Ein mittelständisches Technologieunternehmen nutzt einen US-amerikanischen Cloud-Anbieter für die Verarbeitung von Kundendaten, ein Maschinenbauer übermittelt Beschäftigtendaten an seine indische Muttergesellschaft, ein Handelsunternehmen setzt ein südkoreanisches CRM-System ein: In allen drei Konstellationen liegt ein internationaler Datentransfer vor, der nach der Datenschutz-Grundverordnung (DSGVO) einer eigenständigen Rechtsgrundlage bedarf – unabhängig davon, wie selbstverständlich die jeweilige Nutzung im Betriebsalltag erscheint.
Internationale Datentransfers in Drittländer außerhalb des Europäischen Wirtschaftsraums (EWR) sind nach der DSGVO nur zulässig, wenn ein Angemessenheitsbeschluss der EU-Kommission besteht oder geeignete Garantien – in der Praxis vor allem die sogenannten Standardvertragsklauseln (Standard Contractual Clauses, SCC) – vereinbart und um ein Transfer Impact Assessment (TIA) ergänzt werden. Fehlt diese Absicherung, drohen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes sowie persönliche Haftungsrisiken für Geschäftsführer. Dieser Beitrag analysiert die aktuelle Rechtslage, die zentralen Instrumente und die Handlungsschritte, die Unternehmen des deutschen Mittelstands jetzt umsetzen müssen.
Im Folgenden werden die Rechtsgrundlagen des Drittlandtransfers, die verfügbaren Instrumente, die Sonderstellung der USA nach dem EU-US Data Privacy Framework, die Anforderungen an verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR) sowie die aufsichtsbehördliche Praxis in Deutschland dargestellt und in eine praxistaugliche Handlungsempfehlung überführt.
Warum der Drittlandtransfer besonderer Aufmerksamkeit bedarf
Das Drittlandtransfer-Regime der DSGVO beruht auf einem strukturellen Gedanken: Das Schutzniveau für personenbezogene Daten von EU-Bürgern soll nicht dadurch abgesenkt werden, dass die Verarbeitung in ein Land verlagert wird, dessen Rechtsordnung keinen gleichwertigen Schutz bietet. Kapitel V der DSGVO (Art. 44 ff.) normiert daher ein abgestuftes System von Übermittlungsvoraussetzungen.
In der Mandatspraxis sehen wir, dass gerade mittelständische Unternehmen den Drittlandbezug ihrer IT-Infrastruktur häufig unterschätzen. Sobald ein Softwareanbieter, ein Auftragsverarbeiter oder ein Konzernunternehmen seinen Sitz außerhalb des EWR hat und personenbezogene Daten verarbeitet, liegt ein Transfer im Sinne des Art. 44 DSGVO vor – unabhängig davon, ob die Server physisch in Europa stehen. Maßgeblich ist die rechtliche Zugriffsmöglichkeit des in einem Drittland ansässigen Unternehmens, wie die europäischen Datenschutzbehörden und zuletzt das Europäische Datenschutzgremium (EDPB) in mehreren Leitlinien klargestellt haben.
Für Geschäftsführer im Mittelstand ergibt sich daraus eine unmittelbare Pflicht zur Bestandsaufnahme: Welche Software-as-a-Service-Lösungen, Cloudanbieter, Konzernstrukturen oder Dienstleister mit Sitz in Drittländern verarbeiten personenbezogene Daten des Unternehmens? Diese Kartierung bildet die Grundlage für jede weitere Compliance-Maßnahme und sollte im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) nachvollziehbar dokumentiert sein.
Welche Rechtsgrundlagen stehen für internationale Datentransfers zur Verfügung?
Die DSGVO unterscheidet drei Stufen der Übermittlungsvoraussetzungen, die in ihrer Rangfolge strikt einzuhalten sind: Angemessenheitsbeschluss (Art. 45), geeignete Garantien (Art. 46) und Ausnahmen für bestimmte Situationen (Art. 49). Ein Transfer darf auf Art. 49 nur gestützt werden, wenn weder ein Angemessenheitsbeschluss noch geeignete Garantien verfügbar oder zumutbar sind; die Ausnahmen sind eng auszulegen.
