Ein mittelständisches Unternehmen aus dem Maschinenbau überträgt Kundendaten an einen US-amerikanischen CRM-Anbieter – alltäglich, praktisch, und doch ein erhebliches rechtliches Risiko, wenn die Übertragung nicht korrekt abgesichert ist. Seit dem EuGH-Urteil Schrems II und der Einführung des EU-US Data Privacy Framework ist die Rechtslage bei internationalen Datentransfers vielschichtiger geworden, nicht einfacher. Datenschutzbehörden in Deutschland und Europa haben in der Vergangenheit signifikante Bußgelder verhängt und Datenübermittlungen untersagt – mit unmittelbaren Folgen für den Geschäftsbetrieb.
Internationale Datentransfers in Drittstaaten außerhalb des Europäischen Wirtschaftsraums (EWR) sind nach der DSGVO nur zulässig, wenn ein angemessenes Schutzniveau sichergestellt ist. Die wichtigsten Instrumente sind Angemessenheitsbeschlüsse der EU-Kommission, Standardvertragsklauseln (SCC) sowie verbindliche unternehmensinterne Datenschutzvorschriften (Binding Corporate Rules). Bei Verstößen drohen nach Art. 83 DSGVO Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes.
Dieser Beitrag analysiert die aktuelle Rechtslage, stellt die verfügbaren Transfermechanismen vergleichend gegenüber, zeigt typische Fallstricke im Mittelstand auf und gibt konkrete Handlungsempfehlungen für Geschäftsführer.
Rechtsrahmen: Wann ist ein internationaler Datentransfer überhaupt erlaubnispflichtig?
Jede Übermittlung personenbezogener Daten in einen Drittstaat – das heißt: in jeden Staat außerhalb des EWR – löst die Anforderungen des Kapitels V DSGVO (Art. 44 ff.) aus. Das gilt unabhängig davon, ob die Übermittlung an einen Konzernpartner, einen externen Auftragsverarbeiter oder einen eigenständigen Empfänger erfolgt. Entscheidend ist allein der Umstand, dass der Empfänger in einem Drittstaat ansässig ist oder dort auf die Daten zugreift.
In der Mandatspraxis sehen wir regelmäßig, dass Unternehmen die Reichweite des Transferverbots unterschätzen. Auch der bloße Remote-Zugriff eines IT-Dienstleisters in Indien auf Server in Frankfurt konstituiert eine Drittstaatenübermittlung im Sinne des Art. 44 DSGVO – eine Einschätzung, die von deutschen Datenschutzbehörden in Prüfungsverfahren konsequent vertreten wird. Die Grundregel lautet: Ohne Erlaubnisgrundlage nach Art. 45–49 DSGVO ist die Übermittlung unzulässig – und zwar unabhängig davon, ob die Daten im EWR gespeichert bleiben.
Welche Unternehmen sind besonders exponiert? Betroffen sind typischerweise Mittelständler, die Cloud-Dienste US-amerikanischer Anbieter nutzen, die globale Personalverwaltung über ein Konzernsystem abwickeln oder deren Kunden-Support von Teams in Asien oder Amerika erbracht wird. Die Prüfung beginnt daher stets mit einer Datenflussanalyse: Wo gehen welche personenbezogenen Daten hin?
Angemessenheitsbeschlüsse: Welche Drittstaaten gelten als sicher?
Der einfachste Weg, einen internationalen Datentransfer zu rechtfertigen, ist die Übermittlung in einen Staat, für den die EU-Kommission einen Angemessenheitsbeschluss nach Art. 45 DSGVO erlassen hat. Ein solcher Beschluss stellt fest, dass das Schutzniveau im Empfängerland dem der DSGVO im Wesentlichen entspricht – mit der Folge, dass die Übermittlung wie eine innereuropäische behandelt wird und keiner zusätzlichen Absicherung bedarf.
Aktuell bestehen Angemessenheitsbeschlüsse unter anderem für das Vereinigte Königreich, die Schweiz, Japan, Südkorea und Neuseeland. Für die USA gilt seit Juli 2023 das EU-US Data Privacy Framework (DPF) als Angemessenheitsbeschluss – allerdings nur für zertifizierte US-Unternehmen, die sich freiwillig beim US-Handelsministerium registriert haben. Ob ein US-amerikanischer Anbieter zertifiziert ist, muss das übermittelnde Unternehmen vorab prüfen; die Überprüfung ist über die offizielle DPF-Liste des US-Handelsministeriums möglich.
