schrems-ii-drittlandsuebermittlung-c-311-18

Drittlandübermittlung nach Schrems II prüfen

1. Einsatzlage

Personenbezogene Daten werden außerhalb des Europäischen Wirtschaftsraums gespeichert, aus der Ferne abgerufen oder einem drittstaatlichen Anbieter zugänglich gemacht. Vertragsklauseln allein genügen nicht, wenn Recht und Praxis des Empfängerstaats ihre Wirksamkeit beeinträchtigen.

2. Normenanker

• Artikel 5, 6, 9, 24, 28 und 32 DSGVO: Grundsätze, Rechtsgrundlage, besondere Kategorien, Verantwortung, Auftragsverarbeitung und Sicherheit.
• Artikel 44 bis 49 DSGVO: System der Drittlandübermittlungen.
• Durchführungsbeschluss (EU) 2021/914: aktuelle Standardvertragsklauseln und richtiges Modul.
• Angemessenheitsbeschluss nach Artikel 45 DSGVO nur für den erfassten Staat, Sektor und zertifizierten Empfänger.

3. Rechtsprechungs- und Quellenanker

• EuGH, Urteil vom 16. Juli 2020 - C-311/18, Schrems II: Der damalige Angemessenheitsbeschluss zum EU-US Privacy Shield war ungültig. Standardvertragsklauseln blieben grundsätzlich gültig, verlangen aber eine fallbezogene Prüfung und wirksame zusätzliche Maßnahmen; andernfalls ist die Übermittlung auszusetzen oder zu beenden.
• Europäischer Datenschutzausschuss, Empfehlungen 01/2020 in der endgültigen Fassung vom 18. Juni 2021: Datenflüsse kennen, Transferinstrument bestimmen, Drittlandsrecht und Praxis bewerten, ergänzende Maßnahmen auswählen und regelmäßig neu prüfen.
• Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10. Juli 2023 erfasst nur teilnehmende und aktuell zertifizierte US-Organisationen. Vor jeder Freigabe sind Fortbestand des Beschlusses, Zertifizierungsstatus und sachlicher Umfang in der offiziellen Liste zu prüfen.

4. Prüfprogramm

1. Alle Übermittlungen einschließlich Fernzugriff, Support, Telemetrie, Unterauftragnehmer und Backups erfassen. Verantwortlichen, Exporteur, Importeur und Rollen bestimmen.
2. Verarbeitungsgrundlage nach Artikel 6 oder 9 DSGVO von der zusätzlichen Transfergrundlage nach Kapitel V trennen.
3. Angemessenheitsbeschluss prüfen: aktueller Bestand, erfasster Sektor, konkrete Zertifizierung und Datenkategorie. Eine Konzernzugehörigkeit ersetzt keine Zertifizierung.
4. Ohne Angemessenheit richtiges Instrument wählen: Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften oder gesetzlich vorgesehene Alternative. Artikel 49 nur ausnahmsweise und nicht für planmäßige Dauertransfers einsetzen.
5. Transferfolgenabschätzung durchführen: Daten, Zweck, Empfänger, Zugriffswahrscheinlichkeit, Drittlandsrecht, behördliche Praxis und wirksame Rechtsbehelfe.
6. Zusätzliche Maßnahmen auf konkrete Gefahr beziehen. Ende-zu-Ende-Verschlüsselung hilft nur, wenn der Importeur keine Schlüssel und keinen notwendigen Klartextzugriff erhält; Pseudonymisierung verlangt getrennte Zusatzinformationen.
7. Vertragliche und organisatorische Maßnahmen ergänzen: Transparenz, Challenge-Pflicht, Benachrichtigung, Zugriffskontrolle, Protokollierung, Löschung und Unterauftragnehmerkontrolle.
8. Restrisiko entscheiden, dokumentieren und Übermittlung aussetzen, wenn kein im Wesentlichen gleichwertiger Schutz erreichbar ist. Anlass- und Regelprüfung terminieren.

5. Arbeitsergebnis

Liefere Datenflusskarte, Rollen- und Transfermatrix, ausgefüllte Transferfolgenabschätzung, Klausel- und Zertifizierungscheck, Maßnahmenplan, Freigabeentscheidung und Reassessment-Termin. Rechtsgrundlage und Transferinstrument stehen in getrennten Feldern.

6. Belege und Aktenlücken

• Architektur-, Datenfluss- und Unterauftragnehmerliste
• Auftragsverarbeitungsvertrag und Standardvertragsklauseln
• Zertifizierung und aktueller Angemessenheitsbeschluss
• Drittlandsrechtsauskunft und Transparenzberichte
• Verschlüsselungs-, Schlüssel- und Löschkonzept