Ein Hersteller von Tiefkühlkost beauftragt einen US-amerikanischen Cloud-Anbieter für seine Warenwirtschaft. Ein Familienunternehmen aus der Fleischverarbeitung schaltet einen asiatischen Logistikdienstleister. Ein mittelständischer Getränkehersteller nutzt Kundendaten für eine CRM-Plattform mit Servern in Singapur. In jedem dieser Fälle stellt sich dieselbe Frage: Ist der internationale Datentransfer mit dem Datenschutzrecht der Europäischen Union vereinbar?
Internationale Datentransfers in Drittländer sind nach der Datenschutz-Grundverordnung (DSGVO) nur zulässig, wenn ein angemessenes Schutzniveau nachgewiesen wird – entweder durch einen Angemessenheitsbeschluss der EU-Kommission, durch Standardvertragsklauseln (SCC) oder durch verbindliche unternehmensinterne Datenschutzvorschriften (Binding Corporate Rules). Fehlt die rechtliche Grundlage, drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, Anordnungen der Aufsichtsbehörde sowie persönliche Haftungsrisiken für Geschäftsführer. Für Unternehmen der Lebensmittelindustrie, die auf internationale Lieferketten, digitale Handelsplattformen und Cloud-Dienste angewiesen sind, ist die rechtskonforme Gestaltung grenzüberschreitender Datenflüsse keine akademische Frage – sondern operative Notwendigkeit.
Dieser FAQ-Beitrag beantwortet die wichtigsten Fragen, die Geschäftsführer und Compliance-Verantwortliche in der Lebensmittelbranche stellen, strukturiert nach dem Regelungsrahmen der DSGVO und angereichert mit Hinweisen zur Umsetzungspraxis.
Was sind internationale Datentransfers, und warum sind sie für die Lebensmittelindustrie besonders relevant?
Ein internationaler Datentransfer liegt vor, wenn personenbezogene Daten in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums (EWR) übermittelt oder dort zugänglich gemacht werden – unabhängig davon, ob der Datentransfer aktiv oder passiv, dauerhaft oder gelegentlich erfolgt.
In der Lebensmittelindustrie entstehen solche Transfers an überraschend vielen Stellen. Zunächst sind Cloud-Dienste für ERP, CRM oder Qualitätssicherung zu nennen, deren Serverstandorte sich häufig in den USA, Kanada oder Asien befinden. Darüber hinaus gilt: Konzernstrukturen mit Mutter- oder Tochtergesellschaften außerhalb des EWR erfordern Datenweitergaben innerhalb derselben Unternehmensgruppe. Lieferantenportale, auf die internationale Rohstofflieferanten zugreifen, fallen ebenso darunter wie Exportmanagement-Software, die Kundendaten an Drittland-Partner übermittelt.
In der Mandatspraxis sehen wir regelmäßig Unternehmen aus der Lebensmittel- und Agrobranche, die erst im Rahmen einer behördlichen Prüfung oder eines internen Datenschutzaudits feststellen, dass ein wesentlicher Teil ihrer Datenverarbeitung ohne valide Transfergrundlage stattfindet. Das Bewusstsein für das Problem ist gewachsen – die systematische Dokumentation hinkt häufig hinterher.
Besonders kritisch wird es, wenn personenbezogene Daten von Mitarbeitern, Kunden oder Lieferanten betroffen sind. Art. 44 DSGVO normiert das allgemeine Übermittlungsverbot in Drittländer ohne angemessenes Schutzniveau. Dieser Grundsatz gilt absolut; Ausnahmen sind eng und abschließend geregelt.
Welche rechtlichen Instrumente ermöglichen internationale Datentransfers nach der DSGVO?
Die DSGVO kennt einen abgestuften Mechanismus zur Legitimierung grenzüberschreitender Datentransfers. Je nach Zielland und Unternehmensstruktur kommen unterschiedliche Instrumente in Betracht.
