MünchenBerlinMo–Fr 08:30–18:30
DE / EN
Wirtschaftskanzlei
für den Mittelstand
StartseiteInsightsGewerblicher Rechtsschutz, IT-Recht & Datenschutz
Gewerblicher Rechtsschutz, IT & Datenschutz · Rechtsgebiet 5

Internationale Datentransfers rechtssicher gestalten – Logistik: Rechtslage und Optionen

Internationale Datentransfers rechtssicher gestalten: Rechtslage, Fristen und anwaltliche Begleitung für den Mittelstand – BRANDT & FALK, München & Berlin.

Ein Logistikdienstleister mit Lagerbetrieben in Polen, einem Transportunternehmen in der Türkei und einer Tracking-Software, deren Server in den USA stehen: In diesem Szenario fließen täglich personenbezogene Daten über Unternehmensgrenzen und Staatengrenzen hinweg – Fahrerdaten, Empfängeradressen, Geotracks. Welche dieser Transfers sind datenschutzrechtlich zulässig? Und was droht, wenn ein Transfer nicht abgesichert ist?

Internationale Datentransfers im Sinne der Datenschutz-Grundverordnung (DSGVO) sind rechtssicher zu gestalten, wenn für jede Übermittlung in ein Drittland – also außerhalb des Europäischen Wirtschaftsraums (EWR) – eine geeignete Rechtsgrundlage vorliegt. Die zentralen Instrumente sind Angemessenheitsbeschlüsse der EU-Kommission, Standardvertragsklauseln (SCC) sowie Binding Corporate Rules (BCR). Fehlt ein solches Instrument, drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.

Dieser Beitrag analysiert die aktuelle Rechtslage, erläutert die praxisrelevanten Transfermechanismen für Logistikunternehmen und zeigt, welche Handlungsschritte Geschäftsführer jetzt einleiten sollten.

Was sind internationale Datentransfers und warum betreffen sie jedes Logistikunternehmen?

Jede Übermittlung personenbezogener Daten an einen Empfänger außerhalb des EWR ist ein internationaler Datentransfer im Sinne des Kapitels V DSGVO. Das gilt auch dann, wenn lediglich ein Fernzugriff auf die Daten ermöglicht wird – etwa wenn ein IT-Dienstleister aus Indien auf ein deutsches CRM-System zugreift, um Wartungsarbeiten durchzuführen. Der Begriff ist weit zu verstehen.

In der Mandatspraxis sehen wir, dass Logistikunternehmen häufig unterschätzen, wie viele ihrer Datenflüsse tatsächlich grenzüberschreitend sind. Tracking-Software amerikanischer Anbieter, Fuhrparkmanagement über cloudbasierte Plattformen australischer Herkunft, oder Zollabwicklungssysteme mit Serverstandorten in der Schweiz: All das begründet Transfersachverhalte, die einer Rechtsgrundlage bedürfen. Die Schweiz genießt zwar einen Angemessenheitsbeschluss, die USA hingegen nur im Rahmen des EU-U.S. Data Privacy Framework (DPF) – und die Türkei verfügt bislang über keinen solchen Beschluss.

Für Geschäftsführer ist entscheidend: Die Verantwortung liegt beim Datenexporteur, also bei Ihrem Unternehmen. Können Sie im Falle einer Prüfung durch eine Datenschutzbehörde keinen geeigneten Transfermechanismus nachweisen, beginnt das Bußgeldverfahren.

Welche Transfermechanismen stehen Logistikunternehmen zur Verfügung?

Das Kapitel V DSGVO sieht eine Hierarchie von Rechtsgrundlagen vor. An der Spitze stehen Angemessenheitsbeschlüsse, darunter folgen geeignete Garantien wie Standardvertragsklauseln, und am Ende stehen Ausnahmen für besondere Situationen. Für den Alltag der Logistikbranche sind drei Instrumente besonders relevant.

Angemessenheitsbeschlüsse der EU-Kommission (Art. 45 DSGVO) erklären das Datenschutzniveau eines Drittlandes für gleichwertig mit dem europäischen Standard. Derzeit existieren solche Beschlüsse unter anderem für die Schweiz, das Vereinigte Königreich, Japan, Kanada (teilweise) und – seit Juli 2023 – für die USA im Rahmen des EU-U.S. Data Privacy Framework. Wichtig: Der DPF-Beschluss gilt nur für US-Unternehmen, die sich im DPF-Register zertifiziert haben. Vor jedem Transfer in die USA muss die aktuelle Zertifizierung des Empfängers im DPF-Verzeichnis geprüft werden. Liegen keine aktuellen Zertifizierungen vor, greifen die Angemessenheitsbeschlüsse nicht.

