Das Schrems-II-Urteil des Gerichtshofs der Europäischen Union (C-311/18) hat bestätigt, dass Organisationen prüfen müssen, ob das Recht und die Praxis des Bestimmungslands das nach dem EU-Datenschutzrecht erforderliche Schutzniveau untergraben können. Erforderlichenfalls sind geeignete zusätzliche Maßnahmen umzusetzen.
Dieser Leitfaden erläutert, wie internationale Übermittlungen zu bewerten sind, wann ein Transfer Impact Assessment (TIA) angezeigt ist, wie die Methodik des EDPB funktioniert und wie das Ergebnis zu dokumentieren ist.
Wichtig: Dieser Leitfaden dient der allgemeinen Compliance-Information und stellt keine Rechtsberatung dar. Die Anforderungen an Übermittlungen hängen von den konkreten Daten, den Parteien, dem Bestimmungsland, dem Übermittlungsinstrument und den Verarbeitungstätigkeiten ab.
§Was hat Schrems II geändert?
Das Schrems-II-Urteil vom 16. Juli 2020 erklärte den EU-US Privacy Shield für ungültig und bestätigte zugleich, dass Standardvertragsklauseln grundsätzlich ein gültiges Übermittlungsinstrument bleiben.
Organisationen, die sich auf SCCs stützen, können die Klauseln jedoch nicht als für sich genommen ausreichend betrachten. Sie müssen prüfen, ob die Rechtsordnung und die Praxis im Bestimmungsland zulassen, dass die in den SCCs enthaltenen Schutzvorkehrungen wirksam greifen.
Erforderlichenfalls können zusätzliche Garantien notwendig sein.
Der EDPB hat daraufhin eine Methodik in sechs Schritten entwickelt, um internationale Übermittlungen zu bewerten und zusätzliche Maßnahmen zu bestimmen.
Der Grundsatz für die Praxis
- Übermittlung ermitteln
- Rechtliches Instrument bestimmen
- Bestimmungsland bewerten
- Zusätzliche Maßnahmen festlegen
- Entscheidung dokumentieren
- Änderungen beobachten
§Was ist ein Transfer Impact Assessment?
Ein Transfer Impact Assessment (TIA) ist die dokumentierte Bewertung einer internationalen Datenübermittlung, mit der festgestellt werden soll, ob das Übermittlungsinstrument unter den gegebenen Umständen ein angemessenes Schutzniveau bietet.
Ein TIA kann untersuchen:
- Welche personenbezogenen Daten übermittelt werden
- Wer die Daten erhält
- Wohin die Daten übermittelt werden
- Zweck und Art der Verarbeitung
- Auf welches Übermittlungsinstrument sich die Übermittlung stützt
- Recht und Praxis im Bestimmungsland
- Mögliche Zugriffe durch Regierungsstellen oder Behörden
- Verfügbare Betroffenenrechte und Rechtsbehelfe
- Technische, vertragliche und organisatorische Schutzmaßnahmen
- Ob zusätzliche Maßnahmen erforderlich sind
- Ob und unter welchen Bedingungen die Übermittlung erfolgen kann
Ein TIA sollte auf dem konkreten Übermittlungsszenario beruhen und sich nicht allein auf eine generische Länderbewertung stützen.
§Wann sollte eine Organisation eine internationale Übermittlung bewerten?
Klären Sie zunächst, ob personenbezogene Daten in ein Land außerhalb des EWR übermittelt oder von dort aus zugänglich gemacht werden.
Relevante Szenarien können sein:
- Nutzung eines Cloud-Anbieters außerhalb des EWR
- Hosting personenbezogener Daten außerhalb des EWR
- Fernzugriff durch Personal außerhalb des EWR
- Weitergabe von Daten an einen Auftragsverarbeiter oder Unterauftragsverarbeiter im Ausland
- Einsatz internationaler Kundenservice-Teams
- Übermittlung von Daten an einen Analyse- oder Werbeanbieter im Ausland
- Internationaler konzerninterner Datenzugriff
- Weiterübermittlungen durch Auftragsverarbeiter
Die Analyse der Übermittlung sollte auf der tatsächlichen Verarbeitungsumgebung beruhen, einschließlich Cloud-Regionen, Fernzugriffsregelungen, Backups und Unterauftragsverarbeitern.