Nach unserer Erfahrung besteht hier ein verbreitetes Missverständnis: Der DPF-Beschluss gilt nicht pauschal für alle US-Unternehmen. Wer Daten an einen nicht-zertifizierten US-Anbieter überträgt, muss weiterhin auf Standardvertragsklauseln oder andere Mechanismen zurückgreifen. Zudem bleibt die politische Risikodimension bestehen: Der Vorgänger-Beschluss Privacy Shield wurde 2020 durch den EuGH für nichtig erklärt; ob der DPF-Beschluss dauerhaft Bestand haben wird, ist in der Fachwelt umstritten.
Standardvertragsklauseln (SCC): Das Arbeitspferd des internationalen Datentransfers
Standardvertragsklauseln (Standard Contractual Clauses, SCC) sind von der EU-Kommission im Juni 2021 neu gefasste Mustervertragsklauseln, die Datenexporteur und Datenimporteur vertraglich verpflichten, ein der DSGVO vergleichbares Schutzniveau einzuhalten. Sie stellen nach wie vor das praktisch bedeutsamste Transferinstrument im Mittelstand dar – und zwar nicht nur im Verhältnis zu US-Anbietern, sondern für nahezu alle Drittstaaten ohne Angemessenheitsbeschluss.
Die neuen SCC umfassen vier Module, die je nach Rollenverteilung der Parteien einschlägig sind:
- Modul 1: Verantwortlicher → Verantwortlicher (Controller to Controller)
- Modul 2: Verantwortlicher → Auftragsverarbeiter (Controller to Processor) – häufigste Konstellation bei Cloud-Diensten
- Modul 3: Auftragsverarbeiter → Auftragsverarbeiter (Processor to Processor)
- Modul 4: Auftragsverarbeiter → Verantwortlicher (Processor to Controller)
Die SCC sind nicht frei verhandelbar – ihre Kernklauseln dürfen nicht abgeändert werden. Zulässig ist lediglich die Ergänzung um unternehmensspezifische Regelungen, soweit diese dem Schutzniveau nicht widersprechen. Ein verbreiteter Fehler in der Praxis: Unternehmen unterschreiben SCC-Verträge, ohne die konkreten Datenkategorien, die Verarbeitungszwecke und die technischen Sicherheitsmaßnahmen im Annex vollständig auszufüllen. Diese Lücke kann im Prüfungsverfahren einer Datenschutzbehörde zum Problem werden.
Entscheidend ist darüber hinaus das sogenannte Transfer Impact Assessment (TIA) – eine Risikoabschätzung, ob das Recht des Empfängerlandes die in den SCC zugesicherten Rechte effektiv beeinträchtigt. Diese Anforderung hat der EuGH in Schrems II explizit aufgestellt. Das TIA muss dokumentiert werden; es genügt nicht, SCC lediglich formal zu unterzeichnen.
Was ist ein Transfer Impact Assessment – und muss jedes Unternehmen eines erstellen?
Das Transfer Impact Assessment (TIA) ist eine strukturierte Bewertung der rechtlichen und tatsächlichen Verhältnisse im Empfängerland, die der Datenexporteur vor dem Einsatz von SCC oder anderen Garantien durchführen muss. Es geht um die Frage: Kann der Datenimporteur die in den SCC versprochenen Schutzversprechen angesichts des lokalen Rechts tatsächlich einhalten – oder hebeln staatliche Zugriffsmöglichkeiten (wie Geheimdienste, Strafverfolgungsbehörden) den Schutz faktisch aus?
Nach unserer Erfahrung bereitet das TIA vielen mittelständischen Unternehmen erhebliche praktische Schwierigkeiten – nicht weil es juristisch unlösbar wäre, sondern weil die Dokumentationsanforderungen unterschätzt werden. Das TIA muss mindestens folgende Elemente enthalten:
- Identifikation der übertragenen Datenkategorien und Empfänger im Drittland
- Analyse des einschlägigen Rechts des Empfängerlandes (Datenschutzrecht, Überwachungsgesetze, staatliche Zugriffsbefugnisse)
- Bewertung, ob ergänzende technische oder organisatorische Maßnahmen (TOMs) erforderlich sind
- Dokumentation des Ergebnisses und der Entscheidungsgrundlage
Nicht jedes TIA muss neu erstellt werden: Für weit verbreitete Zielländer wie die USA gibt es mittlerweile standardisierte Bewertungsrahmen, auf die Unternehmen zurückgreifen können – vorausgesetzt, sie sind auf den konkreten Anbieter und dessen Verarbeitungstätigkeit angepasst. Für Länder wie China, Russland oder Indien erfordert das TIA regelmäßig eine individuelle Analyse, die über eine reine Formularausfüllung hinausgeht.