Angemessenheitsbeschlüsse (Art. 45 DSGVO): Die EU-Kommission stellt für bestimmte Länder fest, dass das dortige Datenschutzniveau dem der DSGVO gleichwertig ist. Für diese Länder ist kein gesonderter Transfer-Mechanismus erforderlich. Das bekannteste aktuelle Beispiel ist das EU-US Data Privacy Framework, das im Juli 2023 verabschiedet wurde. Für die USA gilt der Transfer damit unter der Voraussetzung, dass der Empfänger unter dem Framework zertifiziert ist. In der Praxis ist zu prüfen, ob der konkrete US-Dienstleister tatsächlich zertifiziert ist – eine pauschale Annahme ist trügerisch.
Standardvertragsklauseln (SCC, Art. 46 Abs. 2 lit. c DSGVO): Dies ist nach unserer Erfahrung das meistgenutzte Instrument im Mittelstand. Die EU-Kommission hat im Juni 2021 neue SCC in vier Modulen verabschiedet (Verantwortlicher → Verantwortlicher; Verantwortlicher → Auftragsverarbeiter; Auftragsverarbeiter → Auftragsverarbeiter; Auftragsverarbeiter → Verantwortlicher). Entscheidend: SCC allein sind kein Freifahrtschein. Seit dem Schrems-II-Urteil des EuGH (2020) ist zusätzlich ein Transfer Impact Assessment (TIA) – eine Risikofolgenabschätzung – für das Zielland durchzuführen.
Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR, Art. 47 DSGVO) eignen sich für konzerninterne Transfers und setzen die Genehmigung der Aufsichtsbehörde voraus. Der Prozess ist zeitaufwendig, bietet aber für Unternehmensgruppen eine robuste und skalierbare Lösung.
Daneben bestehen eng begrenzte Ausnahmen (Art. 49 DSGVO), etwa für einzelfallbezogene Einwilligungen oder zur Durchführung eines Vertrags. Diese Ausnahmen sind für die systematische Datenverarbeitung eines Unternehmens in der Lebensmittelwirtschaft regelmäßig nicht geeignet. Aufsichtsbehörden betonen ausdrücklich, dass Art. 49 DSGVO keine Umgehung der regulären Transfermechanismen ermöglicht.
Was ist ein Transfer Impact Assessment (TIA), und muss mein Unternehmen eines durchführen?
Ein Transfer Impact Assessment ist eine Risikoanalyse, die – ergänzend zu den Standardvertragsklauseln – bewertet, ob das Drittland rechtliche oder faktische Hindernisse enthält, die die vertraglich zugesagten Datenschutzgarantien unterlaufen könnten.
Der EuGH hat in der Entscheidung Schrems II (C-311/18, 2020) klargestellt, dass allein der Abschluss von SCC nicht ausreicht. Vielmehr müssen Datenexporteure im EWR im Einzelfall prüfen, ob im Zielland staatliche Überwachungsgesetze oder Behördenzugriffe bestehen, die die vertraglichen Schutzgarantien faktisch aushöhlen. Dieser Grundsatz ist seither ständige Verwaltungspraxis der europäischen Datenschutzbehörden, einschließlich der deutschen Landesbehörden.
Ein TIA umfasst typischerweise vier Schritte: Erfassung aller relevanten Datentransfers und der jeweiligen Empfängerländer; rechtliche Analyse der Datenschutzregelungen und Behördenzugriffsbefugnisse im Zielland; Bewertung ergänzender Schutzmaßnahmen (supplementary measures), etwa Verschlüsselung, Pseudonymisierung, Vertragsoptions; Dokumentation und periodische Aktualisierung.
Für Lebensmittelunternehmen mit US-Dienstleistern ist das TIA seit der Einführung des EU-US Data Privacy Frameworks zu überprüfen. Das Framework erleichtert die Analyse, ersetzt sie aber nicht vollständig – insbesondere dann, wenn der Empfänger nicht zertifiziert ist oder wenn besonders sensible Daten übermittelt werden. Art. 46 DSGVO und die EDPB-Empfehlungen 01/2020 bilden die maßgebliche Rechtsgrundlage.
