Drittlandtransfer nach DSGVO: Angemessenheit, SCC, DPF und TIA

Innerhalb der EU und des Europäischen Wirtschaftsraums (EWR – EU plus Norwegen, Island, Liechtenstein) gilt die DSGVO überall gleich. Verlassen Daten diesen Raum, soll das Schutzniveau mitreisen. Deshalb verlangt Kapitel V der DSGVO für jede Übermittlung in ein Drittland oder an eine internationale Organisation eine eigene Grundlage – zusätzlich zur Rechtsgrundlage der Verarbeitung nach Art. 6 (Art. 44). Das gilt auch für Weiterübermittlungen aus dem Drittland in ein weiteres Land.

Eine Übermittlung liegt nicht erst vor, wenn Daten physisch kopiert werden. Nach den Empfehlungen 01/2020 des Europäischen Datenschutzausschusses (EDSA) gilt auch der Fernzugriff einer Stelle aus einem Drittland auf Daten im EWR als Übermittlung – etwa durch Support- oder Administrationsteams eines Anbieters. Bei Cloud- und KI-Diensten reicht der Blick auf den Serverstandort deshalb nicht.

Die DSGVO kennt drei Stufen. Erste Wahl ist ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45: Für die anerkannten Länder werden Übermittlungen wie innerhalb der EU behandelt, eine besondere Genehmigung ist nicht nötig. Gibt es keinen, braucht es geeignete Garantien nach Art. 46 – in der Praxis meist die Standardvertragsklauseln (SCC) der Kommission aus dem Durchführungsbeschluss (EU) 2021/914 oder, im Konzern, verbindliche interne Datenschutzvorschriften (BCR) nach Art. 47. Erst wenn beides fehlt, kommen die Ausnahmen für bestimmte Fälle nach Art. 49 in Betracht.

Für die USA gilt seit dem 10. Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Er deckt nur Unternehmen ab, die sich unter dem Framework zertifiziert haben. Ob ein Anbieter zertifiziert ist, lässt sich in der offiziellen Liste des US-Handelsministeriums prüfen. Ist er es nicht, brauchen Sie für die Übermittlung in die USA weiterhin Standardvertragsklauseln oder eine andere Grundlage.

Standardvertragsklauseln allein genügen nicht immer. In seinem Urteil vom 16. Juli 2020 (C-311/18, „Schrems II“) hat der Europäische Gerichtshof entschieden, dass die Garantien nach Art. 46 im Zielland auch tatsächlich ein im Wesentlichen gleichwertiges Schutzniveau gewährleisten müssen. Der EDSA hat dafür sechs Schritte beschrieben: Übermittlungen kennen, Instrument bestimmen, Wirksamkeit im Zielland prüfen, zusätzliche Maßnahmen ergreifen, Verfahrensschritte erledigen, regelmäßig neu bewerten. Die Prüfung im dritten Schritt wird in der Praxis oft Transfer Impact Assessment (TIA) genannt.

Die Ausnahmen des Art. 49 – etwa die ausdrückliche Einwilligung nach Information über die Risiken, die Erfüllung eines Vertrags mit der betroffenen Person oder die Geltendmachung von Rechtsansprüchen – sind für Einzelfälle gedacht. Für regelmäßige Übermittlungen, etwa den laufenden Betrieb eines Cloud-Dienstes, sind sie in der Regel keine tragfähige Grundlage. Wer sie nutzt, muss sie im Verarbeitungsverzeichnis dokumentieren.

Verstöße gegen die Art. 44–49 gehören zur höheren Bußgeldstufe: Art. 83 Abs. 5 lit. c sieht bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Hinzu kommen Informationspflichten: Datenschutzhinweise müssen eine beabsichtigte Übermittlung und die Garantien nennen (Art. 13 Abs. 1 lit. f), und das Verarbeitungsverzeichnis führt Drittländer gesondert auf (Art. 30 Abs. 1 lit. e).