Datenschutzbehörden in Deutschland – insbesondere die Bayerische Landesbeauftragte für den Datenschutz sowie die Berliner Beauftragte für Datenschutz und Informationsfreiheit – haben in der Vergangenheit bei Prüfungen die Vorlage von TIAs verlangt. Das Fehlen eines TIAs bei gleichzeitig bestehender Drittstaatenübermittlung gilt als eigenständiger Verstoß gegen Art. 44 ff. DSGVO.
Binding Corporate Rules und andere Garantien: Wann kommen sie in Betracht?
Neben SCC und Angemessenheitsbeschlüssen kennt die DSGVO weitere Transfermechanismen, die für bestimmte Unternehmenskonstellationen relevant sein können.
Binding Corporate Rules (BCR) – verbindliche unternehmensinterne Datenschutzvorschriften – sind das Instrument der Wahl für internationale Konzerne, die Daten konzernweit zwischen verschiedenen Konzerngesellschaften übertragen. BCR werden von einer federführenden Datenschutzbehörde genehmigt und binden alle beteiligten Konzerngesellschaften rechtsverbindlich. Der Vorteil: einmal genehmigt, erlauben BCR konzerninterne Datentransfers in beliebige Drittstaaten, ohne dass für jede Übermittlung gesonderte SCC abgeschlossen werden müssen. Der Nachteil: Das Genehmigungsverfahren ist aufwändig und dauert regelmäßig mehrere Jahre.
Für inhabergeführte Mittelständler ohne Konzernstruktur sind BCR praktisch kaum relevant. Relevanter sind in diesem Umfeld folgende ergänzende Instrumente:
- Verhaltensregeln (Codes of Conduct) nach Art. 40 DSGVO in Verbindung mit verbindlichen Verpflichtungserklärungen des Importeurs – für bestimmte Branchen zunehmend bedeutsam
- Zertifizierungen nach Art. 42 DSGVO – in der Praxis bisher wenig verbreitet, da geeignete Zertifizierungsmechanismen für Drittstaatentransfers noch nicht flächendeckend verfügbar sind
- Ausnahmen nach Art. 49 DSGVO – zum Beispiel ausdrückliche Einwilligung der betroffenen Person, Vertragserfüllung oder Geltendmachung rechtlicher Ansprüche. Diese Ausnahmen sind eng auszulegen und dürfen nach herrschender Auffassung nicht als Regelinstrument für wiederkehrende Massenübermittlungen genutzt werden.
In der Mandatspraxis sehen wir gelegentlich den Versuch, Art. 49 DSGVO als „Notausgang" für systematische Transfers zu verwenden, die eigentlich über SCC abgesichert werden müssten. Datenschutzbehörden begegnen dieser Praxis mit zunehmendem Misstrauen; das Risiko einer Beanstandung ist erheblich.
Typische Fallstricke im Mittelstand: Wo scheitern Transferabsicherungen in der Praxis?
Die häufigsten Fehler bei der Absicherung internationaler Datentransfers betreffen nicht die grundsätzliche Wahl des Instruments, sondern die Umsetzung im Detail. Aus unserer Beratungspraxis lassen sich fünf wiederkehrende Problemfelder identifizieren.
Erstens: Keine oder unvollständige Datenflussanalyse. Wer nicht weiß, welche Daten sein Unternehmen in welche Länder überträgt, kann keine rechtskonformen Transfermechanismen einrichten. Die Datenflussanalyse ist der notwendige erste Schritt – und sie ist regelmäßig zu aktualisieren, weil sich Dienstleisterverträge und IT-Infrastruktur ändern.
Zweitens: Veraltete oder falsch modulierte SCC. Die bis 2021 gültigen „alten" SCC haben ihre Rechtsgültigkeit verloren; Unternehmen, die noch immer mit diesen Klauseln arbeiten, bewegen sich auf rechtlich unsicherem Terrain. Ebenso führt die falsche Modulwahl – etwa Modul 1 statt Modul 2 bei einem Auftragsverarbeitungsverhältnis – zu einem rechtlichen Defizit.