Nach unserer Erfahrung unterschätzen viele mittelständische Geschäftsführer den dokumentarischen Aufwand eines TIA. Ein solches Dokument ist kein einmaliges Projekt – es ist eine lebende Akte, die bei Änderungen der Rechts- oder Vertragslage zu aktualisieren ist.
Welche Pflichten treffen den Auftragsverarbeiter in der Lebensmittellieferkette?
In der Lebensmittelwirtschaft sind Auftragsverarbeitungsverhältnisse (AVV) an vielen Stellen anzutreffen: Logistikdienstleister, Labore für Qualitätskontrollen, externe Lohnbuchhaltung, IT-Dienstleister. Wenn einer dieser Auftragsverarbeiter personenbezogene Daten in ein Drittland transferiert oder überträgt – oder wenn der Auftragsverarbeiter selbst in einem Drittland ansässig ist –, liegt ein internationaler Datentransfer vor, der geregelt werden muss.
Nach Art. 28 Abs. 1 DSGVO darf ein Verantwortlicher nur mit Auftragsverarbeitern zusammenarbeiten, die hinreichende Garantien bieten. Beauftragt der Auftragsverarbeiter seinerseits einen Subauftragsverarbeiter in einem Drittland (sog. Sub-Processor), bedarf dies nach Art. 28 Abs. 2 DSGVO der ausdrücklichen Genehmigung des Verantwortlichen – entweder im Einzelfall oder als allgemeine schriftliche Genehmigung mit Informationspflicht über jede Änderung.
In der Praxis sieht das so aus: Ein Lebensmittelhersteller aus dem Mittelstand schließt einen AVV mit einem deutschen IT-Dienstleister. Dieser Dienstleister hostet seine Software jedoch auf einer US-amerikanischen Infrastruktur. Hier liegt ein Sub-Processor-Transfer in die USA vor, der eigene SCC und ein TIA erfordert. Fehlt beides, liegt der Rechtsverstoß beim Verantwortlichen – dem Lebensmittelhersteller – nicht beim IT-Dienstleister.
Diese Verantwortungsstruktur ist für Geschäftsführer wichtig zu verstehen: Sie haften für das Handeln ihrer Auftragsverarbeiter, soweit sie keine hinreichende Kontrolle ausgeübt haben. Die Pflicht zur Überprüfung der Lieferkette gilt im Datenschutzrecht ähnlich wie im Lieferkettensorgfaltspflichtengesetz im Bereich der Menschenrechte.
Welche Konsequenzen drohen bei rechtswidrigen Datentransfers – und wer trägt die Haftung?
Die Folgen eines rechtswidrigen internationalen Datentransfers sind mehrschichtig. Aufsichtsbehörden können Bußgelder verhängen, Übermittlungen untersagen und Abhilfemaßnahmen anordnen. Betroffene Personen können zivilrechtliche Schadensersatzansprüche nach Art. 82 DSGVO geltend machen. Und die Reputationsfolgen können für Marken in der Lebensmittelbranche, die auf Vertrauen und Transparenz angewiesen sind, erheblich sein.
Bußgeld: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO) – whichever is higher. Aufsichtsbehörden haben in der Vergangenheit gerade Transferverstöße als besonders schwerwiegend eingestuft.
Auf der Ebene der persönlichen Haftung: Die Verantwortlichkeit des Geschäftsführers nach § 43 GmbHG kann einschlägig sein, wenn er von einem rechtswidrigen Datentransfer wusste oder wissen musste und keine Abhilfe geschaffen hat. Datenschutzrechtliche Verstöße können daneben auch ordnungswidrigkeitenrechtliche Folgen für Leitungspersonen haben. In der Mandatspraxis sehen wir, dass Aufsichtsbehörden zunehmend bereit sind, auch Organpersonen direkt zu adressieren.
