Ein mittelständisches Handelsunternehmen überträgt täglich Kundendaten an seinen US-amerikanischen Logistikdienstleister, nutzt ein cloudbasiertes Warenwirtschaftssystem mit Servern in Singapur und lässt Zahlungsdaten von einem indischen IT-Dienstleister verarbeiten. Dieses Szenario ist im deutschen Groß- und Einzelhandel keine Ausnahme, sondern Standard – und birgt erhebliche rechtliche Risiken, die unmittelbar die persönliche Haftung des Geschäftsführers berühren.
Internationale Datentransfers rechtssicher gestalten bedeutet im Kern: Jede Übermittlung personenbezogener Daten in ein Drittland außerhalb der EU bzw. des EWR bedarf einer spezifischen Rechtsgrundlage nach der DSGVO. Im Groß- und Einzelhandel sind Standardvertragsklauseln (SCC) der Europäischen Kommission das praktisch bedeutsamste Instrument, müssen jedoch durch eine Transfer Impact Assessment (Datentransfer-Folgenabschätzung) ergänzt werden. Fehlt der rechtliche Rahmen, drohen Bußgelder von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes sowie Anordnungen der Datenschutzbehörden, die den Betrieb empfindlich stören.
Dieser Beitrag erläutert den geltenden Rechtsrahmen, die typischen Transferkonstellationen im Handel, die verfügbaren Übertragungsinstrumente und die konkreten Schritte, die Ihr Unternehmen jetzt ergreifen sollte.
Warum Drittlandtransfers im Handel besonderer Regelung bedürfen
Das Kapitel V der DSGVO (Art. 44 ff. DSGVO) legt fest, dass personenbezogene Daten nur dann in ein Drittland übermittelt werden dürfen, wenn ein angemessenes Schutzniveau gewährleistet ist. Dieser Grundsatz klingt abstrakt, hat aber im Handelsalltag unmittelbar konkrete Konsequenzen: Jede automatisierte Anfrage an einen US-amerikanischen E-Commerce-Dienstleister, jeder Export von Lieferantendaten in ein ERP-System mit Rechenzentrum außerhalb der EU und jede Weitergabe von Kundendaten an internationale Marktplätze löst diese Pflicht aus.
Die europäische Datenschutzbehörde bestätigt in ständiger Praxis: Der bloße Abschluss eines Auftragsverarbeitungsvertrags genügt nicht, wenn der Vertragspartner in einem Land ohne Angemessenheitsbeschluss ansässig ist. Ohne eine der in Art. 46 DSGVO genannten geeigneten Garantien ist die Übermittlung rechtswidrig – und zwar unabhängig davon, wie professionell der ausländische Dienstleister aufgestellt ist. In der Mandatspraxis sehen wir regelmäßig, dass Handelsunternehmen den Unterschied zwischen einem Auftragsverarbeitungsvertrag und dem gesondert erforderlichen Transfermechanismus nicht kennen – mit erheblichen Konsequenzen.
Welches Risiko geht ein Geschäftsführer konkret ein, wenn er diesen Rechtsrahmen außer Acht lässt? Die Datenschutzkonferenz (DSK) hat wiederholt klargestellt, dass bei systematischen Verstößen gegen Kapitel V DSGVO nicht nur Bußgelder, sondern auch Untersagungsanordnungen ergehen – bis hin zur Anordnung der Datenlöschung beim Empfänger im Drittland.
Welche Übertragungsmechanismen stehen im Groß- und Einzelhandel zur Verfügung?
Das Datenschutzrecht stellt verschiedene Instrumente bereit, deren Eignung je nach Handelspartner, Datenvolumen und Risikoprofil unterschiedlich ausfällt. Im Groß- und Einzelhandel kommen in der Praxis vier Instrumente regelmäßig in Betracht.
Angemessenheitsbeschlüsse der EU-Kommission (Art. 45 DSGVO) sind das bequemste Instrument: Ist der Empfänger in einem Land ansässig, für das ein gültiger Beschluss besteht – derzeit etwa Großbritannien, Japan, die Schweiz oder Kanada (mit Einschränkungen) –, bedarf es keines weiteren Transfermechanismus. Für die USA gilt das EU-US Data Privacy Framework (DPF) seit Juli 2023; Empfänger müssen jedoch im DPF-Register zertifiziert sein. In der Mandatspraxis sehen wir, dass Einkaufsabteilungen dies häufig nicht überprüfen.
