Internationale Datentransfers DSGVO sicher umsetzen

Das Wichtigste in Kürze:

• Internationale Datentransfers DSGVO brauchen neben einem passenden Instrument eine Prüfung des konkreten Transferkontexts. Laut EDPB (2020) sollten Datenexporteure neben dem Transferinstrument auch ergänzende Maßnahmen prüfen.
• Laut Europäischer Kommission (2021) wurden neue SCC im Jahr 2021 veröffentlicht; für die Umstellung lief 2022 eine Frist. Quelle
• Prüfe Datenflüsse, Empfängerland, Zugriffsmöglichkeiten und zusätzliche Schutzmaßnahmen, bevor du einen Transfer freigibst. Laut EDPB (2020) gehört dazu die Bewertung der Rechtslage und Praxis im Empfängerland.

Ein unterschriebener Vertrag macht einen Drittlandtransfer nicht automatisch datenschutzkonform. In der Praxis entscheidet sich die Qualität der Lösung oft früher: bei der Frage, welche Daten wohin fließen, wer darauf zugreifen kann und welches rechtliche Instrument tatsächlich passt.

Internationale Datentransfers ds Gvo sind Übermittlungen personenbezogener Daten aus dem Europäischen Wirtschaftsraum in ein Land außerhalb dieses Schutzraums, die durch ein geeignetes Instrument und gegebenenfalls zusätzliche Maßnahmen abgesichert werden müssen. SCC, BCR und Empfehlungen des EDSA bilden dafür wichtige Bausteine. Laut EDPB (2020) können ergänzende technische, vertragliche oder organisatorische Maßnahmen erforderlich sein.

Dieser Beitrag zeigt dir, wie du internationale Datentransfers DSGVO strukturiert bewertest, welche Rolle Standardvertragsklauseln und Binding Corporate Rules spielen und warum eine Transferprüfung nicht beim Vertrag endet.

Warum internationale Datentransfers DSGVO mehr als SCC-Verträge sind

Internationale Datentransfers DSGVO beginnen mit einer Bestandsaufnahme, nicht mit dem Download eines Vertragsdokuments. Sobald ein Dienstleister, eine Konzerngesellschaft oder ein Supportteam außerhalb der EU auf personenbezogene Daten zugreifen kann, solltest du den gesamten Datenfluss betrachten. Dazu gehören Übermittlung, Speicherung, Fernzugriff und mögliche Weitergaben.

Art. 46 Abs. 2 Buchst. c DSGVO ermöglicht der Europäischen Kommission, Standarddatenschutzklauseln als Garantie für Datenübermittlungen in Drittländer zu übernehmen. SCC sind deshalb ein anerkanntes Transferinstrument. Sie ersetzen jedoch nicht die Prüfung, ob die Klauseln zum konkreten Verhältnis zwischen Verantwortlichem, Auftragsverarbeiter oder weiteren Beteiligten passen.

Der entscheidende Prüfpunkt lautet: Bietet das gewählte Instrument im Empfängerland tatsächlich ein angemessenes Schutzniveau für den konkreten Datentransfer? Der EDSA betont, dass Datenexporteure ergänzende Maßnahmen neben dem Transferinstrument prüfen sollen. Das betrifft insbesondere Situationen, in denen Behördenzugriffe, fehlende Rechtsbehelfe oder weitreichende Zugriffsmöglichkeiten im Empfängerland relevant sind. Laut EDPB (2020) soll die Prüfung insbesondere die Rechtslage und die Praxis des Drittlands berücksichtigen.

Ein sauberer Prozess hält deshalb mindestens fest:

• welche personenbezogenen Daten übertragen werden,
• welche Parteien am Transfer beteiligt sind,
• in welchem Land Daten verarbeitet oder abgerufen werden,
• welches Transferinstrument gilt,
• welche technischen und organisatorischen Maßnahmen greifen.

„Für die 2022 eine Umsetzungsfrist läuft, innerhalb derer Unternehmen, die noch die alten SCC verwenden, auf die neuen SCC umstellen müssen.“ – cms.law, Veröffentlichung „Neue Standardvertragsklauseln für internationale Datentransfers“

SCC: Der praktikable Standard für viele Transfers

SCC sind häufig der erste Ansatzpunkt, wenn personenbezogene Daten an einen Empfänger in einem Drittland übermittelt werden. Die Europäische Kommission veröffentlichte 2021 neue Standardvertragsklauseln für internationale Datentransfers. Unternehmen, die noch alte Klauseln verwendeten, mussten die Umstellung innerhalb der dafür vorgesehenen Frist im Jahr 2022 organisieren, wie die Europäische Kommission (2021) dokumentiert.

