0800 71 20000
Kontakt
...
Beschaffung mit Drittlandbezug

Die Daten bleiben in Frankfurt, der Support sitzt in Seattle

Eine Übermittlung beginnt nicht erst beim Kopieren von Daten, sondern bereits dann, wenn eine Stelle außerhalb der EU auf sie zugreifen kann.

Passende Kurse ansehen Persönlich beraten lassen
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Seit 1997 am Markt Kleine Gruppen Präsenz und Live-Online Zertifizierte Trainer
Worum es geht

Die Prüfung endet beim Standort des Rechenzentrums und übersieht damit den halben Sachverhalt

Der übliche Ablauf in einer Beschaffung: Die Fachabteilung will ein Werkzeug, die IT fragt nach dem Serverstandort, der Anbieter antwortet mit Frankfurt oder Irland, und damit gilt die Frage als erledigt. Übersehen wird dabei, wer auf diese Server zugreifen kann. Wenn die Administration, der zweite Support-Level oder die Entwicklung außerhalb der EU sitzt, werden die Daten einer Stelle im Drittland zugänglich gemacht, und genau das ist der Kern einer Übermittlung nach Kapitel V.

Die zweite Lücke liegt bei den Unterauftragnehmern. Ein europäischer Anbieter kann selbst vollständig in der EU sitzen und trotzdem einen Dienst für Fehlerprotokolle, Videokonferenzen oder Sprachverarbeitung einsetzen, der es nicht tut. Sichtbar wird das in der Unterauftragnehmerliste des Auftragsverarbeitungsvertrags, und die liest im Beschaffungsprozess selten jemand. Wenn sie später bekannt wird, läuft der Dienst bereits, und der Rückbau ist teurer als die Prüfung vorher gewesen wäre.

Die dritte Lücke betrifft das Data Privacy Framework selbst. Es genügt nicht, dass ein Anbieter irgendwo mit dem Rahmenwerk wirbt. Maßgeblich ist der Eintrag in der Liste des US-Handelsministeriums, sein aktueller Status und die Frage, welche Datenkategorien die Zertifizierung abdeckt. Beschäftigtendaten sind dort eine eigene Kategorie, und eine Zertifizierung ohne diese Kategorie trägt eine Übermittlung von Personaldaten nicht.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was

Wer entscheidet was

Feststellen, ob überhaupt eine Übermittlung vorliegt

Wer entscheidet
Der Datenschutz gemeinsam mit der IT, weil die Antwort an der Architektur des Dienstes hängt
Wer setzt um
Die IT beschreibt Zugriffswege, Standorte der Administration und die Kette der Unterauftragnehmer, die Fachabteilung liefert die Datenarten
Stolperfalle
Gefragt wird nach dem Serverstandort, geprüft werden müsste der Zugriff. Ein europäisches Rechenzentrum mit Administration aus einem Drittland ist eine Übermittlung.

Instrument wählen und belegen

Wer entscheidet
Der Datenschutz, weil die Wahl zwischen Artikel 45 und Artikel 46 eine rechtliche Einordnung ist
Wer setzt um
Der Einkauf holt die Vertragsunterlagen ein, der Datenschutz prüft Listeneintrag, Status und abgedeckte Datenkategorien und legt einen Nachweis mit Datum ab
Stolperfalle
Die Angabe des Anbieters wird übernommen, statt in der Liste des US-Handelsministeriums nachzusehen. Zertifizierungen laufen jährlich aus und können inaktiv werden.

Einschätzung der Rechtslage im Empfängerland

Wer entscheidet
Der Datenschutz, bei größeren Vorhaben mit externer rechtlicher Begleitung
Wer setzt um
Die IT liefert die technischen Randbedingungen, der Einkauf holt beim Anbieter Auskünfte zu behördlichen Auskunftsersuchen ein
Stolperfalle
Die Einschätzung wird als Formblatt abgehakt, ohne die konkrete Datenart und die konkrete Verarbeitung zu betrachten. Damit trägt sie im Ernstfall nichts.

