Modul 6 von 8 · Etwa 15 Minuten
Internationale Datenübermittlungen
Wie personenbezogene Daten den Europäischen Wirtschaftsraum rechtmäßig verlassen dürfen.
Die Regel
Kapitel V der DSGVO erlaubt Übermittlungen außerhalb des Europäischen Wirtschaftsraums nur, wenn das Schutzniveau nicht untergraben wird. Eine Übermittlung umfasst auch den Fernzugriff aus einem Drittland, nicht nur das Kopieren von Dateien ins Ausland. Der DSB sollte wissen, wohin Daten fließen – auch über Cloud- und KI-Anbieter und deren Unterauftragsverarbeiter.
Übermittlungsinstrumente
- Angemessenheitsbeschlüsse (Artikel 45): Die Kommission hat festgestellt, dass ein Land oder ein Rahmen ein angemessenes Schutzniveau bietet – etwa der EU-US-Datenschutzrahmen für zertifizierte US-Organisationen (2023).
- Geeignete Garantien (Artikel 46): meist die Standardvertragsklauseln der Kommission (2021), mit einer Bewertung der Rechtslage und Praxis im Zielland (Transfer Impact Assessment) und erforderlichenfalls zusätzlichen Maßnahmen.
- Verbindliche interne Datenschutzvorschriften (Artikel 47) für Übermittlungen innerhalb einer Unternehmensgruppe, genehmigt von einer Aufsichtsbehörde.
- Ausnahmen (Artikel 49), etwa ausdrückliche Einwilligung oder Erforderlichkeit für einen Vertrag, für bestimmte Fälle – nicht für regelmäßige, umfangreiche Übermittlungen.
In der Praxis
Erfassen Sie Übermittlungen im Verarbeitungsverzeichnis, prüfen Sie die Unterauftragsverarbeiter und Hosting-Standorte jedes Anbieters, dokumentieren Sie das genutzte Instrument und überprüfen Sie es, wenn sich Gesetze oder Anbieter ändern. Gleichen Sie Zusagen zur Datenresidenz mit Supportzugriffen und Telemetrie ab, die oft ebenfalls Übermittlungen bedeuten.
Kernaussagen
- Fernzugriff von außerhalb des EWR ist eine Übermittlung.
- Zuerst Angemessenheit; sonst Standardvertragsklauseln mit Transfer Impact Assessment oder BCR in Konzernen.
- Ausnahmen nach Artikel 49 sind für gelegentliche, besondere Fälle gedacht.
- Wissen, wo jeder Anbieter und Unterauftragsverarbeiter Daten verarbeitet.
Selbstkontrolle
Ein Support-Techniker in den USA kann Ihre in der EU gehosteten Kundendaten einsehen. Ist das eine Übermittlung?
Antwort anzeigen: Ja. Fernzugriff aus einem Drittland ist eine Übermittlung und braucht ein Übermittlungsinstrument.
Kann man tägliche Gehaltsdaten-Übermittlungen in ein Land ohne Angemessenheitsbeschluss auf die ausdrückliche Einwilligung nach Artikel 49 stützen?
Antwort anzeigen: Nein. Ausnahmen gelten für bestimmte Fälle, nicht für regelmäßige, umfangreiche Übermittlungen.