¶ Transfer Impact Assessment
Beispieldokument: Diese Seite beschreibt eine Muster-Methodik für die fiktive „Muster GmbH“. Sie enthält keine reale Länderbewertung, keine tatsächlichen Empfänger, keine freigegebenen Transfers und keine Rechtsberatung für einen Einzelfall.
Bewertungsregel: Das TIA untersucht den konkret beschriebenen Transfer. Pauschale Länderampeln und ungeprüfte Anbieterzusicherungen ersetzen die Bewertung von Recht, Praxis, Zugriffsmöglichkeiten und wirksamen Maßnahmen nicht.
Abbruchregel: Kann kein im Wesentlichen gleichwertiges Schutzniveau hergestellt werden, wird der Transfer nicht begonnen beziehungsweise ausgesetzt oder beendet.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-04-06 |
| Dokumentenart | Methodik und Bewertungsrahmen für Transfer Impact Assessments |
| Wiki.js-Pfad | /DSGVO/04-Auftragsverarbeitung-und-Drittland/Transfer-Impact-Assessment |
| Verantwortlich | festzulegender Datenexporteur / Prozesseigner / Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Informationssicherheit, IT und Einkauf |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine reale Länder-, Empfänger-, Instrumenten- oder Maßnahmenbewertung freigegeben |
| Version | 0.4 |
| Stand | 08.08.2026 |
| Gültig ab | Nach Festlegung der Bewertungsmethodik, qualifizierter Prüfung und formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich und anlassbezogen bei rechtlichen, technischen, vertraglichen oder tatsächlichen Änderungen |
| Schutzklasse | Vertraulich; vollständige TIAs, Verträge, Datenflüsse, Rechtsquellen und Sicherheitsdetails geschützt |
| DSGVO-Bezug | Artikel 5 Absatz 2, 24, 32 und 44 bis 49 DSGVO; bei SCC insbesondere Klausel 14 und 15 |
| Schnittstellen | Transferinventar, VVT, Auftragsverarbeiter, Unterauftragnehmer, SCC, TOM, DSFA, Vorfälle und Exit |
Das TIA verbindet den konkreten Datenfluss mit Rechts- und Praxisquellen, tatsächlichen Zugriffsmöglichkeiten, wirksamen Zusatzmaßnahmen und einer kontrollierten Entscheidung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck und Einordnung
Das Transfer Impact Assessment dokumentiert, ob ein für den konkreten Drittlandtransfer eingesetztes Instrument nach Artikel 46 DSGVO trotz der im Empfängerland geltenden Rechtsvorschriften und Praktiken wirksam bleibt. Es ist kein allgemeines Unternehmens-, Lieferanten- oder Länderrating.
Der Begriff „TIA“ wird als Arbeitsbezeichnung verwendet. Die rechtliche Prüfung folgt insbesondere den EDSA-Empfehlungen 01/2020 und – bei Verwendung der Standardvertragsklauseln – der Prüfung nach Klausel 14.
¶ 2. Voraussetzungen vor Beginn
Ein TIA wird erst begonnen, wenn mindestens vorliegen:
- eindeutige Referenz zum Transferinventar und zum VVT,
- Datenexporteur und Datenimporteur mit tatsächlichen Rollen,
- Länder, Standorte, Fernzugriffe und Empfängerkette,
- Zweck, Datenarten, Personengruppen, Häufigkeit und Umfang,
- technischer Datenfluss einschließlich Speicherung, Backup und Support,
- vorgesehenes Transferinstrument und bei SCC das passende Modul,
- vorhandene technische, vertragliche und organisatorische Maßnahmen.
Fehlende Angaben führen zum Status unvollständig und nicht zu einer Freigabe unter Annahmen.
¶ 3. Prüfumfang eindeutig abgrenzen
Jedes TIA erhält eine kontrollierte Kennung und benennt:
| Feld | Festlegung |
|---|---|
| TIA-ID | eindeutige Referenz, zum Beispiel TIA-YYYY-NNN |
| Transfer-ID | Verweis auf Transferinventar und VVT |
| Exporteur / Importeur | Rechtsträger, Rolle und Kontakt |
| Länder und Orte | Empfänger-, Speicher-, Support- und Weiterübermittlungsländer |
| Datenfluss | Übermittlung, Bereitstellung, Fernzugriff, Backup und Löschung |
| Daten | Kategorien, Sensibilität, Volumen und Identifizierbarkeit |
| Personen | Personengruppen und besondere Schutzbedürftigkeit |
| Zweck / Dauer | Zweck, Frequenz, Vertrags- und Aufbewahrungsdauer |
| Instrument | Artikel-46-Instrument, SCC-Modul und Vertragsreferenz |
| Prüfstichtag | Quellen- und Entscheidungsstand |
Wesentliche unterschiedliche Länder, Importeurrollen oder technische Zugriffsszenarien werden getrennt bewertet oder innerhalb des TIA klar segmentiert.