Angemessenheitsbeschlüsse (Art. 45 DSGVO) hat die EU-Kommission bislang für eine begrenzte Anzahl von Ländern erlassen, darunter die Schweiz, Japan, das Vereinigte Königreich und – seit Juli 2023 – die USA im Rahmen des EU-US Data Privacy Framework. Ein Angemessenheitsbeschluss erlaubt den freien Datentransfer wie innerhalb des EWR, ohne dass es zusätzlicher vertraglicher Garantien bedarf. Allerdings unterliegen diese Beschlüsse der periodischen Überprüfung durch den Europäischen Gerichtshof (EuGH): Die Vorgänger-Konstruktionen Safe Harbor und Privacy Shield wurden jeweils für ungültig erklärt (EuGH Rs. Schrems I und Schrems II). Nach unserer Erfahrung ist es deshalb riskant, die gesamte Transfer-Compliance allein auf einen Angemessenheitsbeschluss zu stützen, ohne Ausweichszenarien auf Basis von Standardvertragsklauseln vorzubereiten.
Geeignete Garantien nach Art. 46 DSGVO umfassen vor allem: Standardvertragsklauseln der EU-Kommission, verbindliche interne Datenschutzvorschriften (BCR), genehmigte Verhaltensregeln (Art. 40 DSGVO) und genehmigte Zertifizierungsmechanismen (Art. 42 DSGVO). In der betrieblichen Praxis des Mittelstands dominieren die Standardvertragsklauseln mit großem Abstand – sie sind unmittelbar anwendbar, erfordern keine behördliche Genehmigung und decken ein weites Spektrum an Übermittlungsszenarien ab.
Standardvertragsklauseln – Aufbau, Pflichtergänzungen und typische Fehler
Die überarbeiteten Standardvertragsklauseln der EU-Kommission vom Juni 2021 (Durchführungsbeschluss 2021/914) sind modular aufgebaut und bilden vier Übermittlungsszenarien ab: Controller-to-Controller (C2C), Controller-to-Processor (C2P), Processor-to-Controller (P2C) und Processor-to-Processor (P2P). Für mittelständische Unternehmen ist die Wahl des richtigen Moduls von entscheidender Bedeutung: Ein Fehler bei der Modulauswahl macht die gesamte Klauselvereinbarung datenschutzrechtlich unwirksam.
Die SCC-Klauseln von 2021 lösen die älteren Klausel-Sets aus den Jahren 2001, 2004 und 2010 ab; Verträge, die noch auf den alten Klauselwerken basieren, waren bis Dezember 2022 umzustellen. Wer diese Umstellung versäumt hat, betreibt gegenwärtig Datentransfers ohne wirksame Rechtsgrundlage. In unserer Beratungspraxis treffen wir diesen Fehler auch Jahre nach der Umstellungsfrist noch an – regelmäßig bei Unternehmen, die den Vertragsabschluss mit ihrem Dienstleister als reine Verwaltungsroutine betrachtet hatten.
Über die reine Klauselvereinbarung hinaus verlangt die SCC-Praxis seit dem Schrems-II-Urteil des EuGH (Juli 2020) die Durchführung eines Transfer Impact Assessment (TIA). Das TIA ist eine dokumentierte Prüfung, ob das Recht und die Praxis im Empfängerland die Wirksamkeit der SCC beeinträchtigen können – etwa durch weitreichende staatliche Zugriffsbefugnisse auf private Daten. Fällt die TIA-Prüfung negativ aus, sind ergänzende technische, vertragliche oder organisatorische Maßnahmen erforderlich, bevor der Transfer erfolgen darf.
Typische technische Schutzmaßnahmen nach EDPB-Empfehlung 01/2020 sind End-to-End-Verschlüsselung, Pseudonymisierung und Datensplitting. Organisatorisch kommen Zugriffskontrollen und vertragliche Benachrichtigungspflichten gegenüber Behörden hinzu. Welche Maßnahmen im Einzelfall ausreichen, hängt vom Sensibilitätsgrad der transferierten Daten und von der konkreten Rechtslage im Empfängerland ab – eine Schablonenantwort gibt es hier nicht.
