Drittlandtransfer

Ein Drittlandtransfer liegt vor, wenn personenbezogene Daten aus dem Anwendungsbereich der DSGVO an einen Empfänger in einem Staat außerhalb des Europäischen Wirtschaftsraums oder an eine internationale Organisation übermittelt werden. Das kann auch eine Weiterübermittlung aus dem ersten Drittland in ein weiteres Drittland umfassen. Maßgeblich ist, dass die Daten einem Verantwortlichen, einem Auftragsverarbeiter oder einem anderen Empfänger außerhalb des unionsrechtlichen Schutzraums zugänglich gemacht werden.

Vor einer Übermittlung müssen Unternehmen die Voraussetzungen des Kapitels V DSGVO prüfen. Liegt ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO vor, kann dieser den Transfer tragen. Fehlt er, kommen insbesondere geeignete Garantien nach Art. 46 DSGVO in Betracht, etwa Standardvertragsklauseln. Zusätzlich sind durchsetzbare Rechte und wirksame Rechtsbehelfe erforderlich. Die Ausnahmen nach Art. 49 DSGVO sind auf bestimmte Fälle zugeschnitten und ersetzen keine laufende Transferstruktur.

In der Praxis sollten Verantwortliche den Datenfluss, die beteiligten Empfänger, das Zielland, mögliche Weiterübermittlungen und das eingesetzte Transferinstrument dokumentieren. Bei geeigneten Garantien ist außerdem zu prüfen, ob die Rechtslage und der tatsächliche Zugriff im Zielland zusätzliche Maßnahmen erfordern. Eine Transfer Impact Assessment unterstützt diese Prüfung, ersetzt aber weder die Auswahl einer passenden Rechtsgrundlage für die Verarbeitung noch die übrigen Pflichten der DSGVO.