Internationale Datentransfers Datenschutz: sauber erklärt

Das Wichtigste in Kürze:

• Internationale Datentransfers müssen in der Datenschutzerklärung nachvollziehbar beschrieben werden.
• Art. 13 DSGVO verlangt unter bestimmten Voraussetzungen einen Hinweis auf geeignete Garantien und die Möglichkeit, eine Kopie zu erhalten.
• Standardvertragsklauseln, BCR und die EDSA-Prüfung sollten nicht nur genannt, sondern passend zum konkreten Datenfluss erklärt werden.

Eine Datenschutzerklärung nennt häufig Anbieter, Tools und Zwecke. Schwieriger wird es dort, wo personenbezogene Daten den Europäischen Wirtschaftsraum verlassen. Dann reicht der kurze Hinweis auf „internationale Datentransfers“ meist nicht aus, wenn Nutzer die Grundlage der Übermittlung und die vorgesehenen Garantien nicht erkennen können.

Internationale Datentransfers Datenschutz beschreibt die datenschutzrechtliche Einordnung und transparente Information über die Übermittlung personenbezogener Daten in Drittländer oder an internationale Organisationen.

Gerade bei Cloud-Diensten, Supportsystemen, Newsletter-Plattformen oder Analysewerkzeugen müssen Websiteverantwortliche ihre Angaben mit den tatsächlich eingesetzten Dienstleistern abgleichen. Du lernst hier, welche Bausteine in die Datenschutzerklärung gehören, wie du Garantien einordnest und an welchen Stellen die redaktionelle Prüfung typischerweise scheitert.

Warum internationale Datentransfers transparent sein müssen

Der zentrale Punkt lautet: Deine Datenschutzerklärung muss nicht nur sagen, dass Daten übermittelt werden, sondern unter den Voraussetzungen des Art. 13 DSGVO auch auf die geeigneten oder angemessenen Garantien hinweisen. Dazu gehört außerdem die Information, wie eine Kopie dieser Garantien erhältlich ist. Das ergibt sich aus der Darstellung von Art. 13 DSGVO bei dsgvo-gesetz.de.

Das betrifft nicht jede technische Verbindung automatisch in gleicher Weise. Entscheidend ist, welche Verarbeitung tatsächlich stattfindet, welcher Anbieter beteiligt ist und ob ein Drittlandbezug besteht. Eine pauschale Formulierung wie „Daten können weltweit verarbeitet werden“ schafft deshalb selten ausreichend Orientierung. Sie bleibt zu ungenau, wenn der konkrete Dienst, das Land oder das verwendete Übermittlungsinstrument nicht erkennbar wird.

Der eigentliche Prüfpunkt

In der Praxis beginnt die Arbeit nicht mit dem Schreiben, sondern mit der Bestandsaufnahme. Prüfe zunächst, welche Dienste personenbezogene Daten erhalten und welche Angaben der jeweilige Anbieter zu Speicherorten, Unterauftragnehmern und Übermittlungsmechanismen macht. Anschließend vergleichst du diese Informationen mit deiner bestehenden Datenschutzerklärung.

Ein Grundsatz prägt dabei unsere Arbeitsweise: Der teuerste Service ist nicht zwingend der teuerste, sondern der, den du zweimal bezahlst, weil er beim ersten Mal nicht hält. Bei Datenschutztexten zeigt sich das etwa dann, wenn eine Erklärung zwar professionell klingt, aber die eingesetzten Dienste und Garantien nicht sauber zusammenpassen.

Welche Informationen Nutzer erwarten dürfen

Eine verständliche Information beantwortet mindestens diese Fragen:

• Werden personenbezogene Daten in ein Drittland oder an eine internationale Organisation übermittelt?
• Welche Dienstleister oder Empfängerkategorien sind beteiligt?
• Welche geeignete oder angemessene Garantie bildet die Grundlage?
• Wo finden Betroffene weitere Informationen oder eine Kopie der Garantie?

Diese Liste ersetzt keine rechtliche Einzelfallprüfung. Sie hilft dir aber, eine Datenschutzerklärung nicht nur formal, sondern aus Sicht der betroffenen Person zu lesen.

Internationale Datentransfers Datenschutz: Pflichtangaben in der Erklärung

Für eine belastbare Datenschutzerklärung brauchst du einen Abschnitt, der den konkreten Transfer verständlich einordnet. Vermeide dabei sowohl juristische Abkürzungen ohne Erklärung als auch weite Sammelbegriffe, die keinen Rückschluss auf den tatsächlichen Vorgang zulassen.

