Ein deutsches Handelsunternehmen mit Zentrallager in Nordrhein-Westfalen überträgt täglich Lieferantenstammdaten, Kundentransaktionen und Mitarbeiterdaten an einen US-amerikanischen CRM-Anbieter, einen asiatischen Logistikpartner und ein europäisches Fintech-Zahlungsdienstleister. Die Frage, welches dieser drei Datentransfer-Verhältnisse DSGVO-konform ausgestaltet ist, beantwortet heute in vielen mittelständischen Handelsunternehmen niemand mit Sicherheit.
Internationale Datentransfers sind rechtssicher zu gestalten, wenn für jede Drittstaaten-Übermittlung ein anerkanntes Transferinstrument nach Kapitel V DSGVO vorliegt – typischerweise Standardvertragsklauseln (SCC) der Europäischen Kommission, ein gültiger Angemessenheitsbeschluss oder verbindliche interne Datenschutzvorschriften (BCR). Fehlt ein solches Instrument, drohen Bußgelder von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes sowie behördliche Anordnungen, die den Geschäftsbetrieb unterbrechen können. Für Geschäftsführer im Groß- und Einzelhandel gilt: Die persönliche Verantwortung für einen dokumentierten, fortlaufend geprüften Transfermechanismus ist keine IT-Aufgabe, sondern eine Leitungsaufgabe.
Dieser Branchenreport beschreibt den geltenden Rechtsrahmen, zeigt typische Transferkonstellationen im Handel, erläutert die verfügbaren Instrumente und gibt einen praxisorientierten Fahrplan für die rechtssichere Umsetzung im Mittelstand.
Warum der Groß- und Einzelhandel besonders exponiert ist
Kein anderes Segment des deutschen Mittelstands unterhält eine vergleichbar dichte, international aufgespannte Dateninfrastruktur wie der Handelssektor. Kundenbindungsprogramme, Multichannel-Vertrieb, globale Beschaffungsnetzwerke und cloudbasierte ERP-Systeme erzeugen täglich Massendaten, die nahezu zwingend Drittstaatenbezug aufweisen.
In der Mandatspraxis sehen wir bei Handelsunternehmen regelmäßig drei strukturelle Risikoquellen: Erstens greifen Cloud-Dienste amerikanischer Hyperscaler auf Kundendaten zu, ohne dass die zugrunde liegenden SCC aktualisiert wurden. Zweitens fließen Lieferantendaten asiatischer Beschaffungspartner über Kommunikationsplattformen, für die kein Transferinstrument nachgewiesen ist. Drittens exportieren HR-Softwaresysteme Mitarbeiterdaten in Rechenzentren außerhalb des EWR, ohne dass der Geschäftsführer hiervon überhaupt Kenntnis hat.
Die Datenschutzbehörden haben dieses Risikobild erkannt. Die Aufsichtsbehörden priorisieren branchenweite Prüfungen im Handel, nachdem mehrere europäische Behörden Bußgelder wegen unzureichender Drittstaatentransfers verhängt haben. Für Geschäftsführer bedeutet das: Unwissenheit schützt nicht vor Haftung.
Welche konkreten Rechtsgrundlagen gelten, wenn ein Hamburger Großhändler Bestelldaten an einen US-Cloud-Anbieter übermittelt? Die Antwort liegt ausschließlich in Kapitel V der DSGVO – und dort sind die Anforderungen streng.
Der Rechtsrahmen: Kapitel V DSGVO und seine Instrumente
Die DSGVO verbietet die Übermittlung personenbezogener Daten in Drittstaaten grundsätzlich, sofern kein angemessenes Schutzniveau nachgewiesen ist. Das Regelungssystem kennt drei Kategorien von Transferinstrumenten, die hierarchisch zu verstehen sind.
Angemessenheitsbeschlüsse der Europäischen Kommission schaffen für bestimmte Länder die Grundlage, Daten ohne zusätzliche Garantien zu übermitteln. Das EU-US Data Privacy Framework (DPF), das im Juli 2023 in Kraft trat, hat die Übermittlung an zertifizierte US-Empfänger formal abgesichert. Handelsunternehmen, die US-amerikanische SaaS-Lösungen für Warenwirtschaft oder CRM nutzen, sollten prüfen, ob der jeweilige Anbieter tatsächlich DPF-zertifiziert ist – die Zertifizierungsliste ist öffentlich zugänglich und muss vor jeder Übermittlung kontrolliert werden. Entscheidend: Das DPF ist politisch fragil; nach der Erfahrung mit Privacy Shield und Safe Harbor ist ein Alternativinstrument parallel vorzuhalten.
