Ein Klick im Warenwirtschaftssystem, und Kundendaten fließen in die USA – zu einem Cloud-Anbieter, einem Logistikdienstleister oder einer Konzerntochter in Singapur. Im Groß- und Einzelhandel geschieht das täglich, oft ohne systematische Prüfung der datenschutzrechtlichen Grundlage. Werden fehlende oder fehlerhafte Übermittlungsgarantien aufgedeckt, kann die zuständige Datenschutzbehörde Bußgelder verhängen.
Internationale Datentransfers rechtssicher gestalten bedeutet: Jede Übermittlung personenbezogener Daten in ein Drittland außerhalb des Europäischen Wirtschaftsraums (EWR) erfordert nach der Datenschutz-Grundverordnung (DSGVO) eine eigenständige Rechtsgrundlage – entweder einen Angemessenheitsbeschluss der EU-Kommission, EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC) oder eine andere nach Art. 46 DSGVO anerkannte Garantie. Fehlt diese Grundlage, drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.
Die nachfolgende Checkliste führt Geschäftsführer und Datenschutzverantwortliche im Groß- und Einzelhandel Schritt für Schritt durch die Prüfungs- und Gestaltungsschritte – von der Bestandsaufnahme über die Auswahl des richtigen Transferinstruments bis zur laufenden Überwachung.
Schritt 1: Datentransfer-Inventar – Welche Datenflüsse verlassen den EWR?
Bevor ein Unternehmen Schutzmaßnahmen ergreifen kann, muss es wissen, wohin Daten fließen. Im Groß- und Einzelhandel sind Drittland-Transfers häufig nicht auf den ersten Blick erkennbar.
Typische Transferszenarien im Handel umfassen: Nutzung US-amerikanischer E-Commerce-Plattformen oder Marktplatz-APIs (Amazon Seller Central, Shopify US), Cloud-Warenwirtschaftssysteme mit Rechenzentren außerhalb des EWR, Kundenbindungsprogramme über globale CRM-Systeme (z. B. Salesforce US), international tätige Logistik- und Versanddienstleister sowie Konzern-interne Datenübermittlungen an Muttergesellschaften oder verbundene Unternehmen in Drittstaaten.
Erstellen Sie ein vollständiges Verarbeitungsverzeichnis nach Art. 30 DSGVO und kennzeichnen Sie darin jeden Verarbeitungsvorgang mit dem Empfängerland. Besonderes Augenmerk gilt Cloud-Diensten, bei denen Subunternehmer in Drittländern tätig werden – diese sind datenschutzrechtlich ebenso als Drittlandtransfer zu werten wie eine direkte Übermittlung.
Prüfen Sie systematisch: Welche Software-as-a-Service-Produkte (SaaS) setzt Ihr Unternehmen ein? Wo befinden sich die Server? Welche Subverarbeiter nutzt der SaaS-Anbieter? Im Einzelhandel mit dezentralen Filialen und unterschiedlichen lokalen IT-Dienstleistern entsteht hier regelmäßig eine erhebliche Komplexität.
Schritt 2: Welche Rechtsgrundlage gilt für das Zielland?
Nicht jedes Drittland verlangt denselben Schutzaufwand. Die DSGVO sieht eine Stufenstruktur vor, die den Aufwand je nach Zielland erheblich beeinflusst.
Angemessenheitsbeschlüsse der EU-Kommission (Art. 45 DSGVO) erklären bestimmte Drittländer für gleichwertig sicher. Auf Basis solcher Beschlüsse ist eine Übermittlung ohne zusätzliche Schutzmaßnahmen möglich – ähnlich einem EWR-internen Transfer. Zu den aktuell anerkannten Ländern zählen u. a. die Schweiz, das Vereinigte Königreich (mit Einschränkungen) sowie Japan. Für die USA gilt seit Juli 2023 das EU-U.S. Data Privacy Framework (DPF), das gerichtlich noch nicht abschließend bewertet wurde. Prüfen Sie vor jedem US-Transfer, ob der konkrete Empfänger tatsächlich im DPF-Register eingetragen ist.
