Rechtsfrage

Das Transfer Impact Assessment

Die Verordnung kennt den Begriff Transfer Impact Assessment nicht. Die Pflicht folgt aus Art. 46 Abs. 1 DSGVO in der Auslegung des Gerichtshofs und steht seit 2021 ausdrücklich in Klausel 14 der Standardvertragsklauseln. Wer sie nicht kennt, führt sie nicht durch. Wer sie kennt, findet die Übermittlung oft nicht.

Eine Zeile im Verzeichnis, vier Länder dahinter

Im Verzeichnis steht eine Zeile mit einem Anbieter aus Irland. Das Rechenzentrum liegt in Frankfurt. Der Support arbeitet aus Manila, das Monitoring läuft über einen Dienstleister in den Vereinigten Staaten, der Zahlungsabgleich geht an einen Anbieter in Indien. Im Vertrag stehen alle drei, in einer Anlage auf Seite neun.

Die Pflicht steht in der Vertragsklausel, nicht im Verordnungstext

Woher die Pflicht kommt, obwohl keine Vorschrift so heißt, ist die Frage, an der die Prüfung meistens endet, bevor sie beginnt. Die Verordnung kennt den Begriff nicht. Die Pflicht entsteht aus dem Zusammenspiel dreier Quellen.

Drei Quellen, eine Pflicht

Art. 46 Abs. 1 DSGVO
Die Übermittlung ist nur zulässig, wenn geeignete Garantien vorgesehen sind und den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Ob das zutrifft, sagt die Vorschrift nicht.
EuGH vom 16.07.2020
Der Gerichtshof hat den vertraglichen Mechanismus auf die Eigenverantwortlichkeit des Verantwortlichen gestützt. Ihm obliegt die Prüfung in jedem Einzelfall, ggf. zusammen mit dem Empfänger.
Klausel 14 der Standardvertragsklauseln
Der Durchführungsbeschluss von 2021 macht daraus eine Vertragspflicht mit sechs Buchstaben, von der Zusicherung über die Beurteilung bis zur Aussetzung. Wer die Klauseln unterschreibt, hat die Prüfung zugesagt.

3 von 3

Damit ist auch die Reihenfolge geklärt. Die Prüfung gehört zur Auswahl der Garantie nach Art. 46 DSGVO und nicht in eine spätere Nachschau. Liegt ein Angemessenheitsbeschluss nach Art. 45 DSGVO vor, entfällt sie, solange er gilt.

Der Drittlandbezug sitzt selten dort, wo der Vertragspartner sitzt

Wo der Drittlandbezug tatsächlich liegt, ist die eigentliche Schwierigkeit. Art. 44 DSGVO erfasst jede Übermittlung. Art. 28 Abs. 4 DSGVO erstreckt die Pflichten auf jeden weiteren Auftragsverarbeiter. Der Sitz des Vertragspartners sagt darüber nichts.

Vier Stellen, an denen er regelmäßig übersehen wird

Support und Fernwartung

Ein Zugriff aus einem Drittland zur Fehlerbehebung ist eine Übermittlung, auch wenn keine Datei kopiert wird. Der Zugang zu Daten genügt. Fernwartungsfenster sind zudem selten auf einen Datenbestand begrenzt.

Monitoring und Protokollierung

Protokolldaten enthalten regelmäßig Kennungen, Adressen und Zeitstempel und sind damit personenbezogen. Ein Überwachungsdienst im Drittland verarbeitet sie, auch wenn er die Fachdaten nie sieht.

Sicherungskopien und Ausweichrechenzentren

Die Sicherung liegt häufig in einer anderen Region als der Betrieb. Die Wiederherstellung im Notfall folgt anderen Regeln als der Normalbetrieb. Beides gehört in die Betrachtung.

Konzerninterne Weitergabe des Anbieters

Der Anbieter gibt Daten an seine eigene Muttergesellschaft weiter, etwa für Abrechnung oder Missbrauchserkennung. Das ist eine Weiterleitung im Sinne der Klausel 14 Buchst. b Ziffer i und in der Liste der Unterauftragsverarbeiter oft nicht als solche erkennbar.

Die Angaben dafür stehen im Verzeichnis der Verarbeitungstätigkeiten, wo Art. 30 Abs. 1 Buchst. e DSGVO das Drittland und die Garantie verlangt. Wo dort nichts steht, ist die Übermittlung nicht abwesend, sondern unbemerkt.