Drittens: Fehlendes oder nicht dokumentiertes TIA. Wie vorstehend ausgeführt, ist das TIA nicht optional, sondern Pflichtbestandteil der Transferabsicherung bei SCC-gestützten Übermittlungen.
Viertens: Keine Abstimmung zwischen AVV und SCC. Bei Auftragsverarbeitungskonstellationen mit Drittstaatenbezug müssen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO und SCC aufeinander abgestimmt sein. Widersprüche oder Überschneidungen zwischen beiden Vertragswerken sind ein klassisches Problem.
Fünftens: Mangelnde Aktualisierung bei Dienstleisterwechsel oder Änderung der Verarbeitungstätigkeit. Ein einmal abgeschlossener SCC-Vertrag deckt nur die zum Zeitpunkt des Abschlusses vereinbarten Verarbeitungstätigkeiten ab. Wesentliche Änderungen – etwa die Einbindung neuer Sub-Auftragsverarbeiter in Drittstaaten – erfordern eine Überprüfung und Anpassung der Transferabsicherung.
Aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen mit rund 80 Mitarbeitern aus der IT-Dienstleistungsbranche. Ausgangslage: Das Unternehmen nutzte für seine Kundensupport-Plattform einen US-amerikanischen SaaS-Anbieter, der nicht nach dem EU-US Data Privacy Framework zertifiziert war. Zudem griff ein Sub-Auftragsverarbeiter des Anbieters in Indien auf Supporttickets mit personenbezogenen Daten der Kunden zu. Weder SCC noch ein TIA lagen vor; der Geschäftsführer war davon ausgegangen, dass die Absicherung durch den Anbieter selbst erfolge. Vorgehen: Die Kanzlei führte zunächst eine Datenflussanalyse durch, identifizierte alle betroffenen Datenströme und erstellte ein TIA für die USA- und Indien-Transfers. Anschließend wurden modulgerechte SCC (Modul 2 für den US-Anbieter, Modul 3 für den Sub-Auftragsverarbeiter) vorbereitet und mit dem Anbieter verhandelt. Ergebnis: Die Transferkette wurde vollständig abgesichert; gleichzeitig wurde der AVV überarbeitet, um beide Dokumente aufeinander abzustimmen. Das Unternehmen ist nun in der Lage, bei einer behördlichen Prüfung die vollständige Transferdokumentation vorzulegen.
Bußgeldrisiken und behördliche Prüfungen: Was droht bei Verstößen?
Verstöße gegen die Anforderungen des Kapitels V DSGVO können nach Art. 83 Abs. 5 DSGVO mit Bußgeldern von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Diese Schwelle gilt für die schwersten Verstöße, zu denen auch unzulässige Drittstaatenübermittlungen zählen.
Europäische Datenschutzbehörden haben diesen Bußgeldrahmen in den vergangenen Jahren konsequent ausgeschöpft. Neben unmittelbaren Geldbußen können Behörden nach Art. 58 Abs. 2 DSGVO auch Übermittlungen untersagen – mit der Folge, dass zentrale Geschäftsprozesse, die auf entsprechenden Datenströmen beruhen, kurzfristig eingestellt werden müssen. Für Unternehmen, deren operative IT-Infrastruktur auf US-amerikanischen Cloud-Diensten basiert, kann ein behördliches Übermittlungsverbot existenzielle Konsequenzen haben.
Wie hoch ist das Entdeckungsrisiko? Es hat in den vergangenen Jahren deutlich zugenommen. Datenschutzbehörden führen zunehmend proaktive Prüfungen durch – ausgelöst nicht nur durch Beschwerden Betroffener, sondern auch durch Meldungen von Mitbewerbern, ehemaligen Mitarbeitern oder infolge medialer Berichterstattung. Auch die Meldung einer Datenpanne nach Art. 33 DSGVO kann eine behördliche Nachfrage zu den Transfermechanismen auslösen. Geschäftsführer, die persönlich für die DSGVO-Compliance ihres Unternehmens verantwortlich sind, sollten die Risikoexposition aktiv managen und nicht auf eine reaktive Herangehensweise vertrauen.
