Grenzüberschreitende Datenübertragungen

Navigate transfer mechanisms for data leaving the EEA.

What Is Grenzüberschreitende Datenübertragungen?

Unter grenzüberschreitenden Datenübermittlungen gemäß DSGVO versteht man jede Übertragung personenbezogener Daten aus dem Europäischen Wirtschaftsraum (EWR) in ein Land, für das kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt. Kapitel V der Verordnung schränkt diese Übermittlungen ein und verlangt von Organisationen, bestimmte Sicherheitsvorkehrungen zu treffen, bevor sie personenbezogene Daten in Drittländer übermitteln. Diese Übung versetzt Sie in ein Szenario, in dem Ihr Unternehmen Kundendaten an einen Dienstleister mit Sitz außerhalb des EWR übertragen muss. Sie bewerten, ob das Zielland über einen Angemessenheitsbeschluss verfügt, und wählen, falls nicht, den geeigneten Übertragungsmechanismus aus. Das gebräuchlichste Instrument sind Standardvertragsklauseln (SCCs), die die Europäische Kommission im Juni 2021 mit einem modularen Ansatz aktualisiert hat, der vier Übertragungsszenarien abdeckt. Aber SCCs allein reichen nicht immer aus. Gemäß dem Urteil des Gerichtshofs in Schrems II (Rechtssache C-311/18, Juli 2020) müssen Sie außerdem eine Transfer Impact Assessment (TIA) durchführen, um zu bewerten, ob die Gesetze des Ziellandes im Wesentlichen einen gleichwertigen Schutz wie das EU-Recht bieten. Die Übung führt Sie durch eine realistische TIA und untersucht die Überwachungsbefugnisse der Regierung, den Zugang zu Rechtsbehelfen und das Vorhandensein einer unabhängigen Aufsicht. Sie üben ergänzende Maßnahmen wie Verschlüsselung und Pseudonymisierung, die Schutzlücken schließen können. Die im Mai 2023 gegen Meta Platforms verhängte Geldbuße in Höhe von 1,2 Milliarden Euro wegen unzureichender Übertragungsgarantien macht diesen Bereich zu einem der Compliance-Bereiche mit dem höchsten Risiko im Rahmen der DSGVO.

What You'll Learn in Grenzüberschreitende Datenübertragungen

Grenzüberschreitende Datenübertragungen — Training Steps

  1. Einführung

    Heute hat die Datenschutzbehörde eine Prüfung der internationalen Datenübertragungen Ihrer Organisation angefordert.

  2. Die Audit-Anfrage

    Die DPA-Prüfungsanfrage ist spezifisch – sie möchte eine Dokumentation für alle Übermittlungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR) sehen. Dazu gehört die Identifizierung: Welche Datenströme die EWR-Grenzen überschreiten Welche Übertragungsmechanismen vorhanden sind (Standardvertragsklauseln, Angemessenheitsentscheidungen usw.) Ob für jede Übertragung geeignete Schutzmaßnahmen bestehen Sie müssen das Datenflussdiagramm-Tool verwenden, um alle grenzüberschreitenden Übertragungen zu verfolgen und zu dokumentieren.

  3. Öffnen des Datenflussdiagramms

    Um Ihre grenzüberschreitenden Überweisungen ordnungsgemäß zu dokumentieren, müssen Sie über das Compliance-Portal auf das Datenflussdiagramm-Tool zugreifen. Diese Anwendung bietet eine visuelle Darstellung, wie sich personenbezogene Daten durch die Systeme Ihres Unternehmens bewegen – von den Erfassungspunkten über die Speicherung und Verarbeitung bis hin zu etwaigen Übermittlungen an Dritte. Anhand des Diagramms können Sie erkennen, welche Datenströme innerhalb des EWR verbleiben und welche internationale Grenzen überschreiten.

