Wenn ein mittelständisches Logistikunternehmen seine Sendungsverfolgungsdaten an einen US-amerikanischen Cloud-Anbieter übermittelt, Frachtdaten in Echtzeit mit asiatischen Partnern teilt oder Fahrerdaten in einem konzernweiten HR-System in Singapur verarbeitet, beginnt ein rechtliches Kapitel, das viele Geschäftsführer unterschätzen: der grenzüberschreitende Datentransfer nach der Datenschutz-Grundverordnung (DSGVO). Die Bußgeldrisiken sind erheblich — Aufsichtsbehörden können nach Art. 83 DSGVO Sanktionen von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist.
Internationale Datentransfers sind rechtssicher zu gestalten, indem geeignete Garantien im Sinne von Art. 46 DSGVO — insbesondere die von der EU-Kommission verabschiedeten Standardvertragsklauseln — zwischen dem übermittelnden und dem empfangenden Unternehmen vereinbart werden. Ohne eine solche Rechtsgrundlage ist jede Übermittlung personenbezogener Daten in ein Drittland außerhalb des Europäischen Wirtschaftsraums (EWR) unzulässig. Für Logistikunternehmen, die täglich Fracht-, Fahrer- und Kundendaten über Ländergrenzen hinweg austauschen, ist die lückenlose Absicherung dieser Datenflüsse sowohl Compliance-Pflicht als auch Schutz vor persönlicher Haftung der Geschäftsführung.
Dieser Beitrag erläutert die geltende Rechtslage, die relevanten Instrumente, typische Fehler in der Logistikbranche und die konkreten nächsten Schritte für eine rechtskonforme Umsetzung.
Rechtsrahmen: Was gilt bei Drittlandtransfers nach der DSGVO?
Jede Übermittlung personenbezogener Daten in ein Land außerhalb des EWR ist nach Kapitel V der DSGVO (Art. 44 ff.) grundsätzlich nur zulässig, wenn eine der dort abschließend aufgeführten Rechtsgrundlagen vorliegt. Die DSGVO unterscheidet dabei drei Transferebenen: Drittländer mit einem Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), Transfers auf Basis geeigneter Garantien (Art. 46 DSGVO) und Ausnahmen in Einzelfällen (Art. 49 DSGVO). In der täglichen Logistikpraxis greifen Ausnahmen nach Art. 49 DSGVO nur selten — sie sind eng auszulegen und keinesfalls als Dauerlösung geeignet.
Angemessenheitsbeschlüsse existieren derzeit für eine begrenzte Anzahl von Ländern, darunter Großbritannien, Japan, Kanada (teilweise) und — für zertifizierte US-Unternehmen — die USA im Rahmen des EU-US Data Privacy Framework (DPF). Das DPF ist seit Juli 2023 in Kraft, nachdem der Europäische Gerichtshof in den Vorentscheidungen Schrems I (2015) und Schrems II (2020) die Vorgängerregelungen für ungültig erklärte. Logistikunternehmen, die US-Cloud-Dienste oder US-amerikanische Tracking-Software einsetzen, sollten daher stets prüfen, ob der jeweilige Anbieter unter dem DPF zertifiziert ist — und diese Zertifizierung regelmäßig verifizieren, da sie jährlich erneuert werden muss.
Für alle übrigen Drittländer — etwa China, Indien, die Türkei oder viele lateinamerikanische Staaten — besteht kein Angemessenheitsbeschluss. Hier sind geeignete Garantien im Sinne von Art. 46 DSGVO zwingend. Das praktisch bedeutsamste Instrument sind die Standardvertragsklauseln der EU-Kommission.
Standardvertragsklauseln (SCC): Das zentrale Instrument für Logistikunternehmen
Standardvertragsklauseln (SCC — Standard Contractual Clauses) sind von der EU-Kommission verabschiedete Mustervertragsklauseln, die einen angemessenen Datenschutzstandard zwischen dem Datenexporteur im EWR und dem Datenimporteur im Drittland vertraglich herstellen sollen. Die aktuellen SCC gelten seit dem 27. September 2021 und umfassen vier Module, die verschiedene Transferkonstellationen abdecken: Verantwortlicher zu Verantwortlichem, Verantwortlicher zu Auftragsverarbeiter, Auftragsverarbeiter zu Auftragsverarbeiter und Auftragsverarbeiter zu Verantwortlichem.
Für Logistikunternehmen ist die richtige Modulwahl entscheidend. Wer Sendungsdaten an einen eigenständigen Frachtdienstleister in Drittländern übermittelt, der diese Daten für eigene Zwecke verarbeitet, benötigt das Modul „Verantwortlicher zu Verantwortlichem". Wer dagegen Daten an einen Dienstleister übermittelt, der ausschließlich weisungsgebunden verarbeitet — etwa einen externen IT-Dienstleister für die Telematik-Infrastruktur — benötigt das Modul „Verantwortlicher zu Auftragsverarbeiter", in Verbindung mit einem Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
Allein die Unterzeichnung der SCC reicht nicht aus. Die DSGVO und die daraus abgeleitete Rechtsprechung des EuGH verlangen zusätzlich eine Transfer Impact Assessment (TIA) — eine Risikobewertung des rechtlichen Rahmens im Drittland, also ob die dortigen Behörden Zugriff auf die übertragenen Daten erlangen können und welche Schutzmechanismen dem entgegenstehen. In der Mandatspraxis sehen wir regelmäßig, dass Logistikunternehmen die SCC zwar vorlegen können, das TIA jedoch fehlt oder veraltet ist. Genau das prüfen Datenschutzbehörden bei Kontrollen als Erstes.
Warum Logistikunternehmen besonders exponiert sind
Die Logistikbranche ist in ihrer Datenverarbeitung strukturell internationaler als viele andere Mittelstandsbranchen. Sendungsverfolgung, Telematik, Frachtbörsen, Zollabwicklung und multimodale Transportkoordination erzeugen täglich Datenflüsse in Dutzende Länder — darunter Drittländer ohne Angemessenheitsbeschluss. Typische Datenkategorien, die dabei übermittelt werden, sind Fahrerdaten (Name, Standort, Fahrtenbuch), Kundendaten (Absender, Empfänger, Kontaktpersonen), Fracht- und Auftragsdaten sowie Beschäftigtendaten in konzerninternen HR-Systemen.
Was erhöht das Risiko in der Praxis konkret? Erstens: Telematik- und Tracking-Software wird häufig von US-amerikanischen oder asiatischen Anbietern bezogen, ohne dass der Einkauf datenschutzrechtlich begleitet wird. Zweitens: Konzerninterne Datentransfers — etwa in die Muttergesellschaft in Großbritannien oder eine Tochter in China — werden oft irrigerweise als „intern" und damit unproblematisch eingestuft, obwohl auch konzerninterne Übermittlungen in Drittländer einer Rechtsgrundlage bedürfen. Drittens: Subunternehmer in Osteuropa oder Zentralasien werden eingebunden, ohne dass die Datenschutzsituation dieser Jurisdiktionen geprüft wird.
Nach unserer Erfahrung in der Beratung mittelständischer Logistikunternehmen werden diese drei Risikoquellen in der Compliance-Dokumentation am häufigsten übersehen. Die Folge: Wenn eine Datenschutzbehörde eine Kontrolle einleitet, findet sie Dokumentationslücken, die sich vermeiden ließen.
Welche Pflichten treffen den Geschäftsführer persönlich?
Datenschutzverstöße sind zunächst Verstöße des Unternehmens als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO. Die persönliche Haftung des Geschäftsführers ergibt sich jedoch aus dem gesellschaftsrechtlichen Pflichtengefüge: Wer als Geschäftsführer einer GmbH oder Vorstandsmitglied einer AG Compliance-Strukturen nicht einrichtet oder offensichtliche Verstöße nicht abstellt, riskiert die Inanspruchnahme durch die Gesellschaft nach § 43 GmbHG bzw. § 93 AktG — und in gravierenden Fällen zusätzlich ordnungswidrigkeitenrechtliche Konsequenzen.
Darüber hinaus: Datenpannen, die auf unzureichend abgesicherte internationale Datentransfers zurückzuführen sind, lösen die 72-Stunden-Meldepflicht nach Art. 33 DSGVO aus. Wer diese Frist versäumt, riskiert eigenständige Bußgelder — zusätzlich zu den Sanktionen für den eigentlichen Transferverstoß. In der Logistik, wo Cyberangriffe auf Steuerungssysteme und Frachtdatenbanken zunehmen, ist die Frage nicht ob, sondern wann es zu einem Sicherheitsvorfall kommt. Die Absicherung internationaler Datentransfers ist daher auch präventive Krisenvorsorge.
Für den Mittelstand gilt besonders: Inhabergeführte Unternehmen und Familiengesellschaften haben in der Regel keine eigene Rechtsabteilung. Der Geschäftsführer ist persönlich darauf angewiesen, dass externe Berater strukturierte Prozesse aufbauen, die dem Unternehmen dauerhaft Rechtssicherheit geben — nicht nur im Moment der Zertifizierung, sondern durch regelmäßige Aktualisierung und Dokumentation.
Welche Instrumente stehen neben den SCC zur Verfügung?
Standardvertragsklauseln sind das häufigste, aber nicht das einzige Instrument für rechtssichere internationale Datentransfers. Art. 46 DSGVO benennt weitere geeignete Garantien, die je nach Unternehmensstruktur sinnvoll sein können:
- Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR): Konzernweit anwendbar, müssen von einer federführenden Datenschutzbehörde genehmigt werden. BCR sind für Logistikkonzerne mit zahlreichen Tochtergesellschaften attraktiv, der Genehmigungsprozess ist jedoch aufwendig und dauert regelmäßig mehrere Jahre.
- Verhaltensregeln (Codes of Conduct) nach Art. 40 DSGVO in Verbindung mit verbindlichen Zusagen des Importeurs: Für Branchenverbände in der Logistik noch wenig etabliert, aber ein zukunftsfähiger Ansatz.
- Zertifizierungsmechanismen (Art. 42 DSGVO): Bislang in der EU kaum akkreditiert; die Entwicklung ist zu beobachten.
- Angemessenheitsbeschlüsse für das konkrete Empfängerland: Regelmäßig prüfen, ob ein solcher inzwischen vorliegt oder weggefallen ist (wie im Fall Privacy Shield 2020).
Für die überwiegende Mehrzahl mittelständischer Logistikunternehmen sind die aktuellen SCC das praktikabelste und rechtlich stabilste Instrument. Entscheidend ist jedoch ihre korrekte Auswahl, Verhandlung und Ergänzung durch ein Transfer Impact Assessment.
Typische Fehler und wie Sie sie vermeiden
In der Mandatspraxis begegnen uns bei internationalen Datentransfers von Logistikunternehmen immer wieder dieselben vermeidbaren Fehler. Sie kurz zu benennen ist Teil einer seriösen Beratung.
Fehler 1: Veraltete SCC-Muster. Unternehmen, die noch die SCC-Muster aus 2010 verwenden, arbeiten mit ungültigen Dokumenten. Seit dem 27. Dezember 2022 sind ausschließlich die neuen modularen SCC von 2021 zu verwenden. Altverträge, die noch auf den alten Klauseln basieren, sollten unverzüglich aktualisiert werden.
Fehler 2: Fehlendes oder oberflächliches Transfer Impact Assessment. Ein TIA, das nur aus einem Formular mit drei angekreuzten Feldern besteht, wird einer Prüfung durch die Datenschutzbehörde nicht standhalten. Ein belastbares TIA analysiert die Rechtslage im Empfängerland, die Wahrscheinlichkeit behördlicher Datenzugriffe, die Schutzwirkung der SCC in der konkreten Konstellation und ggf. erforderliche ergänzende technische Maßnahmen (etwa Verschlüsselung).
Fehler 3: Keine Einbindung des Datentransfer-Verzeichnisses in das Verarbeitungsverzeichnis. Internationale Datentransfers sind im Verarbeitungsverzeichnis nach Art. 30 DSGVO zu dokumentieren, einschließlich der jeweiligen Transfergrundlage. Fehlt diese Dokumentation, liegt bereits ein eigenständiger Verstoß vor.
Fehler 4: Annahme, konzerninterne Transfers seien privilegiert. Die DSGVO kennt kein Konzernprivileg für Drittlandtransfers. Auch die Übermittlung von Beschäftigtendaten an die Muttergesellschaft in den USA, Großbritannien oder der Schweiz bedarf einer Transfergrundlage — wobei für Großbritannien ein Angemessenheitsbeschluss vorliegt und für die Schweiz ebenfalls.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Speditionsunternehmen aus Süddeutschland, das Telematik-Software eines US-amerikanischen Anbieters einsetzt. Ausgangslage: Das Unternehmen verfügte über einen Auftragsverarbeitungsvertrag mit dem Anbieter, hatte jedoch weder geprüft, ob dieser unter dem DPF zertifiziert ist, noch SCC für den Fall fehlender Zertifizierung abgeschlossen. Darüber hinaus fehlte ein Transfer Impact Assessment vollständig. Vorgehen: Die Kanzlei überprüfte zunächst den DPF-Zertifizierungsstatus des Anbieters, der tatsächlich eingetragen war, und aktualisierte den AVV auf die aktuellen Klauseln. Zusätzlich wurde ein strukturiertes TIA erstellt und in das Verarbeitungsverzeichnis integriert. Ergebnis: Das Unternehmen verfügt nun über eine vollständige, behördentaugliche Dokumentation — und der Geschäftsführer konnte die zuvor bestehende Unsicherheit über seine persönliche Haftungsexposition gezielt abbauen.
Praktischer Fahrplan: Internationale Datentransfers strukturiert absichern
Ein strukturierter Ansatz zur Absicherung internationaler Datentransfers folgt in der Regel sechs Phasen, die in der Mandatspraxis bewährt sind. Wir skizzieren den Fahrplan hier als Orientierungsrahmen — die genaue Umsetzung ist stets am konkreten Unternehmen und seinen Datenflüssen auszurichten.
- Datenfluss-Mapping: Identifikation aller Datentransfers in Drittländer — einschließlich solcher, die über Auftragsverarbeiter oder Sub-Auftragsverarbeiter laufen. In der Logistik sind das häufig mehr als 20 separate Transfervorgänge.
- Rechtliche Einordnung: Prüfung, ob ein Angemessenheitsbeschluss vorliegt, ob SCC abgeschlossen werden müssen und welches Modul anzuwenden ist.
- TIA-Erstellung: Für jedes Drittland ohne Angemessenheitsbeschluss: dokumentierte Analyse der Rechtslage im Empfängerland und der Risiken für die betroffenen Personen.
- Vertragsgestaltung: Abschluss oder Aktualisierung der SCC, AVV und ggf. konzerninterner Datentransfervereinbarungen (Intra-Group Agreements).
- Technische und organisatorische Maßnahmen (TOMs): Ergänzende Maßnahmen, etwa Verschlüsselung oder Pseudonymisierung, die das TIA erfordert.
- Dokumentation und Pflege: Einpflegen aller Transfergrundlagen in das Verarbeitungsverzeichnis, Einrichten eines Review-Prozesses (mindestens jährlich) und bei Änderungen im Drittland oder im Anbieter-Portfolio.
Dieser Fahrplan ist keine einmalige Aufgabe. Er ist ein dauerhafter Prozess — was bedeutet, dass Logistikunternehmen interne Zuständigkeiten und Eskalationswege festlegen sollten. Wer dafür keine eigene Kapazität hat, kann diese Prozesse in Teilen an externe Berater delegieren — aber die Verantwortung bleibt bei der Geschäftsführung.
Entscheidungsmatrix: Welches Instrument für welche Konstellation?
Nicht jeder Transfer erfordert dieselbe Absicherung. Die folgende Orientierung gibt eine praxisnahe Übersicht:
Konstellation A — Empfängerland mit Angemessenheitsbeschluss (z. B. UK, Japan, US-Anbieter mit DPF-Zertifizierung): Kein SCC erforderlich, aber regelmäßige Prüfung, ob der Beschluss noch gilt und ob der US-Anbieter weiterhin DPF-zertifiziert ist. AVV nach Art. 28 DSGVO bleibt ggf. erforderlich.
Konstellation B — Empfängerland ohne Angemessenheitsbeschluss, Empfänger ist Auftragsverarbeiter (z. B. IT-Dienstleister in Indien): SCC Modul 2 (Verantwortlicher zu Auftragsverarbeiter) + TIA + AVV. Technische Schutzmaßnahmen prüfen.
Konstellation C — Empfängerland ohne Angemessenheitsbeschluss, Empfänger ist eigenständiger Verantwortlicher (z. B. Frachtpartner in China): SCC Modul 1 (Verantwortlicher zu Verantwortlichem) + TIA. Besondere Sorgfalt bei der Risikoanalyse, da chinesisches Datenschutzrecht (PIPL) eigene Anforderungen stellt, die mit der DSGVO teilweise konfligieren.
Konstellation D — Konzerninterne Übermittlung in Drittland: SCC oder BCR + TIA. BCR mittelfristig vorzuziehen bei mehr als drei Tochtergesellschaften in Drittländern.