Für Lebensmittelunternehmen kommt ein branchenspezifisches Risiko hinzu: Gesellschaftsrechtliche oder investorenrelevante Prozesse – etwa bei einem Unternehmensverkauf oder einer Due-Diligence-Prüfung – legen DSGVO-Verstöße systematisch offen. Ein nicht dokumentierter Datentransfer kann den Unternehmenswert beeinflussen oder Gewährleistungsansprüche auslösen.
Wie gestaltet ein Lebensmittelunternehmen internationale Datentransfers systematisch rechtssicher?
Die systematische Rechtssicherung internationaler Datentransfers folgt einem strukturierten Prozess, der in der Praxis vier Phasen umfasst.
Phase 1: Bestandsaufnahme (Data Transfer Mapping). Vollständige Erfassung aller internationalen Datentransfers im Verarbeitungsverzeichnis (Art. 30 DSGVO): Welche personenbezogenen Daten gehen wohin, zu welchem Zweck, auf welcher vertraglichen Grundlage? Für einen Lebensmittelhersteller können das ERP-Daten, Mitarbeiterdaten, Kundendaten, Lieferantenstammdaten und Qualitätssicherungsdaten sein.
Phase 2: Rechtliche Qualifikation. Für jedes identifizierte Drittland: Besteht ein Angemessenheitsbeschluss? Wenn ja, ist der konkrete Empfänger darin erfasst? Wenn nein, welches alternative Instrument (SCC, BCR, Ausnahme) soll eingesetzt werden? Für SCC: Welches Modul ist einschlägig? Ist ein TIA erforderlich und wenn ja, auf welcher Grundlage?
Phase 3: Vertragsimplementierung. Abschluss der SCC in der aktuellen Fassung der EU-Kommission (Durchführungsbeschluss 2021/914). Überprüfung bestehender Auftragsverarbeitungsverträge auf Drittlandklauseln. Einholung von Sub-Processor-Listen und Prüfung der darin genannten Empfänger.
Phase 4: Dokumentation und laufende Pflege. Regelmäßige Überprüfung der Transferlandschaft – mindestens jährlich oder bei wesentlichen Änderungen der Verarbeitungssituation. Dokumentation von TIAs, Korrespondenz mit Dienstleistern, Genehmigungserteilungen für Sub-Processor.
Dieser Prozess ist keine einmalige Compliance-Übung. Er ist ein dauerhafter Bestandteil des Datenschutzmanagementsystems – ähnlich wie das Qualitätsmanagementsystem nach IFS oder BRC in der Lebensmittelbranche periodisch auditiert wird.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Unternehmen der Nahrungsmittelverarbeitung, das seinen Einkauf über eine SaaS-Beschaffungsplattform eines US-Anbieters abwickelte. Ausgangslage: Bei einem internen Datenschutzaudit stellte sich heraus, dass für den Transfer von Mitarbeiterdaten und Lieferantendaten in die USA weder aktuelle SCC abgeschlossen waren noch das TIA-Dokument existierte. Der US-Anbieter war im EU-US Data Privacy Framework zertifiziert – jedoch nur für einen Teil der übermittelten Datenkategorien. Vorgehen: Die Kanzlei erstellte ein vollständiges Transfer Mapping, prüfte den Zertifizierungsumfang des Anbieters, schloss ergänzende SCC für die nicht abgedeckten Datenkategorien ab und dokumentierte ein TIA. Ergebnis: Die Transferlandschaft wurde vollständig regularisiert, das Verarbeitungsverzeichnis aktualisiert und die Datenschutzbehörde im Rahmen einer proaktiven Selbstoffenbarung informiert – ohne behördliche Sanktion.
Müssen auch kleine Lebensmittelbetriebe internationale Datentransfers dokumentieren?