Standardvertragsklauseln (SCC, Art. 46 Abs. 2 lit. c DSGVO) sind die in der Logistikpraxis am häufigsten eingesetzte Lösung. Die EU-Kommission hat im Juni 2021 neue SCC veröffentlicht, die vier Transferkonstellationen abdecken: Verantwortlicher an Verantwortlichen (C2C), Verantwortlicher an Auftragsverarbeiter (C2P), Auftragsverarbeiter an Auftragsverarbeiter (P2P) sowie Auftragsverarbeiter an Verantwortlichen (P2C). Entscheidend ist, dass die richtigen Klauselmodule gewählt und das Transfer Impact Assessment (TIA) dokumentiert werden. Ohne ein TIA sind die SCC formal zwar geschlossen, aber material unvollständig – und damit angreifbar.

Binding Corporate Rules (BCR, Art. 47 DSGVO) sind verbindliche unternehmensinterne Datenschutzregeln, die von einer federführenden Aufsichtsbehörde genehmigt werden müssen. BCR sind sinnvoll für Unternehmensgruppen mit regelmäßigen konzerninternen Transfers in viele Drittländer. Der Genehmigungsprozess ist aufwändig und dauert typischerweise mehrere Jahre. Für mittelständische Logistiker mit überschaubarer Konzernstruktur sind BCR selten der erste Ansatz.

Das Transfer Impact Assessment: Pflichtübung für jeden SCC-gestützten Transfer

Nach dem Schrems-II-Urteil des EuGH (Juli 2020) und der nachfolgenden Guidance des Europäischen Datenschutzausschusses (EDSA) reicht der bloße Abschluss von SCC nicht aus. Jeder Datenexporteur muss zusätzlich bewerten, ob das Datenschutzniveau im Empfängerland im konkreten Transfer tatsächlich dem europäischen Standard entspricht. Dieses Transfer Impact Assessment (TIA) ist kein Ermessen – es ist Pflicht.

Ein TIA umfasst im Kern drei Analyseebenen: Erstens die rechtliche Lage im Drittland, insbesondere staatliche Zugriffsrechte auf Daten (zum Beispiel nach dem US CLOUD Act oder dem chinesischen Cybersicherheitsgesetz). Zweitens die Wahrscheinlichkeit, dass diese Zugriffsrechte im konkreten Fall zur Anwendung kommen – abhängig von der Art der transferierten Daten und dem Profil des Empfängers. Drittens technische und organisatorische Schutzmaßnahmen (supplementary measures), die das Risiko eines unzulässigen Zugriffs auf ein akzeptables Niveau reduzieren.

In der Mandatspraxis beraten wir regelmäßig Logistikunternehmen, die ein TIA erstmals für ihren US-amerikanischen Tracking-Softwareanbieter erstellen müssen. Dabei zeigt sich: Die Kombination aus Pseudonymisierung der Fahrerdaten vor der Übertragung, vertraglicher Zusicherung des Empfängers zu Zugriffsbenachrichtigungen und einem geographisch beschränkten Subunternehmer-Einsatz kann das Risiko erheblich reduzieren – ohne den operativen Betrieb zu behindern.

Nach unserer Erfahrung unterschätzen Unternehmen regelmäßig den Dokumentationsaufwand. Das TIA muss schriftlich vorliegen, aktuell gehalten und im Falle einer behördlichen Prüfung vorgelegt werden können. Datenschutzbehörden fordern das TIA bei jeder ernsthaften Prüfung eines Drittlandtransfers an.

Besondere Risikolage für Logistikunternehmen: Auftragsverarbeiter, Frachtführer und Telematiksysteme

Logistikunternehmen befinden sich in einer datenschutzrechtlich besonders exponierten Stellung, weil sie typischerweise sowohl Verantwortliche als auch Auftragsverarbeiter sind – je nachdem, wessen Daten sie verarbeiten und in wessen Auftrag. Ein Paketdienstleister, der Empfängerdaten seines Auftraggeber-Händlers verarbeitet, handelt als Auftragsverarbeiter. Verarbeitet dasselbe Unternehmen die Daten seiner eigenen Fahrer, ist es Verantwortlicher. Diese Doppelrolle hat weitreichende Konsequenzen für die Gestaltung von Transfermechanismen.