Fehlt ein Angemessenheitsbeschluss, greifen in der Praxis fast ausschließlich EU-Standardvertragsklauseln (SCC). Die Europäische Kommission hat im Juni 2021 neue, modernisierte SCC veröffentlicht. Handelsunternehmen müssen die jeweils passende Modulkombination wählen – Module 1 bis 4 unterscheiden die Konstellation Verantwortlicher–Verantwortlicher, Verantwortlicher–Auftragsverarbeiter, Auftragsverarbeiter–Auftragsverarbeiter und Auftragsverarbeiter–Verantwortlicher.
In der Mandatspraxis sehen wir, dass Handelskunden häufig veraltete SCC der Kommission aus dem Jahr 2001 oder 2010 verwenden. Diese haben ihre Gültigkeit verloren. Der Einsatz veralteter Klauseln begründet das gleiche Bußgeldrisiko wie das vollständige Fehlen einer Transfergrundlage.
Schritt 3: Transfer Impact Assessment – Reicht die Rechtsgrundlage allein?
Seit dem Schrems-II-Urteil des Europäischen Gerichtshofs (EuGH) aus dem Jahr 2020 genügt die formale Vereinbarung von SCC allein nicht mehr. Zusätzlich ist eine inhaltliche Risikoprüfung erforderlich: das Transfer Impact Assessment (TIA), auf Deutsch Transferfolgenabschätzung.
Ein TIA bewertet, ob das Recht des Ziellandes die vertraglichen Garantien der SCC praktisch unterläuft – etwa durch weitreichende staatliche Zugriffsbefugnisse auf Unternehmensdaten. Klassische Risikofaktoren sind Überwachungsgesetze wie der US Foreign Intelligence Surveillance Act (FISA) oder vergleichbare Regelungen in China (Cybersecurity Law, Data Security Law).
Dokumentieren Sie das TIA schriftlich und hinterlegen Sie es im Verarbeitungsverzeichnis. Ergeben sich aus dem TIA erhebliche Risiken, sind zusätzliche technische oder organisatorische Maßnahmen (TOM) zu implementieren – beispielsweise Ende-zu-Ende-Verschlüsselung, Pseudonymisierung oder die Verlagerung kritischer Verarbeitungsschritte in den EWR.
Für den Groß- und Einzelhandel bedeutet das konkret: Werden Kundennamen, Zahlungsdaten oder Kaufverhalten in ein Hochrisikoland übertragen, reichen SCC allein regelmäßig nicht aus. Die zuständige Datenschutzbehörde kann bei einer Prüfung das TIA anfordern und das Fehlen als eigenständigen Verstoß werten.
Was gilt bei konzerninternen Transfers zwischen verbundenen Unternehmen?
Konzernunternehmen sind datenschutzrechtlich eigenständige Verantwortliche oder Auftragsverarbeiter. Die Zugehörigkeit zum selben Konzern schafft keine Transferprivilegierung. Ein Drittlandtransfer von der deutschen Vertriebsgesellschaft zur US-amerikanischen Konzernmutter bedarf derselben Rechtsgrundlage wie ein Transfer an einen externen Dienstleister.
Für Unternehmensgruppen sieht die DSGVO in Art. 47 sogenannte Binding Corporate Rules (BCR) als Alternative zu SCC vor. BCR sind kanzleiseitig genehmigte konzerninterne Datenschutzregeln, die durch eine federführende Datenschutzbehörde förmlich genehmigt werden müssen. Das Verfahren dauert in der Regel mehrere Jahre und ist mit erheblichem Dokumentationsaufwand verbunden.