Standardvertragsklauseln (Standard Contractual Clauses, SCC) der EU-Kommission in der seit Juni 2021 geltenden Fassung sind das Standardinstrument für alle übrigen Fälle. Die SCC sind modular aufgebaut: Modul 1 gilt für Transfers zwischen Verantwortlichen (z. B. Konzernverbund), Modul 2 für den Fall Verantwortlicher → Auftragsverarbeiter – im Handel mit Abstand der häufigste Fall. Wichtig: Die SCC müssen ergänzt werden durch ein Transfer Impact Assessment (TIA), also eine dokumentierte Bewertung, ob das Recht im Empfängerland den vertraglich vereinbarten Schutz untergräbt. Diese Pflicht folgt aus dem Urteil des EuGH im Fall Schrems II.
Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR) sind für internationale Konzernstrukturen relevant, etwa wenn ein Filialnetz auf mehreren Kontinenten betrieben wird. Die Genehmigung durch die zuständige Aufsichtsbehörde ist zeitaufwändig und ressourcenintensiv – für den typischen Mittelstandshändler daher selten die erste Wahl.
Ausnahmen nach Art. 49 DSGVO – etwa Einwilligung der betroffenen Person oder Vertragserfüllung – dürfen nur im Einzelfall und ausnahmsweise genutzt werden. Sie sind keine dauerhaften Lösungen für regelmäßige Transfervorgänge im Handelsbetrieb.
Wie ein Transfer Impact Assessment im Handel praktisch aussieht
Das Transfer Impact Assessment ist keine bürokratische Formalität, sondern eine inhaltliche Prüfpflicht. Es beantwortet die Frage: Kann der Empfänger im Drittland die vertraglich vereinbarten Datenschutzpflichten tatsächlich einhalten, oder untergräbt das Recht des Drittlands diese Vereinbarungen?
In der Praxis empfehlen wir eine strukturierte Dreistufenprüfung. Zunächst: Identifikation aller Datentransfers und ihrer Rechtsnatur – welche Datenkategorien, welche Datenvolumina, welcher Zweck? Im Groß- und Einzelhandel sind dies regelmäßig Kunden- und Lieferantenstammdaten, Zahlungsdaten, Bestellhistorien und Mitarbeiterdaten. Dann: Rechtslageanalyse im Empfängerland – gibt es staatliche Zugriffsmöglichkeiten, die dem DSGVO-Schutzstandard widersprechen? Schließlich: Bewertung und ggf. Ergänzung durch technische oder organisatorische Zusatzmaßnahmen (supplementary measures), etwa Pseudonymisierung, Verschlüsselung oder Zugriffsrestriktionen.
Das TIA muss dokumentiert und aktuell gehalten werden. Eine einmal erstellte Bewertung, die nicht überarbeitet wird, schützt nicht vor behördlicher Beanstandung, wenn sich die Rechtslage im Empfängerland ändert – wie der Schrems-II-Entscheid gezeigt hat. Für Handelsunternehmen mit wachsendem Dienstleisterportfolio bedeutet das: ein kontinuierlicher Revisionsprozess, kein einmaliger Projektabschluss.
Typische Risikokonstellationen im Groß- und Einzelhandel
Nach unserer Erfahrung konzentrieren sich die datenschutzrechtlichen Risiken im Handel auf vier Konstellationen, die trotz ihrer Häufigkeit in vielen Unternehmen nicht systematisch adressiert sind.
US-amerikanische SaaS-Lösungen: Warenwirtschaft, CRM, E-Mail-Marketing und Zahlungsabwicklung laufen häufig auf US-Plattformen. Das EU-US Data Privacy Framework gilt nur für zertifizierte Unternehmen. Ist der Anbieter nicht zertifiziert oder läuft die Zertifizierung aus, fällt die Rechtsgrundlage weg. Einkaufsleiter und IT-Verantwortliche prüfen dies in der Regel nicht in ausreichenden Intervallen.