Ja. Die DSGVO macht Größenausnahmen nur sehr begrenzt: Art. 30 Abs. 5 DSGVO sieht eine eingeschränkte Ausnahme von der Verarbeitungsverzeichnispflicht für Unternehmen mit weniger als 250 Mitarbeitern vor – aber nur dann, wenn die Verarbeitung kein Risiko für Betroffene mit sich bringt, keine besonderen Datenkategorien nach Art. 9 DSGVO verarbeitet werden und die Verarbeitung nur gelegentlich erfolgt. Für internationale Datentransfers, die systematisch und regelmäßig stattfinden, greift diese Ausnahme regelmäßig nicht.
In der Praxis bedeutet das: Auch ein Familienbetrieb mit 30 Mitarbeitern, der einen US-amerikanischen E-Mail-Dienst oder ein Cloud-ERP nutzt, überträgt personenbezogene Daten in Drittländer – und ist dafür verantwortlich. Die Aufsichtsbehörden unterscheiden bei der Kontrolle nicht systematisch nach Unternehmensgröße, wenn es um den Grundsatz der Rechtmäßigkeit des Transfers geht.
Zu den besonderen Datenkategorien, die in der Lebensmittelindustrie relevant sein können, zählen Gesundheitsdaten von Mitarbeitern (etwa bei betrieblichem Gesundheitsmanagement, Werksärzten oder Beschäftigung von Menschen mit Behinderung), die einer erhöhten Schutzpflicht nach Art. 9 DSGVO unterliegen. Für diese Kategorien sind ergänzende Schutzmaßnahmen beim Transfer zwingend.
Wie verhalten sich das EU-US Data Privacy Framework und der CLOUD Act zueinander?
Diese Frage stellen Geschäftsführer zunehmend häufig – und sie ist für die Lebensmittelindustrie mit ihrer intensiven Nutzung US-amerikanischer Cloud-Dienste von besonderer praktischer Bedeutung.
Das EU-US Data Privacy Framework (DPF) wurde im Juli 2023 durch Angemessenheitsbeschluss der EU-Kommission eingeführt. Es erlaubt den Transfer personenbezogener Daten an im DPF zertifizierte US-Unternehmen ohne zusätzliche SCC. Das Framework enthält US-seitige Verpflichtungen, darunter verbesserte Rechtsschutzwege für europäische Betroffene gegenüber US-Behörden.
Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ermöglicht es US-Strafverfolgungsbehörden unter bestimmten Voraussetzungen, auf Daten zuzugreifen, die von US-Unternehmen gespeichert werden – auch wenn diese Daten physisch in Europa liegen. Dieses Spannungsverhältnis ist nicht vollständig aufgelöst. Das DPF adressiert primär die Anforderungen der Geheimdienste und nicht unmittelbar die Strafverfolgungszugriffe nach dem CLOUD Act.
Für die Praxis bedeutet das: Wer personenbezogene Daten bei US-Cloud-Diensten speichert, sollte im TIA explizit auf den CLOUD Act eingehen und prüfen, ob ergänzende Schutzmaßnahmen – etwa Datenverschlüsselung mit eigenem Schlüsselmanagement in Europa, sog. BYOK (Bring Your Own Key) – implementiert werden sollten. Für besonders sensible Datenkategorien empfehlen wir eine sorgfältige Abwägung zwischen dem Komfort US-amerikanischer Cloud-Dienste und den Risiken des extraterritorialen Behördenzugriffs.
Welche Rolle spielen Aufsichtsbehörden, und womit muss ich bei einer Prüfung rechnen?
Die deutschen Datenschutzbehörden – auf Bundesebene der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), auf Länderebene die jeweiligen Landesdatenschutzbehörden – sind für die Überwachung der DSGVO zuständig. Bei grenzüberschreitenden Verarbeitungen innerhalb der EU gilt der One-Stop-Shop-Mechanismus; bei Transfers in Drittländer ist regelmäßig die Behörde des EWR-Sitzes des Verantwortlichen zuständig.
