¶ Drittlandtransfers
Beispieldokument: Diese Seite ist ein Musterentwurf für die fiktive „Muster GmbH“. Sie enthält keine realen Empfänger, Länder, Transfergrundlagen, TIAs oder freigegebenen Zusatzmaßnahmen.
Transferregel: Speicherorte allein reichen für die Bewertung nicht aus. Auch Offenlegung, Fernzugriff, Support, Konzernzugriff, Unterauftragnehmer und Weiterübermittlungen werden geprüft.
Schutzregel: Kapitel V ergänzt die übrigen DSGVO-Anforderungen. Eine Transfergrundlage ersetzt weder Rechtsgrundlage, Transparenz, Datenminimierung, Sicherheit noch Rollen- und Auftragsverarbeitungsprüfung.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-04-05 |
| Dokumentenart | Verfahren für Drittlandtransfers und internationale Zugriffe |
| Wiki.js-Pfad | /DSGVO/04-Auftragsverarbeitung-und-Drittland/Drittlandtransfers |
| Verantwortlich | festzulegende Datenschutzkoordination / Prozesseigner / Datenexporteur |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Einkauf, IT und Informationssicherheit |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine realen Transfers, Garantien, TIAs oder Zusatzmaßnahmen freigegeben |
| Version | 1.0 |
| Stand | 09.08.2026 |
| Gültig ab | Nach Transferinventar, Rechts-, TIA- und Maßnahmenprüfung sowie formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie bei Länder-, Rechts-, Empfänger-, Dienst- oder Zugriffänderungen |
| Schutzklasse | Vertraulich; Datenflüsse, Verträge, Behördenzugriffe, TIAs und technische Maßnahmen geschützt |
| DSGVO-Bezug | Insbesondere Artikel 3, 13, 14 und Kapitel V mit Artikeln 44 bis 49 DSGVO |
| Schnittstellen | VVT, Auftragsverarbeiter, Unterauftragnehmer, gemeinsame Verantwortung, Informationspflichten, TOM, DSFA und Vorfälle |
Transfer, Empfänger, Rechtsinstrument, tatsächliches Schutzniveau, Zusatzmaßnahmen und Weiterübermittlungen werden gemeinsam gesteuert. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Das Verfahren stellt sicher, dass internationale Übermittlungen und Zugriffe vollständig erkannt, auf eine geeignete Grundlage gestützt, technisch geschützt, transparent gemacht und regelmäßig überprüft werden.
¶ 2. Transfer erkennen
Nach den EDSA-Leitlinien werden für einen Transfer im Sinne von Kapitel V kumulativ geprüft:
- Ein Verantwortlicher oder Auftragsverarbeiter unterliegt für die Verarbeitung der DSGVO.
- Diese Stelle übermittelt personenbezogene Daten an eine andere Stelle oder macht sie ihr verfügbar.
- Der Empfänger befindet sich in einem Drittland oder ist eine internationale Organisation.
Auch wenn eine Konstellation nach dieser Prüfung kein Transfer ist, können wegen eines Drittlandbezugs erhöhte Risiken und Pflichten nach Artikel 5, 24, 25, 32, 35 oder 48 bestehen.
¶ 3. Transferinventar
| Feldgruppe | Mindestinhalt |
|---|---|
| Exporteur | Rechtsträger, Rolle, Niederlassung und VVT |
| Importeur | Rechtsträger, Rolle, Land und Kontakt |
| Vorgang | Zweck, Daten, Personengruppen, Häufigkeit und Volumen |
| Zugriff | Speicherung, Support, Administration, Telemetrie, Backup und Schlüsselzugriff |
| Kette | Auftragsverarbeiter, weitere Empfänger und Weiterübermittlungen |
| Grundlage | Angemessenheit, Garantie oder eng auszulegende Ausnahme |
| Bewertung | TIA, lokales Recht, Praxis und Behördenzugriffe |
| Maßnahmen | technische, vertragliche und organisatorische Ergänzungen |
| Status | Freigabe, Auflagen, Review, Aussetzung oder Beendigung |
¶ 4. Typische Fundstellen
- Cloud-, Hosting- und SaaS-Dienste,
- Support und Fernwartung aus Drittstaaten,
- zentrale Konzernsysteme und gemeinsame Plattformen,
- Personal-, Kunden-, Marketing- und Analysedienste,
- Sicherheitsüberwachung, Telemetrie und Protokollauswertung,
- mobile Apps, SDKs, Content-Netzwerke und Kommunikationsdienste,
- Backups, Notfallwiederherstellung und globale Administrationskonten,
- Unterauftragnehmer und Weiterübermittlungen.