§Schritt 1 – Übermittlung erfassen und verstehen
Eine Übermittlung, die Sie nicht ermittelt haben, können Sie nicht angemessen bewerten.
Erstellen Sie eine Bestandsaufnahme zu:
Daten
- Kategorien personenbezogener Daten
- Besondere Kategorien personenbezogener Daten
- Sensible oder vertrauliche Informationen
- Volumen und Häufigkeit
- Anzahl und Aufenthaltsort der betroffenen Personen
Parteien
- Verantwortlicher
- Auftragsverarbeiter
- Unterauftragsverarbeiter
- Verbundene Unternehmen
- Dienstleister
- Sonstige Empfänger
Standorte
- Herkunft der Daten
- Bestimmungsland
- Hosting-Standort
- Backup-Standorte
- Standorte mit Fernzugriff
- Ziele von Weiterübermittlungen
Verarbeitung
- Zweck
- Art der Verarbeitung
- Speicherdauer
- Zugriffsanforderungen
- Verschlüsselungsregelungen
- Authentifizierung und Zugriffskontrollen
Ihr Verzeichnis nach Artikel 30, Ihr Dienstleisterregister, Datenflussdiagramme und Ihre Cloud-Architektur sind nützliche Ausgangspunkte, sollten jedoch mit der tatsächlichen technischen Umgebung abgeglichen werden.
§Schritt 2 – Übermittlungsinstrument bestimmen
Kapitel V der GDPR sieht mehrere Instrumente für internationale Übermittlungen vor.
Angemessenheitsbeschlüsse
Nach Artikel 45 kann die Europäische Kommission feststellen, dass ein Land oder ein bestimmtes Rahmenwerk ein angemessenes Schutzniveau bietet.
Ist eine Übermittlung ordnungsgemäß von einem Angemessenheitsbeschluss erfasst, müssen sich Organisationen für diese Übermittlung nicht auf SCCs stützen.
Organisationen sollten jedoch dokumentieren:
- Das Bestimmungsland
- Den einschlägigen Angemessenheitsbeschluss
- Den vom Beschluss erfassten Empfänger
- Den Geltungsbereich des Beschlusses
- Etwaige relevante Einschränkungen
Standardvertragsklauseln
SCCs nach Artikel 46 gehören zu den am häufigsten genutzten Instrumenten für internationale Übermittlungen.
Welches Modul geeignet ist, hängt vom Verhältnis zwischen den Parteien ab:
- Modul 1 – Verantwortlicher an Verantwortlichen
- Modul 2 – Verantwortlicher an Auftragsverarbeiter
- Modul 3 – Auftragsverarbeiter an Auftragsverarbeiter
- Modul 4 – Auftragsverarbeiter an Verantwortlichen
Werden SCCs verwendet, sollten die Parteien prüfen, ob das Recht und die Praxis des Bestimmungslands verhindern könnten, dass die Schutzvorkehrungen der SCCs wirksam sind.
Binding Corporate Rules
Genehmigte Binding Corporate Rules können Übermittlungen innerhalb multinationaler Unternehmensgruppen stützen.
Sie entbinden Organisationen nicht davon, die Umstände der konkreten Übermittlung und das einschlägige rechtliche Umfeld zu verstehen.
Ausnahmen nach Artikel 49
Artikel 49 enthält eng begrenzte Ausnahmen für bestimmte Fälle, darunter bestimmte Konstellationen in Bezug auf:
- Ausdrückliche Einwilligung
- Erforderlichkeit für einen Vertrag
- Wichtige Gründe des öffentlichen Interesses
- Lebenswichtige Interessen
- Sonstige in der GDPR genannte Umstände
Ausnahmen sollten in der Regel nicht als routinemäßiger Ersatz für ein geeignetes langfristiges Übermittlungsinstrument dienen.