Telematiksysteme – GPS-Tracker, digitale Tachographen, Fahrerassistenzsysteme – erzeugen kontinuierlich personenbezogene Daten. Werden diese Daten in die Cloud eines nicht-europäischen Anbieters übertragen, liegt ein internationaler Datentransfer vor. Viele Telematikanbieter haben ihren Serverstandort in den USA. Ist der Anbieter im DPF zertifiziert, ist der Transfer grundsätzlich abgesichert – die Zertifizierung muss jedoch regelmäßig überprüft werden. Ist er nicht zertifiziert, müssen SCC abgeschlossen und ein TIA erstellt werden.

Hinzu kommen Zollabwicklungsplattformen, die Daten mit Behörden in Drittländern austauschen. Hier greift Art. 49 Abs. 1 lit. d DSGVO als Ausnahmetatbestand: Transfers, die zur Erfüllung eines Vertrags mit der betroffenen Person erforderlich sind, sind zulässig. Diese Ausnahme ist jedoch eng auszulegen und deckt nur den konkret notwendigen Datentransfer ab – sie ist kein Freibrief für umfassende Datenweitergaben an ausländische Partner.

Mikro-Fall: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Speditionsunternehmen aus dem Raum Stuttgart. Ausgangslage: Das Unternehmen nutzte ein US-amerikanisches Transport-Management-System (TMS), das Fahrerdaten, Lieferadressen und Gewichtsangaben in US-amerikanische Rechenzentren übertrug. Der Anbieter war nicht im DPF-Register eingetragen, SCC waren nicht geschlossen, ein TIA existierte nicht. Nach einem Hinweis eines Betriebsratsmitglieds stand eine behördliche Prüfung im Raum. Vorgehen: Die Kanzlei erstellte zunächst eine vollständige Transferkartierung, identifizierte drei weitere problematische Transfers (ein indischer IT-Dienstleister, eine türkische Subfrachtführer-Plattform), führte die SCC-Verhandlungen mit allen Anbietern und erstellte die TIAs. Ergebnis: Der Sachverhalt wurde gegenüber der Aufsichtsbehörde vollständig dokumentiert dargelegt; das Verfahren wurde ohne Bußgeldbescheid abgeschlossen.

Welche Folgen drohen bei ungesicherten Transfers?

Das Bußgeldregime der DSGVO ist in Kapitel V-Verstöße eindeutig eingestuft: Ein Transfer ohne geeignete Rechtsgrundlage ist ein schwerwiegender Verstoß. Art. 83 Abs. 5 DSGVO sieht für solche Verstöße Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Für einen Logistiker mit einem weltweiten Umsatz von 200 Mio. € wären das bis zu 8 Mio. €.

Neben Bußgeldern drohen Untersagungsverfügungen. Eine Datenschutzbehörde kann den Transfer nach Art. 58 Abs. 2 lit. j DSGVO vorübergehend oder dauerhaft untersagen. Das ist für ein Logistikunternehmen, das operative Prozesse auf einen bestimmten TMS-Anbieter ausgerichtet hat, ein erhebliches Betriebsrisiko. In der Praxis haben Datenschutzbehörden – insbesondere die österreichische, die luxemburgische und die irische Behörde – bereits mehrfach Transfer-Untersagungen ausgesprochen.

Auch zivilrechtliche Haftungsrisiken sind zu berücksichtigen. Betroffene Personen – also Fahrer, Empfänger, Kunden – haben nach Art. 82 DSGVO einen Schadensersatzanspruch, wenn ihnen durch einen DSGVO-Verstoß ein materieller oder immaterieller Schaden entstanden ist. Die Rechtsprechung des EuGH hat in den vergangenen Jahren die Anforderungen an den Nachweis eines immateriellen Schadens erheblich herabgesenkt.

Fragt man, welche Behörden im Logistikbereich besonders aktiv sind: Die deutschen Datenschutzaufsichtsbehörden – insbesondere die Bayerische Staatsregierung für den nicht-öffentlichen Bereich sowie der Hamburgische Beauftragte für Datenschutz – überprüfen Drittlandtransfers im Rahmen regulärer Prüfzyklen und anlassbezogen bei Beschwerden. Unternehmen aus der Logistikbranche gehören aufgrund ihrer intensiven Datenverarbeitung und ihrer internationalen Vernetzung zu einer Kategorie, die erfahrungsgemäß häufiger im Fokus behördlicher Prüfungen steht.

