Das Wichtigste im Überblick
- Rechtliche Grundlagen beachten: Jeder Datentransfer personenbezogener Daten – ob innerhalb der EU oder ins Drittland – muss auf einer rechtmäßigen DSGVO-Grundlage basieren
- Drittlandtransfers erfordern Garantien: Datenübermittlungen außerhalb des EWR sind nur mit Angemessenheitsbeschluss, Standardvertragsklauseln oder anderen Schutzmaßnahmen zulässig
- Dokumentationspflicht ernst nehmen: Unternehmen müssen alle Datentransfers dokumentieren, Auftragsverarbeitungsverträge schließen und regelmäßige Risikoanalysen durchführen
Warum DSGVO-konformer Datentransfer geschäftskritisch ist
Die Übermittlung personenbezogener Daten gehört zum Tagesgeschäft nahezu jedes Unternehmens. Ob Kundendaten an externe Dienstleister, Mitarbeiterdaten an Lohnabrechnungsbüros oder Nutzerdaten an Cloud-Anbieter – Datentransfers finden permanent statt.
Besonders sensibel sind Datenübermittlungen in Länder außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Nach dem Schrems-II-Urteil des EUGH wurden die rechtlichen Anforderungen an solche Drittlandtransfers deutlich verschärft.
Der DSGVO-konforme Datentransfer ist keine rein theoretische Compliance-Frage, sondern hat praktische Auswirkungen auf Geschäftsbeziehungen, Vertragsgestaltung und IT-Infrastruktur. Wer hier Fehler macht, riskiert nicht nur Bußgelder, sondern auch Reputationsschäden und Vertrauensverlust bei Kunden und Geschäftspartnern.
Rechtliche Grundlagen: Das DSGVO-Fundament für Datentransfers
Grundprinzipien der DSGVO für Datenübermittlungen
Die Datenschutz-Grundverordnung basiert auf dem Prinzip, dass personenbezogene Daten nur dann verarbeitet werden dürfen, wenn eine rechtliche Grundlage vorliegt. Dies gilt gleichermaßen für die Erhebung, Speicherung und Übermittlung solcher Daten.
Für besondere Kategorien personenbezogener Daten – etwa Gesundheitsdaten, Informationen zur sexuellen Orientierung oder biometrische Daten – gelten die strengeren Anforderungen des Artikel 9 DSGVO. Hier ist die Verarbeitung grundsätzlich untersagt, es sei denn, es liegt eine ausdrückliche Einwilligung oder ein gesetzlich geregelter Ausnahmetatbestand vor.
Angemessenheitsbeschlüsse
Die einfachste Form des rechtmäßigen Drittlandtransfers ist die Übermittlung in Länder, für die die Europäische Kommission einen Angemessenheitsbeschluss nach Art. 45 DSGVO erlassen hat. Ein solcher Beschluss attestiert dem betreffenden Land ein Datenschutzniveau, das dem der EU im Wesentlichen gleichwertig ist.
Ein Angemessenheitsbeschluss bedeutet, dass Unternehmen Daten ohne zusätzliche Schutzmaßnahmen in diese Länder übermitteln dürfen. Dennoch müssen die allgemeinen Voraussetzungen der DSGVO erfüllt sein, insbesondere eine Rechtsgrundlage nach Art. 6 DSGVO und die Einhaltung der Informationspflichten gegenüber betroffenen Personen.
Standardvertragsklauseln als praktische Alternative
Für Datenübermittlungen in Länder ohne Angemessenheitsbeschluss sind Standardvertragsklausel das am häufigsten genutzte Instrument. Diese vertraglichen Vereinbarungen verpflichten den Datenempfänger, ein angemessenes Datenschutzniveau zu gewährleisten.
Weitere Instrumente: BCR, Zertifizierungen und Ausnahmen
Für multinationale Konzerne bieten Binding Corporate Rules (BCR) eine Möglichkeit, konzerninterne Datentransfers auf eine dauerhafte rechtliche Grundlage zu stellen. Diese verbindlichen internen Datenschutzvorschriften müssen von der zuständigen Datenschutzaufsichtsbehörde genehmigt werden und setzen ein hohes Maß an Datenschutzorganisation voraus.
Datentransfer innerhalb der EU und des EWR
Auch wenn Datenübermittlungen innerhalb der Europäischen Union und des Europäischen Wirtschaftsraums deutlich weniger rechtliche Hürden mit sich bringen als Drittlandtransfers, müssen grundlegende Anforderungen beachtet werden.
Rechtsgrundlage erforderlich
Jede Weitergabe personenbezogener Daten an einen anderen Verantwortlichen oder Auftragsverarbeiter innerhalb der EU erfordert eine Rechtsgrundlage nach Art. 6 DSGVO.
Bei der Weitergabe an externe Dienstleister, die im Auftrag der Verantwortlichen Daten verarbeiten, liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Diese erfordert zwingend einen schriftlichen Auftragsverarbeitungsvertrag (AVV), der die Pflichten des Dienstleisters detailliert regelt und sicherstellt, dass dieser die Daten nur nach Weisung des Verantwortlichen verarbeitet.