¶ 4. Bewertungsprozess
¶ 4.1 Transfer und Instrument verifizieren
Vor der Rechtsbewertung wird bestätigt:
- Kapitel V ist für den Vorgang anwendbar,
- kein einschlägiger Angemessenheitsbeschluss deckt den Transfer bereits ab,
- das gewählte Instrument passt zu Exporteur, Importeur und Rollen,
- Anhänge, Beschreibungen und Module bilden den realen Datenfluss ab,
- Weiterübermittlungen sind vollständig einbezogen.
¶ 4.2 Relevantes Recht und relevante Praxis ermitteln
Untersucht werden nur Vorschriften und Praktiken, die für den konkreten Transfer und Importeur relevant sein können. Dazu gehören insbesondere:
- Zugriffs- und Offenlegungsbefugnisse öffentlicher Stellen,
- Voraussetzungen, Umfang und Grenzen solcher Befugnisse,
- unabhängige Genehmigung, Aufsicht und nachträgliche Kontrolle,
- Benachrichtigungs-, Transparenz- und Anfechtungsmöglichkeiten,
- wirksame Rechtsbehelfe für betroffene Personen,
- Geheimhaltungsverbote und Pflichten des Importeurs,
- Regeln für Weiterübermittlungen und Datenherausgabe.
¶ 4.3 Praktische Anwendung bewerten
Gesetzestext und tatsächliche Anwendung werden getrennt dokumentiert. Berücksichtigt werden können:
- Rechtsprechung und Entscheidungen zuständiger Gerichte,
- Berichte unabhängiger Aufsichts- und Kontrollstellen,
- amtliche Statistiken, Transparenzberichte und belastbare Fachquellen,
- nachprüfbare Informationen über Anfragen im betroffenen Sektor,
- unter den strengen Voraussetzungen der SCC dokumentierte praktische Erfahrung des Importeurs.
Das bloße Ausbleiben bekannter Behördenanfragen beweist nicht, dass kein Zugriff erfolgen kann. Widersprüchliche Quellen werden sichtbar gemacht und fachlich gewürdigt.
¶ 5. Quellenanforderungen
| Kriterium | Prüffrage |
|---|---|
| Autorität | Stammt die Information von Gesetzgeber, Gericht, Behörde oder unabhängiger qualifizierter Stelle? |
| Aktualität | Gilt die Quelle am Prüfstichtag und wurde sie auf Änderungen kontrolliert? |
| Relevanz | Betrifft sie Land, Importeur, Sektor, Daten und Zugriffsszenario? |
| Nachprüfbarkeit | Sind Titel, Herausgeber, Datum, Fundstelle und Abrufdatum dokumentiert? |
| Objektivität | Werden Anbieterangaben durch unabhängige Quellen ergänzt? |
| Widerspruchsfreiheit | Sind abweichende Aussagen erklärt und bewertet? |
Quellenkopien oder belastbare Fundstellen werden geschützt und versioniert abgelegt. Das öffentliche Wiki enthält nur Methodik und Metadaten.
¶ 6. Prüfkriterien für ein im Wesentlichen gleichwertiges Schutzniveau
Die Bewertung untersucht insbesondere, ob Eingriffe:
- auf klaren, zugänglichen und vorhersehbaren Regeln beruhen,
- einem legitimen Ziel dienen,
- erforderlich und verhältnismäßig begrenzt sind,
- unabhängiger Aufsicht unterliegen,
- wirksamen und durchsetzbaren Rechtsbehelfen zugänglich sind.
Ein allgemeiner wirtschaftlicher Nutzen oder eine geringe subjektiv geschätzte Eintrittswahrscheinlichkeit beseitigt keine rechtliche Schutzlücke.
¶ 7. Technische Zugriffsanalyse
Für jede Phase wird geprüft, wer tatsächlich Klartext, Schlüssel oder Zuordnungswissen erreichen kann:
| Phase | Zu prüfen |
|---|---|
| Übertragung | Ende-zu-Ende-Schutz, Protokolle, Metadaten und Zwischenstellen |
| Speicherung | Verschlüsselung, Mandantentrennung, Kopien und Backups |
| Verarbeitung | notwendiger Klartext, Arbeitsspeicher, Protokolle und Administrationszugriff |
| Schlüssel | Erzeugung, Besitz, Rotation, Wiederherstellung und Zugriffsort |
| Support | Fernzugriff, Freigabe, Zeitbegrenzung, Überwachung und Aufzeichnung |
| Weiterübermittlung | neue Empfänger, Länder, Schlüssel- und Datenzugriffe |
| Exit | Export, Sperrung, Löschung, Kopien und Bestätigung |
Eine Verschlüsselung ist nur dann eine wirksame Zusatzmaßnahme gegen den Importeur oder Behördenzugriff, wenn die gefährdete Stelle nicht zugleich über Schlüssel oder gleichwertige Zugriffsmöglichkeiten verfügt.