Standardvertragsklauseln (SCC) der Europäischen Kommission sind für den Mittelstand das praktisch relevanteste Instrument. Die überarbeiteten SCC aus dem Jahr 2021 decken vier Transferkonstellationen ab: Controller-to-Controller, Controller-to-Processor, Processor-to-Controller und Processor-to-Processor. Allein die Unterzeichnung der SCC genügt nicht; erforderlich ist zusätzlich eine Transfer Impact Assessment (TIA, auch Transfer-Folgenabschätzung genannt), in der das Datenschutzniveau im Empfängerland konkret bewertet wird.
Verbindliche interne Datenschutzvorschriften (BCR) sind für Unternehmensgruppen mit internationaler Konzernstruktur geeignet, im Mittelstand jedoch aufwendig zu implementieren, da sie behördliche Genehmigung erfordern. Für inhabergeführte Handelsunternehmen sind BCR die Ausnahme.
Als Ausnahmen nach Art. 49 DSGVO – etwa die ausdrückliche Einwilligung der betroffenen Person oder die Vertragserfüllung – gelten nach dem Verständnis der Datenschutzbehörden als nicht für massenhafte, systematische Übermittlungen geeignet. Im Handel mit täglich Tausenden von Kundentransaktionen ist Art. 49 DSGVO als Regellösung unzulässig.
Standardvertragsklauseln im Handel: Worauf kommt es an?
Die SCC sind das Rückgrat des internationalen Datentransfers für Handelsunternehmen – und zugleich der häufigste Anlass für behördliche Beanstandungen, wenn sie formal vorhanden, inhaltlich aber unvollständig sind. Nach unserer Erfahrung sind drei Fehler im Handelssektor besonders verbreitet.
Erstens: veraltete SCC-Versionen. Viele Handelsunternehmen arbeiten noch mit SCC-Generationen, die von der Europäischen Kommission zurückgezogen wurden. Die aktuellen Modulklauseln (Durchführungsbeschluss 2021/914/EU) sind zwingend, ältere Versionen entfalten keine Schutzwirkung mehr.
Zweitens: fehlende oder unvollständige Anhänge. Die SCC-Module erfordern ausgefüllte Anhänge (Annex I bis III), in denen Parteien, Datenkategorien, Verarbeitungszwecke, technisch-organisatorische Maßnahmen und Unterauftragsverarbeiter konkret benannt werden. Generische Formulierungen schützen nicht vor Bußgeldern.
Drittens: keine Transfer Impact Assessment. Die Datenschutzkonferenz (DSK) und der Europäische Datenschutzausschuss (EDSA) erwarten, dass verantwortliche Stellen das Schutzniveau im Empfängerland anhand rechtlicher und faktischer Kriterien dokumentieren. Für US-Dienstleister ist dabei insbesondere zu prüfen, ob der Empfänger dem US Foreign Intelligence Surveillance Act (FISA Section 702) unterliegt – ein Aspekt, der für Handelsunternehmen in der Praxis häufig unterschätzt wird.
Praktische Empfehlung: Erstellen Sie für jeden internationalen Datenfluss ein Transferverzeichnis, das das eingesetzte Instrument, die Fassung, das Datum der Unterzeichnung und das Ergebnis der TIA dokumentiert. Dieses Verzeichnis ist bei einer Prüfung durch die Datenschutzbehörde das erste Dokument, das vorgelegt werden muss.
Typische Transferkonstellationen im Groß- und Einzelhandel
Der Handelsbetrieb ist datentransferreich. Vier Konstellationen treten regelmäßig auf und bringen je eigene rechtliche Anforderungen mit sich.
Konstellation A: Cloud-ERP und Warenwirtschaft (USA) → Instrument: SCC (Modul Controller-to-Processor) + TIA, alternativ DPF-Zertifizierung prüfen → Frist: unverzügliche Überprüfung, spätestens bei Vertragsverlängerung → Folge: ohne Instrument drohen Abmahnungen, Behördenanordnungen, Bußgelder bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes.
Konstellation B: Lieferantenkommunikation und Beschaffungsmanagement (Asien) → Instrument: SCC (Modul Controller-to-Controller), da Lieferanten eigenständig verantwortliche Stellen sind → TIA mit Ländereinschätzung Volksrepublik China, Indien oder weiteres Drittland → Folge: Ohne Instrument ist die Beschaffungsinfrastruktur nicht DSGVO-konform; Mitarbeiterdaten der Einkäufer sind regelmäßig betroffen.