  4. Das Diagramm verstehen

    Das Datenflussdiagramm zeigt alle Entitäten an, die die Kundendaten von InnovateTech verarbeiten. Jeder Knoten stellt eine andere Entität dar – betroffene Personen (Kunden), Verantwortliche (InnovateTech), Auftragsverarbeiter (Drittanbieter) und Speichersysteme. Knoten sind nach Standort farblich gekennzeichnet – grüne Knoten liegen innerhalb des EWR, während orange Knoten außerhalb des EWR liegen und potenzielle grenzüberschreitende Transferpunkte darstellen. Die Linien zwischen den Knoten zeigen, wie Daten durch Ihre Systeme fließen.

  5. Identifizierung der EU-Datenerhebung

    Zunächst müssen Sie verstehen, woher die Kundendaten stammen. InnovateTech sammelt über seine Website und mobile App personenbezogene Daten von EU-Kunden. Zu diesen Daten gehören Namen, E-Mail-Adressen, Zahlungsinformationen und Nutzungsanalysen. Wählen Sie den Knoten „EU-Kunde“, um Details darüber anzuzeigen, welche personenbezogenen Daten erfasst werden und wie diese in Ihre Systeme gelangen.

  6. Rückverfolgung von Daten zu internen Systemen

    Verfolgen Sie nun, wie Kundendaten von der Erfassung bis zu Ihren internen Verarbeitungssystemen fließen. Die EU-Kundendaten gelangen zunächst auf den EU-Server von InnovateTech, der als primäres Controller-System in Dublin, Irland, dient. Dieser anfängliche Fluss bleibt vollständig innerhalb des EWR – für den Datentransfer zwischen EU-Mitgliedstaaten sind keine besonderen Übertragungsmechanismen erforderlich.

  7. Entdecken Sie US Cloud Storage

    Wenn Sie Ihre Analyse fortsetzen, stellen Sie fest, dass Kundendaten für Notfallwiederherstellungszwecke nach AWS US-East repliziert werden. Hierbei handelt es sich um eine grenzüberschreitende Übertragung – die Daten verlassen den EWR und gehen in die Vereinigten Staaten. Den USA liegt kein Angemessenheitsbeschluss der Europäischen Kommission vor, sodass für diese Übermittlung zusätzliche Schutzmaßnahmen erforderlich sind.

  8. Identifizierung der US-Übertragung

    Diese Übertragung an AWS US-East erfordert eine sorgfältige Dokumentation. Der Fluss überträgt Kunden-PII, einschließlich Namen, E-Mails und Kontodaten, an Server in Virginia, USA. Da es in den USA keinen Angemessenheitsbeschluss gibt, muss sich InnovateTech auf Standardvertragsklauseln (SCCs) stützen, um angemessene Schutzmaßnahmen für diese Übertragung zu gewährleisten. Sie müssen dies offiziell als grenzüberschreitende Übertragung kennzeichnen, für die eine Compliance-Dokumentation erforderlich ist.

  9. Discovering India Support-Team

    Ihre Analyse zeigt einen weiteren grenzüberschreitenden Transfer – Kundendaten sind für das Support-Team von InnovateTech in Bangalore, Indien, zugänglich. Supportmitarbeiter greifen auf Kundendatensätze zu, um Tickets zu lösen und technische Hilfe zu leisten. Auch in Indien fehlt eine Angemessenheitsentscheidung, was bedeutet, dass für diese Übertragung die gleichen Standardvertragsklauseln gelten wie für die US-Übertragung.

  10. Identifizierung des Indien-Transfers

    Das Support-Team in Indien fungiert als Auftragsverarbeiter – es greift im Namen von InnovateTech auf Kundendaten zu, um Support-Services bereitzustellen. Dies erfordert eine Datenverarbeitungsvereinbarung (Data Processing Agreement, DPA) mit integrierten SCCs. Bei dieser Übertragung handelt es sich um andere Datenkategorien als bei der US-Speicherung – hauptsächlich Kundenkontaktinformationen und Support-Ticketdetails. Sie müssen dies als separate grenzüberschreitende Überweisung dokumentieren.