Entscheidungsrahmen: Welcher Transfermechanismus passt zu welcher Konstellation?
Nicht jede Drittstaatenübermittlung erfordert denselben Mechanismus. Die Wahl des richtigen Instruments hängt von mehreren Faktoren ab: dem Empfängerland, der Rollenverteilung zwischen den Parteien, dem Volumen und der Sensibilität der übertragenen Daten sowie der Dauer und Regelmäßigkeit der Übermittlung.
Eine praxisorientierte Übersicht nach Konstellationen:
Konstellation A – Übermittlung an zertifizierten US-Anbieter (DPF): Zunächst DPF-Zertifizierung des Empfängers auf der offiziellen Liste des US-Handelsministeriums prüfen. Liegt Zertifizierung vor, ist kein zusätzlicher Mechanismus erforderlich; regelmäßige Überprüfung der Zertifizierung empfohlen. Liegt keine Zertifizierung vor, Rückfall auf SCC (Modul 2 bei AVV-Konstellation) mit TIA.
Konstellation B – Übermittlung an Dienstleister in Indien, Vietnam oder Südostasien: Kein Angemessenheitsbeschluss. SCC (Modul 2 oder 3 je nach Rolle) erforderlich, ergänzt durch TIA mit Analyse der lokalen Überwachungsgesetze. Abhängig vom Ergebnis des TIA ggf. ergänzende technische Maßnahmen (Verschlüsselung, Pseudonymisierung).
Konstellation C – Konzerninterner Datentransfer in mehrere Drittstaaten: Für wiederkehrende, systematische Transfers mittelfristig BCR erwägen; kurzfristig SCC als Übergangslösung. Abstimmung zwischen AVV, SCC und konzerninternen Datenschutzrichtlinien sicherstellen.
Konstellation D – Einmalige oder seltene Übermittlung zur Vertragserfüllung: Ausnahme nach Art. 49 Abs. 1 lit. b DSGVO grundsätzlich anwendbar – jedoch nur für die konkret zur Vertragserfüllung notwendigen Daten und nur, soweit keine systematische Wiederholung vorgesehen ist. Dokumentation der Ausnahme und der Verhältnismäßigkeitsprüfung erforderlich.
Handlungsempfehlungen für Geschäftsführer: Sieben Schritte zur rechtskonformen Transferstruktur
Was sollten Geschäftsführer im Mittelstand jetzt konkret tun? Die folgende Schritt-für-Schritt-Systematik orientiert sich an den Anforderungen, die Datenschutzbehörden im Rahmen von Prüfungen typischerweise anlegen.
- Datenflussanalyse durchführen – systematisch erfassen, welche personenbezogenen Daten das Unternehmen in Drittstaaten überträgt, an welche Empfänger, in welchem Umfang und zu welchem Zweck. Das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) ist hierfür der Ausgangspunkt.
- Empfängerländer klassifizieren – für jedes Empfängerland prüfen, ob ein Angemessenheitsbeschluss besteht (USA: nur für DPF-zertifizierte Unternehmen). Länder ohne Angemessenheitsbeschluss erfordern zwingend einen alternativen Mechanismus.
- Korrekten SCC-Mechanismus auswählen – Modulwahl auf Basis der tatsächlichen Rollenverteilung (Verantwortlicher vs. Auftragsverarbeiter) bestimmen; alte SCC-Versionen prüfen und ggf. ersetzen.
- Transfer Impact Assessment erstellen und dokumentieren – für jedes relevante Empfängerland ein strukturiertes TIA anfertigen; Ergebnisse und Entscheidungsgrundlage schriftlich festhalten.
- Ergänzende technische Maßnahmen implementieren – abhängig vom TIA-Ergebnis: Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen. Bei hohem Risiko (z. B. ausgeprägte Überwachungsgesetzgebung im Empfängerland) sind solche Maßnahmen häufig unverzichtbar.
- AVV und SCC aufeinander abstimmen – sicherstellen, dass Auftragsverarbeitungsvertrag und Standardvertragsklauseln inhaltlich konsistent sind und Sub-Auftragsverarbeiter in Drittstaaten erfasst werden.
- Regelmäßige Überprüfung einplanen – Transferabsicherungen sind keine einmalige Maßnahme. Dienstleisterwechsel, Produktänderungen oder neue Subunternehmer im Drittland erfordern eine zeitnahe Aktualisierung.