Konstellation C: Kundenbindungsprogramme und Loyalty-Apps → Instrument: SCC oder Angemessenheitsbeschluss; zusätzlich Prüfung der datenschutzrechtlichen Rolle des App-Betreibers (eigenständig Verantwortlicher oder Auftragsverarbeiter?) → Risiko: Loyalty-Programme mit globalen Drittanbietern übertragen oft sensible Kaufverhaltensdaten, die mit Art. 9-DSGVO-relevanten Kategorien (z. B. Gesundheitsprodukte) schneiden können.
Konstellation D: HR-Software und Mitarbeiterdaten → Instrument: SCC (Modul Controller-to-Processor) + Betriebsvereinbarung, wo Betriebsrat vorhanden → Besonderheit: Mitarbeiterdaten genießen erhöhten Schutz; Rechtsgrundlage der Verarbeitung und Transferinstrument müssen parallel legitimiert sein.
Welche Pflichten treffen den Geschäftsführer persönlich?
Die DSGVO adressiert Pflichten primär an die verantwortliche Stelle – also das Unternehmen. Die persönliche Haftung des Geschäftsführers richtet sich nach dem GmbH-Gesetz und den allgemeinen Grundsätzen der Leitungssorgfalt. Ein Verstoß gegen die DSGVO, der auf ein Organisationsversagen zurückzuführen ist, kann Schadensersatzansprüche der Gesellschaft gegen den Geschäftsführer begründen, wenn dieser seine Organisations- und Kontrollpflichten verletzt hat.
In der Mandatspraxis sehen wir, dass Datenschutz-Bußgelder zunehmend die Liquiditäts- und Reputationsplanung mittelständischer Handelsunternehmen beeinflussen. Bußgelder nach Art. 83 DSGVO können bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes erreichen – wobei die Aufsichtsbehörden bei Wiederholungsfällen und mangelnder Kooperation den oberen Rahmen ausschöpfen. Für einen Mittelständler mit einem Jahresumsatz von 50 Mio. Euro kann das eine Belastung von bis zu 2 Mio. Euro bedeuten.
Hinzu kommen die Folgekosten: Behördliche Anordnungen, Datenflüsse einzustellen, können innerhalb weniger Tage operative Systeme zum Stillstand bringen. Kein Handelsunternehmen kann heute auf cloudbasierte ERP-, CRM- oder Logistikplattformen verzichten, ohne seinen Betrieb zu gefährden. Genau diese Abhängigkeit macht die Datentransfer-Compliance zur Leitungsaufgabe, nicht zur IT-Aufgabe.
Was bedeutet das für die Sorgfaltspflicht konkret? Der Geschäftsführer muss ein System eingerichtet haben, das (1) alle internationalen Datenflüsse inventarisiert, (2) die eingesetzten Transferinstrumente dokumentiert und fortlaufend aktualisiert, (3) Transfer Impact Assessments für Hochrisikoländer vorhält und (4) die Datenschutzbehörde im Prüfungsfall mit vollständigen Unterlagen bedienen kann. Fehlt auch nur eines dieser Elemente, liegt ein Organisationsmangel vor.
Transfer Impact Assessment (TIA): Schritt für Schritt
Die TIA ist kein bürokratisches Anhängsel, sondern das inhaltliche Herzstück der Drittstaatentransfer-Compliance. Ohne eine dokumentierte TIA sind SCC für Hochrisikoländer – insbesondere USA, China, Indien und weitere Staaten ohne Angemessenheitsbeschluss – nach dem Verständnis der Aufsichtsbehörden unzureichend.
Die TIA folgt einer strukturierten Prüfabfolge. Zunächst identifiziert die verantwortliche Stelle, welche Datenkategorien in welches Land fließen und welchen staatlichen Zugriffsmöglichkeiten der Empfänger dort ausgesetzt ist. Für US-Empfänger ist zu prüfen, ob FISA Section 702, der Cloud Act oder andere Überwachungsgesetze Anwendung finden. Für chinesische Empfänger ist das nationale Sicherheitsgesetz (NatSG) und das Datensicherheitsgesetz einzubeziehen.