Fernwartung durch außereuropäische IT-Dienstleister: Sobald ein indischer oder ukrainischer IT-Dienstleister Zugriff auf Systeme mit Kundendaten hat, liegt ein Transfer vor – auch wenn dieser „nur" zur technischen Wartung erfolgt. Ohne SCC und TIA ist dieser Transfer rechtswidrig.
Konzerninterner Datenaustausch: Viele mittelständische Handelsunternehmen sind Teil internationaler Unternehmensgruppen oder kooperieren mit ausländischen Muttergesellschaften. Konzernzugehörigkeit ist kein Transferprivileg; die DSGVO kennt keine Ausnahme für konzerninterne Übermittlungen, es sei denn, BCR werden genutzt oder SCC werden abgeschlossen.
Internationale Marktplätze und Plattformen: Wer über Amazon Marketplace, Alibaba oder vergleichbare Plattformen verkauft, überträgt Kundendaten an Empfänger außerhalb der EU. Die Verantwortlichkeitsverteilung und die daraus folgende Frage, wer den Transfermechanismus sicherstellt, ist häufig unklar und bedarf vertraglicher Klarstellung.
Welche Pflichten treffen Geschäftsführer persönlich?
Die DSGVO richtet sich nicht nur an das Unternehmen als Verantwortlichen, sondern hat durch die Bußgeldvorschriften und die zivilrechtliche Haftung eine mittelbare Außenwirkung auf die Leitungsorgane. Für den Geschäftsführer einer GmbH gilt: Organisationspflichtverletzungen – also das Unterlassen geeigneter Compliance-Strukturen – können zur persönlichen Innenhaftung gegenüber der Gesellschaft führen, wenn Bußgelder oder Schadensersatzzahlungen entstehen.
Die Bußgeldrahmen der DSGVO sind erheblich: bis zu 20 Mio. Euro oder 4 % des gesamten weltweiten Jahresumsatzes des Unternehmens (Art. 83 Abs. 5 DSGVO) – maßgeblich ist der höhere Wert. Für mittelständische Handelsunternehmen mit einem Jahresumsatz von beispielsweise 50 Mio. Euro bedeutet die umsatzbezogene Grenze ein Bußgeldrisiko von bis zu 2 Mio. Euro allein für diesen Verstoßtyp.
Hinzu kommen Untersagungsanordnungen der Datenschutzbehörde, die – anders als Bußgelder – nicht nur im Nachhinein wirken, sondern den laufenden Betrieb betreffen: Die Aufsichtsbehörde kann gemäß Art. 58 Abs. 2 DSGVO die Aussetzung von Datentransfers anordnen. Für ein Handelsunternehmen, dessen Logistik auf einem US-amerikanischen Dienstleister basiert, kann eine solche Anordnung operative Konsequenzen haben, die weit über das eigentliche Bußgeld hinausgehen.
Welche Maßnahmen schützen den Geschäftsführer also konkret? Eine dokumentierte Transfer-Compliance – TIA, aktuelle SCC, regelmäßige Dienstleister-Audits – ist nicht nur regulatorische Pflicht, sondern auch Schutzschild gegen persönliche Haftungsansprüche.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Großhändler für Konsumgüter mit rund 120 Mitarbeitern aus dem Raum Hamburg. Ausgangslage: Das Unternehmen nutzte seit mehreren Jahren ein US-amerikanisches CRM-System, für das kein TIA erstellt worden war; die ursprünglich verwendeten SCC entsprachen noch der alten EU-Kommissions-Fassung aus dem Jahr 2010 und waren damit überholt. Zusätzlich bestand eine Fernwartungsvereinbarung mit einem indischen IT-Dienstleister ohne jeglichen Transfermechanismus. Vorgehen: Die Kanzlei erstellte zunächst eine strukturierte Datentransfer-Kartierung, aktualisierte die SCC auf die 2021er Fassung und führte ein TIA für alle betroffenen Dienstleister durch. Für den indischen Wartungsdienstleister wurden SCC Modul 2 abgeschlossen und technische Zusatzmaßnahmen (Netzwerksegmentierung, Protokollierung aller Zugriffe) vereinbart. Ergebnis: Das Unternehmen ist nunmehr in der Lage, bei einer behördlichen Prüfung eine vollständige, aktuelle Dokumentation vorzulegen, und hat sein Restrisiko auf ein vertretbares Maß reduziert.