Ergänzende Maßnahmen und Schlüsselverwaltung

Wer entscheidet
Die IT-Sicherheit gemeinsam mit dem Datenschutz
Wer setzt um
Die IT richtet Verschlüsselung, Pseudonymisierung und Zugriffsbeschränkungen ein und dokumentiert, wo die Schlüssel liegen
Stolperfalle
Verschlüsselung wird als erledigt vermerkt, obwohl der Anbieter die Schlüssel verwaltet. Dann schützt sie gegen Dritte, nicht gegen den Empfänger selbst.

Dokumentation und Information

Wer entscheidet
Der Datenschutz für den Inhalt der Einträge, die Geschäftsführung für die Freigabe des Dienstes
Wer setzt um
Der Datenschutz trägt die Übermittlung samt Garantien nach Artikel 30 Absatz 1 Buchstabe e ein, die Kommunikation ergänzt die Angaben nach Artikel 13 Absatz 1 Buchstabe f
Stolperfalle
Die Prüfung wird sorgfältig gemacht und nirgends festgehalten. Zwei Jahre später erinnert sich niemand an die Begründung, und die Arbeit fällt erneut an.

Fünf Prüfschritte vor der Freigabe eines Dienstes

  1. 01 Wer greift von wo aus auf die Daten zu, einschließlich Support und Administration?
  2. 02 Steht der Empfänger unter einem Angemessenheitsbeschluss und für welche Datenarten?
  3. 03 Wenn nicht: welches Modul der Standardvertragsklauseln passt zur Rollenverteilung?
  4. 04 Was sagt das Recht des Empfängerlands, und welche Maßnahmen gleichen das aus?
  5. 05 Was steht dazu im Verzeichnis nach Artikel 30 und in der Information nach Artikel 13?
Was du mitnimmst

Was du danach vor jeder Beschaffung abarbeitest

Die Prüfung folgt einer festen Reihenfolge, und sie ist beim zweiten Mal deutlich schneller als beim ersten, weil die Fragen dieselben bleiben. Was sich ändert, sind die Antworten je Anbieter, und genau die gehören dokumentiert, damit die nächste Beschaffung darauf aufbauen kann.

Den Übermittlungsbegriff weit fassen

Nicht nur das Kopieren zählt, sondern jedes Zugänglichmachen an eine Stelle im Drittland. Fernwartung, Support mit Bildschirmfreigabe, Administration einer europäischen Umgebung aus einem Drittland und die Auswertung von Fehlerprotokollen fallen darunter.

Den Eintrag im Framework selbst prüfen

Öffne die Liste des US-Handelsministeriums, such den Empfänger unter seinem korrekten Firmennamen, prüf den Status und die abgedeckten Datenkategorien. Beschäftigtendaten sind eine eigene Kategorie, die gesondert gewählt werden muss.

Beim richtigen Modul der Klauseln bleiben

Der Durchführungsbeschluss (EU) 2021/914 enthält vier Module für unterschiedliche Rollenpaarungen. Viele Anbieter legen alle vier bei und überlassen die Auswahl dem Kunden. Ein falsch gewähltes Modul macht die Klauseln als Garantie unbrauchbar.

Die Rechtslage im Empfängerland einschätzen

Die Klauseln allein genügen nicht. Es braucht die Prüfung, ob das Recht des Empfängerlands ihre Wirksamkeit unterläuft, und gegebenenfalls ergänzende Maßnahmen. Der Europäische Datenschutzausschuss hat dafür in den Empfehlungen 01/2020 ein sechsstufiges Vorgehen beschrieben.

Verschlüsselung nur mit eigenem Schlüssel rechnen

Eine Verschlüsselung, deren Schlüssel beim Empfänger liegt, ist gegenüber einem behördlichen Zugriff auf diesen Empfänger wirkungslos. Als ergänzende Maßnahme wirkt sie nur, wenn die Schlüsselverwaltung außerhalb der Reichweite des Importeurs bleibt.