¶ 5. Prüfreihenfolge der Transfergrundlage
| Stufe | Arbeitsregel |
|---|---|
| Angemessenheitsbeschluss nach Artikel 45 | Geltungsbereich, Empfänger, Sektor und aktuelle Gültigkeit anhand der EU-Kommission prüfen |
| geeignete Garantien nach Artikel 46 oder verbindliche interne Datenschutzvorschriften | passendes Instrument, durchsetzbare Rechte, Rechtsbehelfe und tatsächliche Wirksamkeit prüfen |
| Ausnahme nach Artikel 49 | nur für die konkrete besondere Situation; eng auslegen und nicht als Dauerlösung für regelmäßige Transfers verwenden |
Die aktuelle Liste und der genaue Umfang von Angemessenheitsbeschlüssen werden jeweils bei der EU-Kommission geprüft und nicht als statische Länderliste im Wiki nachgebaut.
¶ 6. Geeignete Garantien
Mögliche Instrumente können – je nach Konstellation – insbesondere sein:
- Standardvertragsklauseln der EU-Kommission,
- verbindliche interne Datenschutzvorschriften,
- genehmigte Verhaltensregeln oder Zertifizierungsmechanismen mit bindenden Verpflichtungen,
- behördlich genehmigte Vertragsklauseln oder Vereinbarungen öffentlicher Stellen.
Das ausgewählte Instrument muss zu Rollen, Datenfluss und Importeur passen. Vertragsunterzeichnung allein beweist kein tatsächlich gleichwertiges Schutzniveau.
Auswahl, Anlagen, Klausel-14-Prüfung und Zusatzmaßnahmen werden auf der Seite Standardvertragsklauseln und zusätzliche Maßnahmen vertieft.
¶ 7. Transfer Impact Assessment
Bei einem Instrument nach Artikel 46 wird bewertet, ob Recht und Praxis des Drittlands die Wirksamkeit des Instruments für den konkreten Transfer beeinträchtigen. Untersucht werden unter anderem:
- Art und Zweck des Transfers,
- Daten, Personen, Formate und Verschlüsselungszustand,
- Importeur, Branche und Empfängerkette,
- relevante Zugriffsbefugnisse von Behörden,
- anwendbare Rechtsgrundlagen, Grenzen, Aufsicht und Rechtsbehelfe,
- dokumentierte praktische Erfahrungen, soweit belastbar und rechtlich verwendbar,
- technische Möglichkeit des Imports ohne Zugriff auf Klartext,
- Weiterübermittlungen und Schlüsselzugriffe.
Die vertiefte Methodik wird auf der Seite Transfer Impact Assessment geführt.
¶ 8. Zusätzliche Maßnahmen
Zusätzliche Maßnahmen werden aus der konkreten Bewertung abgeleitet:
| Kategorie | Beispiele zur Prüfung |
|---|---|
| technisch | starke Verschlüsselung, Schlüsselkontrolle im EWR, Pseudonymisierung, Trennung, Datenminimierung, sichere Mehrparteienverarbeitung |
| vertraglich | Informations-, Prüf-, Anfechtungs-, Transparenz- und Weiterübermittlungspflichten |
| organisatorisch | Berechtigungen, Schulung, Behördenanfragenprozess, Protokollierung, Kontrollen, Incident- und Exitverfahren |
Vertragliche und organisatorische Maßnahmen können einen technisch möglichen unverhältnismäßigen Klartextzugriff nicht automatisch verhindern. Ist kein wirksamer Schutz erreichbar, wird der Transfer nicht begonnen oder ausgesetzt.
¶ 9. Behördenanfragen und Artikel 48
Verträge und Verfahren regeln, dass Importeur und Dienstleister:
- Anfragen rechtlich prüfen und den Exporteur informieren, soweit zulässig,
- unzulässige oder unverhältnismäßige Anfragen anfechten,
- nur erforderliche Daten offenlegen,
- Transparenzberichte und Statistiken bereitstellen, soweit möglich,
- Beweise und Entscheidungen geschützt dokumentieren.