Was sind geeignete Garantien und technische Zusatzmaßnahmen?
Geeignete Garantien im Sinne des Art. 46 DSGVO – in erster Linie SCC – legen vertragliche Mindeststandards fest. Sie sind aber nur so wirksam wie der rechtliche und tatsächliche Kontext, in dem sie wirken. Technische und organisatorische Zusatzmaßnahmen schließen die Lücke zwischen vertraglichem Versprechen und tatsächlichem Schutz.
Im Handelsbereich kommen insbesondere folgende Maßnahmen in Betracht: Pseudonymisierung von Kundendaten vor dem Transfer (der Empfänger erhält keine direkt personenidentifizierenden Informationen), Ende-zu-Ende-Verschlüsselung bei der Datenübertragung mit Schlüsselhaltung ausschließlich beim europäischen Verantwortlichen sowie rollenbasierte Zugriffskontrollen, die den Zugriff im Drittland auf das absolut notwendige Minimum beschränken. Technische Maßnahmen können eine unzureichende Rechtsgrundlage nicht ersetzen, aber eine bestehende Rechtsgrundlage erheblich stärken – und damit die Wahrscheinlichkeit einer behördlichen Beanstandung verringern.
Organisatorisch empfehlen wir zudem eine regelmäßige Prüfung der Zertifizierungsstatus von US-Anbietern im DPF-Register sowie eine jährliche Überarbeitung aller TIA. Dienstleisterwechsel und technische Systemänderungen müssen auslösen, dass ein neuer Transfermechanismus geprüft wird – das sollte Bestandteil jedes internen Freigabeprozesses sein.
Schritt-für-Schritt: So gehen Sie die Transfer-Compliance an
Die Herstellung rechtskonformer internationaler Datentransfers ist kein einmaliges Projekt, sondern ein strukturierter Prozess. In der Beratungspraxis haben sich folgende Schritte bewährt.
Schritt 1 – Bestandsaufnahme (Transfer-Mapping): Erfassen Sie alle Datenflüsse, bei denen personenbezogene Daten das EU/EWR-Gebiet verlassen. Im Handel sind dies häufig mehr Systeme, als die Geschäftsleitung zunächst vermutet. Ausgangspunkt ist das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, das in der Praxis oft unvollständig ist.
Schritt 2 – Rechtsgrundlagenprüfung: Für jeden identifizierten Transfer prüfen: Besteht ein Angemessenheitsbeschluss? Ist der Empfänger im DPF-Register gelistet (für US-Empfänger)? Falls nein: Welche Art von SCC-Modul ist einschlägig?
Schritt 3 – Abschluss oder Aktualisierung der SCC: Überprüfen Sie, ob bestehende SCC der aktuellen Fassung der EU-Kommission aus Juni 2021 entsprechen. Veraltete Klauseln haben keine Schutzwirkung. Die Übergangsfristen für die alten SCC sind abgelaufen.
Schritt 4 – Erstellung des TIA: Dokumentieren Sie für jeden Transfer, ob das Recht im Empfängerland die SCC-Verpflichtungen untergräbt. Beziehen Sie öffentlich zugängliche Quellen (Länderberichte, Behördenrichtlinien) ein. Bewerten Sie, ob technische Zusatzmaßnahmen erforderlich sind.
Schritt 5 – Implementierung technischer Maßnahmen: Setzen Sie die im TIA identifizierten Zusatzmaßnahmen technisch und organisatorisch um. Dokumentieren Sie die Umsetzung.
Schritt 6 – Laufendes Monitoring: Richten Sie einen Prozess ein, der bei Dienstleisterwechseln, Systemänderungen und Rechtslagenänderungen im Empfängerland automatisch eine Prüfpflicht auslöst. Das TIA ist kein Archivdokument, sondern ein lebendes Instrument.
Die vorstehende Darstellung betrifft die typischen Regelkonstellationen im Groß- und Einzelhandel. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Dienstleisterkette, Ihrer bestehenden Verträge und der aktuellen Rechtslage in den betroffenen Empfängerländern. Für eine erste Einschätzung Ihrer Transfer-Compliance wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum internationalen Datentransfer im Handel
Was sind Standardvertragsklauseln (SCC) und wann sind sie erforderlich?