Schritt-für-Schritt: Wie Geschäftsführer jetzt handeln sollten

Die Absicherung internationaler Datentransfers folgt einer klaren Abfolge. Sie beginnt nicht bei den Verträgen, sondern bei der Bestandsaufnahme.

Der erste Schritt ist die Transferkartierung: Welche personenbezogenen Daten fließen in welche Drittländer? An wen (welcher Empfänger, welche Rechtsform, welches Land)? In welcher Rolle – als Verantwortlicher oder Auftragsverarbeiter? Diese Kartierung sollte im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) verankert sein, ist dort aber häufig unvollständig. In der Praxis beginnt eine seriöse Bestandsaufnahme mit einer Befragung der IT-Abteilung, der Einkaufsabteilung (welche Softwareanbieter werden genutzt?) und der Logistikoperationen (welche Subfrachtführer, welche Zolldienstleister?).

Im zweiten Schritt wird für jeden identifizierten Transfer die passende Rechtsgrundlage zugeordnet. Liegt ein aktueller Angemessenheitsbeschluss vor? Ist der Empfänger im DPF zertifiziert? Falls nicht: Welches SCC-Modul ist anwendbar? Liegen die SCC bereits in der aktuellen Fassung von 2021 vor – oder werden noch veraltete Klauseln verwendet?

Im dritten Schritt erfolgt die TIA-Erstellung für alle SCC-gestützten Transfers. Das TIA ist kein Formular, das man einmalig ausfüllt und ablegt. Es ist ein lebendiges Dokument, das bei wesentlichen Änderungen – neues Datenschutzgesetz im Empfängerland, neue Erkenntnisse über staatliche Zugriffspraktiken, Änderung der übertragenen Datenkategorien – aktualisiert werden muss.

Im vierten Schritt werden die Verträge mit den Anbietern angepasst. Auftragsverarbeitungsverträge nach Art. 28 DSGVO und SCC müssen zusammengeführt und im Hinblick auf Sub-Auftragsverarbeiter-Regelungen abgestimmt sein. Gerade bei großen SaaS-Anbietern bieten diese Verträge häufig wenig Verhandlungsspielraum – dennoch müssen die ergänzenden Schutzmaßnahmen dokumentiert sein.

Im fünften und letzten Schritt etabliert das Unternehmen einen Review-Zyklus. Transfermechanismen können wegfallen – wie man am Schrems-II-Urteil gesehen hat, das das Privacy-Shield-Abkommen über Nacht für ungültig erklärte. Eine jährliche Überprüfung aller Transfergrundlagen ist nach unserer Einschätzung das Minimum für ein Logistikunternehmen mit regelmäßigen Drittlandtransfers.

Kann der Auftragsverarbeitungsvertrag (AVV) den Transfer allein absichern?

Nein – das ist ein verbreitetes Missverständnis. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter innerhalb des EWR. Er ist keine Rechtsgrundlage für einen Transfer in ein Drittland. Für Drittlandtransfers braucht es – zusätzlich zum AVV – einen der in Kapitel V genannten Mechanismen: Angemessenheitsbeschluss, SCC, BCR oder Ausnahmetatbestand.

In der Praxis werden AVV und SCC häufig kombiniert, weil viele Drittlandsdienstleister gleichzeitig Auftragsverarbeiter sind. Die EU-Kommission hat die neuen SCC 2021 so gestaltet, dass sie mit dem AVV kompatibel sind und diesen in Teilen sogar ersetzen können. Eine vollständige Prüfung, ob AVV und SCC im konkreten Vertragsverhältnis konsistent sind, ist dennoch erforderlich – insbesondere im Hinblick auf Sub-Auftragsverarbeiterklauseln und Haftungsregelungen.

Die vorstehende Darstellung betrifft die Regelfälle internationaler Datentransfers in der Logistikbranche. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Transfersachverhalte, der eingesetzten Softwaresysteme und der vorliegenden Vertragsunterlagen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.

Sonderfall EU-U.S. Data Privacy Framework: Wie stabil ist diese Grundlage?