Nach unserer Erfahrung entscheiden sich mittelständische Handelsunternehmen mit überschaubarem Konzernverbund fast ausnahmslos für SCC plus TIA anstelle von BCR. BCR sind primär für global aufgestellte Konzerne mit einer Vielzahl an Konzerngesellschaften und einem langen Planungshorizont sinnvoll.
Schritt 4: Vertragliche Umsetzung – SCC korrekt abschließen und dokumentieren
Standardvertragsklauseln entfalten ihre Schutzwirkung nur, wenn sie vollständig und unverändert in den Vertragstext aufgenommen werden. Einzelne Klauseln dürfen nicht gestrichen oder abgeschwächt werden; Ergänzungen sind nur in engen Grenzen zulässig.
Prüfen Sie bei jedem Dienstleistervertrag: Ist das richtige SCC-Modul gewählt? Sind alle Anhänge (Beschreibung der Verarbeitung, technische und organisatorische Maßnahmen, Liste der Unterauftragnehmer) vollständig ausgefüllt? Ist das TIA als separates Dokument erstellt und verknüpft?
Besondere Aufmerksamkeit erfordert der Umgang mit Unterauftragsverarbeitern (Sub-Processors). Viele SaaS-Anbieter übermitteln ihrerseits Daten an Unterauftragnehmer in Drittländern. Als Verantwortlicher müssen Sie sicherstellen, dass Ihr Auftragsverarbeiter seinerseits mit diesen Sub-Processors SCC abgeschlossen hat oder eine andere geeignete Garantie nach Art. 46 DSGVO vorhält.
Legen Sie intern einen Datei-basierten oder digitalen Transferkataster an, in dem jeder Drittlandtransfer mit Empfänger, Datum des SCC-Abschlusses, Modulwahl, TIA-Datum und nächstem Review-Termin verzeichnet ist. Im Groß- und Einzelhandel mit wechselnden Lieferantenbeziehungen und saisonalem Dienstleistereinsatz ist dieser Kataster ein unverzichtbares Kontrollinstrument.
Aus der Mandatspraxis: Die Kanzlei begleitete ein mittelständisches Handelsunternehmen aus dem Modeeinzelhandel mit deutschlandweit mehr als 30 Filialen. Ausgangslage: Das Unternehmen nutzte für sein Kundenbindungsprogramm ein US-basiertes CRM-System, ohne dass SCC vereinbart oder ein TIA durchgeführt worden war. Nach einer behördlichen Anfrage drohte ein förmliches Prüfverfahren. Vorgehen: Die Kanzlei strukturierte das Vertragsverhältnis mit dem CRM-Anbieter neu – Module-2-SCC wurden abgeschlossen, ein TIA erstellt und ergänzende Verschlüsselungsmaßnahmen festgelegt. Das Verarbeitungsverzeichnis wurde um alle Drittlandtransfers erweitert. Ergebnis: Das Prüfverfahren konnte durch Vorlage vollständiger Dokumentation geschlossen werden, ohne dass ein Bußgeldbescheid erging.
Schritt 5: Meldepflichten und Behördenkontakte bei Datenpannen mit Drittlandbezug
Datenpannen im Kontext internationaler Datentransfers haben eine zusätzliche Brisanz: Wenn personenbezogene Daten durch einen Dienstleister in einem Drittland kompromittiert werden, beginnt die 72-Stunden-Meldefrist nach Art. 33 DSGVO ab dem Zeitpunkt, zu dem das verantwortliche Unternehmen in Deutschland davon Kenntnis erlangt.
Der Umstand, dass der Sicherheitsvorfall beim Drittland-Dienstleister eingetreten ist, verlagert die Verantwortung nicht. Als Verantwortlicher im Sinne der DSGVO bleiben Sie meldepflichtig gegenüber der deutschen Aufsichtsbehörde – unabhängig davon, ob der Dienstleister seinerseits Meldungen an Behörden im Drittland vorgenommen hat.