Im zweiten Schritt bewertet die verantwortliche Stelle, ob zusätzliche technische Schutzmaßnahmen – etwa End-to-End-Verschlüsselung mit schlüsselbehaltung im EWR, Pseudonymisierung oder Datenaggregation – das verbleibende Risiko auf ein akzeptables Maß reduzieren. Reichen diese Maßnahmen nicht aus, darf die Übermittlung nicht stattfinden oder muss auf ein Land mit Angemessenheitsbeschluss umgeleitet werden.
Im dritten Schritt ist das Ergebnis zu dokumentieren und in das Verarbeitungsverzeichnis (Art. 30 DSGVO) zu integrieren. Die TIA ist kein einmaliges Dokument; sie ist zu aktualisieren, wenn sich Rechtslage, Empfänger oder Datenkategorien ändern.
Nach unserer Erfahrung reduziert eine strukturierte, zentral verwaltete TIA-Dokumentation den Aufwand bei behördlichen Anfragen erheblich – und signalisiert den Aufsichtsbehörden kooperative Compliance-Bereitschaft, was sich im Prüfungsfall auf die Höhe etwaiger Bußgelder auswirken kann.
Datenpannen und Meldepflichten: Der internationale Kontext
Internationale Datentransfers erhöhen das Risiko von Datenpannen mit grenzüberschreitender Wirkung erheblich. Wenn ein US-amerikanisches Lagerverwaltungssystem gehackt wird und dabei Kundendaten eines deutschen Handelsunternehmens betroffen sind, stellt sich sofort die Frage: Wer muss wen binnen welcher Frist informieren?
Die Meldepflicht nach Art. 33 DSGVO trifft den Verantwortlichen in Deutschland binnen 72 Stunden ab Kenntnisnahme der Verletzung – unabhängig davon, wo der Sicherheitsvorfall technisch eingetreten ist. Die Frist beginnt zu laufen, sobald das Handelsunternehmen von der Datenpanne Kenntnis erlangt, nicht erst wenn der US-Dienstleister meldet. Daher ist in AVV- und SCC-Verträgen vertraglich zu vereinbaren, dass der Auftragsverarbeiter eine unverzügliche Informationspflicht hat – mit expliziter Fristsetzung.
Bei internationalen Sachverhalten ist zusätzlich zu klären, ob das federführende Aufsichtsbehörden-Prinzip der DSGVO (One-Stop-Shop) greift oder ob mehrere Behörden parallel zuständig sind. Für ein rein nationales Handelsunternehmen ohne Niederlassung in anderen EU-Mitgliedstaaten ist die zuständige Landesbehörde am Unternehmenssitz zuständig.
Mikro-Fall: Reformhaushandel und US-Loyalty-Plattform
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen aus der Naturkost- und Reformhausbranche. Das Unternehmen betrieb ein digitales Kundenbindungsprogramm über einen US-amerikanischen Loyalty-Plattform-Anbieter, der nicht DPF-zertifiziert war. Im Rahmen einer routinemäßigen Überprüfung stellte sich heraus, dass weder SCC noch eine TIA vorhanden waren. Zusätzlich handelte es sich um Kaufdaten aus dem Gesundheitsbereich, die als besondere Datenkategorien im Sinne von Art. 9 DSGVO eingestuft werden mussten.
Vorgehen: Die Kanzlei erstellte zunächst eine vollständige Transferbestandsaufnahme aller internationalen Datenflüsse, schloss einen aktualisierten AVV mit dem US-Anbieter einschließlich SCC-Modul 2 (Controller-to-Processor) ab und erarbeitete eine TIA, die ergänzende technische Schutzmaßnahmen (Pseudonymisierung der Kaufdaten vor Übermittlung, datenschutzfreundliche Konfiguration der Plattform) vorsah. Parallel wurde das Verarbeitungsverzeichnis aktualisiert und eine interne Datenschutz-Leitlinie für internationale Dienstleister implementiert.
Ergebnis: Das Handelsunternehmen war in der Lage, bei einer anschließenden behördlichen Anfrage vollständige Dokumentation vorzulegen. Die Behörde bewertete die kooperative Haltung und die ergriffenen Maßnahmen positiv; eine Bußgeldverhängung unterblieb. Das Mandat verdeutlicht, dass strukturierte Nacharbeitung – auch wenn Versäumnisse bestanden – die Risikolage erheblich verbessern kann.
Praxisleitfaden: In sieben Schritten zur DSGVO-konformen Transferstruktur
Wie setzt ein Handelsunternehmen mit begrenzten Ressourcen eine rechtskonforme internationale Datentransferstruktur um? Der folgende Fahrplan ist praxiserprobt und auf den Mittelstand zugeschnitten.
