiguration war. Die Meldefrist von 72 Stunden beginnt ab dem Zeitpunkt, zu dem der Verantwortliche Kenntnis von der Verletzung erlangt.
Müssen auch kleine Unternehmen ein Verzeichnis der Verarbeitungstätigkeiten mit Drittlandtransfers führen?
Im Grundsatz sind Unternehmen mit weniger als 250 Mitarbeitenden von der VVT-Pflicht teilweise befreit – allerdings nicht, wenn Drittlandtransfers regelmäßig stattfinden oder besondere Datenkategorien betroffen sind. In der Praxis führt die regelmäßige Nutzung von Cloud-Diensten, CRM-Systemen oder HR-Software mit US-Bezug fast immer dazu, dass die VVT-Pflicht auch für kleinere Unternehmen gilt.
Was kostet mich die Beratung zu internationalen Datentransfers bei BRANDT & FALK?
Wir vereinbaren Vergütung transparent auf Basis von Stundenhonorar, Pauschalhonorar für definierte Leistungspakete oder nach Maßgabe einer individuellen Vergütungsvereinbarung gemäß § 3a RVG. Für eine erste Orientierung zu Ihrem Beratungsbedarf schreiben Sie uns an info@brandtfalk.com.
Wie oft sollte ein Transfer Impact Assessment aktualisiert werden?
Ein TIA ist kein statisches Dokument. Es sollte anlassbezogen aktualisiert werden, wenn sich die Rechtslage im Empfängerland ändert, wenn der Anbieter seine Subauftragsverarbeiter wechselt oder wenn der Angemessenheitsbeschluss für das Zielland einer Überprüfung unterzogen wird. Darüber hinaus empfiehlt sich eine jährliche Routineüberprüfung im Rahmen eines Datenschutz-Audits.
Kann ich für Mitarbeiterdaten, die in ein US-Konzernsystem eingepflegt werden, die Einwilligung der Beschäftigten als Transfergrundlage nutzen?
Die Datenschutzbehörden stehen dieser Praxis kritisch gegenüber: Im Beschäftigungsverhältnis gilt die Einwilligung wegen der strukturellen Machtasymmetrie als regelmäßig nicht freiwillig. Art. 49 DSGVO lässt Einwilligung als Ausnahme zu, jedoch nicht als Dauergrundlage für systematische HR-Datenübermittlungen. Geeigneter sind SCC plus TIA oder – bei konzernangehörigen Transferbeziehungen – Binding Corporate Rules.
Die vorstehende Darstellung betrifft die Regelfälle internationaler Datentransfers. Ihr konkreter Sachverhalt erfordert die Analyse Ihrer Dienstleisterverträge, des eingesetzten Transfermechanismus und der aktuellen Behörden- und Rechtsprechungspraxis. Zur Klärung, wie die DSGVO-Anforderungen auf Ihre internationalen Datenflüsse wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.