Das EU-US Data Privacy Framework – Stabilisierung oder erneutes Schrems-III-Risiko?
Mit dem Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework (DPF) hat sich die Rechtslage für Transfers in die USA vorläufig entspannt. US-Unternehmen, die sich unter dem DPF zertifiziert haben, können Daten aus dem EWR ohne zusätzliche Standardvertragsklauseln empfangen. Die US-Seite hat im Gegenzug Reformen der staatlichen Überwachungspraxis zugesagt, namentlich durch die Executive Order 14086 und die Einrichtung eines Data Protection Review Court (DPRC) als Beschwerdeinstanz für europäische Betroffene.
Ob das DPF eine dauerhafte Grundlage bietet oder erneut vor dem EuGH scheitert, ist unter Datenschutzrechtlern umstritten. Der Europäische Datenschutzausschuss hat in seiner Prüfung nach Art. 97 Abs. 3 DSGVO Fortschritte anerkannt, gleichzeitig aber Empfehlungen für weitere Verbesserungen ausgesprochen. Laufende gerichtliche Überprüfungsverfahren – insbesondere durch Max Schrems – machen eine erneute Kassation nicht ausgeschlossen. Für Unternehmen empfehlen wir daher eine Doppelabsicherung: Soweit ein DPF-zertifizierter Anbieter genutzt wird, sollte parallel eine SCC-Vereinbarung vorbereitet oder bereits abgeschlossen sein, die im Falle einer Ungültigerklärung des DPF unmittelbar aktiviert werden kann.
Zu prüfen ist dabei zunächst, ob der konkrete US-Anbieter tatsächlich unter dem DPF zertifiziert ist. Die Zertifizierungsliste wird vom US-Handelsministerium geführt und ist öffentlich einsehbar. Es genügt nicht, dass ein Anbieter erklärt, er sei DPF-konform; die Eintragung in der offiziellen Liste ist maßgeblich. Diese Prüfung ist Teil der Sorgfaltspflicht des verantwortlichen Unternehmens und sollte dokumentiert werden.
Verbindliche interne Datenschutzvorschriften (BCR) – wann lohnt sich der Aufwand?
Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR) gemäß Art. 47 DSGVO ermöglichen konzerninterne Datentransfers in beliebige Drittländer auf einer einheitlichen, behördlich genehmigten Basis. Sie sind das konzeptionell stärkste Instrument des Drittland-Transfers – und zugleich das aufwändigste: Der Genehmigungsprozess bei der federführenden Datenschutzaufsichtsbehörde dauert erfahrungsgemäß ein bis drei Jahre und erfordert einen erheblichen internen Implementierungsaufwand.
Für mittelständische Unternehmensgruppen mit dauerhaft hohem konzerninternem Datentransfervolumen – etwa zwischen einer deutschen Muttergesellschaft und mehreren produzierenden Tochtergesellschaften in Asien oder Amerika – kann der BCR-Weg dennoch wirtschaftlich sinnvoll sein. Der einmalige Genehmigungsaufwand wird durch die dauerhaft vereinfachte Handhabung im laufenden Betrieb amortisiert. Für punktuelle oder marktentwicklungsbedingt wechselnde Transferbeziehungen sind SCC flexibler und vorzugswürdig.
In der Mandatspraxis sehen wir BCR-Vorhaben überwiegend bei Konzernen mit mehr als 500 Mitarbeitern und etablierter Konzernstruktur. Für die meisten mittelständischen Unternehmen bilden SCC kombiniert mit einem sorgfältigen TIA-Prozess das geeignetere Instrumentarium. Eine Vorabprüfung des Transfervolumens und der Transferstruktur ist jedoch Pflicht, bevor die Entscheidung zwischen SCC und BCR getroffen wird.
Welche Bußgelder und Haftungsrisiken drohen Geschäftsführern bei unzulässigen Datentransfers?
Unzulässige internationale Datentransfers fallen in die höchste Bußgeldkategorie der DSGVO. Nach Art. 83 Abs. 5 DSGVO drohen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für mittelständische Unternehmen mit einem Jahresumsatz von 50 bis 200 Millionen Euro kann die umsatzbezogene Schwelle damit deutlich über dem Pauschalbetrag liegen.
