Eine internationale Übermittlung liegt vor, wenn personenbezogene Daten einem Empfänger außerhalb des Europäischen Wirtschaftsraums zugänglich gemacht werden. Dies ist zulässig, jedoch nur, wenn das Schutzniveau gemäß der DSGVO in der Praxis nicht beeinträchtigt wird.
Rechtliche Grundlage
Kapitel V der DSGVO regelt Datenübermittlungen. Artikel 45 erlaubt Übermittlungen in Länder, für die ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt. Für die Vereinigten Staaten gilt seit dem 10. Juli 2023 der EU-US-Datenschutzrahmen, allerdings nur für zertifizierte Organisationen. Artikel 46 listet geeignete Garantien auf, von denen die Standardvertragsklauseln von 2021 am häufigsten verwendet werden, neben verbindlichen internen Datenschutzvorschriften. Artikel 49 sieht Ausnahmen für bestimmte Fälle vor. Nach dem Schrems-II-Urteil vom 16. Juli 2020 genügt ein einzelnes Instrument nicht mehr: Erforderlich sind eine Bewertung des Rechts im Empfängerland, eine Folgenabschätzung der Datenübermittlung sowie gegebenenfalls ergänzende Maßnahmen wie die Verschlüsselung mit einem in Europa hinterlegten Schlüssel.
Wie es in der Praxis funktioniert
Im ersten Schritt muss ermittelt werden, wo die Daten tatsächlich gespeichert sind und wer Zugriff darauf hat, einschließlich Unterstützung von außerhalb Europas. Dieser letzte Punkt wird oft übersehen: Auch der Fernzugriff durch ein Support-Team stellt eine Datenübermittlung dar. Anschließend erfolgen die Auswahl des Instruments und die Bewertung, die schriftlich dokumentiert werden müssen. Verträge sollten den Anbieter verpflichten, Änderungen des Standorts oder von Unterauftragnehmern zu melden.
Wo es schiefgeht
Organisationen verlassen sich auf die Zertifizierung ihrer Lieferanten, ohne zu prüfen, ob diese die betreffende Dienstleistung tatsächlich abdeckt. Ein weiterer Fehler besteht darin, Standardvertragsklauseln zu unterzeichnen, ohne die Anhänge auszufüllen, sodass die Beschreibung der Datenverarbeitung fehlt. Drittens wird die Bewertung nicht dokumentiert, obwohl das Rechenschaftspflichtprinzip dies ausdrücklich verlangt.
Verwandte Begriffe
Die Übermittlungen stehen in Verbindung mit der Datenverarbeitungsvereinbarung , der Datenschutz-Folgenabschätzung und der SaaS-Vereinbarung.
Wissen Sie, wo Ihre Daten gespeichert sind? Unsere IT-Rechtsexperten analysieren die Datentransfers und die Sicherheitsvorkehrungen.
