Datenübertragung in Drittstaaten – was beachten?

Die Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union (sogenannte Drittstaaten) ist für viele Unternehmen unerlässlich. Doch dabei sind strenge Vorgaben der Datenschutz-Grundverordnung (DSGVO) zu beachten, um ein angemessenes Datenschutzniveau sicherzustellen. In diesem Artikel erläutern wir, welche Aspekte Sie berücksichtigen müssen, um rechtskonform zu handeln.

Grundlagen der Datenübertragung in Drittstaaten

Was sind Drittstaaten?

Drittstaaten sind Länder außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Die Übermittlung personenbezogener Daten in diese Länder unterliegt besonderen Regelungen der DSGVO.

Rechtliche Anforderungen der DSGVO

Die DSGVO legt fest, dass personenbezogene Daten nur dann in Drittstaaten übermittelt werden dürfen, wenn dort ein angemessenes Datenschutzniveau gewährleistet ist. Dies kann durch einen Angemessenheitsbeschluss der Europäischen Kommission oder durch geeignete Garantien wie Standardvertragsklauseln sichergestellt werden.

Instrumente zur Sicherstellung des Datenschutzniveaus

Angemessenheitsbeschlüsse

Die Europäische Kommission kann feststellen, dass ein Drittstaat ein angemessenes Datenschutzniveau bietet. In diesem Fall ist die Datenübermittlung ohne weitere Genehmigungen zulässig. Eine Liste der Länder mit Angemessenheitsbeschluss finden Sie hier: Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer.

Standardvertragsklauseln (SCC)

Fehlt ein Angemessenheitsbeschluss, können Standardvertragsklauseln als geeignete Garantie dienen. Diese von der Europäischen Kommission bereitgestellten Musterverträge verpflichten den Datenimporteur im Drittstaat, ein mit der EU vergleichbares Datenschutzniveau einzuhalten. Die aktuellen Standardvertragsklauseln wurden im Juni 2021 veröffentlicht und müssen seit dem 27. Dezember 2022 verwendet werden. Weitere Informationen dazu finden Sie hier: EU-DS-GVO: Datentransfer in Drittländer.

Binding Corporate Rules (BCR)

Für konzerninterne Datenübertragungen können verbindliche interne Datenschutzvorschriften, sogenannte Binding Corporate Rules, eingesetzt werden. Diese müssen von den zuständigen Datenschutzbehörden genehmigt werden und gewährleisten ein einheitliches Datenschutzniveau innerhalb des Konzerns.

Praktische Umsetzung und Handlungsempfehlungen

Risikobewertung und zusätzliche Maßnahmen

Unternehmen sollten vor der Datenübertragung eine gründliche Risikobewertung durchführen. Dabei ist zu prüfen, ob im Drittstaat Gesetze existieren, die den Datenschutz untergraben könnten. Gegebenenfalls sind zusätzliche technische und organisatorische Maßnahmen erforderlich, um den Schutz der Daten sicherzustellen.

Dokumentation und Transparenz

Es ist essenziell, alle Schritte der Datenübertragung sorgfältig zu dokumentieren. Dazu gehören die Auswahl der geeigneten Garantien, die durchgeführten Risikobewertungen und die implementierten Schutzmaßnahmen. Diese Dokumentation dient als Nachweis der Compliance gegenüber Aufsichtsbehörden.

Regelmäßige Überprüfung und Anpassung

Die rechtlichen Rahmenbedingungen und die Situation in Drittstaaten können sich ändern. Daher sollten Unternehmen regelmäßig ihre Datenübertragungsprozesse überprüfen und bei Bedarf anpassen, um weiterhin den Anforderungen der DSGVO gerecht zu werden.

• Prüfen Sie, ob für das Zielland ein Angemessenheitsbeschluss vorliegt.
• Verwenden Sie die aktuellen Standardvertragsklauseln der EU-Kommission.
• Führen Sie eine detaillierte Risikobewertung vor der Datenübertragung durch.
• Implementieren Sie zusätzliche Schutzmaßnahmen bei Bedarf.
• Dokumentieren Sie alle Schritte und Entscheidungen sorgfältig.
• Überprüfen Sie regelmäßig Ihre Datenübertragungsprozesse und passen Sie diese an.