§Schritt 3 – Bestimmungsland bewerten
Dies ist der Kern der Übermittlungsbewertung.
Die Organisation sollte prüfen, ob das Recht und die Praxis des Bestimmungslands die nach dem gewählten Übermittlungsinstrument erforderlichen Schutzvorkehrungen beeinträchtigen könnten.
Relevante Faktoren können sein:
Staatliche Befugnisse und Überwachungsbefugnisse
Bewerten Sie:
- Staatliche Zugriffsbefugnisse
- Gesetzgebung zur nationalen Sicherheit
- Zugriff durch Strafverfolgungsbehörden
- Umfang der Überwachungsbefugnisse
- Voraussetzungen für den Zugriff
- Unabhängige Aufsicht
- Richterliche Genehmigung
- Garantien der Notwendigkeit und Verhältnismäßigkeit
Betroffenenrechte
Prüfen Sie, ob betroffene Personen über wirksame und durchsetzbare Rechte verfügen, darunter:
- Auskunft
- Berichtigung
- Widerspruch
- Gerichtliche Rechtsbehelfe
- Unabhängige Aufsicht
- Wirksame Rechtsschutzmechanismen
Rechtsstaatlichkeit
Die Bewertung kann außerdem berücksichtigen:
- Unabhängigkeit der Justiz
- Transparenz
- Regulatorische Aufsicht
- Verfügbarkeit wirksamer Rechtsbehelfe
- Durchsetzungspraxis
Die „European Essential Guarantees“ des EDPB bieten einen hilfreichen Bezugsrahmen für die Analyse von Überwachungsmaßnahmen.
§Schritt 4 – Zusätzliche Maßnahmen bestimmen
Ergibt die Bewertung des Bestimmungslands Risiken, denen das Übermittlungsinstrument nicht ausreichend begegnet, können zusätzliche Maßnahmen erforderlich sein.
Der EDPB unterscheidet im Wesentlichen technische, vertragliche und organisatorische Maßnahmen.
Technische Maßnahmen
Je nach Übermittlung können dazu gehören:
- Starke Verschlüsselung
- Verschlüsselung mit geeigneten Kontrollen für das Schlüsselmanagement
- Pseudonymisierung
- Zugriffskontrollen
- Segmentierung
- Aufgeteilte Verarbeitung
- Confidential Computing
- Sichere Verarbeitungsumgebungen
- Datenminimierung
Die Wirksamkeit einer Maßnahme hängt von der konkreten Bedrohung und dem Übermittlungsszenario ab.
So kann Verschlüsselung einen starken Schutz bieten, wenn der Empfänger keinen Zugriff auf die Entschlüsselungsschlüssel hat.
Vertragliche Maßnahmen
Mögliche Maßnahmen sind:
- Zusagen zur Benachrichtigung über staatliche Zugriffe, soweit rechtlich zulässig
- Transparenzpflichten
- Pflichten zur Anfechtung rechtswidriger oder unverhältnismäßiger Ersuchen
- Auditrechte
- Sicherheitsanforderungen
- Unterstützung bei Betroffenenanfragen
- Kontrollen für Unterauftragsverarbeiter
- Anforderungen an das Incident Management
Vertragliche Bestimmungen können zwingendes Recht im Bestimmungsland für sich genommen nicht außer Kraft setzen. Ihre Wirksamkeit ist daher im jeweiligen Kontext zu bewerten.