Können diese Schritte intern geleistet werden? In Teilen – ja. Die rechtliche Bewertung des TIA, die Modulwahl sowie die Abstimmung mit dem AVV erfordern jedoch juristischen Sachverstand; Fehler an diesen Stellen sind bei behördlichen Prüfungen besonders auffällig.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers
Was sind Standardvertragsklauseln (SCC) und wann sind sie einzusetzen?
Standardvertragsklauseln (SCC) sind von der EU-Kommission verabschiedete Mustervertragsklauseln, die Datenexporteur und Datenimporteur verpflichten, ein der DSGVO entsprechendes Schutzniveau sicherzustellen. Sie kommen immer dann zum Einsatz, wenn personenbezogene Daten in einen Drittstaat übermittelt werden sollen und für diesen Staat kein Angemessenheitsbeschluss besteht – etwa für die USA (soweit kein DPF-zertifizierter Empfänger), Indien oder China. Die Wahl des richtigen Moduls hängt von der Rollenverteilung der Parteien ab.
Gilt das EU-US Data Privacy Framework für alle US-amerikanischen Anbieter?
Nein. Das EU-US Data Privacy Framework (DPF) gilt nur für US-Unternehmen, die sich freiwillig beim US-Handelsministerium zertifiziert und damit bestimmte Datenschutzverpflichtungen übernommen haben. Die Zertifizierung ist auf der offiziellen DPF-Liste überprüfbar. Nicht-zertifizierte US-Anbieter können sich nicht auf den DPF-Angemessenheitsbeschluss berufen; Übermittlungen an sie müssen weiterhin über SCC oder andere Mechanismen abgesichert werden.
Was ist ein Transfer Impact Assessment (TIA) und ist es wirklich Pflicht?
Ein Transfer Impact Assessment ist eine dokumentierte Risikoabschätzung, ob das Recht des Empfängerlandes die in den SCC zugesicherten Schutzversprechen effektiv aushöhlt. Der EuGH hat in der Entscheidung Schrems II klargestellt, dass Datenexporteure diese Prüfung vor dem Einsatz von SCC durchführen müssen. Das TIA ist keine optionale Empfehlung, sondern ein Pflichtbestandteil der Transferabsicherung. Datenschutzbehörden verlangen bei Prüfungen regelmäßig dessen Vorlage.
Welche Bußgelder drohen bei unzulässigen internationalen Datentransfers?
Verstöße gegen die Anforderungen des Kapitels V DSGVO können nach Art. 83 Abs. 5 DSGVO mit Bußgeldern von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Darüber hinaus können Datenschutzbehörden Übermittlungen untersagen, was bei betriebsnotwendigen IT-Diensten unmittelbare operative Auswirkungen haben kann.
Können Ausnahmen nach Art. 49 DSGVO als Standardinstrument genutzt werden?
Nein. Die Ausnahmetatbestände des Art. 49 DSGVO – etwa Einwilligung oder Vertragserfüllung – sind eng auszulegen und für nicht-wiederholte, gelegentliche Übermittlungen konzipiert. Sie dürfen nicht als Ersatz für fehlende SCC oder einen Angemessenheitsbeschluss bei systematischen, regelmäßigen Transfers eingesetzt werden. Datenschutzbehörden beanstanden diese Praxis mit zunehmender Konsequenz.
Müssen auch kleine mittelständische Unternehmen Transfermechanismen einrichten?
Ja, uneingeschränkt. Die DSGVO kennt bei den Anforderungen des Kapitels V keine Ausnahmen für kleine oder mittlere Unternehmen. Bereits die Nutzung eines nicht nach DPF zertifizierten US-amerikanischen E-Mail-Marketing-Dienstleisters oder eines Videokonferenztools mit Datenspeicherung in den USA kann eine Drittstaatenübermittlung begründen, die der Absicherung bedarf. Die Pflichten gelten unabhängig von der Unternehmensgröße.
Die vorstehende Darstellung betrifft die Regelfälle des internationalen Datentransfers nach aktuellem Stand der DSGVO und der einschlägigen Aufsichtspraxis. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Dienstleisterverträge, der genutzten IT-Infrastruktur sowie der einschlägigen Behördenpraxis in Ihrem Bundesland. Für eine erste Durchsicht Ihrer Unterlagen – bestehende SCC, AVV und Datenflussanalyse – erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.