Rechtsgrundlage und Aufbau

Die Klauseln werden als Kommissions-Entscheid in Form eines sogenannten Implementing Acts erlassen. Im Rahmen eines Komitologie-Verfahrens genehmigen Vertreter der Mitgliedstaaten den Rechtsakt. Für die Praxis heißt das: Du solltest nicht mit frei formulierten Vertragsmustern arbeiten, wenn ein passendes SCC-Modul verfügbar ist.

Die Modulwahl richtet sich nach den Rollen der beteiligten Parteien. Ein Transfer zwischen Verantwortlichen folgt einer anderen Logik als die Übermittlung an einen Auftragsverarbeiter. Auch eine Konstellation mit einem Auftragsverarbeiter und einem weiteren Unterauftragsverarbeiter braucht eine genaue Prüfung.

Annex-Angaben sorgfältig ausfüllen

Viele Fehler entstehen nicht im Klauseltext, sondern in den Anhängen. Dort müssen die Verarbeitung, die Datenkategorien, betroffene Personengruppen, Empfänger und Sicherheitsmaßnahmen nachvollziehbar beschrieben werden. Allgemeine Formulierungen wie „übliche Geschäftsdaten“ helfen bei einer Kontrolle wenig.

Beschreibe stattdessen den tatsächlichen Zweck. Bei einem CRM-System können das etwa Kontaktdaten, Kommunikationshistorien und Supportinformationen sein. Bei einem Analysewerkzeug können zusätzlich Nutzungs- oder Geräteinformationen verarbeitet werden. Entscheidend ist, dass deine Angaben zum Verzeichnis der Verarbeitungstätigkeiten, zur Auftragsverarbeitung und zur technischen Dokumentation passen.

Umstellung alter SCC

Prüfe bei bestehenden Verträgen, ob die alte Klausel noch verwendet wird, welche Datenflüsse tatsächlich stattfinden und ob sich Rollen oder Empfängerländer verändert haben. Die Umstellung ist kein reiner Austausch von PDF-Dateien. Sie ist ein guter Anlass, veraltete Datenbeschreibungen, Unterauftragnehmer und Zugriffskonzepte zu aktualisieren.

BCR: Die Lösung für konzerninterne Übermittlungen

Binding Corporate Rules, kurz BCR, eignen sich vor allem für international tätige Unternehmensgruppen mit wiederkehrenden konzerninternen Datenübermittlungen. Sie schaffen verbindliche interne Regeln für den Umgang mit personenbezogenen Daten innerhalb des Konzerns. Anders als SCC stehen dabei nicht einzelne Vertragsbeziehungen, sondern ein konzernweites Datenschutzsystem im Mittelpunkt. Laut datenschutz.hessen.de (o.J.) sind BCR konzerninterne Datenschutzregeln, die für internationale Datenübermittlungen innerhalb einer Unternehmensgruppe eingesetzt werden können.

Laut datenschutz.hessen.de (o.J.) bedürfen einzelne Übermittlungen oder Übermittlungsarten, die auf genehmigten BCR beruhen, keiner erneuten behördlichen Genehmigung. Das erleichtert die laufende Organisation innerhalb eines Konzerns, nimmt dir aber nicht die Verantwortung für die tatsächliche Umsetzung.

„Unter der Richtlinie 95/46/EG („EU-Datenschutzrichtlinie“) haben 130 Unternehmen das …“ – datenschutz.hessen.de, „Binding Corporate Rules (BCR)“

Wann BCR sinnvoll sind

BCR passen insbesondere dann, wenn mehrere Gesellschaften regelmäßig Daten austauschen und ein dauerhafter interner Rahmen gebraucht wird. Für eine einzelne Übermittlung an einen externen Anbieter sind SCC häufig der naheliegendere Weg. Diese Entscheidung solltest du nicht allein nach Konzernzugehörigkeit treffen, sondern anhand der Rollen, Zwecke und Transferwege.

Genehmigung und interne Verbindlichkeit

BCR müssen mehr leisten als eine allgemeine Datenschutzrichtlinie. Sie brauchen wirksame interne Mechanismen, klare Zuständigkeiten, Beschwerdewege, Schulungen und Regeln zur Durchsetzung. Außerdem sollte dokumentiert sein, welche Gesellschaften erfasst sind und wie neue Datenverarbeitungen in das System aufgenommen werden.

Der EDSA verabschiedete am 21. Juni 2023 Empfehlungen zu Beantragung, Bestandteilen und Grundsätzen verbindlicher interner Datenschutzvorschriften für Verantwortliche, den sogenannten BCR-C. Diese Empfehlungen solltest du bei der Weiterentwicklung eines bestehenden BCR-Programms berücksichtigen.

