Logistikunternehmen bewegen täglich nicht nur Waren, sondern auch erhebliche Mengen personenbezogener Daten über Ländergrenzen hinweg: Fahrerdaten, Empfängeradressen, Sendungsverfolgungs-IDs, Personalstammdaten bei multinationalen Flottenbetreibern und Kundendaten aus dem E-Commerce-Fulfillment. Sobald diese Daten in Drittländer außerhalb des Europäischen Wirtschaftsraums (EWR) fließen – etwa zu Zollabwicklungspartnern in der Türkei, zu Tracking-Softwareanbietern in den USA oder zu Kontraktlogistikern in Singapur –, greift das Drittlandstransferregime der Datenschutz-Grundverordnung (DSGVO). Wer als Geschäftsführer hier keine dokumentierten Grundlagen vorhält, riskiert Bußgelder bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 2 DSGVO) sowie behördliche Anordnungen, die den operativen Betrieb empfindlich treffen können.
Internationale Datentransfers sind in der Logistikbranche rechtssicher zu gestalten, indem der Verantwortliche für jeden Datenstrom in ein Drittland einen anerkannten Transfer-Mechanismus nach Art. 44 ff. DSGVO nachweist – insbesondere Standardvertragsklauseln (SCC) der Europäischen Kommission, einen gültigen Angemessenheitsbeschluss oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules). Fehlen diese Grundlagen, sind die Transfers rechtswidrig; Datenschutzbehörden können Bußgelder verhängen, Verarbeitungstätigkeiten aussetzen und – relevanter für die Praxis – zivilrechtliche Haftungsansprüche betroffener Personen auslösen.
Dieser Branchenreport analysiert die aktuelle Rechtslage, benennt die für die Logistik typischen Risikokonstellationen und zeigt konkrete Handlungsschritte auf, mit denen mittelständische Transport-, Speditions- und Kontraktlogistikunternehmen ihre Drittlandstransfers compliant gestalten.
Warum internationale Datentransfers in der Logistik ein besonderes Risikoprofil aufweisen
Die Logistikbranche ist strukturell auf globale Netzwerke angewiesen. Kein mittelständischer Spediteur, der Seefracht aus Fernost abwickelt, und kein Paketdienstleister mit Expresslieferungen in die Golfstaaten kommt ohne den Austausch personenbezogener Daten mit außereuropäischen Partnern aus. Das Risikoprofil unterscheidet sich von anderen Branchen in drei wesentlichen Punkten.
Erstens ist die Datenübermittlung häufig operativ unausweichlich: Zollbehörden in Drittländern verlangen Empfängerdaten, Frachtführer benötigen Sendungsinformationen, Hafenverwaltungen fordern Containerbuchungsdaten mit Personenbezug. Dieser operative Druck verführt dazu, den rechtlichen Rahmen als nachrangig zu behandeln. Datenschutzbehörden akzeptieren diesen Einwand jedoch nicht.
Zweitens bedienen sich Logistiker einer stark arbeitsteiligen IT-Infrastruktur: Transport-Management-Systeme (TMS), Warehouse-Management-Systeme (WMS) und Telematik-Plattformen werden häufig von US-amerikanischen oder asiatischen Softwareanbietern betrieben, deren Serverinfrastruktur außerhalb des EWR angesiedelt ist. Jede Dateneingabe in ein solches System kann damit eine Drittlandübermittlung auslösen, auch wenn dies dem Nutzer nicht unmittelbar bewusst ist.
Drittens setzt die DSGVO ein hohes Maß an Dokumentation voraus: Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) muss die Übermittlung in Drittländer sowie die jeweiligen Transfer-Mechanismen ausweisen. In der Mandatspraxis sehen wir regelmäßig, dass dieses Verzeichnis entweder gar nicht existiert oder zwar formal gepflegt wird, aber Drittlandstransfers schlicht nicht erfasst. Das ist ein eigenständiger Bußgeldtatbestand.
Welche Transfer-Mechanismen die DSGVO für Drittlandübermittlungen bereitstellt
Art. 44 DSGVO formuliert das Grundprinzip: Eine Übermittlung personenbezogener Daten in ein Drittland ist nur zulässig, wenn der Verantwortliche die Bedingungen der Art. 45 bis 49 DSGVO eingehalten hat. Die Hierarchie der Instrumente ist dabei nicht zufällig.