Artikel 49 nicht als Dauerlösung nutzen

Die Ausnahmen für bestimmte Fälle sind eng auszulegen und für gelegentliche, nicht wiederholte Übermittlungen gedacht. Eine ausdrückliche Einwilligung nach Unterrichtung über die Risiken kann eine einzelne Reisebuchung tragen, nicht den Dauerbetrieb eines Fachverfahrens.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Was als Übermittlung zählt

Kapitel V knüpft nicht an den Transport von Dateien an, sondern daran, dass personenbezogene Daten einer Stelle in einem Drittland zugänglich gemacht werden. Damit ist der Fernzugriff die häufigste und am seltensten erkannte Form. Ein Support-Team, das sich zur Fehlersuche auf einen Bildschirm schaltet, sieht dabei personenbezogene Daten. Ein Administrationsteam, das eine in der EU betriebene Umgebung von außerhalb verwaltet, hat Zugriff auf alles, was in dieser Umgebung liegt.

Ebenfalls dazu gehören die weniger sichtbaren Wege. Fehlerprotokolle und Absturzberichte enthalten oft Inhalte aus Eingabefeldern. Telemetrie kann Kennungen enthalten, die einer Person zuzuordnen sind. Sicherungskopien liegen manchmal in einer anderen Region als das Produktivsystem. Und ein Verzeichnisdienst, der Benutzerkonten weltweit verwaltet, überträgt bereits mit dem Anmeldevorgang Daten.

Die praktische Konsequenz: Die Frage im Beschaffungsformular darf nicht lauten, wo die Daten liegen, sondern wer von wo aus auf sie zugreifen kann. Diese eine Änderung im Fragebogen findet mehr Drittlandbezüge als jede nachgelagerte Prüfung.

Angemessenheitsbeschluss: bequem, aber nicht pauschal

Artikel 45 erlaubt die Übermittlung ohne weitere Genehmigung, wenn die Kommission für das betreffende Land ein angemessenes Schutzniveau festgestellt hat. Für eine Reihe von Ländern gilt das unbeschränkt, die aktuelle Liste führt die Kommission selbst. Für die USA gilt es seit dem 10. Juli 2023 in einer besonderen Form: Der Beschluss trägt nicht das Land, sondern die einzelnen Organisationen, die sich unter dem EU-US Data Privacy Framework zertifiziert haben.

Daraus folgen drei Prüfschritte, die kein Anbieterprospekt ersetzt. Erstens: Steht der Empfänger unter seinem tatsächlichen Firmennamen in der Liste des US-Handelsministeriums, und stimmt dieser Name mit der Vertragspartei überein? Konzerne führen dort oft nur eine Gesellschaft, während der Vertrag mit einer anderen geschlossen wird. Zweitens: Ist der Status aktiv? Die Zertifizierung muss jährlich erneuert werden und kann auf inaktiv fallen. Drittens: Welche Datenkategorien sind abgedeckt?

Der dritte Punkt ist der, der am häufigsten unbemerkt bleibt. Das Framework kennt für Beschäftigtendaten eine eigene Zertifizierung, die gesondert gewählt und nicht automatisch mitgeführt wird. Wenn ihr ein US-System für Personalprozesse einsetzt und der Anbieter nur für allgemeine Daten zertifiziert ist, trägt der Angemessenheitsbeschluss diese Übermittlung nicht, und ihr braucht die Standardvertragsklauseln.

Standardvertragsklauseln und das richtige Modul

Artikel 46 Absatz 2 Buchstabe c nennt die von der Kommission erlassenen Standarddatenschutzklauseln als geeignete Garantie. Maßgeblich ist der Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021. Er enthält vier Module, die sich nach den Rollen der Beteiligten richten: Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter und Auftragsverarbeiter an Verantwortlichen.