Die deutschen Datenschutzaufsichtsbehörden – Landesdatenschutzbehörden sowie der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) – haben internationale Datentransfers in den letzten Jahren systematisch in ihre Prüfprogramme aufgenommen. Insbesondere die Übermittlung von Daten über US-amerikanische Webanalyse-Tools, CRM-Plattformen und Cloud-Dienste stand dabei im Fokus. Einige Behörden haben Verwarnungen und Anordnungen erlassen, die Unternehmen zur sofortigen Einstellung unzulässiger Transfers verpflichteten.
Für Geschäftsführer ergibt sich neben der unternehmensrechtlichen Bußgeldhaftung ein eigenes Haftungsrisiko: Wer als Organmitglied vorsätzlich oder fahrlässig dafür sorgt, dass sein Unternehmen einen DSGVO-Verstoß begeht, kann nach § 130 OWiG für unzureichende Organisations- und Aufsichtspflichten persönlich in Anspruch genommen werden. Darüber hinaus können betroffene Personen Schadensersatzansprüche nach Art. 82 DSGVO geltend machen – ein Risiko, das bei großen Datenmassen an praktischer Relevanz gewinnt.
Welche konkreten Bußgelder in einem Einzelfall drohen, hängt von Schwere und Dauer des Verstoßes, dem Grad der Kooperation mit der Aufsichtsbehörde und den ergriffenen Abhilfemaßnahmen ab. Eine rechtzeitige und dokumentierte Compliance-Initiative kann das Bußgeldrisiko erheblich mindern.
Mikro-Fall aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen aus der IT-Branche mit rund 120 Mitarbeitern. Ausgangslage: Im Rahmen einer routinemäßigen Datenschutzprüfung stellte sich heraus, dass das Unternehmen Kundendaten über eine US-amerikanische Analyseplattform verarbeitete, deren Muttergesellschaft keiner DPF-Zertifizierung unterlag und mit der kein SCC-Vertrag abgeschlossen worden war. Vorgehen: Die Kanzlei begleitete zunächst die Kartierung aller drittlandbezogenen Verarbeitungen, identifizierte drei weitere kritische Dienstleister, koordinierte den Abschluss aktueller SCC-Verträge auf Basis des Moduls C2P und stellte ein dokumentiertes TIA-Paket für alle betroffenen Länder zusammen. Ergebnis: Das Unternehmen konnte gegenüber seiner zuständigen Landesbehörde ein vollständiges Compliance-Paket nachweisen und die Verarbeitungen auf eine tragfähige Rechtsgrundlage stellen – ohne dass es zu einer behördlichen Anordnung kam. Über konkrete Beträge oder Quoten können wir aus berufsrechtlichen Gründen keine Auskunft geben.
Wie ist das Transfer Impact Assessment (TIA) methodisch durchzuführen?
Das Transfer Impact Assessment ist kein einmaliger Formalakt, sondern eine strukturierte Risikoanalyse, die für jedes Empfängerland und jeden Verarbeitungskontext eigenständig durchzuführen und zu dokumentieren ist. Das EDPB hat in seinen Empfehlungen 01/2020 (zuletzt überarbeitet im Jahr 2021) einen sechsstufigen Prozess beschrieben, der als Orientierungsrahmen dient.
Schritt eins ist die Kartierung der Transfers: Welche personenbezogenen Daten werden an wen in welches Land übermittelt? Schritt zwei ist die Identifikation des genutzten Übertragungsinstruments. Schritt drei ist die Analyse des Rechts und der Praxis im Empfängerland – insbesondere staatlicher Zugriffsbefugnisse, vorhandener Rechtsbehelfe und der tatsächlichen Vollzugspraxis. Schritt vier ist die Bewertung, ob das Schutzniveau dem EWR-Niveau gleichwertig ist. Fällt diese Bewertung negativ aus, folgt in Schritt fünf die Identifikation und Implementierung ergänzender Schutzmaßnahmen. Schritt sechs ist die formale Dokumentation und periodische Überprüfung des TIA.
