Für einen Geschäftsführer eines mittelständischen Lebensmittelherstellers ist der Sachverhalt schnell beschrieben: Der ERP-Anbieter sitzt in den USA, der Logistikpartner verarbeitet Lieferanten- und Kundendaten auf Servern in Indien, und der konzerneigene Einkauf tauscht Rohstoffdaten mit Handelspartnern in Südostasien aus. Was technisch längst Alltag ist, bleibt rechtlich eine der heikelsten Baustellen im betrieblichen Datenschutz. Die Frage, wie internationale Datentransfers rechtssicher gestaltet werden können, beschäftigt Datenschutzbehörden, Gerichte und – zunehmend – persönlich haftende Unternehmensleiter.
Internationale Datentransfers in Drittstaaten außerhalb des Europäischen Wirtschaftsraums sind nur zulässig, wenn ein angemessenes Schutzniveau nach der DSGVO sichergestellt ist – entweder durch einen Angemessenheitsbeschluss der EU-Kommission, durch Standardvertragsklauseln (SCC) oder durch andere in Art. 46 DSGVO genannte Garantien. Die gefestigte Linie der Datenschutzbehörden und die höchstrichterliche Rechtsprechung des Europäischen Gerichtshofs (EuGH) machen deutlich: Allein der Abschluss von Standardvertragsklauseln genügt nicht – zusätzliche technische und organisatorische Maßnahmen sowie ein Transfer Impact Assessment (Folgenabschätzung für den Datentransfer) sind regelmäßig erforderlich. Verstöße können mit Bußgeldern von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden.
Dieser Beitrag ordnet die maßgebliche Rechtsprechung zur internationalen Datenweitergabe ein, beleuchtet die spezifischen Risiken der Lebensmittelindustrie und zeigt auf, welche Schritte Geschäftsführer konkret unternehmen sollten.
Was bedeutet „Drittstaatentransfer" – und wen trifft es in der Lebensmittelindustrie?
Jede Übermittlung personenbezogener Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums (EWR) ist ein sogenannter Drittstaatentransfer im Sinne der Art. 44 ff. DSGVO. In der Lebensmittelindustrie betrifft dies strukturell nahezu jeden wachsenden Mittelständler: Lieferanten-Datenbanken mit Kontaktdaten aus Drittstaaten, Cloud-basierte Qualitätsmanagementsysteme auf US-amerikanischen Servern, internationale Labordienstleister, die Prüfprotokolle mit Mitarbeiterdaten verarbeiten, und grenzüberschreitende Handelsplattformen für Rohstoffe und Halbfertigwaren.
Die DSGVO kennt drei Transfermechanismen: Erstens den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), der für bestimmte Länder wie Japan, Kanada oder – nach dem EU-U.S. Data Privacy Framework – die USA mit zertifizierten Empfängern gilt. Zweitens die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), kurz SCC, die von der Kommission in überarbeiteter Fassung seit 2021 bereitgestellt werden. Drittens sonstige geeignete Garantien wie verbindliche unternehmensinterne Datenschutzregelungen (Binding Corporate Rules) für Konzernstrukturen.
Gerade für den Mittelstand sind SCC der faktische Standard. In der Mandatspraxis sehen wir jedoch regelmäßig, dass Unternehmen zwar einen Standardvertrag abgeschlossen, aber weder geprüft haben, ob der Empfängerstaat tatsächlich ein gleichwertiges Schutzniveau bietet, noch, welche ergänzenden Maßnahmen konkret erforderlich sind.
Welche Rechtsprechungslinie prägt die aktuelle Behördenpraxis?
Den entscheidenden Impuls gab der EuGH mit seiner Entscheidung in der Rechtssache Schrems II (2020): Das Gericht erklärte das bis dahin geltende EU-U.S. Privacy Shield für ungültig und verschärfte die Anforderungen an Standardvertragsklauseln erheblich. Seitdem verlangt die gefestigte Senatsrechtsprechung des EuGH, dass Datenexporteure im EWR vor jedem Transfer eine eigenständige Bewertung vornehmen – den sogenannten Transfer Impact Assessment (TIA) –, ob im Empfängerland staatliche Behörden tatsächlich auf die übermittelten Daten zugreifen könnten und ob die SCC-Garantien dort durchsetzbar wären.
Die europäischen Datenschutzbehörden haben diese Linie konsequent aufgegriffen. Der Europäische Datenschutzausschuss (EDSA) hat Leitlinien veröffentlicht, die einen sechsstufigen Prüfpfad für Transfers vorgeben. Nationale Datenschutzbehörden – darunter die bayerische und die Berliner – haben in mehreren Prüfverfahren beanstandet, dass der bloße Einsatz von SCC ohne ergänzende technische Maßnahmen wie Verschlüsselung oder Pseudonymisierung keine ausreichende Rechtsgrundlage darstellt. Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO) drohen bei schwerwiegenden Transferverstößen.
Mit dem EU-U.S. Data Privacy Framework, das die Kommission im Jahr 2023 als neuen Angemessenheitsbeschluss für zertifizierte US-Unternehmen verabschiedet hat, wurde der Transfer in die USA für diesen Kreis erleichtert. Allerdings: Politische Risikofaktoren – darunter laufende gerichtliche Überprüfungen – machen eine rein passive Verlässlichkeit auf diesen Beschluss problematisch. Unternehmensverantwortliche in der Lebensmittelindustrie sollten das Thema daher nicht als erledigt betrachten.
Standardvertragsklauseln: Wie weit reicht die Schutzwirkung wirklich?
Standardvertragsklauseln sind das meistgenutzte Instrument für internationale Datentransfers im Mittelstand – und gleichzeitig das am häufigsten falsch angewandte. Die überarbeiteten SCC der EU-Kommission (Durchführungsbeschluss 2021/914) unterscheiden vier Transferszenarien: Controller-to-Controller, Controller-to-Processor, Processor-to-Controller und Processor-to-Processor. In der Lebensmittelindustrie sind häufig Konstellationen anzutreffen, in denen ein inländischer Hersteller als Verantwortlicher Daten an einen Drittstaaten-Auftragsverarbeiter (etwa einen Logistik-Dienstleister oder ein Labor) weitergibt – Szenario Controller-to-Processor.
Entscheidend ist: Die SCC entfalten ihre Schutzwirkung nur, wenn flankierende technische Maßnahmen ergriffen werden, sofern der TIA ergibt, dass staatliche Überwachungsmaßnahmen im Empfängerland die vertraglichen Garantien untergraben könnten. In der Praxis bedeutet das: Ende-zu-Ende-Verschlüsselung der übertragenen Datensätze, Pseudonymisierung wo immer möglich, und technische Architekturen, die den Datenzugriff durch lokale Behörden erschweren.
Nicht selten scheitert die Prüfung bereits an formellen Voraussetzungen: veraltete SCC-Muster (das alte Muster aus 2010 war bis Ende 2022 zu ersetzen), fehlende Modulauswahl, nicht unterzeichnete Anhänge oder die Einbindung von Subauftragsverarbeitern ohne Durchreichklausel. Nach unserer Erfahrung sind diese formellen Defizite in mittelständischen Unternehmen der Lebensmittelbranche besonders häufig, weil die Vertragsgestaltung oft durch IT-Abteilungen ohne anwaltliche Begleitung erfolgt.
Welche spezifischen Risiken trägt die Lebensmittelindustrie?
Die Lebensmittelindustrie steht vor einem strukturellen Dilemma: Einerseits ist die Branche durch internationale Lieferketten und globale Rohstoffbeschaffung auf grenzüberschreitende Datenweitergabe angewiesen. Andererseits verarbeiten Hersteller besonders sensible Datenkategorien – etwa Gesundheitsdaten im Kontext betrieblicher Arbeitsmedizin, Zertifizierungsdaten mit Personenbezug oder biometrische Zugangsdaten in Produktionsstätten –, für die nach Art. 9 DSGVO besondere Schutzanforderungen gelten.
Zu den typischen Risikoszenarien, die wir in der Mandatspraxis beobachten, zählen:
- ERP- und Qualitätsmanagement-Software aus dem Nicht-EWR-Ausland: Viele spezialisierte Softwareanbieter für Lebensmittelproduktion und -rückverfolgbarkeit haben ihren Sitz außerhalb des EWR oder nutzen US-amerikanische Cloud-Infrastrukturen. Der Datentransfer erfolgt oft unbemerkt über Software-as-a-Service-Modelle.