In der Praxis liefern Anbieter häufig ein Dokument, das alle vier Module enthält, und überlassen die Auswahl über Ankreuzfelder dem Kunden. Wer hier greift, ohne die eigene Rolle geklärt zu haben, unterschreibt eine Garantie, die auf den Sachverhalt nicht passt. Die Klärung der Rolle ist deshalb kein formaler Vorlauf, sondern Voraussetzung dafür, dass die Klauseln überhaupt wirken.

Zu den Klauseln gehören Anhänge, die niemand überspringen sollte: die Beschreibung der Übermittlung mit Datenkategorien, Zwecken und Aufbewahrungsdauer, die Liste der Unterauftragnehmer und die Beschreibung der technischen und organisatorischen Maßnahmen. Ein Anhang mit dem Inhalt siehe Anbieterdokumentation erfüllt diesen Zweck nicht. Änderungen am Text der Klauseln selbst sind nur eingeschränkt möglich, ergänzende Regelungen dürfen ihnen nicht widersprechen.

Die Einschätzung der Rechtslage und was danach kommt

Seit dem Urteil des Europäischen Gerichtshofs vom 16. Juli 2020 in der Rechtssache C-311/18, bekannt als Schrems II, steht fest, dass die Standardvertragsklauseln für sich genommen nicht genügen, wenn das Recht des Empfängerlands ihre Zusagen aushebelt. Der Europäische Datenschutzausschuss hat dafür in den Empfehlungen 01/2020 ein Vorgehen in sechs Schritten beschrieben: die eigenen Übermittlungen kennen, das Übermittlungsinstrument bestimmen, seine Wirksamkeit im Empfängerland beurteilen, gegebenenfalls ergänzende Maßnahmen festlegen, die dafür nötigen Verfahrensschritte gehen und die Einschätzung in angemessenen Abständen überprüfen.

Die ergänzenden Maßnahmen sind technischer, vertraglicher und organisatorischer Natur, und nur die technischen wirken gegen einen behördlichen Zugriff beim Empfänger. Verschlüsselung wirkt, solange der Schlüssel außerhalb der Reichweite des Importeurs bleibt. Pseudonymisierung wirkt, solange die Zuordnungstabelle nicht mitübermittelt wird. Eine vertragliche Zusage, Auskunftsersuchen zu melden, ist nützlich für die eigene Reaktion, hindert aber niemanden am Zugriff.

Die Einschätzung ist kein Formblatt. Für die USA geht es um drei Regelungen: Section 702 des Foreign Intelligence Surveillance Act, der Anbieter elektronischer Kommunikationsdienste zur Herausgabe verpflichten kann, die Executive Order 12333 für die Erfassung außerhalb der Vereinigten Staaten und der CLOUD Act, der an das Unternehmen anknüpft und nicht an den Standort der Festplatte. Zu prüfen ist deshalb nicht nur, wo die Daten liegen, sondern ob der Empfänger überhaupt in den Anwendungsbereich dieser Regelungen fällt, welche Datenart betroffen ist und wie wahrscheinlich ein Zugriff für genau diese Verarbeitung ist. Ein Ergebnis, das für jeden Anbieter gleich lautet, ist mit hoher Wahrscheinlichkeit keines.

Artikel 49 und warum er kein Ausweg ist

Wenn weder ein Angemessenheitsbeschluss noch geeignete Garantien vorliegen, bleiben die Ausnahmen aus Artikel 49: die ausdrückliche Einwilligung nach Unterrichtung über die möglichen Risiken, die Erforderlichkeit für die Erfüllung eines Vertrags mit der betroffenen Person, wichtige Gründe des öffentlichen Interesses, die Geltendmachung oder Verteidigung von Rechtsansprüchen und einige weitere eng gefasste Fälle.

