Grenzüberschreitende Datenübermittlungen

Was ist Grenzüberschreitende Datenübermittlungen?

Kapitel V der DSGVO beschränkt die Übermittlung personenbezogener Daten aus dem EWR in ein Land ohne Angemessenheitsbeschluss. Sie prüfen, ob das Ziel über eine solche verfügt, und wählen dann ein Übermittlungsinstrument aus, in der Regel die Standardvertragsklauseln. Standardvertragsklauseln allein reichen nicht aus: Nach Schrems II (Rechtssache C-311/18) müssen Sie außerdem eine Transfer-Folgenabschätzung durchführen, die Überwachungsbefugnisse, Rechtsbehelfe und unabhängige Aufsicht abdeckt, und dann ergänzende Maßnahmen wie Verschlüsselung oder Pseudonymisierung hinzufügen. Das Meta-Bußgeld in Höhe von 1,2 Milliarden Euro zeigt, worum es geht.

Was Sie lernen in Grenzüberschreitende Datenübermittlungen

• Stellen Sie fest, ob für das Zielland einer Datenübermittlung ein EU-Angemessenheitsbeschluss vorliegt oder alternative Garantien erforderlich sind
• Wählen Sie für das jeweilige Übermittlungsszenario das richtige Modul der Standardvertragsklauseln aus und wenden Sie es an
• Erkennen Sie, wann bei einer auf Standardvertragsklauseln gestützten Übermittlung zusätzlich eine Transfer-Folgenabschätzung zu den Rechtsvorschriften des Ziellandes erforderlich ist
• Erkennen Sie, wann ergänzende Maßnahmen wie Verschlüsselung oder Pseudonymisierung erforderlich sind, um Schutzlücken zu schließen
• Dokumentieren Sie die Begründung und Garantien der Datenübermittlung, um die Anforderungen behördlicher Prüfungen und der Rechenschaftspflicht zu erfüllen

Grenzüberschreitende Datenübermittlungen — Trainingsschritte

1. Einführung

   Die Aufsichtsbehörde, die Datenschutzbehörde des Landes, hat heute eine Prüfung der internationalen Datenübermittlungen Ihrer Organisation verlangt.

2. Die Prüfungsanfrage

   Die Anfrage der Aufsichtsbehörde ist eindeutig: Sie verlangt Unterlagen zu allen Übermittlungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR). Dazu muss Folgendes ermittelt werden: Welche Datenflüsse die Grenzen des EWR überschreiten Welche Übermittlungsinstrumente eingesetzt werden (SCCs, Angemessenheitsbeschlüsse usw.) Ob für jede Übermittlung geeignete Garantien bestehen Sie müssen mit dem Datenflussdiagramm-Tool alle grenzüberschreitenden Datenübermittlungen nachverfolgen und dokumentieren.

3. Datenflussdiagramm öffnen

   Um Ihre grenzüberschreitenden Datenübermittlungen ordnungsgemäß zu dokumentieren, müssen Sie das Datenflussdiagramm-Tool im Compliance-Portal aufrufen. Die Anwendung stellt dar, wie personenbezogene Daten die Systeme Ihres Unternehmens durchlaufen – von den Erfassungspunkten über die Speicherung und Verarbeitung bis hin zu etwaigen Übermittlungen an Dritte. Anhand des Diagramms können Sie erkennen, welche Datenströme innerhalb des EWR verbleiben und welche internationale Grenzen überschreiten.

4. Datenflussdiagramm verstehen

   Das Datenflussdiagramm zeigt alle Einheiten und Systeme, die Kundendaten von InnovateTech verarbeiten. Jeder Knoten steht für eine andere Einheit: betroffene Personen (Kunden), Verantwortliche (InnovateTech), Auftragsverarbeiter (Drittanbieter) oder Speichersysteme. Die Knoten sind je nach Standort farblich gekennzeichnet: Grüne Knoten befinden sich innerhalb des EWR, orangefarbene Knoten außerhalb des EWR und kennzeichnen damit mögliche Stellen grenzüberschreitender Datenübermittlungen. Die Linien zwischen den Knoten zeigen, wie Daten durch Ihre Systeme fließen.