Informationspflichten beachten
Unabhängig davon, ob Daten innerhalb oder außerhalb der EU übermittelt werden, müssen die Informationspflichten nach Art. 13 und 14 DSGVO erfüllt werden. Betroffene Personen müssen darüber informiert werden, an wen ihre Daten weitergegeben werden und zu welchen Zwecken dies geschieht. Diese Transparenzpflicht ist ein Kernprinzip der DSGVO und muss in der Datenschutzerklärung klar kommuniziert werden.
Drittlandtransfer: Die große Herausforderung
Der Transfer personenbezogener Daten in Länder außerhalb des EWR stellt Unternehmen vor besondere rechtliche Herausforderungen. Die DSGVO geht davon aus, dass außerhalb der EU nicht zwingend ein gleichwertiges Datenschutzniveau existiert.
Das Schrems-II-Urteil und seine Folgen
Das Urteil bestätigte zwar die grundsätzliche Rechtmäßigkeit von Standardvertragsklauseln, machte aber deutlich, dass diese allein nicht ausreichen. Unternehmen müssen nun für jeden Drittlandtransfer prüfen, ob die Rechtslage im Zielland die Einhaltung der vertraglichen Garantien tatsächlich ermöglicht.
Cloud-Dienste und internationale Konzernstrukturen
Besonders komplex wird der DSGVO-konforme Datentransfer bei der Nutzung von Cloud-Diensten internationaler Anbieter. Viele US-amerikanische Cloud-Provider betreiben zwar Server in Europa, unterliegen aber dem Cloud Act, der US-Behörden unter bestimmten Umständen Zugriff auf Daten gewährt – unabhängig vom Speicherort der Server.
Unternehmen sollten bei der Auswahl von Cloud-Diensten darauf achten, dass der Anbieter klare vertragliche Garantien bezüglich des Datenstandorts gibt und nachweislich technische Maßnahmen implementiert hat, die einen Zugriff durch Drittstaaten ausschließen oder zumindest erheblich erschweren.
Praktische Handlungsempfehlungen für Unternehmen
Datenflüsse kartieren und dokumentieren
Der erste Schritt zu einem DSGVO-konformen Datentransfer ist die vollständige Erfassung aller Datenübermittlungen im Unternehmen. Erstellen Sie ein Verzeichnis, das alle Empfänger personenbezogener Daten aufführt – sowohl innerhalb der EU als auch in Drittländern. Dokumentieren Sie, welche Datenkategorien übermittelt werden, zu welchen Zwecken dies geschieht und auf welcher Rechtsgrundlage die Übermittlung basiert.
AVV und SCC standardisiert vorhalten
Entwickeln Sie standardisierte Vorlagen für Auftragsverarbeitungsverträge und Vereinbarungen über Standardvertragsklauseln, die Sie mit Dienstleistern abschließen können. Diese Vorlagen sollten von einem Fachanwalt für IT-Recht geprüft sein und alle erforderlichen Regelungen enthalten.
Mitarbeiter schulen und Prozesse etablieren
Datenschutzkonformität ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess. Schulen Sie Ihre Mitarbeiter regelmäßig zu den Anforderungen der DSGVO, insbesondere zu den Besonderheiten bei Datenübermittlungen. Etablieren Sie klare Prozesse dafür, wann und wie neue Dienstleister datenschutzrechtlich geprüft werden müssen, bevor sie eingebunden werden.
Benennen Sie klare Verantwortlichkeiten: Wer ist für die Prüfung neuer Tools zuständig? Wer schließt Verträge ab? Wer pflegt die Dokumentation? Eine klare Rollenverteilung verhindert, dass datenschutzrechtliche Anforderungen übersehen werden.
Wir unterstützen Unternehmen bei der Implementierung datenschutzkonformer Prozesse und bieten auch die Funktion des externen Datenschutzbeauftragten an, um Sie dauerhaft rechtssicher aufzustellen.
Checkliste: DSGVO-konformer Datentransfer
Vor jeder Datenübermittlung prüfen:
- Liegt eine Rechtsgrundlage für die Datenübermittlung vor?
- Wurden die betroffenen Personen über die Datenübermittlung informiert?
- Handelt es sich um einen EU-internen Transfer oder einen Drittlandtransfer?
Bei EU-internen Transfer:
- Ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO geschlossen?
- Wurden die technischen und organisatorischen Maßnahmen des Empfängers geprüft?
- Sind die Weitergabe und der Empfänger im Verarbeitungsverzeichnis dokumentiert?
Bei Drittlandtransfer zusätzlich:
- Liegt ein Angemessenheitsbeschluss für das Zielland vor?
- Falls nein: Wurden Standardvertragsklauseln oder andere geeignete Garantien vereinbart?
- Wurden zusätzliche technische Schutzmaßnahmen implementiert (Verschlüsselung, Pseudonymisierung)?