Geprüft wird die Lage der Übermittlung und nicht das Rechtssystem

Wie weit die Prüfung des fremden Rechts reichen muss, wird überschätzt. Daran scheitert sie ein zweites Mal. Klausel 14 Buchst. b bindet die Beurteilung an die besonderen Umstände der Übermittlung und an die insoweit relevanten Rechtsvorschriften des Bestimmungslandes.

Was zu prüfen ist und was nicht

Gegenstand der Prüfung	Merkmal	Nicht Gegenstand
Diese ÜbermittlungKette, beteiligte Akteure, Übertragungswege, Art des Empfängers, Kategorien und Format der Daten.	Reichweite	Das Rechtssystem insgesamtEine allgemeine Bewertung des Landes ist weder verlangt noch leistbar.
Die einschlägigenInsbesondere Befugnisse von Behörden zum Zugang, mit ihren Beschränkungen und Garantien.	Rechtsvorschriften	Jede denkbare NormMaßstab sind die Umstände dieser Übermittlung.
Ausdrücklich einbezogenKlausel 14 nennt Rechtsvorschriften und Gepflogenheiten nebeneinander.	Gepflogenheiten	Nicht der Wortlaut alleinEine Norm, die in der Praxis anders angewandt wird, ist so zu bewerten.
Vertraglich geschuldetKlausel 14 Buchst. c verpflichtet ihn, sich nach besten Kräften zu bemühen.	Zuarbeit des Empfängers	Kein Ersatz für die BewertungDie Beurteilung bleibt Sache des Exporteurs.

Die Prüfung ist auf die konkrete Übermittlung zugeschnitten. Darin liegt ihre Machbarkeit. Wer eine Länderstudie erwartet, beginnt nicht. Wer die vier Merkmale abarbeitet, kommt zu einem tragfähigen Ergebnis.

Ohne hinreichende Zusatzmaßnahmen ist die Übermittlung auszusetzen

Was folgt, wenn die Beurteilung kein angemessenes Schutzniveau ergibt, hat der Gerichtshof deutlich gesagt. Kann der Verantwortliche keine hinreichenden zusätzlichen Maßnahmen ergreifen, ist er verpflichtet, die Übermittlung auszusetzen. Klausel 14 Buchst. f wiederholt das als Vertragspflicht und eröffnet dem Exporteur ein Kündigungsrecht.

So unterstützen wir Sie beim Transfer Impact Assessment

Der Einstieg ist nicht die Prüfung, sondern die Liste. Aus dem Verzeichnis der Verarbeitungstätigkeiten und aus den Listen der Unterauftragsverarbeiter ergibt sich, welche Übermittlungen überhaupt stattfinden. Erst danach ist zu entscheiden, welche davon eine Beurteilung nach Klausel 14 braucht. Übermittlungen unter einem Angemessenheitsbeschluss fallen dabei heraus.

Häufige Fragen

Wo steht die Pflicht zum Transfer Impact Assessment?

Unter diesem Namen nirgends. Sie folgt aus Art. 46 Abs. 1 DSGVO, den der Gerichtshof am 16.07.2020 dahin ausgelegt hat, dass der Verantwortliche in jedem Einzelfall zu prüfen hat, ob das Recht des Bestimmungslandes ein angemessenes Schutzniveau gewährleistet. Klausel 14 der Standardvertragsklauseln von 2021 schreibt die Prüfung seither ausdrücklich vor.

Gilt die Pflicht auch bei einem Angemessenheitsbeschluss?

Nein. Art. 45 DSGVO erlaubt die Übermittlung ohne weitere Prüfung, solange der Beschluss gilt. Zu prüfen bleibt allerdings, ob der Empfänger und der Zweck vom Beschluss gedeckt sind. Ferner kann ein Beschluss aufgehoben oder für ungültig erklärt werden.

Muss die Beurteilung dokumentiert werden?

Ja. Klausel 14 Buchst. d der Standardvertragsklauseln verpflichtet die Parteien, die Beurteilung zu dokumentieren und sie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.

Was tun, wenn der Anbieter keine Auskunft gibt?

Klausel 14 Buchst. c verpflichtet den Datenimporteur, sich nach besten Kräften um sachdienliche Informationen zu bemühen. Bleibt die Auskunft aus, fehlt der Beurteilung die Grundlage. Das ist selbst ein Ergebnis. Es führt zur Frage nach zusätzlichen Maßnahmen und ggf. zur Aussetzung.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.