Zweck, Empfänger und Drittland

Beschreibe zuerst den Zusammenhang: Welcher Dienst verarbeitet welche personenbezogenen Daten und warum ist dieser Dienst eingebunden? Je nach Verarbeitung können beispielsweise Kontaktdaten, Kommunikationsinhalte oder technische Nutzungsdaten betroffen sein. Verwende aber nur Kategorien, die im jeweiligen Prozess tatsächlich vorkommen.

Danach folgt der Empfängerbezug. Du kannst einen konkreten Anbieter nennen oder eine Empfängerkategorie verwenden, sofern die Information dadurch verständlich und ausreichend bestimmbar bleibt. Bei einem internationalen Transfer gehört außerdem der Hinweis auf das betreffende Drittland oder den relevanten geografischen Raum in den passenden Abschnitt.

Der Text sollte dabei nicht mehr versprechen, als die Verträge und Anbieterinformationen tragen. Wenn dein Dienstleister mehrere Verarbeitungsorte nennt, muss die Formulierung diese Struktur abbilden. Eine einmalige Prüfung reicht deshalb nicht automatisch für alle späteren Änderungen im Tool-Stack.

Garantien verständlich benennen

Bei Drittlandsübermittlungen kommen nach den vorliegenden Fachinformationen unter anderem geeignete Garantien nach Art. 46 DSGVO sowie Binding Corporate Rules nach Art. 46 Abs. 2 lit. b und Art. 47 DSGVO in Betracht. In der Datenschutzerklärung sollte der verwendete Mechanismus konkret benannt werden, statt nur auf „gesetzliche Vorgaben“ zu verweisen.

Bei Standardvertragsklauseln kannst du zusätzlich erklären, dass sie vertraglich zwischen Datenexporteuren im Europäischen Wirtschaftsraum und Datenimporteuren in Drittstaaten vereinbart werden. Der Landesbeauftragte für den Datenschutz Niedersachsen fasst diesen Zusammenhang so zusammen:

„Mit den Standardvertragsklauseln werden europäische Datenschutzstandards vertraglich zwischen Datenexporteuren im Europäischen Wirtschaftsraum und Datenimporteuren in Drittstaaten vereinbart.“ – Der Landesbeauftragte für den Datenschutz Niedersachsen

Zugang zu weiteren Unterlagen

Art. 13 DSGVO verlangt unter den dort beschriebenen Voraussetzungen nicht nur einen Verweis auf geeignete oder angemessene Garantien. Betroffene sollen auch erkennen können, wie sie eine Kopie erhalten. Verlinke deshalb auf eine zugängliche Quelle oder beschreibe den vorgesehenen Weg, sofern eine direkte Bereitstellung möglich ist.

Wichtig ist die redaktionelle Genauigkeit: Ein Link auf eine allgemeine Datenschutzseite des Dienstleisters beantwortet nicht automatisch die Frage, welche Garantie für den konkreten Transfer gilt. Prüfe, ob die verlinkte Information tatsächlich zu deinem Verarbeitungsvorgang passt.

Geeignete Garantien: SCC, BCR und EDSA-Prüfung

Standardvertragsklauseln sind ein wichtiges Instrument, aber ihre bloße Erwähnung erledigt nicht jede Prüfung. Du musst zunächst feststellen, ob sie für die konkrete Rollenverteilung und den konkreten Transfer passen. Der Landesbeauftragte für den Datenschutz Niedersachsen beschreibt SCC als Vereinbarung zwischen Exporteuren im EWR und Importeuren in Drittstaaten.

Standardvertragsklauseln

Die EU-Kommission erließ mit dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 neue Standardvertragsklauseln für Übermittlungen personenbezogener Daten an Drittländer. Das Datum und der Rechtsakt sind in der Veröffentlichung von EUR-Lex dokumentiert.

Unter den jeweiligen Voraussetzungen der SCC kann eine Übermittlung grundsätzlich ohne weitere Genehmigung der Aufsichtsbehörden erfolgen. Das ist jedoch keine pauschale Freigabe für jeden denkbaren Datenfluss. Vertragsmodule, Rollen, Verarbeitungszweck und tatsächliche Abläufe müssen zusammenpassen.