Das EU-U.S. Data Privacy Framework (DPF), das im Juli 2023 durch den Angemessenheitsbeschluss der EU-Kommission in Kraft trat, ist die aktuelle Grundlage für Datentransfers in die USA an zertifizierte Empfänger. Es ersetzt das durch den EuGH 2020 zu Fall gebrachte Privacy Shield.

Rechtspolitisch ist der DPF-Beschluss nicht unumstritten. Max Schrems und die Organisation noyb haben angekündigt, den Beschluss anzugreifen; Klagen sind bereits beim EuGH eingereicht. Eine Entscheidung wird für die kommenden Jahre erwartet. Für Logistikunternehmen bedeutet das: Der DPF ist aktuell eine solide, aber keine auf Dauer gesicherte Grundlage. Ein kluges Risikomanagement hält die SCC-Alternative in Reserve und stellt sicher, dass die nötigen Vertragsgrundlagen im Falle eines erneuten Beschluss-Wegfalls rasch aktiviert werden können.

Nach unserer Erfahrung reagieren Unternehmen, die bereits funktionierende SCC und TIA-Dokumentationen für ihre US-Transfers vorhalten, in einem solchen Szenario erheblich schneller und mit deutlich geringerem Risiko. Die Doppelabsicherung – DPF als primäre Grundlage, SCC als Fallback – ist eine in der Praxis bewährte Strategie.

Sanktionspraxis der Datenschutzbehörden: Was zeigt die Erfahrung aus Prüfverfahren?

Die Datenschutzbehörden der EU-Mitgliedstaaten haben ihre Prüftätigkeit im Bereich Kapitel V DSGVO in den letzten Jahren erheblich intensiviert. Neben Einzelfallprüfungen auf Grundlage von Beschwerden führen mehrere Behörden koordinierte Prüfschwerpunkte durch, bei denen bestimmte Branchen oder Verarbeitungskategorien gezielt untersucht werden.

Für Logistikunternehmen besonders relevant ist die Praxis der deutschen Aufsichtsbehörden bei Prüfungen von Telematiksystemen und cloudbasierten TMS-Lösungen. In diesen Verfahren werden regelmäßig die folgenden Unterlagen angefordert: das Verzeichnis der Verarbeitungstätigkeiten (insbesondere der Abschnitt zu Drittlandtransfers), die geschlossenen SCC im Originaltext, das TIA sowie die sub-Auftragsverarbeiter-Dokumentation des Anbieters. Unternehmen, die diese Unterlagen vollständig und aktuell vorlegen können, haben nach unserer Erfahrung deutlich günstigere Verfahrensverläufe.

Fristgebundene Pflichten bestehen auch im Kontext von Datenpannen: Eine Verletzung des Schutzes personenbezogener Daten ist binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden (Art. 33 DSGVO). Bei einem internationalen Datentransfer kann eine unzureichend abgesicherte Datenübermittlung selbst als Teil des meldepflichtigen Sachverhalts gewertet werden. Die fehlende Transferrechtsgrundlage wird dann nicht nur als eigenständiger Verstoß geahndet, sondern verschärft die Bewertung des Datenpannen-Vorfalls.

Auskunftsersuchen nach Art. 15 DSGVO müssen grundsätzlich binnen eines Monats beantwortet werden – und betreffen auch Daten, die ins Ausland übertragen wurden. Kann das Unternehmen nicht vollständig Auskunft erteilen, weil die Transferkartierung lückenhaft ist, entsteht ein weiteres Compliance-Risiko.

Verwandte Leistungen

Häufige Fragen zu internationalen Datentransfers in der Logistik

Was ist ein internationaler Datentransfer im Sinne der DSGVO?

Ein internationaler Datentransfer liegt vor, wenn personenbezogene Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt oder diesem zugänglich gemacht werden. Das umfasst auch Fernzugriffe auf in der EU gespeicherte Daten durch Personen oder Systeme außerhalb des EWR. In der Logistikbranche betrifft das typischerweise Tracking-Software, Transport-Management-Systeme und Subfrachtführer-Plattformen mit nicht-europäischen Serverstandorten.

Reichen Standardvertragsklauseln (SCC) allein als Absicherung aus?

Nein. Seit dem Schrems-II-Urteil des EuGH (Juli 2020) müssen SCC durch ein Transfer Impact Assessment (TIA) ergänzt werden. Das TIA bewertet, ob das Datenschutzniveau im Empfängerland dem europäischen Standard entspricht, und dokumentiert gegebenenfalls ergänzende Schutzmaßnahmen. Ohne ein TIA sind SCC formal zwar geschlossen, aber material unvollständig und bei behördlicher Prüfung angreifbar.