- Labordienstleister und Zertifizierungsstellen: Externe Labore, die Prüfprotokolle mit Mitarbeiterdaten oder Produktionsprozessdaten verarbeiten, befinden sich häufig in Drittstaaten oder leiten Daten dorthin weiter.
- Internationale Lieferanten-Onboarding-Systeme: Plattformen für das Lieferantenmanagement speichern Kontakt- und Vertragsdaten von Lieferanten aus aller Welt zentral – häufig auf Servern in den USA oder Asien.
- Multinationale Konzernstrukturen: Inhabergeführte Mittelständler, die über Joint Ventures oder Beteiligungen international aufgestellt sind, übermitteln Personalstammdaten und Finanzinformationen konzernintern in Drittstaaten.
Für jeden dieser Fälle gilt das gleiche Prüfschema: Liegt ein Angemessenheitsbeschluss vor? Wenn nein – welche Garantien nach Art. 46 DSGVO greifen? Und: Ist ein TIA durchgeführt und dokumentiert?
Der Transfer Impact Assessment – ein Pflichtinstrument, das oft fehlt
Der Transfer Impact Assessment (TIA) ist keine freiwillige Best Practice, sondern eine aus der EuGH-Rechtsprechung und den EDSA-Leitlinien abgeleitete Pflicht für jeden Transfer in einen Drittstaat, für den kein Angemessenheitsbeschluss vorliegt. Der TIA besteht im Kern aus drei Prüfungsschritten: erstens der Kategorisierung der übertragenen Daten (Was wird übermittelt? Wie sensibel?), zweitens der Rechtslageanalyse im Empfängerstaat (Bestehen dort staatliche Zugriffsrechte auf personenbezogene Daten? Wie effektiv ist der Rechtsschutz?) und drittens der Bewertung der ergänzenden Maßnahmen (Reichen technische und vertragliche Schutzmechanismen aus, um staatliche Eingriffe zu kompensieren?).
Für den deutschen Mittelstand stellt der TIA eine administrative Hürde dar, die nicht unterschätzt werden sollte. Er muss dokumentiert, regelmäßig aktualisiert und bei Behördenanfragen vorgelegt werden können. Fehlt er, droht nicht nur ein Bußgeld – die Datenschutzbehörde kann den Transfer auch untersagen, was für ein Unternehmen, das auf den betroffenen Dienstleister angewiesen ist, die Betriebskontinuität gefährden kann.
In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Lebensmittelhersteller aus dem Bereich Tiefkühlprodukte mit rund 300 Mitarbeitern. Das Unternehmen nutzte ein amerikanisches ERP-System und hatte SCC abgeschlossen, jedoch keinen TIA durchgeführt. Die zuständige Datenschutzbehörde hatte im Rahmen einer anlasslosen Prüfung Unterlagen angefordert. Vorgehen: Wir erstellten den TIA nachträglich, identifizierten ergänzende technische Maßnahmen (Verschlüsselung der ERP-Datenbankverbindung, Zugriffsprotokollierung) und begleiteten die Kommunikation mit der Behörde. Ergebnis: Das Prüfverfahren wurde ohne förmliche Beanstandung beendet; das Unternehmen verfügt nun über eine revisionssichere Dokumentationsbasis.
Haftungsrisiken für Geschäftsführer – persönliche Verantwortung im Fokus
Datenschutzverletzungen im Bereich internationaler Transfers sind keine rein technische oder Compliance-Frage – sie berühren die persönliche Haftung der Unternehmensleitung. Nach der DSGVO ist das Unternehmen als Verantwortlicher (Art. 4 Nr. 7 DSGVO) Adressat der Bußgeldentscheidung. Im deutschen Recht folgt daraus eine Organisationspflicht der Geschäftsführer: Wer den Datenschutz strukturell vernachlässigt, kann nach den allgemeinen Grundsätzen der GmbH-Geschäftsführerhaftung (§ 43 GmbHG) in Regress genommen werden.
Darüber hinaus sehen vereinzelte europäische Datenschutzbehörden – etwa in Rumänien und Litauen – Bußgeldadressaten auch unmittelbar in natürlichen Personen, die Leitungsfunktionen ausüben. Ob deutsche Behörden dieser Linie folgen, ist nach der einschlägigen Rechtsprechung nicht abschließend geklärt. Die gefestigte Behördenpraxis in Deutschland richtet sich jedoch gegen das Unternehmen – mit der Folge, dass Bußgelder die Liquidität inhabergeführter Mittelständler direkt treffen. Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO) sind keine theoretische Größe mehr.
Wie sollen Geschäftsführer mit dieser Gemengelage umgehen? Der entscheidende Schritt ist nicht Passivität, sondern dokumentierte Sorgfalt: Ein aktenkundiger TIA, aktualisierte SCC-Verträge und eine Verarbeitungsübersicht nach Art. 30 DSGVO, die grenzüberschreitende Transfers vollständig abbildet, reduzieren das behördliche Bußgeldrisiko erheblich – weil sie Nachweis einer proaktiven Compliance-Organisation sind.
Handlungsempfehlung: Fünf konkrete Schritte zur Rechtskonformität
Die nachfolgende Darstellung fasst zusammen, wie Unternehmen der Lebensmittelindustrie ihre internationalen Datentransfers strukturiert auf ein tragfähiges rechtliches Fundament stellen. Die Schritte sind priorisiert – zuerst Bestandsaufnahme, dann Vertragsgestaltung, schließlich technische Absicherung und laufendes Monitoring.
- Transfer-Mapping: Erstellen Sie eine vollständige Übersicht aller Datenflüsse in Drittstaaten. Ausgangspunkt ist das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO). Ergänzen Sie für jeden Eintrag: Empfängerland, Transfermechanismus, Datum der letzten Prüfung.
- Angemessenheitsbeschlüsse prüfen: Für Empfängerländer mit aktuellem Beschluss (z. B. zertifizierte US-Empfänger nach dem EU-U.S. Data Privacy Framework, Japan, Kanada) entfällt die SCC-Pflicht. Prüfen Sie, ob die Zertifizierung des konkreten Empfängers aktuell und im DPF-Register nachweisbar ist.
- SCC aktualisieren und vollständig konfigurieren: Ersetzen Sie veraltete Muster. Wählen Sie das zutreffende Modul (Controller-to-Processor etc.), füllen Sie alle Anhänge vollständig aus und regeln Sie die Einbindung von Subauftragsverarbeitern über Durchreichklauseln.
- Transfer Impact Assessment durchführen und dokumentieren: Für jeden Transfer ohne Angemessenheitsbeschluss ist ein TIA zu erstellen, aktenkundig zu machen und bei wesentlichen Änderungen der Rechtslage im Empfängerland zu aktualisieren.
- Technische Maßnahmen implementieren: Verschlüsselung, Pseudonymisierung und Zugriffsprotokollierung sind keine Optionen, sondern – soweit technisch umsetzbar – regulatorische Erwartung. Dokumentieren Sie, warum bestimmte Maßnahmen nicht umsetzbar sind.
Welche dieser fünf Schritte in Ihrem Unternehmen bereits vollständig umgesetzt sind – und welche noch offen? Diese Bestandsaufnahme ist der schnellste Weg, um den tatsächlichen Handlungsbedarf zu beziffern.
Die vorstehende Darstellung betrifft die Regelfälle und die derzeit gefestigte Rechtsprechungslinie. Ihr konkreter Fall erfordert die Prüfung der eingesetzten Dienstleister, der genutzten Transfermechanismen und der behördlichen Anforderungen in Ihrer Jurisdiktion. Zur Klärung, wie die aktuellen Anforderungen an internationale Datentransfers auf Ihre Unternehmensstruktur wirken, wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers in der Lebensmittelindustrie
Brauche ich für jeden Datentransfer in die USA eigene Standardvertragsklauseln?