Eine Entscheidung einer Drittlandsbehörde ist nicht allein deshalb eine anerkannte Offenlegungsgrundlage nach Unionsrecht.
¶ 10. Transparenz und Betroffenenrechte
Datenschutzhinweise und Auskünfte nennen abhängig vom Fall Drittland oder internationale Organisation, Angemessenheitsbeschluss oder geeignete Garantien sowie die Möglichkeit, eine Kopie oder Information über deren Bereitstellung zu erhalten.
Betroffenenrechte müssen über Exporteur, Importeur und Unterauftragnehmerkette praktisch erfüllbar bleiben.
¶ 11. Weiterübermittlungen
Für jede Weiterübermittlung werden Empfänger, Land, Rolle, Zweck, Daten, Instrument und Schutz erneut geprüft. Vertragliche Ketten, technische Zugriffspfade und tatsächliche Unterauftragnehmer müssen übereinstimmen.
¶ 12. Freigabe und Status
| Status | Bedeutung |
|---|---|
| Erfasst | Drittlandbezug erkannt; Prüfung offen |
| In Prüfung | Instrument, TIA oder Maßnahmen werden bewertet |
| Mit Auflagen | Nutzung nur innerhalb dokumentierter Grenzen und Maßnahmen |
| Freigegeben | Transfer für definierten Umfang geprüft und genehmigt |
| Ausgesetzt | Schutz nicht ausreichend oder wesentliche Änderung ungeklärt |
| Beendet | Zugriff und Transfer beendet; Exit und Nachweise abgeschlossen |
Eine technische Verbindung oder bestehende Anbieterbeziehung ist keine Transferfreigabe.
¶ 13. Laufende Kontrolle
Erneut geprüft werden insbesondere:
- Änderung oder Aufhebung eines Angemessenheitsbeschlusses,
- neue Rechtsprechung, Aufsichtspraxis oder Rechtsvorschriften,
- neue Behördenzugriffspraktiken,
- Empfänger-, Länder-, Unterauftragnehmer- oder Standortwechsel,
- neue Daten, Zwecke, Systeme oder Klartextzugriffe,
- Sicherheitsvorfälle oder unwirksame Zusatzmaßnahmen,
- Änderungen der SCC, BCR oder sonstigen Garantien.
¶ 14. Nachweise
- Transferinventar und Datenfluss,
- Rollen- und VVT-Referenzen,
- aktueller Angemessenheitsbeschluss oder Transferinstrument,
- TIA und Quellenstand,
- technische, vertragliche und organisatorische Maßnahmen,
- Freigabe, Auflagen und Review,
- Informationen an betroffene Personen,
- Weiterübermittlungen, Änderungen und Kontrollen,
- Aussetzung, Exit und Löschung.
TIAs, Verträge und Sicherheitsdetails verbleiben in der geschützten Ablage.
¶ 15. Kontrollen
- Sind Speicherung, Support, Administration und Unterauftragnehmer erfasst?
- Ist der Transfer anhand der kumulativen Kriterien eingeordnet?
- Ist die aktuelle Grundlage im konkreten Umfang gültig?
- Wurde die tatsächliche Wirksamkeit des Instruments bewertet?
- Verhindern Zusatzmaßnahmen die festgestellten Risiken wirksam?
- Sind Weiterübermittlungen und Schlüsselzugriffe transparent?
- Stimmen Informationen, VVT, Verträge und Technik überein?
- Wird bei wesentlichen Änderungen ausgesetzt und neu geprüft?
¶ 16. Leserleitfaden: Transfer in sechs Fragen
- Werden personenbezogene Daten einem Empfänger in einem Drittland offengelegt oder zugänglich gemacht?
- Welche Partei exportiert, welche importiert und welche Rollen bestehen nach DSGVO?
- Gilt ein Angemessenheitsbeschluss für Land, Empfänger und konkreten Transfer?
- Falls nicht: Welches Instrument nach Artikel 46 oder welche enge Ausnahme nach Artikel 49 soll tragen?
- Kann das Instrument im konkreten rechtlichen und tatsächlichen Umfeld wirksam sein?
- Welche zusätzlichen Maßnahmen, Kontrollen, Transparenz und Exitregeln sind erforderlich?