Angemessenheitsbeschluss (Art. 45 DSGVO): Existiert für das Empfängerland ein Beschluss der Europäischen Kommission, der ein angemessenes Schutzniveau attestiert, kann der Transfer ohne weitere Sicherheitsvorkehrungen erfolgen. Seit Juli 2023 gilt dies für die USA im Rahmen des EU-US Data Privacy Framework (DPF) – aber ausschließlich für US-Unternehmen, die sich dort zertifiziert haben. Logistikunternehmen müssen daher für jeden US-Partner individuell prüfen, ob eine gültige DPF-Zertifizierung vorliegt. Für Länder wie China, Indien oder die Türkei existiert derzeit kein umfassender Angemessenheitsbeschluss; hier sind ergänzende Mechanismen zwingend.
Standardvertragsklauseln (SCC, Art. 46 Abs. 2 lit. c DSGVO): Die von der Europäischen Kommission durch Durchführungsbeschluss 2021/914 erlassenen SCC sind in der Praxis das meistgenutzte Instrument. Sie bestehen aus einem modularen System: Modul 1 (Verantwortlicher an Verantwortlichen), Modul 2 (Verantwortlicher an Auftragsverarbeiter), Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) und Modul 4 (Auftragsverarbeiter an Verantwortlichen). Für den typischen Fall, dass ein Logistikunternehmen Daten an einen Dienstleister im Drittland übermittelt, der diese in dessen Auftrag verarbeitet, kommt Modul 2 zur Anwendung. Entscheidend ist, dass die SCC vollständig und unverändert in den Vertrag integriert werden – ergänzende Klauseln sind zulässig, soweit sie den SCC nicht widersprechen.
Transfer Impact Assessment (TIA): Seit dem Schrems-II-Urteil des EuGH (Rechtssache C-311/18) ist klar, dass die bloße Unterzeichnung der SCC nicht ausreicht. Der Verantwortliche muss zusätzlich prüfen, ob das Rechtssystem des Empfängerlandes die SCC-Garantien in der Praxis unterlaufen kann – etwa durch staatliche Zugriffsbefugnisse auf Daten. Diese Risikoprüfung, international als Transfer Impact Assessment bezeichnet, ist zu dokumentieren und muss die eingesetzten Schutzmaßnahmen (technische und organisatorische Maßnahmen, ergänzende Vertragspflichten) abbilden. Fehlt das TIA, sind die SCC allein keine ausreichende Rechtsgrundlage.
Binding Corporate Rules (BCR, Art. 47 DSGVO) und Ausnahmeregelungen (Art. 49 DSGVO): BCR eignen sich für konzerninterne Transfers und erfordern die Genehmigung durch die zuständige Aufsichtsbehörde; sie sind für mittelständische Logistiker selten praktikabel. Die Ausnahmen nach Art. 49 DSGVO – insbesondere für die Vertragserfüllung (Art. 49 Abs. 1 lit. b) und lebenswichtige Interessen – sind eng auszulegen und dürfen nicht als Regelinstrument eingesetzt werden. In der Mandatspraxis sehen wir, dass Unternehmen Art. 49 DSGVO als Auffangtatbestand für dauerhaft betriebene Transferflüsse heranziehen. Das ist fehlerhaft und wird von Datenschutzbehörden nicht anerkannt.
Standardvertragsklauseln korrekt implementieren – worauf Logistiker konkret achten müssen
Die Implementierung der SCC von 2021 stellt höhere Anforderungen als ihre Vorgänger. Wer die alten SCC-Versionen noch in Verträgen mit Drittlandsdienstleistern verwendet, hat diese zwischenzeitlich auf das neue Klauselwerk umstellen müssen – ein Versäumnis, das in der Praxis häufig anzutreffen ist und unmittelbar korrigierbedarf auslöst.
Für die praktische Umsetzung im Logistikbereich sind folgende Aspekte besonders relevant:
- Modulauswahl: Die rollenbasierte Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter muss vor Vertragsabschluss datenschutzrechtlich sauber geklärt sein. Ein TMS-Anbieter, der Fahrerdaten lediglich im Auftrag des Logistikunternehmens verarbeitet, ist Auftragsverarbeiter (Modul 2). Ein ausländischer Subfrachtführer, der Empfängeradressdaten für eigene Zwecke nutzt, ist Verantwortlicher (Modul 1). Die falsche Modulwahl macht den gesamten Transfer rechtswidrig.
- Anlage I (Beschreibung der Übermittlung): Hier sind Datenexporteur, Datenimporteur, Kategorien betroffener Personen, Datenkategorien, Übermittlungszweck und Häufigkeit präzise zu benennen. Generische Beschreibungen wie „Kundendaten" oder „Mitarbeiterdaten" sind unzureichend.
- Anlage II (Technische und organisatorische Maßnahmen): Diese Anlage ist keine Formsache, sondern Substrat des TIA. Sie muss die konkreten Maßnahmen des Importeurs beschreiben, die das Schutzniveau gewährleisten.
- Lokales Recht des Importeurs: Das TIA muss das Recht des Empfängerlandes auf staatliche Zugriffsbefugnisse analysieren. Für US-Anbieter ist nach dem DPF-Beschluss bei zertifizierten Unternehmen ein vereinfachtes TIA möglich; für nicht zertifizierte US-Anbieter bleibt die Vollprüfung erforderlich.
Nach unserer Erfahrung in der Mandatspraxis scheitert die SCC-Implementierung in kleinen und mittleren Logistikbetrieben vor allem an drei Punkten: unvollständigen Anlagen, der Verwendung veralteter Klauselversionen und dem Fehlen jeglicher TIA-Dokumentation. Alle drei Defizite sind bei einer Behördenprüfung sofort erkennbar und werden entsprechend bewertet.
Welche Pflichten treffen den Geschäftsführer persönlich?
Datenschutzkonforme Verarbeitung ist keine Frage der IT-Abteilung allein – sie ist Leitungsaufgabe. Der Geschäftsführer einer GmbH ist nach § 43 Abs. 1 GmbHG zur Führung der Geschäfte mit der Sorgfalt eines ordentlichen Kaufmanns verpflichtet. In der höchstrichterlichen Rechtsprechung ist anerkannt, dass hierzu auch die Einhaltung regulatorischer Anforderungen zählt, zu denen die DSGVO gehört.
Konkret bedeutet das: Wird gegen das Unternehmen ein Bußgeld verhängt, stellt sich regelmäßig die Folgefrage nach der Innenhaftung des Geschäftsführers gegenüber der Gesellschaft. Daneben drohen persönliche Haftungsrisiken, wenn Datenpannen aus rechtswidrigen Drittlandstransfers resultieren und betroffene Personen Schadensersatz nach Art. 82 DSGVO geltend machen.
Besonders relevant ist die Haftungsverteilung in Konzernstrukturen: Logistikgruppen, die eine Mutter-GmbH und operative Tochtergesellschaften unterhalten, müssen die Verantwortlichkeitsstruktur datenschutzrechtlich abbilden. Werden Daten konzernweit in zentrale Systeme zusammengeführt, die außerhalb des EWR betrieben werden, ist zu prüfen, ob gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegt oder ob konzernweite BCR der geeignetere Rahmen sind.
Für den inhabergeführten Mittelstand gilt zusätzlich: Der Gesellschaftergeschäftsführer, der gleichzeitig Mehrheitsgesellschafter ist, kann persönliche Schadensersatzansprüche nicht einfach durch einen Gesellschafterbeschluss abwehren, wenn die Pflichtverletzung evident war. Frühzeitige Dokumentation der ergriffenen Maßnahmen – insbesondere TIA und Vertragsprüfungen – ist der wirksamste Schutz gegen diese Haftungsszenarien.
Ein weiterer Pflichtbaustein: Der Verantwortliche muss nach Art. 30 DSGVO ein Verzeichnis der Verarbeitungstätigkeiten führen, das auch die Drittlandstransfers mit dem jeweiligen Transfer-Mechanismus ausweist. Datenschutzbehörden können dieses Verzeichnis jederzeit anfordern, und sein Fehlen ist selbst bußgeldbewehrt.
Typische Risikoszenarien in der Logistikpraxis – eine Entscheidungsmatrix
Die folgende Übersicht fasst die in der Mandatspraxis häufigsten Drittlandstransfer-Konstellationen der Logistikbranche zusammen und zeigt das jeweils passende Instrument sowie die wesentliche Risikobewertung.
Konstellation 1: US-amerikanischer TMS-Anbieter ohne DPF-Zertifizierung. Instrument: SCC Modul 2 + vollständiges TIA (Vollprüfung FISA Section 702, EO 14086). Frist: Vertragsumstellung ohne Aufschub. Folge bei Nichtbeachtung: rechtswidrige Dauerübermittlung, Bußgeldrisiko nach Art. 83 Abs. 4 und 5 DSGVO.
Konstellation 2: US-amerikanischer Cloud-Anbieter mit gültiger DPF-Zertifizierung. Instrument: Angemessenheitsbeschluss (Art. 45 DSGVO) als primärer Mechanismus; ergänzend AVV nach Art. 28 DSGVO. TIA vereinfacht möglich. Risiko: Politischer Widerruf des DPF-Beschlusses (wie bei Privacy Shield 2020) bleibt ein strukturelles Risiko; parallele SCC als Fallback-Klauseln empfohlen.
Konstellation 3: Zollabwicklung mit Behörden oder Partnern in China. Instrument: SCC Modul 1 (soweit chinesische Empfänger als Verantwortliche agieren) + umfassendes TIA (chinesisches Datensicherheitsgesetz, PIPL). Frist: sofortiger Handlungsbedarf. Ergänzende Maßnahme: Datenminimierung, keine Übermittlung sensibler Datenkategorien ohne zwingenden Grund. Folge: hohes Risikoprofil; behördliche Prüfung wahrscheinlich bei Datenpannen.
Konstellation 4: Subunternehmer-Netzwerk in der Türkei oder Nordafrika. Instrument: SCC Modul 1 oder 2, je nach Rollenverteilung; TIA erforderlich. Besonderheit: Türkei hat eigene DSGVO-ähnliche Gesetzgebung (KVKK), die bei der TIA-Analyse zu berücksichtigen ist. Vertraglich ist die Einhaltung der DSGVO-Anforderungen durch den türkischen Partner ausdrücklich zu vereinbaren.
Konstellation 5: Konzerninterner Transfer zu Muttergesellschaft in Singapur oder Japan. Japan: Angemessenheitsbeschluss existiert (Art. 45 DSGVO). Singapur: kein Angemessenheitsbeschluss; SCC + TIA + ggf. BCR-Prüfung. Instrument für Konzernstrukturen: BCR als mittelfristige Lösung erwägen, wenn Transfervolumen und Unternehmensstruktur dies rechtfertigen.
Was Datenschutzbehörden bei Prüfungen von Logistikunternehmen tatsächlich verlangen
Datenschutzbehörden haben in den vergangenen Jahren ihre Prüfungstiefe bei Drittlandstransfers spürbar erhöht. Nach unserer Erfahrung fokussieren sich Behördenprüfungen in der Logistik auf vier Schwerpunkte.
Erstens: Vollständigkeit und Aktualität des Verarbeitungsverzeichnisses. Behörden prüfen, ob sämtliche Transferflüsse erfasst sind, ob die genannten Mechanismen noch aktuell sind und ob die Anlagen der SCC tatsächlich ausgefüllt wurden. Ein Verzeichnis, das SCC als Mechanismus nennt, aber keine Vertragsexemplare vorlegen kann, ist wertlos.
Zweitens: Vorhandensein und Substanz der TIA-Dokumentation. Pauschale Feststellungen wie „Das Recht des Empfängerlandes gewährleistet ausreichenden Schutz" genügen nicht. Die Behörde erwartet eine nachvollziehbare Analyse des konkreten Rechtsrahmens im Drittland, der eingesetzten technischen Schutzmaßnahmen (insbesondere Verschlüsselung) und einer Abwägung des verbleibenden Restrisikos.
Drittens: Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Drittlandstransfers sind häufig mit einer Auftragsverarbeitung verbunden; ein fehlender oder inhaltlich unzureichender AVV ist ein eigenständiger Verstoß, der neben den SCC-Mängeln geahndet werden kann.
Viertens: Reaktionsfähigkeit bei Datenpannen. Datenschutzverletzungen sind binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden (Art. 33 DSGVO). Logistikunternehmen mit Drittlandstransfers müssen sicherstellen, dass sie von einem Sicherheitsvorfall beim ausländischen Dienstleister innerhalb dieser Frist erfahren. Das setzt vertragliche Meldepflichten des Importeurs voraus, die in den SCC-Anlagen oder im AVV zu verankern sind.
Aus der Mandatspraxis: Die Kanzlei begleitete einen mittelständischen Kontraktlogistiker aus dem Rhein-Main-Gebiet, der ein US-amerikanisches WMS-System für seine Lagerprozesse nutzte. Nach einem Datenschutzaudit stellte sich heraus, dass der Dienstleister zwar DPF-zertifiziert war, die Zertifizierung jedoch nur Teile der Verarbeitungstätigkeit abdeckte; für die Nutzung von Subdienstleistern des WMS-Anbieters außerhalb der USA fehlten SCC vollständig. Ausgangslage: kein TIA, kein AVV für Subdienstleister, Verarbeitungsverzeichnis ohne Drittlandseintrag. Vorgehen: vollständige Transfermapping-Übung, Neuverhandlung der Dienstleisterverträge, Erstellung eines modularen TIA-Dokuments und Aktualisierung des Verarbeitungsverzeichnisses. Ergebnis: Die Dokumentationslage wurde auf einen behördenprüffähigen Stand gebracht; eine drohende Beschwerde eines Arbeitnehmervertreters konnte durch die vorgelegten Unterlagen entkräftet werden.
Wie mittelständische Logistiker ihre Transfercompliance strukturiert aufbauen
Der Aufbau einer tragfähigen Transfercompliance ist kein Einmalprojekt, sondern ein kontinuierlicher Prozess. In der Beratungspraxis haben sich folgende Phasen bewährt.
Phase 1 – Transfers identifizieren (Transfer Mapping): Schritt eins ist eine systematische Bestandsaufnahme aller Datenflüsse in Drittländer. Grundlage ist das Verarbeitungsverzeichnis, das durch eine IT-Asset-Inventur und eine Lieferantenanalyse zu ergänzen ist. Erfahrungsgemäß werden bei dieser Übung regelmäßig Transfers sichtbar, die weder der Geschäftsführung noch dem Datenschutzbeauftragten bewusst waren – insbesondere bei cloudbasierten Kommunikationsdiensten, Telematikplattformen und HR-Softwarelösungen.
Phase 2 – Mechanismen zuordnen: Für jeden identifizierten Transferfluss ist der anwendbare Mechanismus zu bestimmen. Reihenfolge: Angemessenheitsbeschluss prüfen → DPF-Zertifizierung prüfen (für USA) → SCC zuordnen (richtige Modulwahl) → Ausnahmeregelungen nur als ultima ratio. Das Ergebnis ist in einer Transfermatrix zu dokumentieren.
Phase 3 – TIA erstellen: Für jeden Transfer ohne Angemessenheitsbeschluss ist ein TIA zu erstellen und zu dokumentieren. Das TIA muss das Rechtssystem des Empfängerlandes analysieren, staatliche Zugriffsbefugnisse bewerten und die eingesetzten Schutzmaßnahmen abbilden. Pauschaldokumente genügen nicht; das TIA muss auf den konkreten Dienstleister und das konkrete Empfängerland zugeschnitten sein.
Phase 4 – Verträge schließen und aktualisieren: SCC (Version 2021), AVV nach Art. 28 DSGVO und vertragliche Meldepflichten des Importeurs bei Datenpannen müssen mit jedem relevanten Dienstleister abgeschlossen und archiviert werden. Bestehende Altverträge sind zu prüfen und ggf. zu novellieren.
Phase 5 – Monitoring und Aktualisierung: Angemessenheitsbeschlüsse können widerrufen werden (vgl. Privacy Shield 2020). DPF-Zertifizierungen laufen aus. Neue Dienstleister kommen hinzu. Eine jährliche Überprüfung der Transfermatrix sowie eine unverzügliche Reaktion bei Statusänderungen sind zwingend. Hierzu empfiehlt sich ein automatisierter Überwachungsprozess, der Zertifizierungsstatus und Rechtsänderungen im Empfängerland laufend verfolgt.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Sachverhalt erfordert die Prüfung Ihrer bestehenden Verträge, Ihrer IT-Infrastruktur und der einschlägigen Rechtsprechung der zuständigen Datenschutzbehörde. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Branchenspezifische Besonderheiten: Telematik, Subunternehmerketten und E-Commerce-Fulfillment
Drei Bereiche verdienen gesonderte Aufmerksamkeit, weil sie in der Logistik besondere Datentransferdynamiken erzeugen.
Telematik und Fahrzeugdaten: Moderne Telematiklösungen erheben kontinuierlich Fahrzeug- und Fahrerdaten – Standort, Geschwindigkeit, Lenk- und Ruhezeiten, Kraftstoffverbrauch. Werden diese Daten an einen Telematikanbieter übermittelt, dessen Rechenzentrum außerhalb des EWR liegt, ist das ein Drittlandstransfer mit Personenbezug, der den vollen DSGVO-Anforderungen unterliegt. Besonderheit: Lenk- und Ruhezeiten-Daten können unter besonderen Kategorien im Sinne des Art. 9 DSGVO fallen, wenn sie gesundheitliche Rückschlüsse ermöglichen – ein häufig übersehenes Risiko.
Subunternehmerketten: Viele mittelständische Spediteure vergeben Aufträge in mehrstufigen Subunternehmerketten, in denen ausführende Frachtführer in Nicht-EWR-Ländern tätig sind. Jede Weitergabe von Auftrags- und Empfängerdaten an diese Subunternehmer ist auf ihre datenschutzrechtliche Grundlage zu prüfen. Vertragsklauseln, die den Subunternehmer zur Einhaltung der DSGVO-Anforderungen verpflichten und SCC zwischen Hauptfrachtführer und Subfrachtführer verankern, sind hier der Mindeststandard.
E-Commerce-Fulfillment: Logistikdienstleister, die Fulfillment-Services für E-Commerce-Händler erbringen, verarbeiten typischerweise Endkundendaten (Name, Adresse, E-Mail, Bestelldetails) im Auftrag des Händlers. Wird ein Teil dieser Verarbeitung an ein Warenlager außerhalb des EWR ausgelagert, sind sowohl der AVV zwischen Händler und Logistiker als auch die Weitergabe an den Sub-Auftragsverarbeiter datenschutzrechtlich zu strukturieren. Die Einbindung von Sub-Auftragsverarbeitern nach Art. 28 Abs. 2 und 4 DSGVO setzt die vorherige schriftliche Genehmigung des Händlers (als Verantwortlichem) voraus – ein Punkt, der in Fulfillment-AGB regelmäßig übersehen wird.
Was diese drei Bereiche verbindet: Der Verantwortliche kann die datenschutzrechtliche Verantwortung nicht auf seine Dienstleister abwälzen. Datenschutzbehörden nehmen den Verantwortlichen in die Pflicht, und dieser muss nachweisen, dass er die Einhaltung durch seine Partner vertraglich gesichert und überwacht hat.
Verwandte Leistungen
Häufig gestellte Fragen: Internationale Datentransfers in der Logistik
Was sind Standardvertragsklauseln (SCC) und wann müssen Logistikunternehmen sie einsetzen?
Standardvertragsklauseln (SCC) sind von der Europäischen Kommission vorformulierte Vertragsklauseln, die nach Art. 46 Abs. 2 lit. c DSGVO eine geeignete Garantie für Datentransfers in Länder ohne Angemessenheitsbeschluss darstellen. Logistikunternehmen müssen sie einsetzen, sobald personenbezogene Daten – Empfängeradressen, Fahrerdaten, Sendungsdetails – an Dienstleister oder Partner außerhalb des EWR übermittelt werden, für deren Land kein Angemessenheitsbeschluss der Kommission besteht. Die SCC von 2021 sind modular aufgebaut; die Wahl des richtigen Moduls hängt von den datenschutzrechtlichen Rollen der übertragenden und empfangenden Stelle ab.