Standardvertragsklauseln (Standard Contractual Clauses, SCC) sind von der EU-Kommission genehmigte Vertragswerke, die das erforderliche Datenschutzniveau bei Transfers in Drittländer ohne Angemessenheitsbeschluss herstellen sollen. Sie sind erforderlich, sobald personenbezogene Daten an einen Dienstleister oder Partner außerhalb der EU bzw. des EWR übermittelt werden und kein gültiger Angemessenheitsbeschluss besteht. Seit Ablauf der Übergangsfristen müssen stets die Klauseln in der Fassung von Juni 2021 verwendet werden. Zusätzlich ist ein Transfer Impact Assessment zu erstellen.
Gilt das EU-US Data Privacy Framework (DPF) für alle US-Dienstleister?
Nein. Das EU-US Data Privacy Framework gilt ausschließlich für US-Unternehmen, die sich aktiv im DPF-Register des US-Handelsministeriums zertifiziert haben und deren Zertifizierung gültig ist. Handelsunternehmen sollten den Zertifizierungsstatus ihrer US-Dienstleister regelmäßig prüfen, da eine abgelaufene oder widerrufene Zertifizierung die Rechtsgrundlage für den Transfer entfallen lässt. Für nicht zertifizierte US-Anbieter sind SCC und ein TIA zwingend erforderlich.
Was ist ein Transfer Impact Assessment (TIA) und wer muss es erstellen?
Ein Transfer Impact Assessment (Datentransfer-Folgenabschätzung) ist eine dokumentierte Bewertung, ob das Recht und die Praxis im Empfängerland die durch SCC vereinbarten Datenschutzgarantien faktisch untergraben. Die Pflicht zur Erstellung trifft den Verantwortlichen – also das Handelsunternehmen selbst, nicht den Dienstleister. Das TIA muss für jeden relevanten Transfer erstellt, dokumentiert und bei Rechtslagenänderungen aktualisiert werden. Es bildet die wesentliche Verteidigungslinie bei behördlichen Prüfungen.
Welche Bußgelder drohen bei Verstößen gegen die Transfervorschriften?
Verstöße gegen Kapitel V DSGVO – also gegen die Regeln zu internationalen Datentransfers – fallen in den höchsten Bußgeldrahmen der DSGVO: bis zu 20 Mio. Euro oder 4 % des gesamten weltweiten Jahresumsatzes des Unternehmens, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Daneben können die Aufsichtsbehörden nach Art. 58 Abs. 2 DSGVO die Aussetzung oder Untersagung der betreffenden Transfers anordnen, was unmittelbare operative Konsequenzen haben kann.
Reicht ein Auftragsverarbeitungsvertrag (AVV) für den Drittlandtransfer aus?
Nein. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist eine eigenständige, von den Transfervorschriften des Kapitels V unabhängige Pflicht. Er regelt das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter, enthält aber keine geeigneten Garantien für internationale Transfers im Sinne des Art. 46 DSGVO. Für Transfers in Drittländer müssen AVV und Transfermechanismus (z. B. SCC) kombiniert werden.
Müssen konzerninterne Transfers zwischen EU-Mutter und Drittlandstochter abgesichert werden?
Ja. Die DSGVO kennt kein Konzernprivileg. Auch konzerninterne Datenübermittlungen in Drittländer ohne Angemessenheitsbeschluss bedürfen eines geeigneten Transfermechanismus. In der Praxis kommen dafür entweder Binding Corporate Rules (BCR) – aufwändig, aber einmalig genehmigt – oder konzerninterne SCC in Betracht. BCR bieten den Vorteil einer umfassenden Abdeckung aller konzerninternen Transfers nach ihrer behördlichen Genehmigung.
Die vorstehenden Ausführungen beschreiben den datenschutzrechtlichen Regelrahmen für typische Handelskonstellationen. Ihr konkreter Sachverhalt erfordert die individuelle Prüfung Ihrer Vertragsbeziehungen, Ihres Dienstleisterportfolios und der aktuellen Rechtslage in allen betroffenen Drittländern. Zur Klärung, wie eine rechtssichere Transfer-Compliance für Ihr Unternehmen aussieht, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.