In der Praxis bereitet Schritt drei die größten Schwierigkeiten: Die Analyse des Rechts eines Drittlands erfordert juristische Expertise in der jeweiligen Rechtsordnung. Nach unserer Erfahrung unterschätzen Unternehmen regelmäßig den Aufwand für eine belastbare Länderanalyse. Standardisierte Länderberichte von Datenschutzorganisationen und behördliche Ressourcen können als Ausgangspunkt dienen, ersetzen aber keine individualisierte Prüfung für den konkreten Verarbeitungskontext.
Wer das TIA nicht oder nur formal durchführt, riskiert im Bußgeldverfahren, dass die zugrunde liegende Transferrechtsgrundlage als wirkungslos eingestuft wird – mit der Folge, dass der gesamte Datentransfer als unzulässig gilt. Dieser Befund hat sich in mehreren aufsichtsbehördlichen Prüfungen in Deutschland bestätigt.
Praktische Handlungsempfehlung: Welche Schritte sollten Geschäftsführer jetzt veranlassen?
Die Frage ist nicht, ob ein Unternehmen internationale Datentransfers durchführt – sondern ob diese Transfers auf einer tragfähigen Rechtsgrundlage stehen. Unsere Empfehlung an Geschäftsführer mittelständischer Unternehmen lautet: Starten Sie mit einer vollständigen Inventarisierung aller Dienstleister, Software-Plattformen und Konzerngesellschaften, an die personenbezogene Daten aus Ihrem Unternehmen gelangen, und klären Sie für jeden Empfänger, ob er im EWR, in einem Land mit Angemessenheitsbeschluss oder in einem sonstigen Drittland ansässig ist.
Für jeden identifizierten Drittlandtransfer ist sodann zu prüfen: Besteht ein aktueller Angemessenheitsbeschluss für das Empfängerland? Wenn ja, ist dieser auf seine Stabilität hin zu bewerten (insbesondere USA/DPF). Wenn nein oder ergänzend, sind aktuelle SCC-Verträge auf Basis der 2021er Module abzuschließen und ein TIA durchzuführen und zu dokumentieren.
Folgende Konstellation verdient gesonderte Aufmerksamkeit: Wird ein US-Dienstleister genutzt, der nicht im DPF-Register eingetragen ist, sind SCC des Moduls C2P obligatorisch – ergänzt um ein TIA, das die Auswirkungen des US-Rechts (insbesondere Foreign Intelligence Surveillance Act, Cloud Act) auf die Datensicherheit bewertet. Ist der Dienstleister im DPF-Register eingetragen, können Sie auf die Eintragung und die Beschlussgrundlage verweisen, sollten aber SCC-Verträge als Ausweichinstrument vorbereitet halten.
Für konzerninterne Transfers in nicht-EWR-Länder gilt: Bei dauerhaftem, strukturell hohem Transfervolumen prüfen, ob die Einleitung eines BCR-Genehmigungsverfahrens wirtschaftlich sinnvoll ist. Bei punktuellem Transferbedarf bleibt das SCC-Instrument die Regel. In jedem Fall: Alle Transfers, die Rechtsgrundlage und das TIA im Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 DSGVO dokumentieren und bei Änderungen der Empfängerrechtsordnung oder des Anbieters aktualisieren.
Die vorstehende Darstellung beschreibt die typischen Konstellationen. Ihr konkreter Verarbeitungskontext, die von Ihnen genutzten Dienstleister und die spezifische Rechtsordnung der Empfängerländer erfordern eine individuelle rechtliche Bewertung.
Für eine erste Durchsicht Ihrer bestehenden Datentransfer-Dokumentation und Ihrer Verträge mit Drittlandanbietern erreichen Sie uns unter info@brandtfalk.com. Wir unterstützen Sie bei der Kartierung, der TIA-Erstellung und der Vertragsgestaltung auf Basis der aktuellen DSGVO-Anforderungen.
Verwandte Leistungen
Häufig gestellte Fragen zu internationalen Datentransfers
Was ist ein internationaler Datentransfer nach der DSGVO?