- Ist die Rechtslage im Zielland dokumentiert und bewertet?
- Wurden die betroffenen Personen über die Drittlandübermittlung und die damit verbundenen Risiken informiert?
- Ist die Datenübermittlung im Verarbeitungsverzeichnis dokumentiert?
Laufende Pflichten:
- Werden alle Datenübermittlungen zentral dokumentiert?
- Werden AVVs und SCCs regelmäßig auf Aktualität geprüft?
- Werden Transfer Impact Assessments bei Änderungen aktualisiert?
- Werden Mitarbeiter regelmäßig zu Datenschutzanforderungen geschult?
- Gibt es einen festen Prozess für die datenschutzrechtliche Prüfung neuer Dienstleister?
Datenschutz als Wettbewerbsvorteil
Der DSGVO-konforme Datentransfer mag auf den ersten Blick wie eine rechtliche Hürde erscheinen, die Unternehmen bewältigen müssen. Tatsächlich bietet eine sorgfältige Datenschutz-Compliance aber auch Chancen. Unternehmen, die nachweisbar verantwortungsvoll mit personenbezogenen Daten umgehen, schaffen Vertrauen bei Kunden, Geschäftspartnern und Mitarbeitern.
Die rechtlichen Anforderungen an Datentransfers sind komplex und entwickeln sich stetig weiter. Besonders Drittlandtransfers erfordern eine sorgfältige rechtliche Prüfung und ein kontinuierliches Monitoring der Rechtslage. Die Investition in eine solide Datenschutzorganisation zahlt sich langfristig aus – nicht nur durch die Vermeidung von Bußgeldern, sondern auch durch die Stärkung der Unternehmensreputation.
Wer unsicher ist, ob seine aktuellen Datenübermittlungen den Anforderungen der DSGVO entsprechen, sollte eine professionelle datenschutzrechtliche Überprüfung in Betracht ziehen.
Häufig gestellte Fragen
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO regelt die Beziehung zwischen einem Verantwortlichen und einem Auftragsverarbeiter, also einem Dienstleister, der Daten im Auftrag verarbeitet. Standardvertragsklauseln sind dagegen ein spezielles Instrument für Datenübermittlungen in Drittländer ohne Angemessenheitsbeschluss. Bei einem Drittlandtransfer an einen Auftragsverarbeiter werden beide Instrumente kombiniert: Der AVV regelt die Auftragsverarbeitung, die SCC schaffen die Rechtsgrundlage für die Drittlandübermittlung.
Nicht unbedingt. Sie können ein TIA für einen bestimmten Dienstleister oder ein bestimmtes Drittland erstellen und dieses für alle gleichartigen Transfers nutzen, solange die Rahmenbedingungen identisch sind. Wenn Sie jedoch verschiedene Dienstleister im selben Drittland nutzen oder unterschiedliche Datenkategorien übermitteln, sollten Sie separate TIAs erstellen, da die Risikobewertung unterschiedlich ausfallen kann.
Nein. US-Unternehmen müssen sich aktiv für das EU-US Data Privacy Framework zertifizieren lassen. Die bloße Tatsache, dass ein Unternehmen seinen Sitz in den USA hat, bedeutet nicht automatisch, dass Datenübermittlungen ohne weitere Prüfung zulässig sind.
Rechtswidrige Drittlandtransfers können mit Bußgeldern geahndet werden, je nachdem, welcher Betrag höher ist. Darüber hinaus können Datenschutzbehörden die Verarbeitung untersagen oder Anordnungen zur Nachbesserung erlassen.
Nein, die bloße Unterzeichnung von Standardvertragsklauseln reicht nicht aus. Sie müssen ein eigenes Transfer Impact Assessment durchführen und prüfen, ob die Garantien in der Praxis auch tatsächlich eingehalten werden können. Die Verantwortung für die rechtskonforme Datenübermittlung liegt beim Datenexporteur, also bei Ihnen als Unternehmen.
Ende-zu-Ende-Verschlüsselung, bei der nur Sie den Schlüssel besitzen, ist die wirksamste Maßnahme. Entscheidend ist, dass der Empfänger im Drittland faktisch keinen Zugriff auf Daten im Klartext erhält.
Ja, die Informationspflichten nach Art. 13 und 14 DSGVO verpflichten Sie dazu, betroffene Personen über alle Empfänger und den vorgesehenen Zweck der Übermittlung zu informieren.
Der Verantwortliche entscheidet über die Zwecke und Mittel der Datenverarbeitung. Der Auftragsverarbeiter verarbeitet Daten nur auf Weisung des Verantwortlichen.
Es gibt keine feste Frist, aber eine regelmäßige Überprüfung ist ratsam. Spätestens bei wesentlichen Änderungen – neue Dienstleister, neue Verarbeitungszwecke, Änderung der Rechtslage im Drittland, neue Technologien – müssen Sie Ihre Dokumentation aktualisieren.
German 
English