Eine Prüfung durch die Aufsichtsbehörde kann anlassbezogen (Beschwerde eines Betroffenen oder eines Wettbewerbers) oder anlasslos (systematische Sektorprüfung) erfolgen. Im Rahmen einer Prüfung wird die Behörde typischerweise folgende Dokumente anfordern: aktuelles Verarbeitungsverzeichnis nach Art. 30 DSGVO; Nachweis der Transfergrundlage (SCC-Verträge, DPF-Zertifizierungsstatus); TIA-Dokumentation; AVV mit Auftragsverarbeitern und Regelung zur Unterbeauftragung.
Wer diese Dokumente nicht vorlegen kann, riskiert nicht nur ein Bußgeld – die Behörde kann nach Art. 58 Abs. 2 lit. j DSGVO auch eine Übermittlung vorübergehend oder dauerhaft untersagen. Für ein Lebensmittelunternehmen, das auf die betreffende Cloud-Plattform für seinen operativen Betrieb angewiesen ist, kann das existenzielle Konsequenzen haben.
Die vorstehende Darstellung betrifft die Regelfälle und die strukturellen Anforderungen behördlicher Prüfungen. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der aktuellen Behördenpraxis in Ihrem Bundesland und der einschlägigen Transferlandschaft.
Für eine erste Einschätzung Ihrer Datentransfer-Dokumentation schreiben Sie uns an info@brandtfalk.com. Wir prüfen, welche Transfers in Ihrem Unternehmen einer Nachbesserung bedürfen, und unterstützen Sie bei der Erstellung oder Aktualisierung der erforderlichen Unterlagen.
Was sind die häufigsten Fehler bei der Gestaltung internationaler Datentransfers im Mittelstand?
Aus der Beratungspraxis lassen sich einige Muster identifizieren, die immer wieder zu Problemen führen.
Fehler 1: Veraltete SCC-Versionen. Die EU-Kommission hat die Standardvertragsklauseln 2021 grundlegend überarbeitet. Viele Unternehmen verwenden noch die alten Klauseln aus dem Jahr 2010 oder 2004 – die seit September 2021 für Neuverträge und seit Dezember 2022 für Altverträge nicht mehr verwendet werden dürfen. Sind Ihre SCC aktuell?
Fehler 2: Fehlendes oder formelles TIA. Ein TIA, das aus einer einzigen Seite mit allgemeinen Aussagen besteht, wird von Aufsichtsbehörden nicht akzeptiert. Erforderlich ist eine substantiierte, länderspezifische Analyse.
Fehler 3: Unvollständige Sub-Processor-Kontrolle. Viele Unternehmen haben zwar einen AVV mit ihrem Hauptdienstleister, aber keine Übersicht über dessen Sub-Processor und deren Standorte. In der Cloud-Welt kann ein einziger Hauptdienstleister Dutzende Sub-Processor in unterschiedlichen Ländern einsetzen.
Fehler 4: Kein Transfer Mapping. Wer nicht weiß, wohin seine Daten fließen, kann keine Rechtsgrundlage schaffen. Das Verarbeitungsverzeichnis nach Art. 30 DSGVO muss den Transfer in Drittländer und die jeweils einschlägigen Garantien dokumentieren.
Fehler 5: Angemessenheitsbeschlüsse als Selbstläufer behandeln. Ein Angemessenheitsbeschluss – wie das EU-US Data Privacy Framework – setzt voraus, dass der konkrete Empfänger unter den Beschluss fällt. Für das DPF bedeutet das: Der US-Empfänger muss unter dem Framework zertifiziert sein. Eine pauschale Annahme ist nicht ausreichend.
Wer diese fünf Punkte systematisch abarbeitet, hat die größten strukturellen Risiken bereits adressiert. Für die detaillierte Umsetzung empfiehlt sich die Einbeziehung rechtlicher Beratung – nicht zuletzt deshalb, weil die behördliche Praxis und die Empfehlungen des Europäischen Datenschutzausschusses (EDPB) sich regelmäßig weiterentwickeln.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers in der Lebensmittelindustrie
Was gilt, wenn mein Cloudanbieter seinen Sitz in den USA hat, aber die Daten in Europa speichert?