Welche Konstellation auf Ihr Unternehmen zutrifft, hängt von den konkreten Vertragsbeziehungen, der Datenverarbeitungsstruktur und der Situation im Empfängerland ab. Die vorstehende Matrix ist ein Orientierungsrahmen, keine Einzelfallanalyse.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Verträge, Ihrer Datenflüsse und der einschlägigen Rechtsprechung — insbesondere vor dem Hintergrund, dass sich die Angemessenheitsentscheidungen und Zertifizierungsstatusänderungen kurzfristig ändern können. Für eine erste fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers in der Logistik
Welche Rechtsgrundlage benötige ich für die Übermittlung von Fahrerdaten an einen US-amerikanischen Telematik-Anbieter?
Sofern der Anbieter unter dem EU-US Data Privacy Framework (DPF) zertifiziert ist, reicht der Angemessenheitsbeschluss der EU-Kommission aus — ergänzt um einen AVV nach Art. 28 DSGVO. Fehlt die DPF-Zertifizierung, sind Standardvertragsklauseln (SCC Modul 2) zuzüglich eines Transfer Impact Assessments erforderlich. Die DPF-Zertifizierung ist jährlich zu verifizieren, da sie regelmäßig erneuert werden muss. Wir empfehlen, diesen Status vertraglich abzusichern und bei Verlust automatische Eskalationsmechanismen zu vereinbaren.
Sind konzerninterne Datentransfers zwischen deutschen und chinesischen Gesellschaften datenschutzrechtlich privilegiert?
Nein. Die DSGVO kennt kein Konzernprivileg für Drittlandtransfers. Auch die Übermittlung von Mitarbeiterdaten oder Kundendaten an eine Tochtergesellschaft in China bedarf einer Transfergrundlage nach Art. 46 DSGVO — in der Regel SCC Modul 1 oder 2, ergänzt um ein Transfer Impact Assessment. China hat zudem mit dem PIPL ein eigenes Datenschutzregime, das teilweise eigene Anforderungen stellt. Die Wechselwirkungen sind sorgfältig zu analysieren.
Was passiert, wenn die Datenschutzbehörde einen unzureichend abgesicherten Datentransfer feststellt?
Datenschutzbehörden können bei Verstößen gegen Kapitel V der DSGVO Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ausfällt. Daneben können Behörden den Transfer vorübergehend oder dauerhaft untersagen. In der Logistik, wo internationale Datenflüsse betriebsnotwendig sind, kann eine solche Untersagung unmittelbare operative Folgen haben. Ergänzend drohen Haftungsansprüche betroffener Personen nach Art. 82 DSGVO.
Muss ich für jeden einzelnen Dienstleister ein Transfer Impact Assessment erstellen?
Grundsätzlich ja — für jeden Transfer in ein Drittland ohne Angemessenheitsbeschluss. In der Praxis lassen sich TIAs für dasselbe Empfängerland und vergleichbare Risikoprofile zusammenführen. Entscheidend ist, dass das TIA die konkrete Transfersituation — Art der Daten, Risikoprofil des Empfängerlandes, technische Schutzmaßnahmen — vollständig abbildet. Ein pauschales TIA für alle Drittlandtransfers wird einer behördlichen Prüfung regelmäßig nicht standhalten.
Welche technischen Maßnahmen können das rechtliche Risiko bei internationalen Datentransfers reduzieren?
Verschlüsselung der übertragenen Daten, Pseudonymisierung, Datensparsamkeit und strikte Zugriffsberechtigungskonzepte sind die gängigsten technischen Schutzmaßnahmen, die ein Transfer Impact Assessment empfehlen kann. Diese Maßnahmen können das Transferrisiko reduzieren, ersetzen aber nicht die vertragliche Absicherung durch SCC. Sie sind Teil einer Gesamtstrategie aus rechtlichen, organisatorischen und technischen Elementen.
Die vorstehende Darstellung gibt einen Überblick über die typischen Konstellationen. Ihr konkreter Sachverhalt erfordert die Prüfung Ihrer Datenverarbeitungsverzeichnisse, bestehender Verträge und der aktuellen Rechtslage im jeweiligen Empfängerland. Zur Klärung, wie die DSGVO-Anforderungen an internationale Datentransfers auf Ihr Unternehmen wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.