5. Datenerhebung in der EU identifizieren

   Zunächst müssen Sie nachvollziehen, woher die Kundendaten stammen. InnovateTech erhebt über seine Website und seine mobile App personenbezogene Daten von Kunden in der EU. Dazu gehören Namen, E-Mail-Adressen, Zahlungsinformationen und Nutzungsdaten. Wählen Sie den Knoten „EU Customer“ aus, um zu sehen, welche personenbezogenen Daten erhoben werden und wie sie in Ihre Systeme gelangen.

6. Daten zu internen Systemen nachverfolgen

   Verfolgen Sie nun, wie Kundendaten von der Erfassung zu Ihren internen Verarbeitungssystemen fließen. Die Daten von EU Customer gelangen zunächst zu InnovateTechs EU Server, dem primären System des Verantwortlichen in Dublin, Irland. Dieser erste Datenfluss bleibt vollständig innerhalb des EWR. Für Datenübermittlungen zwischen EWR-Staaten sind keine besonderen Übermittlungsinstrumente erforderlich.

7. US-Cloud-Speicher ermitteln

   Bei der weiteren Analyse stellen Sie fest, dass Kundendaten zur Notfallwiederherstellung nach AWS US-East repliziert werden. Dies ist eine grenzüberschreitende Datenübermittlung: Die Daten verlassen den EWR und gelangen in die Vereinigten Staaten. Für die USA liegt kein länderweiter Angemessenheitsbeschluss der Europäischen Kommission vor. Das EU-US Data Privacy Framework gilt nur für US-Organisationen, die danach zertifiziert sind, und der Backup-Vertrag stützt sich auf andere Garantien, die daher dokumentiert werden müssen.

8. Datenübermittlung in die USA identifizieren

   Diese Datenübermittlung an AWS US-East muss sorgfältig dokumentiert werden. Über den Datenfluss gelangen personenbezogene Kundendaten (PII), darunter Namen, E-Mail-Adressen und Kontodaten, auf Server in Virginia, USA. Da diese Übermittlung nicht auf Grundlage des EU-US Data Privacy Framework erfolgt, stützt sich InnovateTech auf Standardvertragsklauseln (SCCs), um geeignete Garantien für diese Übermittlung vorzusehen. Sie müssen sie formal als grenzüberschreitende Datenübermittlung kennzeichnen, für die Compliance-Unterlagen erforderlich sind.

9. Support-Team in Indien ermitteln

   Ihre Analyse ergibt eine weitere grenzüberschreitende Datenübermittlung: Der Support-Auftragnehmer von InnovateTech in Bangalore, Indien, kann auf Kundendaten zugreifen. Die Supportmitarbeiter greifen auf Kundendatensätze zu, um Supportfälle zu bearbeiten und technische Hilfe zu leisten. Auch für Indien liegt kein Angemessenheitsbeschluss vor. Daher gelten für diese Datenübermittlung dieselben Standardvertragsklauseln wie für die Übermittlung in die USA.

10. Datenübermittlung nach Indien identifizieren

    Der Support-Auftragnehmer in Indien ist als Auftragsverarbeiter tätig: Er greift im Auftrag von InnovateTech auf Kundendaten zu, um Supportleistungen zu erbringen. Dafür ist ein Auftragsverarbeitungsvertrag (AVV) erforderlich, in den die SCCs einbezogen sind. Diese Datenübermittlung umfasst andere Datenkategorien als die Speicherung in den USA, vor allem Kontaktdaten von Kunden und Angaben aus Support-Tickets. Sie müssen sie als eigenständige grenzüberschreitende Datenübermittlung dokumentieren.