DSGVO · Art. 44-49
DSGVO-044-DRITTLAND
Drittlandtransfers identifizieren und rechtssicher absichern
Anforderung
Die Uebermittlung personenbezogener Daten in Drittlaender (ausserhalb EU/EWR) ist nur zulaessig, wenn ein angemessenes Schutzniveau gewaehrleistet ist – z. B. durch Angemessenheitsbeschluss, Standardvertragsklauseln (SCC) mit zusaetzlichen Massnahmen oder verbindliche interne Datenschutzvorschriften (BCR).
Fundstelle
DSGVO Art. 44-49
Gap-Check
Sind alle Datenfluesse in Drittlaender (insb. USA, z. B. ueber US-Cloud-Anbieter) identifiziert und durch eine gueltige Rechtsgrundlage (Angemessenheitsbeschluss, SCC + Transfer Impact Assessment) abgesichert?
Wenn ja
Anforderung erfuellt – Rechtsentwicklungen (z. B. neue Angemessenheitsbeschluesse, EuGH-Urteile) beobachten.
Teilweise
SCC vorhanden, aber kein Transfer Impact Assessment (TIA) oder zusaetzliche Massnahmen fehlen.
Wenn nein
Kritische Luecke: Unzulaessige Drittlandtransfers sind ein Schwerpunktthema europaeischer Aufsichtsbehoerden und Verbandsklagen.
Maßnahme
- Alle eingesetzten Cloud-/SaaS-Dienste auf Serverstandort und Konzernstruktur (US-Mutterkonzern?) pruefen
- Fuer Transfers in Laender ohne Angemessenheitsbeschluss: SCC abschliessen und Transfer Impact Assessment (TIA) durchfuehren
- Zusaetzliche technische Massnahmen (Verschluesselung mit EU-Schluesselhoheit, Pseudonymisierung) pruefen
- Alternativen mit EU-Serverstandort evaluieren, wo TIA ein unzureichendes Schutzniveau ergibt (Cross-Framework-Bezug: BAM selbst wird mit DE-Serverstandorten beworben)
Aufwand
hoch
Schätzung
5 bis 15 Personentage (Stark abhaengig von Anzahl genutzter Nicht-EU-Cloud-Dienste)
Zeithorizont
mittelfristig
Hilfsmittel
Cloud-Dienstleister-Inventar, SCC-Vorlagen, TIA-Vorlage
Vertiefung
DSGVO Survival Kit, Kap. 13 – Datentransfers in Drittlaender
Risiko
Drittlandtransfers (insb. USA-Clouddienste) stehen seit mehreren EuGH-Entscheidungen unter besonderer Beobachtung der Aufsichtsbehoerden.
Eintritt
3 von 5
Auswirkung
5 von 5
Bußgeldrahmen
20.000.000 EUR oder 4% weltweiter Jahresumsatz
DSGVO Art. 83 Abs. 5
Control und Nachweis
Control
Drittlandtransfers identifiziert, durch SCC + TIA abgesichert, EU-Alternativen geprueft
Art
organisatorisch
Dringlichkeit
hoch
Nachweis
TIA-Dokumentation je Drittlandtransfer
Vorlage
Transfer Impact Assessment (TIA)
Verknüpfungen
Querverweise
CROSS-DSGVO-AVV
ISO 27001:2022
A.5.19, A.5.34 (teilweise)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json