EDSA, TIA und zusätzliche Maßnahmen

Ein Transfer Impact Assessment, kurz TIA, unterstützt dich dabei, die rechtliche und tatsächliche Situation im Empfängerland zu bewerten. Es ist kein bloßes Formular. Du prüfst damit, ob Behörden oder andere Stellen auf die Daten zugreifen können, welche Befugnisse bestehen und welche Rechtsbehelfe betroffene Personen haben. Laut EDPB (2020) muss die Bewertung den konkreten Transfer und die relevanten Umstände berücksichtigen.

Der EDSA beziehungsweise EDPB empfiehlt, neben dem Transferinstrument zusätzliche Maßnahmen zu prüfen. Die EDSA-Empfehlungen zu ergänzenden Maßnahmen bilden dafür eine wichtige Orientierung.

Transfer Impact Assessment als Prüfprozess

Ein TIA sollte den konkreten Transfer beschreiben. Dazu gehören Datenarten, Zweck, Empfänger, Zugriffssituation und technische Umgebung. Bewerte nicht nur das Land pauschal. Ein Anbieter ohne dauerhaften Zugriff auf Klartextdaten stellt eine andere Situation dar als ein Dienstleister mit administrativen Rechten auf umfangreiche Kundendaten.

Nach einer Entscheidung des Europäischen Gerichtshofs kann ein Verantwortlicher zusätzliche Maßnahmen ergreifen müssen, um die Übermittlung in ein Nicht-EU-Land abzusichern, auch wenn sie auf SCC gestützt wird. Deshalb gehört die Bewertung des Transferkontexts zu jedem belastbaren SCC-Prozess.

Technische und organisatorische Absicherung

Zusätzliche Maßnahmen können je nach Risiko unterschiedlich aussehen. Dazu zählen etwa Verschlüsselung, eine strenge Zugriffsbeschränkung, Pseudonymisierung oder organisatorische Kontrollen. Welche Maßnahme ausreicht, hängt von Daten, Zugriffsmöglichkeit und konkretem Szenario ab. Vermeide pauschale Zusagen wie „verschlüsselt“ ohne Erklärung, wer die Schlüssel kontrolliert und wann Daten im Klartext verarbeitet werden. Laut EDPB (2020) können solche ergänzenden Maßnahmen technischer, vertraglicher oder organisatorischer Art sein.

Dokumentiere außerdem, warum du eine Maßnahme für angemessen hältst. Die EDPB-Empfehlungen zur Ergänzung von Transferinstrumenten helfen dabei, die Prüfung nachvollziehbar aufzubauen.

Internationale Datentransfers DSGVO Schritt für Schritt umsetzen

Ein wiederholbarer Ablauf verhindert, dass einzelne Transfers nur nach Bauchgefühl freigegeben werden. Die folgende Reihenfolge eignet sich als praktische Arbeitsgrundlage.

Schritt 1: Datenflüsse erfassen

Starte mit einer Liste aller Systeme, Anbieter und Konzernstellen, die personenbezogene Daten außerhalb der EU verarbeiten oder auf sie zugreifen können. Berücksichtige auch Support, Hosting, Backups und Unterauftragnehmer. Prüfe, ob Daten tatsächlich übertragen werden oder ein Fernzugriff aus einem Drittland genügt, um den Vorgang zu bewerten.

Schritt 2: Instrument auswählen

Ordne jedem Transfer ein passendes Instrument zu. SCC kommen häufig bei externen Dienstleistern zum Einsatz. BCR passen zu dauerhaften konzerninternen Datenflüssen. Zusätzlich solltest du prüfen, ob eine Angemessenheitsentscheidung oder ein anderer zulässiger Mechanismus einschlägig ist. Die passende Lösung ergibt sich aus dem konkreten Sachverhalt, nicht aus dem Namen des Tools.

Schritt 3: Transfer bewerten und absichern

Führe die erforderliche Transferprüfung durch. Frage nach Zugriffen, gesetzlichen Befugnissen und praktischen Schutzmaßnahmen. Wenn Risiken bestehen, ergänze technische oder organisatorische Maßnahmen. Halte die Begründung fest.

Schritt 4: Dokumentation verknüpfen

Verknüpfe SCC oder BCR mit den übrigen Datenschutzunterlagen. Dazu gehören Verzeichnis, Auftragsverarbeitungsvertrag, Sicherheitskonzept, Anbieterprüfung und gegebenenfalls eine Datenschutz-Folgenabschätzung. So entsteht kein isoliertes Vertragsarchiv, sondern ein belastbarer Nachweis.

Schritt 5: Änderungen überwachen

Ein Transfer bleibt nicht automatisch unverändert. Neue Unterauftragnehmer, zusätzliche Funktionen, geänderte Speicherorte oder neue Zugriffsmöglichkeiten können eine erneute Bewertung auslösen. Lege daher fest, wer Änderungen meldet und wer die Freigabe aktualisiert.

