Datentransfers nach der DSGVO: TIA, SCC, Schrems II und ergänzende Maßnahmen

Die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums gemäß der DSGVO ist kein mechanischer Vertragsprozess, der nur durch Unterzeichnung eines Standardvertragsklauseldokuments (SCC) abgeschlossen wird. Insbesondere müssen der Datenexporteur und der Datenimporteur nach Schrems II die Gesetze und Praktiken des Drittlandes, in dem die Übermittlung im spezifischen Datenfluss stattfinden wird, bewerten.

In der Praxis wird diese Bewertung meist als Transfer Impact Assessment (TIA) oder Data Transfer Impact Assessment bezeichnet.

Was ist TIA?

Eine TIA dokumentiert, ob das gewählte Instrument für die internationale Übermittlung personenbezogener Daten unter den tatsächlichen Bedingungen angemessenen Schutz bietet, und bestimmt bei Bedarf ergänzende Maßnahmen.

Die DSGVO sieht kein eigenes Standardformular namens „TIA“ vor. Die aktuellen SCC der Europäischen Kommission enthalten jedoch Klausel 14, die eine Bewertung der einschlägigen Rechtsvorschriften und Praktiken des Drittlands durch die Parteien verlangt.

Warum ist Schrems II wichtig?

Das Schrems-II-Urteil C-311/18 des Gerichtshofs der Europäischen Union stellte klar, dass Datenexporteure sich nicht allein auf den Wortlaut des Übermittlungsinstruments verlassen können. Auch das im Drittland tatsächlich gewährleistete Schutzniveau ist zu berücksichtigen.

Was verlangt Klausel 14 der SCC?

Nach dem SCC-Abschnitt 14 des Durchführungsbeschlusses 2021/914 der Kommission bewerten die Parteien, dass es keine Gesetze oder Praktiken gibt, die den Datenimporteur des Drittlandes daran hindern, den SCC-Verpflichtungen nachzukommen.

Bei der Bewertung können insbesondere berücksichtigt werden:

Die konkreten Bedingungen der Übertragung,
Länge der Verarbeitungskette,
Datenkategorien,
Art des Empfängers,
Zweck der Verarbeitung,
Lagerort,
Rechtsvorschriften und Praktiken in Drittländern,
Zusätzliche technische, vertragliche und organisatorische Maßnahmen

Diese Faktoren sind im Zusammenhang zu betrachten.

Schritt 1: Datenflüsse kartieren

Die erste Frage ist nicht: "In welchem Land senden wir Daten an?"

Zunächst ist festzustellen:

welche personenbezogenen Daten übermittelt werden,
aus welchem System,
an welchen Empfänger,
zu welchem Zweck,
über welche Unterauftragsverarbeiter.

Diese Einzelheiten müssen bekannt sein.

Schritt 2: Übermittlungsmechanismus bestimmen

Nach Kapitel V der DSGVO kann eine Übermittlung beruhen auf:

einem Angemessenheitsbeschluss,
einem Mechanismus geeigneter Garantien,
SCC,
verbindlichen internen Datenschutzvorschriften,

oder einem anderen im Einzelfall anwendbaren rechtlichen Mechanismus.

Schritt 3: Bewertung des Drittlandsrechts

Wird SCC verwendet, sollte geprüft werden, ob Gesetze und Praktiken in dem Land, in dem sich der Datenimporteur befindet, die Einhaltung vertraglicher Bestimmungen verhindern.

Besonders wichtig sind die Zugriffsrechte öffentlicher Stellen auf personenbezogene Daten und die dagegen bestehenden Garantien.

Schritt 4: Prüfung der konkreten Bedingungen für die Übertragung

Das Risikoprofil jeder Datenübermittlung in dasselbe Land ist nicht dasselbe.

Zum Beispiel:

verschlüsselte Kundensicherung,
Beschäftigtendaten im Klartext,
Kundensupport-Tickets,
an eine KI-API gesendete Prompt-Daten

können unterschiedliche technische und operative Bewertungen erfordern.

Schritt 5: Zusätzliche Maßnahmen

Die Empfehlungen des EDPB 01/2020 sind ein wichtiger Hinweis auf die Bewertung ergänzender Maßnahmen, wenn dies erforderlich ist.

Technische Maßnahmen

Starke Verschlüsselung,
getrennte Steuerung der Schlüssel,
Pseudonymisierung,
Daten-Minimierung.

Vertragliche Maßnahmen

Mitteilung von Ersuchen der Behörde,
Transparenzverpflichtungen,
Kontrolle der Unterauftragsverarbeiter.

Organisatorische Maßnahmen

Zugangsverfahren,
Reaktion auf Sicherheitsvorfälle,
Prüfung,
Personalgenehmigung.

Löst Verschlüsselung jedes Problem?

Nein. Die Wirksamkeit der Verschlüsselung hängt davon ab, wer den Schlüssel besitzt und ob die Daten während der Verarbeitung entschlüsselt werden müssen.

Muss ein Cloud-Anbieter Daten im Klartext verarbeiten, reicht Festplattenverschlüsselung allein möglicherweise nicht zur Risikominderung aus.

Übermittlungen bei KI und SaaS

Bei KI-APIs, CRM, Analytics und anderen SaaS-Plattformen ist zusätzlich zu prüfen:

Länder, in denen Daten verarbeitet werden,
die Liste der Unterauftragsverarbeiter,
die Datenspeicherung,
die Nutzung der Daten zum Modelltraining,
die Zugriffsberechtigungen.

Auch diese Prüfungen sind erforderlich.

Eine TIA ist kein einmaliges Dokument

Die Bewertung sollte überdacht werden, wenn sich die Transferstruktur oder die Bedingungen für Drittländer ändern.

Eine Neubewertung kann beispielsweise nötig sein bei:

Hinzufügung eines neuen Unterauftragsverarbeiters,
Änderung der Datenkategorie,
Wechsel in ein neues Land,
Deutliche Änderung der rechtlichen Regelung

Solche Änderungen können eine Neubewertung auslösen.

TIA-Checkliste

Wurde der Datenfluss kartiert?
Ist der Übermittlungsmechanismus klar?
Ist das SCC-Modul korrekt ausgewählt?
Wurde die Bewertung nach Klausel 14 durchgeführt?
Wurden Recht und Praxis von Drittländern untersucht?
Ist die Subprozessorkette bekannt?
Wurde der Bedarf an zusätzlichen Maßnahmen geprüft?
Wurde bestätigt, dass technische Maßnahmen wirklich wirksam sind?
Wurde die Bewertung schriftlich festgehalten?
Ist eine regelmäßige Neubewertung geplant?

Der Ansatz B10

B10 Digital Agency bewertet bei internationalen Übermittlungen den rechtlichen Mechanismus zusammen mit den tatsächlichen technischen Datenflüssen. Ein technisches Inventar macht sichtbar, welche Daten SaaS-, Cloud-, API- und KI-Systeme in welche Länder übertragen.

Offizieller Referenzrahmen

Dieser Leitfaden wurde unter Berücksichtigung von Kapitel V der DSGVO, Klausel 14 der SCC im Durchführungsbeschluss (EU) 2021/914 der Kommission und der endgültigen Fassung der EDPB-Empfehlungen 01/2020 aktualisiert.

Fazit

Zweck von TIA ist es nicht, eine Form in die Datei zu legen, sondern zu zeigen, ob der verwendete Transfermechanismus im eigentlichen Datenstrom ausreichenden Schutz bietet. SCC, Länderanalysen und technische Maßnahmen sollten im Rahmen derselben Bewertung behandelt werden.

Dieser Inhalt dient nur zur allgemeinen Information.