¶ 8. Zusätzliche Maßnahmen auswählen
¶ 8.1 Technische Maßnahmen
- starke Verschlüsselung mit kontrollierter Schlüsselverwaltung im EWR,
- belastbare Pseudonymisierung ohne Zuordnungswissen beim Importeur,
- Datenminimierung, Aufteilung und getrennte Verarbeitung,
- Ende-zu-Ende-Verschlüsselung, soweit der Zweck keinen Klartext beim Importeur verlangt,
- technisch erzwungene Zugriffsgrenzen, Protokollierung und kurze Verfügbarkeit.
¶ 8.2 Vertragliche Maßnahmen
- Informations- und Transparenzpflichten,
- Prüfung und Anfechtung behördlicher Anfragen,
- Beschränkung auf das rechtlich zwingende Mindestmaß,
- Nachweis-, Audit- und Mitwirkungspflichten,
- Regeln für Weiterübermittlungen, Änderungen, Aussetzung und Beendigung.
¶ 8.3 Organisatorische Maßnahmen
- dokumentierter Behördenanfragenprozess,
- strenge Rollen, Freigaben und Vier-Augen-Prinzip,
- Schulungen und verbindliche Eskalationswege,
- regelmäßige Kontrollen von Empfängern und Unterauftragnehmern,
- Incident-, Suspendierungs- und Exitverfahren.
Vertragliche und organisatorische Maßnahmen können technisch möglichen Klartextzugriff nicht allein neutralisieren. Jede Maßnahme wird der konkret festgestellten Schutzlücke zugeordnet und auf Wirksamkeit geprüft.
¶ 9. Maßnahmen- und Lückenmatrix
| Feststellung | Betroffene Garantie | Maßnahme | Wirksamkeitsnachweis | verbleibende Lücke | Entscheidung |
|---|---|---|---|---|---|
| Muster – auszufüllen | SCC / sonstiges Instrument | festzulegen | festzulegen | offen | keine Freigabe |
Die Musterzeile ist kein Nachweis einer durchgeführten oder erfolgreichen Bewertung.
¶ 10. Entscheidung
| Status | Bedeutung |
|---|---|
| Unvollständig | Pflichtangaben oder belastbare Quellen fehlen |
| Schutz bestätigt | Instrument bleibt im konkreten Transfer ohne zusätzliche Schutzlücke wirksam |
| Mit Maßnahmen freigabefähig | Schutzlücken werden durch nachweislich wirksame Maßnahmen geschlossen |
| Nicht freigabefähig | im Wesentlichen gleichwertiger Schutz kann nicht hergestellt werden |
| Ausgesetzt | Änderung oder Zweifel erfordern sofortige Unterbrechung und Neubewertung |
| Beendet | Transfer und Zugriffe sind kontrolliert beendet; Exitnachweise liegen vor |
Die Entscheidung enthält Begründung, Geltungsgrenzen, Maßnahmen, Verantwortliche, Fristen, Prüftermin und formale Freigabe. Ein „mittleres Risiko“ ist keine Ersatzentscheidung.
¶ 11. Aussetzung und Beendigung
Der Transfer wird nicht begonnen beziehungsweise ausgesetzt, wenn:
- der Importeur das Instrument nicht einhalten kann,
- relevante Gesetze oder Praktiken die Garantien beeinträchtigen,
- keine wirksamen Zusatzmaßnahmen verfügbar sind,
- wesentliche Angaben oder Empfänger nicht transparent sind,
- angeordnete Maßnahmen nicht umgesetzt oder unwirksam sind,
- der Importeur eine entsprechende Unfähigkeit mitteilt.
Der Exit umfasst Zugriffssperre, Rückgabe oder Löschung, Behandlung von Backups, Schlüsselentzug, Unterauftragnehmerkette und geschützte Abschlussnachweise.
¶ 12. Wiederholungsprüfung und Auslöser
Erneut bewertet wird insbesondere bei:
- Rechts-, Rechtsprechungs- oder Praxisänderungen,
- neuen Behördenanfragen oder Transparenzinformationen,
- Wechsel von Importeur, Land, Standort oder Unterauftragnehmer,
- neuen Zwecken, Daten, Personen, Systemen oder Zugriffen,
- Änderungen von SCC, BCR oder sonstigem Instrument,
- Änderung der Verschlüsselung oder Schlüsselkontrolle,
- Sicherheitsvorfällen, Beschwerden oder Kontrollfeststellungen.