- Schritt 1 – Transferinventar erstellen: Identifizieren Sie sämtliche Datenflüsse in Drittstaaten. Nutzen Sie dafür das Verarbeitungsverzeichnis (Art. 30 DSGVO) als Ausgangspunkt und ergänzen Sie es um die Spalten „Empfängerland", „Transferinstrument" und „TIA-Datum".
- Schritt 2 – Instrumentenzuordnung: Weisen Sie jedem Transferfluss das geeignete Instrument zu: Angemessenheitsbeschluss, SCC (richtiges Modul!), BCR oder – als Ausnahme – Art. 49 DSGVO. Für jeden US-Empfänger: DPF-Zertifizierung prüfen.
- Schritt 3 – SCC aktualisieren: Überprüfen Sie, ob verwendete SCC der aktuellen Version (Durchführungsbeschluss 2021/914/EU) entsprechen. Ergänzen Sie die Anhänge vollständig und unterzeichnen Sie neu, wo erforderlich.
- Schritt 4 – TIA durchführen: Erarbeiten Sie für jeden Hochrisikotransfer eine dokumentierte Transfer Impact Assessment. Bewerten Sie staatliche Zugriffsmöglichkeiten und technische Schutzmaßnahmen.
- Schritt 5 – AVV-Prüfung: Stellen Sie sicher, dass alle internationalen Dienstleister einen gültigen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen haben, der eine unverzügliche Meldepflicht bei Datenpannen enthält.
- Schritt 6 – Monitoring und Aktualisierung: Etablieren Sie einen jährlichen Überprüfungszyklus für alle Transferinstrumente und TIAs. Trigger für außerordentliche Überprüfungen: Anbieterwechsel, neue Datenkategorien, politische Rechtsänderungen (z. B. Urteil des EuGH).
- Schritt 7 – Dokumentation für Behörden: Halten Sie alle Instrumente, TIAs und AVVs in einem zentralen Dokumentenmanagementsystem vor, auf das im Prüfungsfall binnen Stunden zugegriffen werden kann.
Die vorstehende Darstellung betrifft die typischen Regelfälle im Groß- und Einzelhandel. Ihr konkreter Fall erfordert die Prüfung Ihrer bestehenden Transferverträge, Ihres Verarbeitungsverzeichnisses und der eingesetzten Dienstleister. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Aufsichtsbehörden und Durchsetzung: Was droht bei Verstößen?
Die Datenschutzbehörden der Bundesländer haben ihre Prüftätigkeit im Bereich internationaler Datentransfers in den vergangenen Jahren deutlich intensiviert. Branchen mit hohem Datentransfer-Volumen – darunter ausdrücklich der Handel – stehen auf den behördlichen Prüfagenden.
Bußgelder nach Art. 83 Abs. 5 DSGVO für Verstöße gegen Kapitel V bewegen sich im Höchstrahmen von 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Europäische Aufsichtsbehörden haben in mehreren Fällen Bußgelder in zweistelliger Millionenhöhe verhängt, auch gegen mittelgroße Unternehmen. Deutsche Aufsichtsbehörden sind traditionell kooperativer, aber die Bereitschaft zur Verhängung empfindlicher Bußgelder ist gestiegen.
Neben Bußgeldern drohen Untersagungsanordnungen nach Art. 58 Abs. 2 lit. f DSGVO. Eine Behörde kann anordnen, eine konkrete Datenübermittlung zu untersagen – was für ein Handelsunternehmen, das auf Cloud-ERP-Systeme angewiesen ist, operativ existenzbedrohend sein kann. Hinzu kommen zivilrechtliche Schadensersatzansprüche Betroffener nach Art. 82 DSGVO, die in Deutschland zunehmend gerichtlich geltend gemacht werden.
Ist die Situation Ihres Unternehmens bei einer Prüfung der Landesbehörde wirklich belastbar? Diese Frage sollten Geschäftsführer im Handel proaktiv beantworten – nicht reaktiv nach Eingang einer behördlichen Anhörung.
Verwandte Leistungen
Häufige Fragen zum internationalen Datentransfer im Handel
Was sind Standardvertragsklauseln (SCC) und wann werden sie benötigt?