Typische Fehler bei Drittlandtransfers

Der häufigste Fehler ist ein Vertrag, der nicht zur Realität passt. Ein Unternehmen unterschreibt SCC mit einem Anbieter, während die tatsächliche Verarbeitung über weitere Gesellschaften oder Unterauftragnehmer läuft. Dann stimmen Rollen, Datenfluss und Vertragsangaben nicht überein.

Ein zweiter Fehler besteht in der pauschalen Länderbewertung. „Der Anbieter sitzt in den USA“ beantwortet noch nicht, welche Daten betroffen sind, wer Zugriff hat oder welche Schutzmaßnahmen wirken. Umgekehrt reicht auch der Hinweis auf Verschlüsselung nicht, wenn der Anbieter die Daten im Klartext verarbeiten muss.

Drittens fehlt oft eine verantwortliche Person. Datenschutz, IT, Einkauf und Fachabteilung arbeiten getrennt, obwohl jeder Bereich relevante Informationen besitzt. Weise deshalb klare Aufgaben zu:

• Die Fachabteilung beschreibt Zweck und Daten.
• IT prüft Zugriff, Hosting und Sicherheitsmaßnahmen.
• Einkauf hält Vertragspartner und Unterauftragnehmer aktuell.
• Datenschutz bewertet Rechtsgrundlage, Transferinstrument und TIA.

Besonders bei Marketing– und Analysetools solltest du die Prüfung früh einplanen. Ein eingebundenes Tool kann Daten an mehrere Empfänger weitergeben, obwohl die Website nur einen Anbieter ausweist. Prüfe daher Tags, Consent-Einstellungen, Serverstandorte und Supportzugriffe gemeinsam.

Fazit

Internationale Datentransfers DSGVO lassen sich zuverlässig organisieren, wenn du Vertrag, Datenfluss und Schutzmaßnahmen gemeinsam bewertest. SCC bieten einen wichtigen Rahmen, ersetzen aber nicht die Prüfung des Empfängerlands und des konkreten Zugriffsszenarios. BCR eignen sich für wiederkehrende konzerninterne Übermittlungen und schaffen einen verbindlichen internen Rahmen. Die EDSA-Empfehlungen helfen dabei, ergänzende Maßnahmen und deren Begründung sauber einzuordnen. Laut EDPB (2020) ist die Prüfung ergänzender Maßnahmen ein zentraler Bestandteil der Bewertung von Datentransfers.

Beginne mit einer vollständigen Übersicht deiner Transfers. Danach wählst du das Instrument, führst die Kontextprüfung durch und dokumentierst Zuständigkeiten sowie Schutzmaßnahmen. Wenn du deine Website-, Marketing- oder SEO-Prozesse ebenfalls auf klare Datenschutzkommunikation prüfen möchtest, findest du bei Schreibwertig Leistungen für Text, Marketing und SEO passende Unterstützung.

Häufig gestellte Fragen

Welche Grundlage passt für internationale Datentransfers nach DSGVO?

SCC passen häufig zu Übermittlungen an externe Dienstleister. BCR eignen sich vor allem für dauerhafte konzerninterne Datenflüsse. Zusätzlich können weitere Instrumente oder Maßnahmen relevant sein. Entscheidend sind Datenart, Zweck, Rollen, Empfängerland und Zugriffssituation. Eine pauschale Auswahl ohne Prüfung des konkreten Transfers reicht nicht aus.

Was ist der Unterschied zwischen SCC und BCR?

SCC sind Standardvertragsklauseln zwischen beteiligten Parteien und werden von der Europäischen Kommission bereitgestellt. Laut Europäische Kommission (2021) wurden die aktuellen Standardvertragsklauseln für internationale Datentransfers im Jahr 2021 veröffentlicht. BCR sind verbindliche interne Datenschutzregeln für Unternehmensgruppen. Bei genehmigten BCR benötigen einzelne darauf gestützte Übermittlungen laut datenschutz.hessen.de keine erneute behördliche Genehmigung. Beide Ansätze verlangen eine passende praktische Umsetzung.

Muss trotz SCC ein TIA durchgeführt werden?

Ja, eine Prüfung des konkreten Transferkontexts bleibt wichtig. Der EDSA empfiehlt, zusätzliche Maßnahmen neben dem Transferinstrument zu betrachten. Nach der Rechtsprechung des Europäischen Gerichtshofs können solche Maßnahmen auch bei SCC erforderlich sein. Prüfe daher Zugriffsmöglichkeiten, Rechtslage, Datenarten und technische Schutzmaßnahmen und dokumentiere deine Bewertung. Laut EDPB (2020) sind dabei insbesondere die Umstände des Transfers sowie die Rechtslage und Praxis im Empfängerland einzubeziehen.