Was ist ein Transfer Impact Assessment (TIA) und ist es rechtlich verpflichtend?
Ein Transfer Impact Assessment (TIA) ist eine Risikoprüfung, die bewertet, ob das Recht und die Praxis im Empfängerland die durch SCC gewährten Garantien in der Praxis unterlaufen können – etwa durch staatliche Überwachungsgesetze. Der EuGH hat in der Schrems-II-Entscheidung klargestellt, dass Unternehmen diese Prüfung durchführen und dokumentieren müssen, bevor sie sich auf SCC stützen. Das TIA ist damit keine freiwillige Best Practice, sondern eine rechtliche Pflicht. Datenschutzbehörden verlangen bei Prüfungen regelmäßig die TIA-Dokumentation.
Reicht es aus, wenn mein US-amerikanischer Softwareanbieter DPF-zertifiziert ist?
Eine gültige Zertifizierung nach dem EU-US Data Privacy Framework (DPF) ermöglicht den Transfer personenbezogener Daten in die USA auf Basis des Angemessenheitsbeschlusses der Kommission von 2023 – ohne separate SCC. Allerdings müssen Sie prüfen, ob die Zertifizierung tatsächlich gültig und für die konkrete Verarbeitungstätigkeit einschlägig ist, und ob der Anbieter auch Sub-Dienstleister außerhalb der USA einsetzt, die ihrerseits nicht DPF-zertifiziert sind. Außerdem bleibt das strukturelle Risiko eines erneuten Widerrufs des Beschlusses; viele Berater empfehlen daher parallele SCC als Fallback.
Welche Bußgelder drohen bei rechtswidrigen Drittlandstransfers?
Verstöße gegen das Drittlandstransferregime der DSGVO (Art. 44 ff.) werden nach Art. 83 Abs. 5 lit. c DSGVO mit Bußgeldern von bis zu 20 Millionen Euro oder bis zu 4 Prozent des gesamten weltweiten Jahresumsatzes des Unternehmens geahndet, je nachdem, welcher Betrag höher ist. Hinzu kommen zivilrechtliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO sowie behördliche Anordnungen zur Aussetzung der Verarbeitungstätigkeit, die den Geschäftsbetrieb direkt beeinträchtigen können.
Muss auch die Weitergabe von Daten an ausländische Zollbehörden datenschutzrechtlich abgesichert werden?
Übermittlungen an Behörden in Drittländern können unter die Ausnahmen des Art. 49 DSGVO fallen – insbesondere dann, wenn die Übermittlung zur Erfüllung einer rechtlichen Verpflichtung oder zur Erfüllung eines Vertrags mit der betroffenen Person erforderlich ist. Diese Ausnahmen sind jedoch eng auszulegen und auf das notwendige Mindestmaß zu beschränken. Für regelmäßig stattfindende, vorhersehbare Behördenübermittlungen empfiehlt sich die vorherige anwaltliche Prüfung, welcher Mechanismus einschlägig ist und ob Datenminimierung die Transfermenge reduzieren kann.
Was passiert, wenn wir eine Datenpanne beim ausländischen Dienstleister nicht rechtzeitig erfahren?
Die DSGVO verpflichtet den Verantwortlichen, Datenschutzverletzungen binnen 72 Stunden der Aufsichtsbehörde zu melden (Art. 33 DSGVO). Erfährt das Logistikunternehmen von einer Datenpanne beim Drittlandsdienstleister erst nach Ablauf dieser Frist, weil keine vertragliche Meldepflicht des Importeurs vereinbart war, besteht ein eigenständiger Verstoß. Vertragsklauseln, die den ausländischen Dienstleister zur unverzüglichen Benachrichtigung verpflichten, sind daher keine Formalität, sondern operative Notwendigkeit.
Die vorstehende Darstellung betrifft die typischen Transferkonstellationen der Logistikbranche. Ihr konkreter Fall erfordert die Prüfung Ihrer vertraglichen Vereinbarungen, Ihrer IT-Infrastruktur und der Beschlüsse Ihrer zuständigen Aufsichtsbehörde. Für eine erste Durchsicht Ihrer Unterlagen und eine Einschätzung Ihrer Transfercompliance wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.