Wann ist zusätzlich eine Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) erforderlich? Wenn die Datenpanne voraussichtlich ein hohes Risiko für die betroffenen natürlichen Personen zur Folge hat. Gerade im Einzelhandel mit umfangreichen Kundendatensätzen – Zahlungsdaten, Kaufhistorie, Lieferadressen – ist die Schwelle für ein hohes Risiko häufig überschritten.
Achten Sie darauf, im Auftragsverarbeitungsvertrag (AVV) mit Ihren Drittland-Dienstleistern ausdrücklich zu vereinbaren, dass diese Sicherheitsvorfälle unverzüglich melden – damit Sie Ihre eigene 72-Stunden-Frist einhalten können.
Schritt 6: Laufende Überprüfung und Dokumentationspflicht
Ein einmalig erstelltes TIA und einmalig abgeschlossene SCC genügen nicht. Sowohl das rechtliche Umfeld als auch die tatsächlichen Umstände des Transfers können sich ändern: Datenschutzgesetze im Empfängerland können verschärft werden, Angemessenheitsbeschlüsse können durch den EuGH für nichtig erklärt werden (wie im Fall Schrems I und Schrems II geschehen), und Dienstleister wechseln ihre Sub-Processor-Strukturen.
Etablieren Sie einen jährlichen Review-Prozess für alle Drittlandtransfers. Prüfen Sie dabei: Gilt der Angemessenheitsbeschluss noch? Sind die SCC noch in der aktuellen Fassung? Hat sich die Rechtslage im Empfängerland geändert? Haben Sie neue Drittland-Dienstleister eingesetzt, die noch nicht im Transferkataster erfasst sind?
In der Mandatspraxis beraten wir regelmäßig Handelsunternehmen, die nach einem Geschäftsführerwechsel oder einer IT-Migration feststellen, dass der Transferkataster seit Jahren nicht aktualisiert wurde. Die Konsequenz: ein erheblicher Dokumentationsrückstand, der im Fall einer behördlichen Prüfung schwer zu rechtfertigen ist.
Dokumentieren Sie jeden Review-Schritt mit Datum, Prüfer und Ergebnis. Die Dokumentation ist im Prüfungsfall gegenüber der Datenschutzbehörde der maßgebliche Nachweis, dass Ihr Unternehmen seine Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) ernst nimmt.
Kurzcheckliste: Internationale Datentransfers im Überblick
- Inventar: Alle Drittlandtransfers im Verarbeitungsverzeichnis (Art. 30 DSGVO) vollständig erfasst, inkl. Empfängerland und Sub-Processor-Ketten.
- Rechtsgrundlage: Für jedes Empfängerland geprüft: Angemessenheitsbeschluss vorhanden und aktuell gültig? Empfänger im DPF-Register (für USA) eingetragen?
- SCC: Richtige Modulvariante gewählt (Module 1–4)? Fassung aus 2021 verwendet? Alle Anhänge vollständig ausgefüllt?
- TIA: Schriftliche Transferfolgenabschätzung durchgeführt und datiert? Ggf. zusätzliche technische Schutzmaßnahmen (Verschlüsselung, Pseudonymisierung) implementiert?
- Sub-Processor: Vom Auftragsverarbeiter bestätigte Liste der Sub-Processors in Drittländern vorliegen? Nachweise über deren Transfergrundlage?
- AVV: Auftragsverarbeitungsvertrag mit Drittland-Dienstleistern abgeschlossen und auf aktuelle Rechtslage geprüft?
- Datenpannen-Prozess: Meldepflicht binnen 72 Stunden intern bekannt? Vertraglich vereinbart, dass Dienstleister Vorfälle unverzüglich melden?
- Jährlicher Review: Review-Termin im Kalender verankert? Ergebnisse dokumentiert?