Der Europäische Datenschutzausschuss legt diese Ausnahmen eng aus und sieht sie für gelegentliche und nicht wiederholte Übermittlungen vor. Eine Hotelbuchung im Ausland, die Übersendung von Unterlagen in einem konkreten Rechtsstreit oder eine einmalige Anfrage passen. Der laufende Betrieb eines Fachverfahrens, in dem täglich Daten fließen, passt nicht, auch dann nicht, wenn alle Betroffenen unterschrieben haben.

Wer die Ausnahme dennoch nutzt, sollte den gelegentlichen Charakter dokumentieren und ein Datum setzen, zu dem der Sachverhalt erneut betrachtet wird. Eine Ausnahme, die drei Jahre lang trägt, war keine.

Dazu passende Kurse

Weil diese Prüfung bei jeder neuen Beschaffung von vorn beginnt, lohnt es sich, Drittlandübermittlungen im Kurs prüfen lernen .

Wissen prüfen

Wie sicher bist du beim Thema wirklich?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest Datenschutz Grundlagen QuizTeste dein Wissen zu Rechtsgrundlagen, Auftragsverarbeitung, Betroffenenrechten, Löschkonzept und Datenpannen. Quiz starten
Konkrete Kurse

Wo du genau das übst

Häufige Fragen

Reicht es, wenn der Anbieter mit dem Data Privacy Framework wirbt?
Nein. Maßgeblich ist der Eintrag in der Liste des US-Handelsministeriums mit dem Firmennamen, der auch Vertragspartei ist, mit aktivem Status und mit einer Zertifizierung, die eure Datenart abdeckt. Beschäftigtendaten sind dort eine eigene Kategorie. Ein Auszug aus dieser Liste mit Datum gehört in eure Unterlagen, denn der Status kann sich ändern.
Ist eine Übermittlung schon der Zugriff aus dem Ausland?
Ja, denn Kapitel V erfasst das Zugänglichmachen an eine Stelle in einem Drittland und nicht nur den Transport von Dateien. Deshalb ist die entscheidende Frage im Beschaffungsprozess nicht der Serverstandort, sondern wer von wo aus Zugriff hat, einschließlich Fernwartung, zweiter Support-Ebene und Administration.
Brauchen wir zusätzlich zu den Klauseln noch einen Auftragsverarbeitungsvertrag?
Wenn der Empfänger für euch als Auftragsverarbeiter tätig ist, verlangt Artikel 28 einen Vertrag mit den dort genannten Inhalten. Das Modul zwei der Standardvertragsklauseln deckt diese Inhalte ab, sodass eine doppelte Regelung nicht nötig ist. Wichtig ist, dass beide Regelwerke einander nicht widersprechen, wenn ihr zusätzlich eigene Vertragsmuster verwendet.
Was ändert sich, wenn ein Angemessenheitsbeschluss wegfällt?
Dann entfällt die Grundlage für alle darauf gestützten Übermittlungen, und es braucht kurzfristig ein anderes Instrument. Für das Data Privacy Framework ist das keine theoretische Sorge: Der Beschluss unterliegt der regelmäßigen Überprüfung durch die Kommission, und er ist vor den Unionsgerichten angegriffen worden. Genau deshalb lohnt es sich, für Dienste mit Drittlandbezug schon bei der Beschaffung zu klären, ob die Standardvertragsklauseln als zweite Grundlage im Vertrag mit angelegt sind. Diese Vorsorge kostet bei Vertragsschluss wenig und spart später den Betriebsstillstand.

Quellen

Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem Datenschutz-Programm den passenden Kurs für deinen Stand zu finden.

0800 71 20000 E-Mail
Norbert Jansen

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.

0800 71 20000 E-Mail

Die Prüfung, die bei jeder Beschaffung wiederkommt

Bei cmt gehst du diese Reihenfolge an echten Anbieterunterlagen durch und nimmst einen Prüfbogen mit, der zu euren Verfahren passt.

Alle Kurse und Termine Frage stellen

Passt dazu

Alle Themen zu Datenschutz