Nicht zwingend – aber nur dann nicht, wenn der US-amerikanische Empfänger im Rahmen des EU-U.S. Data Privacy Framework (DPF) zertifiziert ist und die Zertifizierung für die betreffenden Datenkategorien gilt. Prüfen Sie die Zertifizierung im offiziellen DPF-Register. Liegt keine Zertifizierung vor oder ist sie abgelaufen, sind SCC nebst Transfer Impact Assessment erforderlich. In der Praxis empfehlen wir, auch bei DPF-zertifizierten Empfängern einen Überprüfungsrhythmus für die Zertifizierungsgültigkeit einzuplanen.
Was ist der Unterschied zwischen einem Auftragsverarbeitungsvertrag (AVV) und Standardvertragsklauseln (SCC)?
Der AVV nach Art. 28 DSGVO regelt die Pflichten eines Auftragsverarbeiters im Inland oder EWR – er ist keine Transfergrundlage für Drittstaaten. SCC dagegen sind der spezifische Mechanismus für die grenzüberschreitende Übermittlung in Drittstaaten. Beide Instrumente können sich überlagern: Wer Daten an einen Drittstaaten-Auftragsverarbeiter sendet, benötigt regelmäßig sowohl einen AVV als auch SCC. Das Fehlen eines der beiden Dokumente begründet je einen separaten Verstoß.
Wie häufig muss ein Transfer Impact Assessment aktualisiert werden?
Es gibt keine gesetzlich festgelegte Aktualisierungsfrist. Die EDSA-Leitlinien empfehlen eine Überprüfung bei wesentlichen Änderungen – insbesondere dann, wenn sich die Rechtslage im Empfängerland ändert, ein neuer Staatszugriff öffentlich bekannt wird oder der Dienstleister seine Infrastruktur verlagert. In der Mandatspraxis hat sich ein jährlicher Überprüfungsrhythmus als behördenkonformer Standard etabliert, ergänzt durch anlassbezogene Aktualisierungen bei signifikanten Umfeldveränderungen.
Können biometrische Zugangsdaten aus der Lebensmittelproduktion in Drittstaaten übermittelt werden?
Biometrische Daten fallen unter die besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und unterliegen einem grundsätzlichen Verarbeitungsverbot mit eng gefassten Ausnahmen. Eine Drittstaatenübermittlung ist nur zulässig, wenn zusätzlich zur allgemeinen Transfergrundlage (Angemessenheitsbeschluss oder SCC) auch eine Ausnahme nach Art. 9 Abs. 2 DSGVO eingreift – etwa eine ausdrückliche Einwilligung der betroffenen Mitarbeiter. Wir raten dringend, diesen Sachverhalt einzelfallbezogen anwaltlich prüfen zu lassen.
Was passiert, wenn eine Datenschutzbehörde einen Transfer beanstandet?
Die Behörde kann zunächst eine Verwarnung aussprechen, Verarbeitungen anordnen oder untersagen und – bei schwerwiegenden Verstößen – Bußgelder verhängen. Der Bußgeldrahmen beträgt bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO). Daneben droht eine Untersagung des Transfers, die den Betrieb des betroffenen Dienstleisters unmittelbar beeinflussen kann. Regelmäßig gibt die Behörde zunächst Gelegenheit zur Stellungnahme – diese Frist sollte anwaltlich begleitet werden.
Gilt die Meldepflicht bei Datenpannen auch bei Drittstaatentransfers?
Ja. Die 72-Stunden-Meldepflicht nach Art. 33 DSGVO gilt unabhängig davon, ob die Datenpanne im Inland oder beim Drittstaaten-Empfänger eintritt. Sobald ein Auftragsverarbeiter – auch im Ausland – eine Datenschutzverletzung feststellt, muss er dies dem verantwortlichen Unternehmen im EWR unverzüglich melden, und dieses muss seinerseits innerhalb von 72 Stunden die zuständige Aufsichtsbehörde unterrichten, sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen begründet.
Die vorstehende Darstellung betrifft die Regelfälle der behördlichen und gerichtlichen Rechtsprechungspraxis zu internationalen Datentransfers. Ihr konkreter Fall erfordert die Prüfung Ihrer Verarbeitungsverzeichnisse, der eingesetzten Dienstleister und der spezifischen Anforderungen Ihrer Branche. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.