Allein der physische Serverstandort in Europa schützt nicht vor einem internationalen Datentransfer. Kann der US-amerikanische Mutterkonzern auf die Daten zugreifen – technisch oder rechtlich –, liegt eine Übermittlung in die USA vor. Entscheidend ist, wer Zugang zu den Daten hat, nicht wo sie gespeichert sind. In diesem Fall ist zu prüfen, ob der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist; andernfalls sind SCC und ein TIA erforderlich. Für Lebensmittelbetriebe mit sensiblen Produktionsdaten oder Mitarbeiterdaten ist eine genaue Analyse der Zugriffsrechte des US-Anbieters unerlässlich.
Benötige ich für jeden einzelnen Drittland-Transfer einen separaten Vertrag?
Nicht zwingend. Wenn Sie mit einem Auftragsverarbeiter zusammenarbeiten, der Daten in mehrere Drittländer überträgt, können die SCC als Rahmenvertrag abgeschlossen werden, der alle Transfers abdeckt – sofern die entsprechenden Module und Anhänge für jedes Zielland ausgefüllt werden. Entscheidend ist, dass für jedes Drittland die Transfergrundlage dokumentiert und gegebenenfalls ein TIA erstellt wird. Eine pauschale Klausel ohne länderspezifische Analyse genügt nicht.
Wie lange muss ich TIA-Dokumente und SCC aufbewahren?
Die DSGVO enthält keine explizite Aufbewahrungsfrist für diese Dokumente. Die allgemeine Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erfordert jedoch, dass Sie Compliance jederzeit nachweisen können – auch gegenüber der Aufsichtsbehörde. Empfehlenswert ist die Aufbewahrung für die Dauer der Verarbeitungstätigkeit zuzüglich mindestens drei Jahre nach Beendigung – in Anlehnung an die Regelverjährung nach § 195 BGB. Bei behördlichen Prüfungen können ältere Dokumente relevant sein, insbesondere wenn vergangene Transfers in Frage gestellt werden.
Was passiert, wenn ein Drittland seinen Angemessenheitsbeschluss verliert (wie einst beim Privacy Shield)?
Verliert ein Angemessenheitsbeschluss seine Gültigkeit – wie beim EU-US Privacy Shield durch das Schrems-II-Urteil des EuGH 2020 –, entfällt die Transfergrundlage mit sofortiger Wirkung. Laufende Transfers in das betreffende Land wären ohne Alternative nicht mehr zulässig. Unternehmen, die ausschließlich auf einen Angemessenheitsbeschluss als Transfergrundlage vertrauen, sollten prophylaktisch SCC als Sicherheitsnetz vorbereiten. Das Risiko einer erneuten gerichtlichen Infragestellung des EU-US Data Privacy Frameworks ist rechtlich nicht auszuschließen.
Gelten besondere Regeln für Mitarbeiterdaten, die in Drittländer übermittelt werden?
Ja. Mitarbeiterdaten genießen in der DSGVO besonderen Schutz, weil das Machtgefälle im Arbeitsverhältnis die Freiwilligkeit einer Einwilligung regelmäßig ausschließt. Als Transfergrundlage kommt für systematische Übermittlungen von Mitarbeiterdaten in Drittländer in der Regel Art. 49 DSGVO (Ausnahmetatbestände) nicht in Betracht. Erforderlich sind SCC oder – bei konzerninternen Transfers – BCR in Verbindung mit einem angemessenen TIA. Gerade in der Lebensmittelbranche mit internationalen Konzernen und grenzüberschreitenden Lohnbuchhaltungsdiensten ist dieser Punkt häufig unterbelichtet.
Wie verhalte ich mich richtig, wenn eine Aufsichtsbehörde eine Anfrage zu meinen Datentransfers stellt?