Organisatorische Maßnahmen
Dazu können gehören:
- Verfahren für den Umgang mit staatlichen Zugriffsersuchen
- Interne Zugriffsbeschränkungen
- Mitarbeiterschulungen
- Richtlinien zur Datenminimierung
- Transparenzberichte
- Strenge Genehmigungsverfahren
- Richtlinien für Offenlegungsersuchen
- Regelmäßige Übermittlungsbewertungen
§Schritt 5 – TIA dokumentieren
Ein belastbares TIA sollte schriftlich vorliegen, auf Nachweisen beruhen und auf die konkrete Übermittlung zugeschnitten sein.
Eine praxistaugliche TIA-Dokumentation kann enthalten:
Übermittlungsprofil
- Datenexporteur
- Datenimporteur
- Datenkategorien
- Betroffene Personen
- Verarbeitungszwecke
- Bestimmungsland
- Häufigkeit
- Volumen
- Speicherdauer
Übermittlungsinstrument
- Angemessenheitsbeschluss
- SCC-Modul
- BCR
- Ausnahme nach Artikel 49
- Sonstiges anwendbares Instrument
Rechtliche Bewertung
- Einschlägige Gesetze des Bestimmungslands
- Staatliche Zugriffsbefugnisse
- Rechtsrahmen für Überwachung
- Betroffenenrechte
- Rechtsbehelfe
- Regulatorisches Umfeld
Risikobewertung
- Ermittelte Risiken
- Eintrittswahrscheinlichkeit
- Mögliche Auswirkungen
- Bestehende Schutzmaßnahmen
- Restrisiko
Zusätzliche Maßnahmen
- Technisch
- Vertraglich
- Organisatorisch
Abschließendes Ergebnis
Die Organisation sollte dokumentieren, ob:
- A. die Übermittlung wie bewertet erfolgen kann;
- B. die Übermittlung unter dem Vorbehalt bestimmter zusätzlicher Maßnahmen erfolgen kann; oder
- C. die Übermittlung nicht erfolgen sollte, sofern die Übermittlungsvereinbarung nicht geändert wird.
§Schritt 6 – Bei geänderten Umständen neu bewerten
Ein TIA sollte nicht als Dokument behandelt werden, das einmal erstellt und dann vergessen wird.
Eine Neubewertung kann angezeigt sein, wenn sich Folgendes wesentlich ändert:
- Recht des Bestimmungslands
- Praxis staatlicher Zugriffe
- Leitlinien der Aufsichtsbehörden
- Gerichtsentscheidungen
- Datenimporteur
- Unterauftragsverarbeiter
- Verarbeitungszweck
- Datenkategorien
- Sicherheitsarchitektur
- Übermittlungsinstrument
- Technische Schutzmaßnahmen
Eine Organisation kann im Rahmen ihres Privacy-Governance-Programms zudem einen regelmäßigen Überprüfungszyklus festlegen.
Die Methodik des EDPB verlangt ausdrücklich eine Neubewertung in angemessenen Abständen und bei geänderten Umständen.
§Datenübermittlungen zwischen der EU und den USA und das Data Privacy Framework
Mit dem EU-US Data Privacy Framework wurde ein Angemessenheitsrahmen für Übermittlungen an berechtigte US-Organisationen geschaffen, die an dem Rahmenwerk teilnehmen.
Das ist wichtig, weil sich eine Übermittlung an eine erfasste, zertifizierte US-Organisation auf den einschlägigen Angemessenheitsbeschluss stützen kann und nicht automatisch SCCs erfordert.
Organisationen sollten jedoch überprüfen:
- Ob der US-Empfänger aktuell zertifiziert ist
- Ob die Zertifizierung den betreffenden Service und die betreffenden Daten abdeckt
- Ob die Übermittlung in den Geltungsbereich des Angemessenheitsbeschlusses fällt
- Ob Weiterübermittlungen angemessen abgedeckt sind
- Ob für andere Empfänger oder Unterauftragsverarbeiter andere Übermittlungsinstrumente gelten
Das DPF sollte daher auf der Ebene der konkreten Übermittlung geprüft werden, statt „die USA“ pauschal als eine einzige Übermittlungskategorie zu behandeln.