„Bei der Verwendung der von der Kommission verabschiedeten Vertragsmuster kann die Übermittlung personenbezogener Daten in Drittländer ohne weitere Genehmigung der Aufsichtsbehörden erfolgen.“ – Der Landesbeauftragte für den Datenschutz Niedersachsen

Binding Corporate Rules

Binding Corporate Rules, kurz BCR, sind verbindliche interne Datenschutzvorschriften innerhalb einer Unternehmensgruppe. Die vorliegenden Fachinformationen nennen BCR als mögliches Instrument nach Art. 46 Abs. 2 lit. b und Art. 47 DSGVO.

Für deine Datenschutzerklärung bedeutet das: Wenn eine Unternehmensgruppe BCR als Grundlage verwendet, sollte dieser Mechanismus ausdrücklich benannt werden. Die Erklärung muss nicht zu einem internen Genehmigungsdossier werden. Sie sollte aber erkennen lassen, welche Garantie den Transfer trägt und wo Betroffene weiterführende Informationen erhalten.

Die Sechs-Schritte-Prüfung

Die „Internationale Datentransfers Orientierungshilfe“ nennt eine Sechs-Schritte-Prüfung gemäß EDSA als Ansatz für die Ausgestaltung geeigneter Garantien nach Art. 46 DSGVO. Die Prüfung hilft dabei, nicht bei der Vertragsunterschrift stehenzubleiben, sondern den Transfer als Prozess zu betrachten.

Der Europäische Datenschutzausschuss hat dazu Leitlinien zu Übermittlungsinstrumenten veröffentlicht. Sie dienen als Referenz für die Beurteilung geeigneter Garantien. Für deine Dokumentation solltest du deshalb festhalten, welches Instrument gewählt wurde, welche Prüfung stattgefunden hat und ob zusätzliche Maßnahmen für den konkreten Vorgang erforderlich sind.

Zeitlogik der Standardvertragsklauseln

Die SCC sollten nicht losgelöst von ihrer Umstellungslogik betrachtet werden. Gerade bei laufenden Dienstleisterbeziehungen ist es wichtig, Vertragsstand, Datenfluss und Datenschutzerklärung gemeinsam zu prüfen.

Zeitpunkt	Bedeutung	Quelle
4. Juni 2021	Die EU-Kommission erlässt den Durchführungsbeschluss (EU) 2021/914.	EUR-Lex
27. September 2021	Die erneuerten SCC sind auf neue Vereinbarungen anzuwenden.	Forschungsdaten zu internationalen Datentransfers
27. Dezember 2022	Bestehende Transfers sollten spätestens auf neue SCC oder ein alternatives Instrument umgestellt sein.	Forschungsdaten zu internationalen Datentransfers

Neue Vereinbarungen ab 27. September 2021

Für neue Vereinbarungen galt nach den vorliegenden Angaben ab dem 27. September 2021 die Anwendung der erneuerten SCC. Wenn du heute einen neuen Dienstleister einbindest, solltest du deshalb nicht einfach ein altes Vertragsmuster aus dem Archiv übernehmen. Prüfe, welche Klauseln der Anbieter tatsächlich verwendet und ob die Vertragsunterlagen die aktuelle Beziehung abbilden.

Umstellung bestehender Verträge bis 27. Dezember 2022

Für bestehende Vertragsverhältnisse gab es eine Übergangslogik. Nach den Forschungsdaten konnten bis dahin begründete Rechtsverhältnisse eine Übergangsfrist nutzen; spätestens bis zum 27. Dezember 2022 mussten die Datentransfers auf neue SCC oder ein alternatives Instrument umgestellt sein.

Diese Daten sind für die historische Vertragsprüfung relevant. Sie ersetzen aber nicht den Blick auf den heutigen Stand. Ein alter Vertrag, eine geänderte Anbieterstruktur oder neue Verarbeitungsländer können dazu führen, dass deine Datenschutzerklärung und deine Vertragsunterlagen erneut abgeglichen werden müssen.

Datenschutzerklärung redaktionell und fachlich prüfen

Eine gute Prüfung verbindet juristische Anforderungen mit sauberer redaktioneller Arbeit. Der Text muss den Datenfluss korrekt abbilden und zugleich so geschrieben sein, dass Nutzer die entscheidenden Informationen finden.

Datenflüsse erfassen

Beginne mit einer Liste aller externen Dienste, die personenbezogene Daten verarbeiten. Sortiere anschließend nach Zweck, Datenkategorien, Anbieter, Empfänger und geografischem Bezug. Markiere jeden Vorgang, bei dem ein Drittland oder eine internationale Organisation relevant ist.