Die Überwachung besitzt eine verantwortliche Rolle und einen dokumentierten Fristen- und Eskalationsweg.
¶ 13. Rollen und Vier-Augen-Prinzip
| Rolle | Aufgabe |
|---|---|
| Prozesseigner / Datenexporteur | Datenfluss, Zweck, Notwendigkeit und Vollständigkeit bestätigen |
| Datenschutzkoordination | Methodik, Dokumentation, Schnittstellen und Fristen steuern |
| Rechtsfunktion | Rechts- und Praxisbewertung fachlich prüfen |
| Informationssicherheit / IT | Zugriffspfade und technische Wirksamkeit bewerten |
| Einkauf / Vertragsmanagement | Instrument, Anhänge, Pflichten und Änderungen steuern |
| Datenschutzbeauftragte/r | unabhängig beraten und überwachen, sofern benannt |
| Freigabestelle | begründete Entscheidung innerhalb dokumentierter Befugnis treffen |
Selbstbewertungen eines Anbieters werden nicht ohne fachliche Plausibilisierung übernommen.
¶ 14. Geschützte Nachweise
- freigegebene TIA-Fassung mit ID und Prüfstichtag,
- Transferinventar, VVT- und Datenflussreferenzen,
- ausgewähltes Instrument mit vollständigen Anhängen,
- Länderrechts- und Praxisquellen mit Abrufdatum,
- Importeurangaben und belastbare Transparenzinformationen,
- technische Architektur, Schlüssel- und Zugriffskonzept,
- Maßnahmen, Tests und Wirksamkeitsnachweise,
- Entscheidung, Auflagen, Freigabe und Wiederholungsprüfung,
- Änderungs-, Aussetzungs- und Exitnachweise.
Vollständige TIAs und Sicherheitsdetails werden nicht im öffentlichen Wiki veröffentlicht.
¶ 15. Qualitätskontrolle
- Ist genau der reale Transfer statt nur der Anbieter bewertet?
- Sind Länder, Rollen, Zugriffe und Weiterübermittlungen vollständig?
- Passen Instrument und SCC-Modul zur Konstellation?
- Sind Recht und Praxis getrennt, aktuell und quellengestützt geprüft?
- Wurde Klartext- und Schlüsselzugriff technisch nachvollzogen?
- Schließt jede Maßnahme eine benannte Schutzlücke nachweislich?
- Sind Widersprüche und Unsicherheiten sichtbar behandelt?
- Ist die Entscheidung begründet, befristet und formal freigegeben?
- Führen wesentliche Änderungen zur Aussetzung und Neubewertung?
¶ 16. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Drittlandtransfers | Transferinventar, Instrument, Freigabe und Überwachung |
| Auftragsverarbeiterregister | Dienstleister, Orte, Unterauftragnehmer und Vertragsstatus |
| Unterauftragsverarbeiter | Empfängerkette, Änderungen und Weiterübermittlungen |
| Standardvertragsklauseln und zusätzliche Maßnahmen | Modulauswahl, Anlagen, Klausel 14, Zusatzmaßnahmen und Vertragskontrolle |
| Verzeichnis von Verarbeitungstätigkeiten | Zweck, Daten, Personen, Systeme und Empfänger |
| Technische und organisatorische Maßnahmen | technische Schutzmaßnahmen, Geltungsbereich und Wirksamkeit |
| Datenschutz-Folgenabschätzung | gesonderte Bewertung hoher Risiken für Rechte und Freiheiten |
Ein TIA ersetzt keine DSFA. Beide Bewertungen können für denselben Vorgang erforderlich sein, verfolgen aber unterschiedliche Prüfziele.
¶ 17. Offizielle Grundlagen
- DSGVO, insbesondere Kapitel V – EUR-Lex
- EDSA-Empfehlungen 01/2020 zu ergänzenden Maßnahmen – finale Fassung
- Durchführungsbeschluss (EU) 2021/914 mit Standardvertragsklauseln – EUR-Lex
- EU-Kommission: Standardvertragsklauseln für internationale Transfers
¶ 18. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Transferinventar, TIA, Vertragsinstrumenten und wirksamen Zusatzmaßnahmen
- Datenschutzmanagement
- Datenschutz-Leistungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
Erstgespräch unter info@smct-management.de vereinbaren
¶ 19. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 0.4 | 08.08.2026 | TOM-Verzeichnis als Nachweisquelle für technische Zusatzmaßnahmen und ihre Wirksamkeit verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.3 | 08.08.2026 | Datenschutz-Folgenabschätzung als eigenständige, gegebenenfalls parallel erforderliche Risikoprüfung verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.2 | 08.08.2026 | Verfahren für Standardvertragsklauseln und zusätzliche Maßnahmen verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Muster-Methodik für Transfer Impact Assessments erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |