Ein mittelständischer Hersteller von Fertiggerichten beauftragt einen US-amerikanischen Cloud-Anbieter mit der Speicherung von Lieferanten- und Kundendaten. Die Verträge sind unterzeichnet, der Betrieb läuft – bis die Datenschutzaufsichtsbehörde eine Prüfung ankündigt. Fehlende oder fehlerhafte Rechtsgrundlagen für den Datentransfer in ein Drittland können dabei nicht nur Bußgelder auslösen, sondern auch die Haftung der Geschäftsführung persönlich begründen.
Internationale Datentransfers rechtssicher gestalten gelingt Unternehmen der Lebensmittelindustrie vor allem durch den Einsatz von Standardvertragsklauseln (SCC) der Europäischen Kommission, ergänzt durch ein dokumentiertes Transfer Impact Assessment. Die DSGVO gestattet die Übermittlung personenbezogener Daten in Drittstaaten nur auf einer abschließend geregelten Rechtsgrundlage – fehlt diese, drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Für Geschäftsführer im Mittelstand ist die Absicherung des Datentransfers damit eine Frage persönlicher Haftungsvorsorge, nicht nur einer formalen Compliance-Pflicht.
Der folgende Beitrag erläutert die einschlägigen Rechtsgrundlagen, typische Risiken in der Lebensmittelbranche, die Anforderungen an Standardvertragsklauseln und ergänzende Schutzmaßnahmen sowie die praktischen nächsten Schritte für Geschäftsführer.
Warum internationale Datentransfers in der Lebensmittelindustrie besonders kritisch sind
Die Lebensmittelindustrie ist stärker internationalisiert als viele andere Mittelstandsbranchen. Globale Lieferketten, internationale ERP-Systeme, US-amerikanische und asiatische Cloud-Dienstleister für Produktionsplanung und Qualitätsmanagement sowie konzernübergreifende Personalverwaltung gehören heute zum Alltag – auch bei inhabergeführten Unternehmen mit 200 bis 2.000 Mitarbeitenden.
Jede dieser Konstellationen berührt potenziell den Anwendungsbereich von Art. 44 ff. DSGVO (Datenschutz-Grundverordnung). Die DSGVO untersagt die Übermittlung personenbezogener Daten an Verantwortliche oder Auftragsverarbeiter in Drittstaaten grundsätzlich, sofern kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt oder geeignete Garantien im Sinne von Art. 46 DSGVO bestehen. Drittstaaten sind alle Länder außerhalb des Europäischen Wirtschaftsraums (EWR); die USA verfügen seit dem „EU-U.S. Data Privacy Framework" (DPF) über einen Angemessenheitsbeschluss, der allerdings weiterhin politisch und rechtlich angreifbar ist.
In der Mandatspraxis sehen wir häufig, dass Lebensmittelunternehmen globale IT-Dienstleister einsetzen, ohne die Drittlandübermittlung vertraglich und dokumentatorisch abzusichern. Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO existiert, aber die Anlage mit aktuellen SCC oder einem Transfer Impact Assessment fehlt. Gerade diese Lücke rückt bei Behördenprüfungen als erstes in den Fokus.
Welche Rechtsgrundlagen für den Datentransfer in Drittstaaten in Betracht kommen
Art. 44 DSGVO formuliert ein absolutes Übermittlungsverbot mit Erlaubnisvorbehalt. Die Hauptinstrumente für die Praxis sind abgestuft nach Aufwand und Verlässlichkeit.
Angemessenheitsbeschluss (Art. 45 DSGVO): Besteht ein Beschluss der Europäischen Kommission, der dem Empfängerland ein angemessenes Datenschutzniveau attestiert, ist keine weitere vertragliche Absicherung erforderlich. Aktuell bestehen Beschlüsse u. a. für das Vereinigte Königreich, die Schweiz, Japan, Kanada (gewerblicher Bereich), Südkorea und – mit dem DPF – für zertifizierte US-Unternehmen. Der Status dieser Beschlüsse kann sich ändern; eine laufende Überprüfung ist unerlässlich.
Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO): Die von der Europäischen Kommission mit Durchführungsbeschluss vom 4. Juni 2021 verabschiedeten SCC sind das in der Praxis am häufigsten genutzte Instrument. Sie gelten für vier Konstellationen: Verantwortlicher an Verantwortlichen (C2C), Verantwortlicher an Auftragsverarbeiter (C2P), Auftragsverarbeiter an Auftragsverarbeiter (P2P) und Auftragsverarbeiter an Verantwortlichen (P2C). Entscheidend ist, das zutreffende Modul zu wählen und die Klauseln unverändert in den Vertrag zu integrieren.
Verbindliche interne Datenschutzvorschriften (Art. 46 Abs. 2 lit. b DSGVO, BCR): Binding Corporate Rules (BCR) eignen sich vor allem für Konzerne mit eigenen Niederlassungen in Drittstaaten. Für den mittelständischen Lebensmittelhersteller ohne konzerninterne Gruppenstruktur im Drittland ist dieses Instrument in der Regel unverhältnismäßig aufwändig.
Ausnahmetatbestände (Art. 49 DSGVO): Einwilligung, Vertragserfüllung und wichtiges öffentliches Interesse können in Einzelfällen eine Übermittlung erlauben. Sie sind eng ausgelegt und taugen nicht als Dauergrundlage für strukturelle Drittlandübermittlungen – eine Fehleinschätzung, die wir in der Beratungspraxis regelmäßig korrigieren müssen.
Standardvertragsklauseln korrekt einsetzen – was Geschäftsführer wissen müssen
Die SCC aus dem Jahr 2021 ersetzen die älteren Versionen vollständig. Wer noch auf Altverträgen aufbaut, riskiert eine Rechtswidrigkeit des gesamten Datentransfers. Übergangszeiträume für Altverträge sind abgelaufen; eine rückwirkende Heilung ist nicht möglich.
Das korrekte Vorgehen umfasst drei Schritte. Erstens: Modulwahl. Je nach Konstellation (Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter) ist das passende Modul der SCC zu wählen und lückenlos auszufüllen, einschließlich der optionalen Klauseln und des Anhangs mit den Angaben zu den Vertragsparteien, dem Verarbeitungszweck und den betroffenen Datenkategorien.
Zweitens: Transfer Impact Assessment (TIA). Der Europäische Datenschutzausschuss (EDSA) hat in seinen Empfehlungen 01/2020 klargestellt, dass SCC allein nicht ausreichen, wenn im Empfängerland ein erhöhtes Zugriffsrisiko durch staatliche Behörden besteht. Das TIA ist eine strukturierte Risikoanalyse, die das Rechtssystem des Drittlands, konkrete Zugriffsrechte von Behörden und die faktischen Zugriffsmöglichkeiten bewertet. Für Übermittlungen in die USA bleibt das TIA auch nach dem DPF relevant, da der Beschluss selbst Gegenstand laufender Herausforderungen vor europäischen Gerichten ist.
Drittens: ergänzende technische und organisatorische Maßnahmen (TOM). Je nach TIA-Ergebnis sind zusätzliche Maßnahmen wie Ende-zu-Ende-Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen oder Hosting in der EU zu prüfen und zu dokumentieren.
Für Geschäftsführer mittelständischer Lebensmittelunternehmen bedeutet das konkret: Die Einführung eines neuen ERP-Systems mit US-amerikanischem Anbieter ist nicht allein IT-seitig zu prüfen. Sie erfordert eine datenschutzrechtliche Vorprüfung, die Dokumentation der Rechtsgrundlage und die Archivierung des TIA – bevor der Betrieb aufgenommen wird.
Welche Risiken bestehen bei fehlender oder fehlerhafter Absicherung?
Die Behörden sind im Bereich Drittlandübermittlungen aktiv. Die deutschen Landesdatenschutzbehörden sowie das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) haben in den vergangenen Jahren mehrfach gegen Unternehmen vorgegangen, die US-amerikanische Dienstleister ohne hinreichende Rechtsgrundlage einsetzten – unter anderem im Bereich von Analysediensten und Cloud-Diensten.
Nach Art. 83 Abs. 5 DSGVO können Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängt werden, je nachdem welcher Betrag höher ist. Für einen mittelständischen Lebensmittelhersteller mit einem Jahresumsatz von 100 Mio. € wären das rechnerisch bis zu 4 Mio. €. Hinzu kommen mögliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO, Unterlassungsansprüche nach § 1004 BGB analog sowie – im Falle schuldhafter Pflichtverletzung – die persönliche Haftung der Geschäftsführung gegenüber der Gesellschaft nach § 43 GmbHG.
Neben dem monetären Risiko drohen Reputationsschäden, die gerade im Lebensmittelbereich mit seiner hohen Verbraucherempfindlichkeit schwer wiegen. Handelspartner und Einzelhandelsabnehmer verlangen zunehmend Nachweise über DSGVO-konformes Handeln als Bestandteil von Lieferantenaudits – ein Datenschutzmangel kann damit unmittelbar geschäftliche Konsequenzen haben.
Typische Konstellationen in der Lebensmittelbranche und deren Einordnung
Welche Drittlandübermittlungen begegnen uns in der Beratungspraxis bei Lebensmittelunternehmen besonders häufig? Und wie sind sie einzuordnen?
Konstellation 1 – Globales ERP-System (z. B. US-Anbieter): Mitarbeiterdaten, Lieferantenangaben und Kundendaten fließen in US-amerikanische Rechenzentren. Soweit der Anbieter DPF-zertifiziert ist, besteht ein Angemessenheitsbeschluss. Dennoch ist ein AVV mit SCC-Anlage empfehlenswert, da der DPF rechtlich angreifbar bleibt und eine ergänzende Absicherung das Restrisiko reduziert. Ein TIA ist bei sensiblen Mitarbeiterdaten regelmäßig angezeigt.
Konstellation 2 – Qualitätsmanagementsystem mit asiatischem Hosting: Drittländer ohne Angemessenheitsbeschluss erfordern zwingend SCC. China verfügt über kein Angemessenheitsniveau nach EU-Recht. Das TIA wird in der Regel zu einem erhöhten Zugriffsrisiko gelangen, was starke TOMs – insbesondere Verschlüsselung mit ausschließlich europäischer Schlüsselverwaltung – erforderlich macht.
Konstellation 3 – Konzerninterner Datenaustausch mit außereuropäischer Muttergesellschaft: Lebensmittelunternehmen, die Teil internationaler Konzerne sind, übermitteln HR-Daten und Finanzdaten an Konzerngesellschaften in Drittstaaten. Hier bieten BCR eine saubere Lösung, sind aber zeitaufwändig in der Genehmigung. Als Übergangslösung kommen Intragroup Agreements auf Basis der SCC (Modul 1) in Betracht.
Konstellation 4 – Cloud-basierte Marketingplattform: Kundendaten aus dem Direktvertrieb (z. B. Online-Shop für Gewerbetreibende) werden in US-amerikanischen CRM-Systemen verarbeitet. Neben dem DPF-Status des Anbieters ist zu prüfen, ob die konkrete Verarbeitungstätigkeit vom DPF-Selbst-Zertifizierungsschutz erfasst wird – nicht jede Datenverarbeitung eines zertifizierten Unternehmens fällt automatisch unter den DPF.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Unternehmen der Lebensmittelbranche – einen Hersteller von Convenience-Produkten mit rund 400 Mitarbeitenden – das ein US-amerikanisches Personalverwaltungssystem einführen wollte. Ausgangslage: Der Anbieter war DPF-zertifiziert, ein AVV lag vor, SCC-Anlagen fehlten jedoch. Darüber hinaus wurden Datentransfers an Sub-Auftragsverarbeiter in Indien und auf den Philippinen nicht gesondert dokumentiert. Vorgehen: Die Kanzlei prüfte die Verarbeitungsstruktur, erstellte ein Transfer Impact Assessment für alle Drittländer, verhandelte ergänzende Schutzmaßnahmen mit dem Anbieter und integrierte die aktuellen SCC (Module C2P und P2P) in die Vertragswerke. Ergebnis: Das Unternehmen konnte das System datenschutzkonform einführen und verfügt über eine vollständige Dokumentation, die im Falle einer Behördenprüfung vorgelegt werden kann.
Dokumentationspflichten und Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO
Die DSGVO begründet nicht nur inhaltliche Pflichten, sondern auch eine umfassende Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO, auch: „Accountability-Prinzip"). Das Unternehmen muss gegenüber der Aufsichtsbehörde jederzeit nachweisen können, dass es die Grundsätze der DSGVO einhält – nicht lediglich behaupten, dass es sie einhält.
Für internationale Datentransfers bedeutet das konkret: Das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) muss alle Drittlandübermittlungen vollständig abbilden, einschließlich des Empfängerlandes, der eingesetzten Übermittlungsgarantie und eines Verweises auf die jeweiligen SCC-Anlagen. Das TIA ist als eigenständiges Dokument zu archivieren und bei Änderungen der Verarbeitungsumgebung zu aktualisieren.
Wir beraten regelmäßig Unternehmen, die anlässlich eines Lieferantenaudits oder einer internen Revision feststellen, dass ihr Verarbeitungsverzeichnis veraltete oder fehlende Einträge enthält. Die Nachpflege unter Zeitdruck ist aufwändiger und mit höherem Fehlerrisiko behaftet als die strukturierte Erstanlage. Eine jährliche Überprüfung – idealerweise in den Unternehmenskalender integriert – reduziert dieses Risiko spürbar.
Meldepflichten nach Art. 33 DSGVO greifen, wenn eine Datenschutzverletzung – etwa durch einen unbefugten Datenzugriff beim Drittlandsempfänger – eintritt. Die Meldung an die zuständige Aufsichtsbehörde muss in aller Regel binnen 72 Stunden erfolgen. Fehlt eine ordnungsgemäße Dokumentation des Datentransfers, ist die Einschätzung, ob und was genau zu melden ist, erheblich schwieriger.
Praktische Handlungsempfehlungen für Geschäftsführer in der Lebensmittelindustrie
Was können Sie als Geschäftsführer eines mittelständischen Lebensmittelunternehmens heute konkret tun, um Ihr Unternehmen auf eine solide datenschutzrechtliche Grundlage zu stellen?
Schritt 1 – Bestandsaufnahme: Beauftragen Sie eine vollständige Inventarisierung aller Datenflüsse in Drittstaaten. Erfahrungsgemäß sind diese in Lebensmittelunternehmen mit globalem Einkauf, IT und Marketing deutlich umfangreicher als zunächst vermutet. Ausgangspunkt ist das Verarbeitungsverzeichnis nach Art. 30 DSGVO; es sollte um eine Drittlands-Mapping-Tabelle ergänzt werden.
Schritt 2 – Rechtsgrundsatzprüfung: Für jeden identifizierten Transfer ist zu klären, ob ein Angemessenheitsbeschluss vorliegt, ob SCC integriert sind und ob Sub-Auftragsverarbeiter in weiteren Drittländern eingesetzt werden. Kettenübermittlungen sind ein häufig übersehenes Risiko.
Schritt 3 – Transfer Impact Assessment: Für Übermittlungen in Länder ohne Angemessenheitsbeschluss und für sensitive Verarbeitungen (Mitarbeiterdaten, Gesundheitsdaten im Sinne von Art. 9 DSGVO) ist ein TIA zu erstellen. Es sollte das Rechtssystem des Empfängerlandes, konkrete behördliche Zugriffsrechte und die Wahrscheinlichkeit einer tatsächlichen Inanspruchnahme bewerten.
Schritt 4 – Vertragsanpassung: Bestehende Verträge mit Drittlandsempfängern sind auf die Aktualität der SCC (Version 2021) zu prüfen und ggf. durch Nachträge zu aktualisieren. Neuverträge enthalten die SCC von Beginn an.
Schritt 5 – Technische und organisatorische Maßnahmen: Je nach TIA-Ergebnis sind ergänzende TOMs festzulegen, zu dokumentieren und in die allgemeinen TOMs nach Art. 32 DSGVO zu integrieren.
Schritt 6 – Laufende Überwachung: Der Status von Angemessenheitsbeschlüssen, insbesondere des DPF, ist regelmäßig zu überprüfen. Das Unternehmen sollte über einen definierten Prozess verfügen, der bei einem Wegfall des DPF sofort alternative Sicherungsmaßnahmen aktiviert.
Die vorstehende Darstellung betrifft die Regelfälle internationaler Datentransfers. Ihr konkreter Fall – insbesondere die Auswahl des richtigen SCC-Moduls, die Erstellung eines belastbaren TIA und die Vertragsgestaltung mit internationalen Lieferanten und IT-Dienstleistern – erfordert die Prüfung Ihrer konkreten Verarbeitungsstruktur, Ihrer Vertragswerke und der aktuellen behördlichen Praxis. Zur Klärung, wie die DSGVO-Anforderungen für internationale Datentransfers auf Ihr Unternehmen wirken, wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers in der Lebensmittelindustrie
Was sind Standardvertragsklauseln (SCC) und wann sind sie erforderlich?
Standardvertragsklauseln (SCC) sind von der Europäischen Kommission verabschiedete Vertragswerke, die bei der Übermittlung personenbezogener Daten in Drittstaaten ohne Angemessenheitsbeschluss als geeignete Garantie im Sinne von Art. 46 DSGVO dienen. Sie sind immer dann erforderlich, wenn kein Angemessenheitsbeschluss für das Empfängerland besteht und der Transfer nicht ausnahmsweise nach Art. 49 DSGVO gerechtfertigt werden kann. In der Praxis sind sie das Standardinstrument für Übermittlungen in die USA, Indien, China und viele weitere Länder.
Reicht ein DPF-zertifizierter US-Anbieter aus, um Datentransfers in die USA abzusichern?
Grundsätzlich ermöglicht der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework die Übermittlung an zertifizierte US-Empfänger ohne zusätzliche SCC. Gleichwohl empfehlen wir eine ergänzende Absicherung durch SCC und ein Transfer Impact Assessment, da der DPF rechtlichen Anforderungen aus Drittstaatenperspektive ausgesetzt ist und sein Status sich ändern kann. Zudem muss für jeden Sub-Auftragsverarbeiter des US-Anbieters geprüft werden, ob er seinerseits DPF-zertifiziert oder anderweitig abgesichert ist.
Was ist ein Transfer Impact Assessment (TIA) und wer muss es erstellen?
Ein Transfer Impact Assessment ist eine strukturierte Risikoanalyse, die bewertet, ob das Datenschutzniveau im Empfängerland dem europäischen Standard im Wesentlichen entspricht. Es berücksichtigt die Rechtslage im Drittland, staatliche Zugriffsrechte und deren praktische Inanspruchnahme. Die Pflicht zur Erstellung trifft den Datenexporteur – also in der Regel das Lebensmittelunternehmen als Verantwortlichen. Eine anwaltliche Begleitung ist sinnvoll, da die Bewertung ausländischer Rechtssysteme Fachkenntnis erfordert.
Welche Bußgelder drohen bei fehlender Rechtsgrundlage für Drittlandübermittlungen?
Verstöße gegen die Kapitel-V-Vorschriften der DSGVO (Art. 44 ff.) sind nach Art. 83 Abs. 5 DSGVO bußgeldbewehrt: bis zu 20 Mio. € oder bis zu 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem welcher Betrag höher ist. Hinzu können Schadensersatzansprüche nach Art. 82 DSGVO sowie eine persönliche Haftung der Geschäftsführung kommen.
Müssen auch konzerninterne Datenübermittlungen in Drittstaaten abgesichert werden?
Ja. Die DSGVO unterscheidet nicht zwischen konzerninternen und externen Übermittlungen. Auch die Übermittlung von Mitarbeiterdaten an eine außereuropäische Muttergesellschaft erfordert eine Rechtsgrundlage nach Art. 44 ff. DSGVO. Für Konzernstrukturen bieten sich Binding Corporate Rules (BCR) an; für mittelständische Unternehmen mit begrenzter Konzernstruktur sind SCC auf Basis von Intragroup Agreements die praktikablere Lösung.
Wie oft müssen Transfer Impact Assessments aktualisiert werden?
Ein TIA ist kein einmaliges Dokument, sondern bei wesentlichen Änderungen der Verarbeitungsumgebung, bei Änderungen der Rechtslage im Empfängerland oder bei einem Wechsel des Dienstleisters zu aktualisieren. Empfohlen wird eine jährliche Überprüfung sowie eine anlassbezogene Überprüfung bei relevanten Ereignissen – etwa bei gerichtlichen Entscheidungen zum DPF oder bei Berichten über staatliche Überwachungspraktiken im Empfängerland.
Die vorstehende Darstellung betrifft die typischen Regelfälle. Ihr konkreter Fall – die Auswahl der richtigen Übermittlungsgrundlage, die Verhandlung mit internationalen IT-Dienstleistern und die Dokumentation gegenüber der Aufsichtsbehörde – erfordert die Analyse Ihrer konkreten Verarbeitungsstruktur und Vertragswerke. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.