Eine behördliche Anfrage sollte stets ernst genommen und fristgerecht beantwortet werden. Die Aufsichtsbehörde setzt üblicherweise eine Frist von vier bis sechs Wochen. Wichtig: Antworten sollten präzise und vollständig sein – unvollständige oder irreführende Angaben können eine unkooperative Haltung suggerieren, die die Behörde bei der Bußgeldbemessung berücksichtigen kann. Empfehlenswert ist die Einschaltung anwaltlicher Beratung vor der Antwort, um sicherzustellen, dass die Dokumentation vollständig ist und die Antwort die Rechtsposition des Unternehmens nicht unnötig schwächt.
Kann ich als Geschäftsführer persönlich für Datentransfer-Verstöße haften?
Eine unmittelbare Geschäftsführerhaftung aus der DSGVO selbst ist nach überwiegender Auffassung nicht vorgesehen; die DSGVO adressiert in erster Linie das Unternehmen. Jedoch kann die persönliche Haftung des Geschäftsführers nach § 43 GmbHG einschlägig sein, wenn er die datenschutzrechtlichen Pflichten des Unternehmens schuldhaft vernachlässigt hat. Zudem können Ordnungswidrigkeitenrecht und – in Fällen vorsätzlichen Handelns – das Strafrecht eine Rolle spielen. Die Einrichtung eines funktionierenden Datenschutzmanagementsystems ist daher auch aus der Perspektive der persönlichen Haftungsabsicherung des Geschäftsführers geboten.
Was sollte ich sofort prüfen, wenn ich unsicher bin, ob meine Datentransfers rechtskonform sind?
Der erste Schritt ist ein schnelles internes Transfer Mapping: Welche Softwarelösungen und Dienstleister nutze ich, die Daten außerhalb des EWR verarbeiten oder darauf zugreifen könnten? Der zweite Schritt ist die Überprüfung der bestehenden Verträge – insbesondere ob SCC abgeschlossen wurden und in welcher Version. Dritter Schritt: Gibt es TIA-Dokumentation? Ist das Verarbeitungsverzeichnis aktuell? Viele Unternehmen stellen bei dieser Prüfung erhebliche Lücken fest. Die gute Nachricht: Bestehende Lücken lassen sich in der Regel mit einem strukturierten Prozess schließen, bevor eine behördliche Prüfung einsetzt.
Welche ergänzenden technischen Schutzmaßnahmen empfehlen sich bei risikoreichen Transfers?
Der Europäische Datenschutzausschuss (EDPB) nennt in seinen Empfehlungen 01/2020 folgende technische Maßnahmen als besonders wirksam: Verschlüsselung mit Schlüsselverwaltung ausschließlich im EWR (BYOK), Pseudonymisierung vor dem Transfer sowie eine Architektur, bei der der Drittland-Dienstleister nur auf verschlüsselte, für ihn nicht lesbare Daten zugreift. Diese Maßnahmen eignen sich besonders für Backup-Dienste, Analyseplattformen und Archivierungsdienste. Für interaktive Verarbeitungen – etwa CRM oder ERP – sind sie technisch aufwendiger und müssen im Einzelfall bewertet werden.
Gilt die DSGVO auch für Transfers an Behörden in Drittländern?
Ja. Die Weitergabe personenbezogener Daten an Behörden in Drittländern – etwa auf behördliche Anforderung – ist grundsätzlich ebenfalls ein Transfer im Sinne der DSGVO und bedarf einer Rechtsgrundlage. Ausnahmsweise kann Art. 49 Abs. 1 lit. d DSGVO greifen, der Transfers zur Geltendmachung oder Abwehr von Rechtsansprüchen erlaubt. Für systematische oder regelmäßige Übermittlungen an ausländische Behörden – etwa im Exportkontroll- oder Zollkontext – reicht diese Ausnahme jedoch nicht aus. Lebensmittelexporteure sollten die Datenweitergabe an ausländische Behörden in ihren Compliance-Strukturen gesondert adressieren.
Die vorstehende Darstellung betrifft die strukturellen Anforderungen an internationale Datentransfers nach der DSGVO. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Transferlandschaft, der eingesetzten Dienstleister und der aktuellen behördlichen Praxis. Für eine erste Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com – wir melden uns zeitnah.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.