Sobald ein KI-Dienst außerhalb der EU betrieben wird (das ist bei den meisten großen Modellanbietern der Fall), liegt eine Übermittlung in ein Drittland vor. Sie braucht eine Grundlage nach Art. 44 ff. DSGVO. Beruht sie auf Standardvertragsklauseln oder verbindlichen internen Datenschutzvorschriften, ist zusätzlich eine Prüfung des Rechtsrahmens im Zielland nötig, das Transfer Impact Assessment (TIA). Der Drittland-Tracker hält beides zusammen.

Auf einen Blick

Enthalten ab: Enterprise
Wo in der App: DSGVO → Erfassen → Drittland-Tracker
Ergebnis: Transferregister mit Rechtsgrundlage, TIA-Bericht, Ampel und Wiedervorlage
Rechtsbezug: Art. 44–49 DSGVO; EDSA-Empfehlungen 01/2020
API: /api/v1/dsgvo-transfers

Rechtsgrundlagen der Übermittlung

Feste Werte, keine Freitexteingabe: Das Behördenpaket wird nach der Rechtsgrundlage gruppiert, und dieselben Werte nutzt auch das Anbieterregister.

Wert	Bedeutung	TIA
ANGEMESSENHEITSBESCHLUSS	Angemessenheitsbeschluss der EU-Kommission (Art. 45).	Nicht erforderlich
DPF	EU-US Data Privacy Framework: der Angemessenheitsbeschluss für die USA (Durchführungsbeschluss (EU) 2023/1795). Gilt nur für Empfänger in den USA, die auf der DPF-Liste zertifiziert sind; die App lässt den Wert für andere Länder nicht zu.	Nicht erforderlich
STANDARDVERTRAGSKLAUSELN	Standardvertragsklauseln (Art. 46 Abs. 2 lit. c), mit Modul 1–4.	Erforderlich (Klausel 14)
BCR	Verbindliche interne Datenschutzvorschriften (Art. 47), typischerweise im Konzern.	Erforderlich
AUSNAHME_ART49	Ausnahme für bestimmte Fälle (Art. 49). Die App verlangt den konkreten Fall nach Art. 49 Abs. 1 und eine Begründung von mindestens 20 Zeichen (Dokumentation nach Art. 49 Abs. 6). Als Dauerlösung für regelmäßige Übermittlungen nicht tragfähig.	Nicht erforderlich
UNBEKANNT	Noch nicht geklärt: offene Arbeit, kein Ergebnis.	Offen

Der TIA-Assistent: sechs Schritte nach EDSA-Empfehlungen 01/2020

Jeder Schritt hat eine Ampel (Grün, Gelb, Rot), ein Notizfeld und, wo es das Verfahren vorsieht, ein Ergebnis. Die Ampel ist eine Anzeige von SimpleAct, keine rechtliche Kategorie.

1Übermittlungen kennen: Zweck und Datenkategorien (Klausel 14 lit. b Ziff. i) werden aus den Angaben zur Übermittlung übernommen.
2Instrument bestimmen: Angemessenheitsbeschluss, Standardvertragsklauseln, BCR, andere Garantie nach Art. 46, Ausnahme nach Art. 49 oder kein Instrument.
3Wirksamkeit im Empfängerland prüfen: Ergebnis A (keine Beeinträchtigung), B (ergänzende Maßnahmen erforderlich), C1 (Übermittlung aussetzen), C2 (nur mit wirksamen ergänzenden Maßnahmen) oder C3. Die App sperrt Ergebnisse, die Ihren Antworten widersprechen, etwa A bei problematischer Behördenpraxis.
4Ergänzende Maßnahmen: technisch, vertraglich, organisatorisch; Ergebnis: wirksam, nicht wirksam oder offen.
5Verfahrensschritte für die ergänzenden Maßnahmen.
6Regelmäßig neu bewerten: Prüfintervall und Datum der nächsten Prüfung.

Wiedervorlage

Standard-Prüfintervall sind 12 Monate. 24 Monate sind nur mit einer schriftlichen Begründung von mindestens 20 Zeichen wählbar.
Das Prüfdatum in Schritt 6 ist zugleich die Wiedervorlage des Transfers. Ein Datum nach Ende des Intervalls lehnt die App ab.
Ohne eigenes Datum zählt das Intervall ab Abschluss des TIA; bei Angemessenheitsbeschluss oder DPF ab der letzten Änderung des Eintrags.
Überwacht werden Transfers auf Angemessenheitsbeschluss, DPF, Standardvertragsklauseln und BCR. Auch ein Angemessenheitsbeschluss kann wegfallen, wie Schrems II beim Privacy Shield gezeigt hat. Fällige Prüfungen erscheinen in der Übersicht.

KI-Vorschlag (Beta)

Ist der KI-Assistent für Ihre Organisation eingeschaltet, kann der TIA-Assistent einen Entwurf für einzelne Schritte vorschlagen, etwa eine Länderbewertung. Der Vorschlag ist als „KI-Vorschlag: bitte prüfen“ markiert; die App speichert, welche Felder aus dem Vorschlag stammen und ob eine Person sie geprüft hat. Prüfen Sie jede Aussage anhand der Quellen und ergänzen Sie die Fundstellen.

Status des TIA

Status	Bedeutung
NICHT_ERFORDERLICH	Kein TIA nötig, bei Angemessenheitsbeschluss, DPF oder Ausnahme nach Art. 49.
AUSSTEHEND	Erforderlich, noch nicht begonnen.
IN_BEARBEITUNG	Prüfung läuft.
ABGESCHLOSSEN	Abgeschlossen, mit Abschlussdatum. Zählt in der Übersicht als erledigt.
ABGELEHNT	Prüfung negativ: zusätzliche Maßnahmen oder ein anderer Anbieter nötig.

Was ein Transfer festhält

Empfänger und Zielland, übermittelte Datenkategorien und Zweck.
Rechtsgrundlage, bei Standardvertragsklauseln das Modul, bei DPF den Zertifizierungsnachweis; optional Standardvertragsklauseln als Rückfallebene.
TIA mit sechs Schritten, Status, Abschlussdatum und Prüfintervall; als Bericht exportierbar.
Verknüpfung mit dem Anbieter aus dem Anbieterregister und dem betroffenen VVT-Eintrag.
Optional eine mehrstufige Freigabe des TIA (Modul Freigaben, Objekttyp TIA).

Auch die Zugriffsmöglichkeit zählt

Prüfen Sie bei jedem KI-Dienst nicht nur den Serverstandort, sondern auch, wer im Betrieb Zugriff hat, etwa Support-Teams des Anbieters außerhalb der EU.

Drittlandtransfers