Drittlandtransfer & Standardvertragsklauseln
Sobald personenbezogene Daten die EU verlassen – etwa über US-Cloud-Dienste – gelten besondere Anforderungen nach Kapitel V der DSGVO. SimpleAct dokumentiert Transfers, Garantien und Transfer Impact Assessments an einem Ort.
Was ist ein Drittlandtransfer?
Ein Drittlandtransfer liegt vor, wenn personenbezogene Daten an ein Land außerhalb der EU/des EWR oder an eine internationale Organisation übermittelt werden. Das betrifft in der Praxis fast jedes Unternehmen, das gängige Cloud-, Marketing- oder Analyse-Tools US-amerikanischer Anbieter nutzt. Nach Art. 44 ff. DSGVO ist ein solcher Transfer nur zulässig, wenn ein angemessenes Datenschutzniveau durch geeignete Garantien sichergestellt ist.
Zulässige Transfermechanismen
Drittland-Transfers DSGVO-konform absichern
- Alle Datenflüsse in Drittländer identifizieren und erfassen
- Je Transfer den passenden Mechanismus festlegen (SCC, Angemessenheit …)
- Standardvertragsklauseln abschließen und versionieren
- Transfer Impact Assessment (TIA) durchführen und dokumentieren
- Erforderliche Zusatzmaßnahmen festlegen (z. B. Verschlüsselung)
- Transfers im Verarbeitungsverzeichnis vermerken
- Mechanismen regelmäßig auf Aktualität prüfen
Häufige Fragen zum Drittlandtransfer
Ist die Nutzung von US-Cloud-Diensten erlaubt?
Ja, wenn ein gültiger Transfermechanismus greift. Für nach dem EU-US Data Privacy Framework zertifizierte US-Anbieter besteht ein Angemessenheitsbeschluss; andernfalls sind SCC plus TIA erforderlich.
Was sind Standardvertragsklauseln (SCC)?
Von der EU-Kommission vorformulierte Vertragsklauseln, die ein angemessenes Datenschutzniveau vertraglich absichern. Sie sind unverändert zu übernehmen und um konkrete Angaben zu ergänzen.
Brauche ich zusätzlich zu SCC ein TIA?
In der Regel ja. Seit dem Schrems-II-Urteil muss geprüft werden, ob das Recht des Ziellandes die Garantien der SCC praktisch aushebelt – und ob ergänzende Maßnahmen nötig sind.
Zählt schon der Fernzugriff als Transfer?
Ja. Bereits der Zugriff auf in der EU gespeicherte Daten aus einem Drittland heraus – etwa durch einen Support-Dienstleister – gilt als Übermittlung im Sinne der DSGVO.
Drittland-Transfers mit SimpleAct steuern
Transfers, Standardvertragsklauseln und Transfer Impact Assessments zentral dokumentieren – auskunftsfähig gegenüber Aufsichtsbehörden.
Jetzt kostenlos starten