§Braucht jede internationale Übermittlung ein TIA?
Nein – jedenfalls nicht in dem Sinne, dass für jede internationale Übermittlung ein eigenständiges Dokument namens „TIA“ vorliegen muss.
Die rechtliche Analyse hängt vom Übermittlungsinstrument und von den Umständen ab.
Zum Beispiel:
- Ein einschlägiger Angemessenheitsbeschluss kann das Übermittlungsinstrument nach Artikel 45 bilden.
- Auf SCCs gestützte Übermittlungen erfordern eine angemessene Bewertung von Recht und Praxis des Bestimmungslands.
- Bei BCR-Übermittlungen sind die jeweiligen Umstände zu berücksichtigen.
- Für Ausnahmen nach Artikel 49 gelten eigene, spezifische Anforderungen und Grenzen.
Auch wenn ein eigenständiges TIA rechtlich nicht vorgeschrieben ist, kann es für Rechenschaftspflicht und Governance wertvoll sein, die Grundlage und die Bewertung der Übermittlung zu dokumentieren.
§TIA vs. Datenübermittlungsvertrag
Diese Dokumente dienen unterschiedlichen Zwecken.
| TIA | Datenübermittlungsvertrag / SCCs |
|---|---|
| Bewertet das Übermittlungsrisiko und das rechtliche Umfeld | Begründet vertragliche Pflichten |
| Untersucht Recht und Praxis des Bestimmungslands | Legt Anforderungen zwischen den Parteien fest |
| Bestimmt zusätzliche Maßnahmen | Weist Verantwortlichkeiten zu |
| Stützt die Übermittlungsentscheidung | Bildet gegebenenfalls das vertragliche Übermittlungsinstrument |
| Dokumentiert die Begründung | Schafft durchsetzbare vertragliche Zusagen |
Ein TIA ersetzt keine SCCs, wenn SCCs das gewählte Übermittlungsinstrument sind.
Ebenso entbindet die Unterzeichnung von SCCs nicht von der Prüfung, ob die Übermittlung im Bestimmungsland wirksam funktionieren kann.
§Häufige Fehler beim TIA
Fehler 1: SCCs als für sich genommen ausreichend behandeln
SCCs sind wichtig, doch die Übermittlungsbewertung muss das rechtliche Umfeld des Bestimmungslands berücksichtigen.
Fehler 2: Eine generische Länderbewertung verwenden
Eine Übermittlung verschlüsselter, pseudonymisierter Daten kann ganz andere Risiken bergen als eine Übermittlung identifizierbarer Gesundheitsdaten.
Fehler 3: Fernzugriffe außer Acht lassen
Ein Fernzugriff aus einem anderen Land kann für die Analyse der Übermittlung relevant sein.
Fehler 4: Unterauftragsverarbeiter außer Acht lassen
Der Hauptdienstleister ist möglicherweise nicht die einzige Organisation, die die Daten erhält oder darauf zugreift.
Fehler 5: Verschlüsselung als automatisch ausreichend behandeln
Die Wirksamkeit von Verschlüsselung hängt vom Schlüsselmanagement, von den Zugriffsrechten, der technischen Architektur und der konkreten Bedrohung ab.
Fehler 6: Sich allein darauf verlassen, dass es bisher keine staatlichen Ersuchen gab
Erfahrungen aus der Vergangenheit können relevante Anhaltspunkte sein, sollten aber eine Bewertung des einschlägigen Rechtsrahmens nicht ersetzen.
Fehler 7: Die Bewertung nicht aktualisieren
Eine wesentliche rechtliche, regulatorische, vertragliche oder technische Änderung kann das ursprüngliche Ergebnis beeinflussen.