Beziehe dabei nicht nur sichtbare Websitefunktionen ein. Auch Formulare, Newsletter, Terminbuchungen, Supportsysteme und eingebundene Plattformen können eigene Verarbeitungsvorgänge auslösen. Die Erklärung sollte nicht behaupten, dass ein Transfer stattfindet, wenn der Dienst gar nicht entsprechend eingesetzt wird. Umgekehrt darf ein realer Drittlandbezug nicht in einer allgemeinen Sammelformulierung verschwinden.

Aussagen mit Verträgen abgleichen

Vergleiche deine redaktionellen Angaben mit Auftragsverarbeitungsverträgen, Anbieterinformationen und den verwendeten SCC oder BCR. Achte auf unterschiedliche Schreibweisen, veraltete Produktnamen und widersprüchliche Angaben zu Empfängern oder Verarbeitungsorten.

Ein häufiger Fehler liegt in der Trennung von Vertrag und Information: Die SCC können korrekt vereinbart sein, während die Datenschutzerklärung den Transfer nur unvollständig beschreibt. Umgekehrt kann ein ausführlicher Absatz im Webtext nicht ersetzen, was vertraglich geregelt oder geprüft werden muss.

Verständlichkeit sichern

Erkläre Abkürzungen beim ersten Auftreten. Schreibe etwa „Standardvertragsklauseln (SCC)“ und danach verkürzt „SCC“. Vermeide Formulierungen, die nur Fachleute verstehen, wenn ein kurzer erklärender Nebensatz die Funktion verständlich macht.

Die Überarbeitung sollte außerdem Versionen und Zuständigkeiten berücksichtigen. Wer prüft neue Tools? Wer aktualisiert die Datenschutzerklärung? Wo liegt die aktuelle Vertragsgrundlage? Diese Fragen gehören zur praktischen Pflege eines Datenschutztexts, auch wenn sie nicht vollständig in den veröffentlichten Text gehören.

Fazit

Internationale Datentransfers Datenschutz verlangt mehr als einen pauschalen Hinweis auf weltweite Verarbeitung. Eine belastbare Datenschutzerklärung benennt den relevanten Transfer, ordnet Empfänger und Zweck ein, nennt die verwendete Garantie und zeigt, wie Betroffene weitere Informationen oder eine Kopie erhalten können.

SCC, BCR und die EDSA-Sechs-Schritte-Prüfung erfüllen dabei unterschiedliche Funktionen. Entscheidend ist der Abgleich zwischen tatsächlichem Datenfluss, Vertragsunterlagen und veröffentlichtem Text. Prüfe außerdem die Umstellungsdaten der SCC, wenn ältere Vereinbarungen noch im Einsatz sind.

Wenn du deine Datenschutzerklärung überarbeiten willst, starte mit einer vollständigen Dienstleisterliste und einem Abgleich der Datenflüsse. Für die redaktionelle Prüfung und eine verständliche Struktur findest du bei Textarbeit von Schreibwertig einen passenden Ansprechpartner.

Häufig gestellte Fragen

Welche Informationen muss eine Datenschutzerklärung bei internationalen Datentransfers enthalten?

Sie sollte unter den Voraussetzungen des Art. 13 DSGVO über die Absicht einer Übermittlung in ein Drittland oder an eine internationale Organisation informieren. Außerdem gehören der Hinweis auf geeignete oder angemessene Garantien sowie Informationen dazu, wie Betroffene eine Kopie erhalten können, in den passenden Abschnitt. Ergänzend sollten Zweck, Empfänger und betroffene Datenkategorien verständlich beschrieben werden.

Reichen unterschriebene Standardvertragsklauseln aus?

Nein, die Unterschrift allein beantwortet nicht alle Fragen. Du musst prüfen, ob die SCC zur konkreten Rollenverteilung, zum Dienstleister und zum Datenfluss passen. Der EDSA-Ansatz unterstützt die Bewertung geeigneter Garantien. Zusätzlich müssen Datenschutzerklärung und Vertragsunterlagen zusammenpassen, damit der Transfer transparent und nachvollziehbar beschrieben ist.

Wann kommen Binding Corporate Rules infrage?

Binding Corporate Rules kommen als Instrument für internationale Übermittlungen innerhalb einer Unternehmensgruppe infrage. Die Forschungsdaten nennen sie als verbindliche interne Datenschutzvorschriften nach Art. 46 Abs. 2 lit. b und Art. 47 DSGVO. In der Datenschutzerklärung sollte dann klar erkennbar sein, dass BCR als Garantie verwendet werden und wo Betroffene weitere Informationen erhalten.