Standardvertragsklauseln (SCC) sind von der Europäischen Kommission genehmigte Vertragswerke, die ein angemessenes Datenschutzniveau für Übermittlungen in Drittstaaten ohne Angemessenheitsbeschluss sicherstellen sollen. Sie werden benötigt, sobald personenbezogene Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden – etwa an einen US-amerikanischen Cloud-Dienstleister oder einen asiatischen Logistikpartner. Im Handelssektor sind sie das meistgenutzte Transferinstrument. Allein die Unterzeichnung genügt nicht; zusätzlich ist eine Transfer Impact Assessment zu erstellen.
Reicht das EU-US Data Privacy Framework (DPF) als Transfergrundlage aus?
Das EU-US Data Privacy Framework (DPF) aus dem Jahr 2023 erlaubt die Übermittlung an US-amerikanische Unternehmen, die sich unter dem DPF zertifiziert haben, ohne separate SCC. Handelsunternehmen müssen jedoch vor jeder Übermittlung aktiv prüfen, ob der konkrete Anbieter tatsächlich DPF-zertifiziert ist, da die Zertifizierung jederzeit widerrufen werden kann. Aufgrund der politischen Fragiliät des DPF – angesichts der Erfahrungen mit Privacy Shield und Safe Harbor – empfehlen Aufsichtsbehörden, parallele SCC vorzuhalten.
Was ist eine Transfer Impact Assessment (TIA) und wer muss sie erstellen?
Eine Transfer Impact Assessment (TIA) ist eine dokumentierte Bewertung des Schutzniveaus im Empfängerland, die der Verantwortliche vor der Nutzung von Standardvertragsklauseln in Hochrisikoländern vornehmen muss. Sie prüft, ob staatliche Behörden des Empfängerlands Zugriff auf die übermittelten Daten erlangen können, und ob technische oder organisatorische Zusatzmaßnahmen das verbleibende Risiko auf ein akzeptables Maß reduzieren. Erstellt werden muss sie vom verantwortlichen Unternehmen – im Handelssektor also vom Handelsunternehmen selbst, nicht vom Dienstleister.
Was droht bei einem DSGVO-Verstoß im Bereich internationaler Datentransfers?
Verstöße gegen Kapitel V DSGVO können Bußgelder von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen. Darüber hinaus können Aufsichtsbehörden konkrete Übermittlungen untersagen – was für Handelsunternehmen, die auf Cloud-Systeme angewiesen sind, den Betrieb erheblich beeinträchtigen kann. Hinzu kommen zivilrechtliche Schadensersatzansprüche Betroffener nach Art. 82 DSGVO. Die genaue Risikolage hängt vom Einzelfall ab und ist anwaltlich zu prüfen.
Gilt die 72-Stunden-Meldepflicht auch bei Datenpannen durch internationale Dienstleister?
Ja. Die Meldepflicht nach Art. 33 DSGVO trifft den Verantwortlichen – also das Handelsunternehmen – binnen 72 Stunden ab eigener Kenntnisnahme, unabhängig davon, wo der Sicherheitsvorfall technisch eingetreten ist. Um diese Frist einhalten zu können, müssen internationale Dienstleister vertraglich (im AVV) verpflichtet werden, Datenpannen unverzüglich zu melden. Fehlt eine solche vertragliche Verpflichtung, kann die 72-Stunden-Frist nicht eingehalten werden – mit entsprechenden behördlichen Folgen.
Müssen auch Mitarbeiterdaten bei internationalen HR-Systemen durch SCC abgesichert werden?
Ja. Mitarbeiterdaten, die an ein cloudbasiertes HR-System in einem Drittstaat übermittelt werden, unterliegen denselben Anforderungen des Kapitels V DSGVO wie Kundendaten. Zusätzlich ist zu beachten, dass für Mitarbeiterdaten eine eigenständige Rechtsgrundlage nach Art. 6 DSGVO (und ggf. § 26 BDSG) erforderlich ist und – bei vorhandenem Betriebsrat – eine Betriebsvereinbarung einzuholen ist. Die genaue Ausgestaltung ist im Einzelfall zu prüfen.
Über BRANDT & FALK Rechtsanwälte
Die vorstehende Darstellung betrifft die Regelfälle internationaler Datentransfers im Groß- und Einzelhandel. Ihr konkreter Fall erfordert die Prüfung Ihrer bestehenden Transferverträge, Ihres Verarbeitungsverzeichnisses und der eingesetzten technischen Systeme. Zur Klärung, wie die DSGVO-Anforderungen auf Ihr Unternehmen wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.