Rhetorik an dieser Stelle: Wann haben Sie zuletzt systematisch geprüft, ob alle Ihre Drittland-Dienstleister noch rechtskonforme Transfergrundlagen aufweisen? Und welche Konsequenzen hätte ein Bußgeld in Höhe von 4 % Ihres weltweiten Jahresumsatzes für die Liquidität und Reputation Ihres Unternehmens?
Die vorstehende Checkliste betrifft die Regelfälle internationaler Datentransfers. Ihr konkreter Fall erfordert die Prüfung Ihrer vertraglichen Unterlagen, Ihres Verarbeitungsverzeichnisses und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers im Handel
Was sind EU-Standardvertragsklauseln (SCC) und wann sind sie erforderlich?
EU-Standardvertragsklauseln (SCC) sind von der Europäischen Kommission genehmigte Vertragsvorlagen, die einen datenschutzrechtlichen Mindeststandard für Übermittlungen in Drittländer außerhalb des EWR sicherstellen. Sie sind immer dann erforderlich, wenn für das Zielland kein gültiger Angemessenheitsbeschluss der EU-Kommission besteht und keine andere Garantie nach Art. 46 DSGVO vorliegt. Im Handel gelten sie als das praktisch bedeutsamste Transferinstrument.
Was ist ein Transfer Impact Assessment (TIA) und wer muss es erstellen?
Ein Transfer Impact Assessment (TIA) ist eine dokumentierte Risikoprüfung, die bewertet, ob das Recht des Ziellandes die Schutzwirkung der SCC praktisch unterlaufen kann – etwa durch staatliche Zugriffsbefugnisse. Zur Erstellung verpflichtet ist das datenexportierende Unternehmen als Verantwortlicher. Das TIA muss schriftlich festgehalten und auf Anforderung der Datenschutzbehörde vorgelegt werden können.
Gilt das EU-U.S. Data Privacy Framework für alle US-Anbieter?
Nein. Das EU-U.S. Data Privacy Framework (DPF) gilt nur für US-Unternehmen, die sich aktiv beim US-Handelsministerium zertifiziert haben und im öffentlich einsehbaren DPF-Register eingetragen sind. Vor jedem US-Transfer muss der konkrete Empfänger im Register geprüft werden. Ist er dort nicht gelistet, müssen SCC und TIA verwendet werden.
Welche Bußgelder drohen bei Verstößen gegen die Drittlandtransfer-Regeln?
Die DSGVO sieht für schwerwiegende Verstöße gegen die Drittlandtransfer-Vorschriften (Art. 44 ff. DSGVO) Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Datenschutzbehörden haben diese Höchstschwellen in der Vergangenheit auch gegen mittelständische Unternehmen tatsächlich ausgeschöpft.
Wie oft müssen internationale Datentransfers überprüft werden?
Ein jährlicher Review-Zyklus ist als Mindeststandard anzusehen. Anlassbezogene Überprüfungen sind zusätzlich geboten, wenn ein neuer Drittland-Dienstleister eingesetzt wird, ein Angemessenheitsbeschluss gerichtlich angefochten oder aufgehoben wird, der Dienstleister seinen Sub-Processor-Kreis ändert oder sich die Rechtslage im Zielland maßgeblich verändert. Die Dokumentation jedes Reviews ist Bestandteil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Müssen konzerninterne Datentransfers ebenfalls durch SCC abgesichert werden?
Ja. Konzerninterne Datentransfers in Drittländer sind datenschutzrechtlich gleichwertig zu behandeln wie Transfers an externe Dienstleister. Als Alternative zu SCC stehen für Unternehmensgruppen Binding Corporate Rules (BCR) zur Verfügung – deren Genehmigungsverfahren durch die Datenschutzbehörde dauert jedoch in der Regel mehrere Jahre. Für mittelständische Handelsunternehmen sind SCC die praktikablere Lösung.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Verträge, des Verarbeitungsverzeichnisses und der einschlägigen behördlichen Praxis. Für eine erste Durchsicht Ihrer Unterlagen zu internationalen Datentransfers erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.