Welche Daten in der Logistik unterliegen den Drittlandtransfer-Regeln?

Alle personenbezogenen Daten, also alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. In der Logistik zählen dazu Fahrerdaten (Name, Führerscheinnummer, Arbeitszeitdaten, Geotracking), Empfängeradressen, Kundendaten und Transportpersonaldaten. Reine Frachtdaten ohne Personenbezug sind keine personenbezogenen Daten – die Abgrenzung ist im Einzelfall zu prüfen.

Was ist das EU-U.S. Data Privacy Framework und für wen gilt es?

Das EU-U.S. Data Privacy Framework (DPF) ist seit Juli 2023 der geltende Angemessenheitsbeschluss der EU-Kommission für Datentransfers in die USA. Er gilt ausschließlich für US-amerikanische Unternehmen, die sich freiwillig im DPF-Register des US-Handelsministeriums zertifiziert haben. Vor jedem Transfer muss die aktuelle Zertifizierung des Empfängers im DPF-Verzeichnis geprüft werden. Nicht zertifizierte US-Empfänger benötigen SCC und ein TIA.

Was passiert, wenn ein internationaler Datentransfer nicht abgesichert ist?

Es drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 5 DSGVO, Anordnungen zur Aussetzung des Transfers sowie zivilrechtliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO. Datenschutzbehörden können den Transfer auch dauerhaft untersagen, was operative Risiken für Logistikprozesse erzeugt, die auf nicht-europäische Systeme angewiesen sind.

Muss für jeden Subfrachtführer ein eigener Transfermechanismus eingerichtet werden?

Ja, wenn der Subfrachtführer personenbezogene Daten erhält und sich außerhalb des EWR befindet. Für jeden Empfänger muss eine eigene Rechtsgrundlage vorliegen. In der Praxis erfolgt dies oft über eine Kette von SCC (Auftragsverarbeiter-zu-Auftragsverarbeiter-Modul), wenn der Subfrachtführer seinerseits als Auftragsverarbeiter tätig ist. Die Verantwortung für die Vollständigkeit der Transferkette liegt beim Hauptauftragnehmer.

Wie häufig muss das Transfer Impact Assessment aktualisiert werden?

Das TIA ist kein statisches Dokument. Es muss bei wesentlichen Änderungen aktualisiert werden: bei Änderungen der Rechtslage im Empfängerland, bei neuen Erkenntnissen über staatliche Zugriffspraktiken, bei Änderungen der übertragenen Datenkategorien oder beim Wechsel des Empfängers. Eine routinemäßige Überprüfung mindestens einmal jährlich ist für Logistiker mit regelmäßigen Drittlandtransfers nach unserer Einschätzung das fachlich gebotene Minimum.

Über BRANDT & FALK Rechtsanwälte

BRANDT & FALK Rechtsanwälte ist eine unabhängige Wirtschaftskanzlei mit Sitz in München und Berlin. Die Kanzlei berät den deutschen Mittelstand bundesweit in allen Fragen des Datenschutzrechts, der IT-rechtlichen Vertragsgestaltung und des gewerblichen Rechtsschutzes – von der DSGVO-Compliance über internationale Datentransfers bis zur Vertretung in Verfahren vor Datenschutzaufsichtsbehörden. Bei grenzüberschreitenden Sachverhalten arbeiten wir mit qualifizierten Berufsträgern in der jeweiligen Jurisdiktion zusammen. Unsere Mandanten schätzen die Verbindung aus rechtlicher Tiefe und praxisorientierter Lösungsorientierung. Kontakt: info@brandtfalk.com.

Verfasst von Dr. Philipp Sander · fachlich geprüft von Stephan Köhler

Die vorstehende Darstellung betrifft die Regelfälle und typischen Konstellationen des Drittlandtransfers im Logistikumfeld. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragsunterlagen, der eingesetzten Systeme und der aktuellen behördlichen Praxis. Zur Klärung, wie die dargestellten Transfermechanismen auf Ihr Unternehmen wirken, wenden Sie sich an info@brandtfalk.com.

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.

Sprechen wir über Ihren Fall

Für eine erste Einschätzung schreiben Sie an info@brandtfalk.com.

Fall schildern

Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.