§Checkliste zur TIA-Dokumentation
Vergewissern Sie sich vor Abschluss eines TIA, dass Sie Folgendes dokumentiert haben:
- Übermittlungsszenario
- Datenkategorien
- Betroffene Personen
- Datenexporteur und Datenimporteur
- Bestimmungsland
- Unterauftragsverarbeiter
- Hosting- und Fernzugriffsstandorte
- Übermittlungsinstrument
- Rechtliche Bewertung des Bestimmungslands
- Analyse staatlicher Zugriffe
- Betroffenenrechte und Rechtsbehelfe
- Bestehende technische Schutzmaßnahmen
- Vertragliche Schutzmaßnahmen
- Organisatorische Schutzmaßnahmen
- Zusätzliche Maßnahmen
- Restrisiko
- Abschließende Übermittlungsentscheidung
- Zuständige Stakeholder/Freigabe
- Auslöser für eine Überprüfung
- Nächster Überprüfungstermin
§Häufig gestellte Fragen
Ist ein TIA nach der GDPR verpflichtend?
Die GDPR schreibt kein allgemeines, eigenständiges Dokument namens „TIA“ für jede internationale Übermittlung vor. Organisationen, die sich auf Übermittlungsinstrumente wie SCCs stützen, müssen jedoch die Umstände der Übermittlung bewerten und prüfen, ob das Recht und die Praxis des Bestimmungslands das erforderliche Schutzniveau beeinträchtigen.
Sind SCCs nach Schrems II weiterhin gültig?
Ja. Schrems II hat die SCCs nicht generell für ungültig erklärt. Das Urteil hat bestätigt, dass Organisationen prüfen müssen, ob die Klauseln unter den konkreten Umständen der Übermittlung einen wirksamen Schutz bieten können.
Kann Verschlüsselung ein Problem bei internationalen Übermittlungen lösen?
Möglicherweise, aber nicht automatisch. Die Wirksamkeit von Verschlüsselung hängt von der Umsetzung, dem Schlüsselmanagement, den Zugriffsregelungen, den betroffenen Daten und dem maßgeblichen Bedrohungsmodell ab.
Benötigen wir für jeden Auftragsverarbeiter ein eigenes TIA?
Nicht unbedingt. Organisationen können hinreichend ähnliche Übermittlungsszenarien gegebenenfalls zusammenfassen, wenn die tatsächlichen und rechtlichen Umstände im Wesentlichen vergleichbar sind. Die Bewertung sollte dennoch konkret genug bleiben, um die tatsächliche Übermittlungsentscheidung zu stützen.
Macht der räumliche Anwendungsbereich nach Artikel 3 GDPR die Anforderungen von Kapitel V entbehrlich?
Nein. Die Leitlinien 05/2021 des EDPB behandeln das Zusammenspiel von Artikel 3 und Kapitel V und erläutern, dass bestimmte Verarbeitungstätigkeiten, die Artikel 3 Abs. 2 unterliegen, dennoch internationale Übermittlungen beinhalten können, für die die Anforderungen von Kapitel V gelten.
Was geschieht, wenn zusätzliche Maßnahmen das Risiko nicht beheben können?
Lässt sich das erforderliche Schutzniveau nicht erreichen, muss die Organisation die Übermittlung je nach anwendbarem Übermittlungsinstrument und den Umständen möglicherweise anpassen, aussetzen oder unterlassen.
Ein belastbares Programm für internationale Übermittlungen aufbauen
Ein robustes Übermittlungsprogramm sollte Folgendes verbinden:
- Erfassung der Übermittlungen
- Rechtliches Instrument
- Länderbewertung
- Zusätzliche Maßnahmen
- Dokumentation
- Kontinuierliches Monitoring
RegulatoryBridge unterstützt Organisationen bei der Bewertung internationaler Übermittlungen, der TIA-Dokumentation, der Umsetzung von SCCs, der Analyse zusätzlicher Maßnahmen und der grenzüberschreitenden Privacy Governance.
Benötigen Sie Unterstützung bei der Bewertung einer internationalen Übermittlung? Kontaktieren Sie RegulatoryBridge, um Ihr Übermittlungsszenario zu besprechen.