DAILY

Drittland-Transfer

Verfügbar Datenschutz

Personenbezogene Daten dürfen in ein Land außerhalb des EWR nur übermittelt werden, wenn Kapitel V der DSGVO eingehalten ist: ein Angemessenheitsbeschluss, geeignete Garantien mit einer Bewertung des Ziellandes oder ausnahmsweise eine Ausnahme nach Art. 49. Die Prüfung folgt dieser Reihenfolge und den Empfehlungen 01/2020 des EDSA zur Schrems-II-Entscheidung. Sie ersetzt nicht die Rechtsgrundlage nach Art. 6 und den Auftragsverarbeitungsvertrag, die zusätzlich nötig sind.

Liegt eine Übermittlung vor?

1. Werden personenbezogene Daten an einen Empfänger außerhalb des EWR übermittelt oder ihm zugänglich gemacht, auch durch Fernzugriff, Support oder einen Cloud-Dienst?

Auch ein EU-Rechenzentrum eines Anbieters mit Mutterkonzern in einem Drittland kann wegen dortiger Zugriffsrechte relevant sein.

EDPB Leitlinien 05/2021

Angemessenheit

2. Besteht für das Empfängerland ein Angemessenheitsbeschluss der Kommission, der diesen Empfänger erfasst (z. B. Schweiz, Vereinigtes Königreich, Japan, Republik Korea, Israel, Neuseeland, Argentinien, Uruguay, Kanada für kommerzielle Organisationen)?

Die aktuelle Liste veröffentlicht die Kommission; Beschlüsse können befristet oder auf Teilbereiche beschränkt sein.

Art. 45 DSGVO In den Normen öffnen
3. Bei Empfängern in den USA: Ist der Empfänger aktiv unter dem EU-U.S. Data Privacy Framework zertifiziert, und deckt die Zertifizierung die übermittelten Daten ab (z. B. Personaldaten)?
Art. 45, Durchführungsbeschluss (EU) 2023/1795 DSGVO In den Normen öffnen

Geeignete Garantien

4. Sind die Standardvertragsklauseln der Kommission (Durchführungsbeschluss 2021/914) im passenden Modul abgeschlossen?
Art. 46 Abs. 2 lit. c DSGVO In den Normen öffnen
5. Oder liegen genehmigte verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) vor, die den Empfänger erfassen?
Art. 47 DSGVO In den Normen öffnen
6. Wurde ein Transfer Impact Assessment durchgeführt, das Recht und Praxis des Ziellandes bewertet, insbesondere Zugriffe von Behörden?
EDPB Empfehlungen 01/2020, Schritt 3
7. Falls das Assessment Schutzlücken zeigt: Sind wirksame ergänzende Maßnahmen umgesetzt, etwa Verschlüsselung mit Schlüsseln nur im EWR oder Pseudonymisierung?
EDPB Empfehlungen 01/2020, Schritt 4

Ausnahmen

8. Greift für eine gelegentliche, nicht wiederholte Übermittlung eine Ausnahme nach Art. 49, etwa eine ausdrückliche Einwilligung nach Information über die Risiken, die Erfüllung eines Vertrags mit der betroffenen Person oder die Geltendmachung von Rechtsansprüchen?
Art. 49 Abs. 1 DSGVO In den Normen öffnen
Dieses Ergebnis wird nicht gespeichert. Mit einem Konto werden Prüfungen mit Datum und Katalogversion abgelegt.
Menü
Vorschau · Was das bedeutet
Dunkles Papier