Transfer Impact Assessment

Ein Transfer Impact Assessment (TIA) ist eine dokumentierte Risikoprüfung für eine geplante Übermittlung in ein Drittland. Es ist keine eigene Übermittlungsgrundlage, sondern unterstützt die Prüfung, ob die Anforderungen aus Art. 44 DSGVO und, insbesondere bei Standardvertragsklauseln, aus Art. 46 DSGVO eingehalten werden können. Das Datenschutz-Lexikon ordnet die dabei verwendeten Begriffe ein.

Im TIA werden unter anderem die konkreten Daten, Empfänger, Verarbeitungszwecke, der Übermittlungsweg und das eingesetzte Instrument erfasst. Anschließend wird geprüft, ob die Rechtslage und die behördliche Praxis im Drittland ein im Wesentlichen gleichwertiges Schutzniveau ermöglichen. Das Urteil Schrems II und die Empfehlungen des EDSA sehen dabei eine risikobezogene Prüfung vor. Ergibt sie relevante Lücken, sind zusätzliche Maßnahmen zu bestimmen oder die Übermittlung darf so nicht durchgeführt werden. Für die vorgelagerte Dienstleisterprüfung steht eine Checkliste für Auftragsverarbeiter zur Verfügung.

Das Ergebnis sollte die tragenden Annahmen, die geprüfte Rechtslage, die Schutzmaßnahmen und die verbleibenden Risiken nachvollziehbar festhalten. Die Prüfung gehört zur laufenden Datenschutz-Governance: Bei Änderungen des Dienstleisters, des Übermittlungswegs oder der Rechtslage muss das TIA aktualisiert werden. Ein TIA ersetzt weder einen Angemessenheitsbeschluss noch eine sorgfältige Auswahl und laufende Kontrolle des eingesetzten Transferinstruments.