Ein internationaler Datentransfer im Sinne der DSGVO liegt vor, wenn personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt oder dort zugänglich gemacht werden. Maßgeblich ist die rechtliche Zugriffsmöglichkeit eines Drittlandunternehmens, nicht allein der physische Serverstandort. Kapitel V DSGVO (Art. 44 ff.) regelt die Voraussetzungen abschließend. Ein Transfer ohne Rechtsgrundlage stellt einen Datenschutzverstoß dar und kann Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes auslösen.
Welches Instrument ist für mittelständische Unternehmen am geeignetsten?
Für die überwiegende Mehrzahl mittelständischer Unternehmen bilden die Standardvertragsklauseln der EU-Kommission (SCC, Durchführungsbeschluss 2021/914) in Verbindung mit einem Transfer Impact Assessment das praktikabelste Instrument. Sie erfordern keine behördliche Genehmigung, sind modular aufgebaut und decken alle typischen Transferszenarien ab. Verbindliche interne Datenschutzvorschriften (BCR) sind aufgrund des erheblichen Genehmigungsaufwands eher für konzernstrukturierte Unternehmen mit dauerhaft hohem konzerninternem Transfervolumen geeignet.
Ist die Nutzung von US-Cloud-Diensten nach dem EU-US Data Privacy Framework unbedenklich?
Die Nutzung eines US-Cloud-Dienstleisters ist datenschutzrechtlich zulässig, wenn dieser im DPF-Register des US-Handelsministeriums eingetragen ist und Sie die Eintragung dokumentiert haben. Da das DPF jedoch gerichtlichen Überprüfungsverfahren ausgesetzt ist und seine Vorgänger Safe Harbor und Privacy Shield vom EuGH für ungültig erklärt wurden, empfiehlt sich eine Doppelabsicherung durch parallel abgeschlossene SCC-Verträge als Ausweichinstrument. Die eigenständige Prüfung, ob Ihr Anbieter tatsächlich DPF-zertifiziert ist, gehört zur Sorgfaltspflicht Ihres Unternehmens.
Was ist ein Transfer Impact Assessment (TIA) und wer muss es erstellen?
Das Transfer Impact Assessment ist eine dokumentierte Risikoanalyse, die der verantwortliche Datentransfereur – also das übertragende Unternehmen – für jeden Drittlandtransfer durchführen muss, wenn keine ausreichende Grundlage durch einen stabilen Angemessenheitsbeschluss besteht. Das TIA bewertet, ob das Recht und die Praxis im Empfängerland die Wirksamkeit der vereinbarten Übertragungsgarantien (in der Regel SCC) beeinträchtigen. Fällt die Bewertung negativ aus, sind ergänzende Schutzmaßnahmen zu implementieren oder der Transfer zu unterlassen. Das EDPB hat in seinen Empfehlungen 01/2020 einen anerkannten Methodenrahmen veröffentlicht.
Welche Sanktionen drohen bei unzulässigen Datentransfers?
Unzulässige internationale Datentransfers gehören nach Art. 83 Abs. 5 DSGVO zur höchsten Bußgeldkategorie: bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ausfällt. Hinzu können Anordnungen der Datenschutzaufsichtsbehörde kommen, die eine sofortige Einstellung des Transfers verlangen. Für Geschäftsführer besteht darüber hinaus ein persönliches Haftungsrisiko nach § 130 OWiG bei unzureichenden Organisations- und Aufsichtspflichten sowie Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO.
Müssen Transfers in die Schweiz besonders abgesichert werden?
Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission, sodass Datentransfers in die Schweiz grundsätzlich wie Transfers innerhalb des EWR behandelt werden können – ohne zusätzliche Standardvertragsklauseln. Allerdings ist dieser Angemessenheitsbeschluss wie alle anderen periodischen Überprüfungen durch die EU-Kommission ausgesetzt. Zudem ist zu beachten, dass die Schweiz ihrerseits das revidierte schweizerische Datenschutzgesetz (revDSG) anwendet, das für Verarbeitungen durch schweizerische Empfänger eigene Anforderungen stellt.
Die vorstehende Darstellung betrifft die Regelfälle des DSGVO-konformen Drittlandtransfers. Ihr konkreter Fall erfordert die Prüfung Ihrer Dienstleisterverträge, Ihrer Transferstruktur und der einschlägigen Aufsichtsbehörden-Praxis. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.