Kapitel V wird nicht erst geprüft, wenn Daten physisch gespeichert werden. Auch Fernsupport, Administrationszugriff, Diagnose, Schlüsselzugriff oder Offenlegung an einen getrennten Empfänger können relevant sein. Umgekehrt ist nicht jeder ausländische Anbieter automatisch ein Transfer; Rollen, Niederlassung und konkrete Offenlegung werden sauber bestimmt.
¶ 17. Praxisfall: globaler Support
Ein europäischer Cloudanbieter nutzt ein Supportteam in einem Drittland. Produktivdaten liegen in der EU, doch Support kann bei Freigabe auf Mandantendaten zugreifen. Die Prüfung erfasst Supportanlass, Zugriffstechnik, Datenumfang, Protokollierung, Länder, Empfänger, Unterauftragnehmer und Rechtsgrundlage des Transfers.
¶ 17.1 Schutzmaßnahmen
Mögliche Maßnahmen sind standardmäßig gesperrter Zugriff, fallbezogene Freigabe, starke Authentisierung, zeitliche Begrenzung, Sichtkontrolle, Datenmaskierung, Verschlüsselung mit kontrollierten Schlüsseln, vollständige Protokollierung und regelmäßiger Review. Sie werden danach bewertet, ob sie den konkret festgestellten Zugriff tatsächlich verhindern oder begrenzen.
Ein Vertrag allein ändert keine technische Zugriffsmöglichkeit. Umgekehrt darf eine wirksame technische Maßnahme nicht nur beschrieben, sondern muss konfiguriert und getestet sein. Wenn ein notwendiger Schutz nicht erreicht werden kann, wird Transfer ausgesetzt, Anbieter oder Architektur geändert oder der Dienst beendet.
¶ 18. Monitoring von Recht, Praxis und Anbieter
TIA und Transferfreigabe sind keine Einmalprüfung. Änderungen an Gesetz, Behördenpraxis, Angemessenheitsbeschluss, Empfänger, Unterauftragnehmer, Ländern, Schlüsseln, Zugriffsmodell oder Sicherheitsvorfällen lösen einen Review aus. Anbieterbestätigungen werden auf Aktualität und Scope geprüft.
¶ 18.1 Kontrollfragen
- Stimmen Transferinventar, VVT, Verträge und tatsächliche Netzwerk- oder Supportwege überein?
- Sind SCC-Module und Anlagen vollständig und passend?
- Sind zusätzliche Maßnahmen technisch nachgewiesen?
- Werden Behördenanfragen, soweit rechtlich möglich, geprüft, angefochten und transparent dokumentiert?
- Gibt es einen ausführbaren Aussetzungs- und Exitprozess?
- Sind Betroffeneninformationen und Auskunftsantworten aktuell?
¶ 19. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Verzeichnis von Verarbeitungstätigkeiten | Daten, Empfänger, Systeme und Transferbezug |
| Informationspflichten | transparente Information über Transfer und Garantien |
| Auftragsverarbeiterregister | Dienstleister, Orte, Verträge und Status |
| Unterauftragsverarbeiter | Empfängerkette und Änderungen |
| Gemeinsame Verantwortung | Rollen und Transferpflichten mehrerer Verantwortlicher |
| Transfer Impact Assessment | vertiefte Bewertung von Recht, Praxis, Zugriffsmöglichkeiten und wirksamen Maßnahmen |
| Standardvertragsklauseln und zusätzliche Maßnahmen | Rollenmodule, Vertragsanlagen, Klausel 14, Schutzmaßnahmen und Exit |
¶ 20. Offizielle Grundlagen
- DSGVO, Kapitel V mit Artikeln 44 bis 49 – EUR-Lex
- EDSA-Leitlinien 05/2021 zum Verhältnis von Artikel 3 und Kapitel V
- EDSA-Empfehlungen 01/2020 zu ergänzenden Maßnahmen
- Aktuelle Angemessenheitsbeschlüsse der Europäischen Kommission
¶ 21. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Transferinventar, Auftragsverarbeitung, TIAs und kontrollierten Zusatzmaßnahmen
- Datenschutzmanagement
- Datenschutz-Leistungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
Erstgespräch unter info@smct-management.de vereinbaren
¶ 22. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 1.0 | 09.08.2026 | Sechs-Fragen-Leitfaden, Support-Praxisfall, Wirksamkeitskontrollen, Monitoring und Exit ergänzt | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.2 | 08.08.2026 | Verfahren für Standardvertragsklauseln und zusätzliche Maßnahmen verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren für Drittlandtransfers erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |