Wann ist eine Drittlandprüfung nach der DSGVO erforderlich?
Wer personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt, muss unter bestimmten Voraussetzungen prüfen, ob die Daten dort ausreichend geschützt sind. Ein Transfer Impact Assessment (TIA) hilft dabei, die Risiken einer solchen Übermittlung zu bewerten. Doch wann ist ein TIA erforderlich, was muss geprüft werden und welche Konsequenzen ergeben sich aus dem Ergebnis?

Inhaltsverzeichnis

  1. Was ist ein Transfer Impact Assessment?
  2. Warum gibt es das TIA? Das Schrems-II-Urteil
  3. Die rechtlichen Grundlagen: Art. 44 und 46 DSGVO
  4. Wann ist ein TIA erforderlich?
  5. Wie wird ein Transfer Impact Assessment durchgeführt?
  6. Was muss in einem TIA dokumentiert werden?
  7. Praxisbeispiel: US-amerikanischer Cloud-Dienstleister
  8. Was passiert, wenn das TIA negativ ausfällt?
  9. Eigene Bewertung: Das TIA muss zur tatsächlichen Datenverarbeitung passen
  10. Fazit: Ein TIA ist mehr als ein unterschriebenes Formular
  11. Rechtsgrundlagen und weiterführende Quellen

1. Was ist ein Transfer Impact Assessment?

Ein Transfer Impact Assessment – kurz TIA – ist eine Prüfung der datenschutzrechtlichen Rahmenbedingungen einer internationalen Datenübermittlung. Dabei wird untersucht, ob personenbezogene Daten nach ihrer Übermittlung in ein Drittland weiterhin einen Schutz genießen, der dem europäischen Datenschutzniveau im Wesentlichen gleichwertig ist.

Im Mittelpunkt stehen drei Fragen:
  1. Welche personenbezogenen Daten werden an wen und zu welchem Zweck übermittelt?
  2. Können die Rechtsvorschriften oder die tatsächlichen Verhältnisse im Empfängerland den Datenschutz beeinträchtigen?
  3. Sind die vorhandenen Garantien ausreichend oder müssen zusätzliche Schutzmaßnahmen ergriffen werden?

Der Begriff Transfer Impact Assessment steht nicht ausdrücklich in der DSGVO. Die Pflicht zur entsprechenden Prüfung ergibt sich jedoch aus den Anforderungen des Kapitels V der DSGVO, der Rechtsprechung des Europäischen Gerichtshofs und insbesondere aus den Standardvertragsklauseln der Europäischen Kommission.

Ein TIA ist damit kein eigenständiges Übermittlungsinstrument. Es ersetzt weder Standardvertragsklauseln noch einen Angemessenheitsbeschluss. Vielmehr dient es dazu, die Wirksamkeit des gewählten Übermittlungsinstruments für den konkreten Datentransfer zu beurteilen.

2. Warum gibt es das TIA? Das Schrems-II-Urteil

Ausgangspunkt ist das Urteil des Europäischen Gerichtshofs vom 16. Juli 2020 in der Rechtssache C-311/18, bekannt als Schrems II. Der EuGH erklärte darin den damaligen EU-US Privacy Shield für ungültig. Gleichzeitig bestätigte er die grundsätzliche Wirksamkeit der Standardvertragsklauseln. 

Allerdings machte das Gericht deutlich, dass der Abschluss solcher Klauseln allein nicht immer ausreicht. Denn Standardvertragsklauseln binden die Vertragsparteien, nicht aber staatliche Behörden im Empfängerland. Deshalb muss geprüft werden, ob die Rechtsordnung des betreffenden Drittlands die Einhaltung der vereinbarten Datenschutzgarantien tatsächlich ermöglicht.

Der EuGH formuliert in Randnummer 134 des Urteils:
„Es obliegt daher vor allem dem Verantwortlichen oder seinem Auftragsverarbeiter [...] zu prüfen [...]“
Die Prüfung muss einzelfallbezogen erfolgen und kann zusätzliche Garantien erforderlich machen. Die entscheidende Aussage des Urteils lautet: Ein vertraglich zugesicherter Datenschutz genügt nicht, wenn er aufgrund der Rechtslage im Empfängerland praktisch nicht gewährleistet werden kann.

Was folgt daraus für Unternehmen?

Unternehmen dürfen sich bei einer Datenübermittlung auf Grundlage von Art. 46 DSGVO nicht darauf beschränken, Standardvertragsklauseln unterschreiben zu lassen und diese anschließend abzulegen. Sie müssen sich vielmehr damit beschäftigen, ob die Klauseln unter den konkreten Bedingungen der Übermittlung wirksam eingehalten werden können.
Das ist der Kern des TIA.

3. Die rechtlichen Grundlagen: Art. 44 und 46 DSGVO

Art. 44 DSGVO enthält die allgemeinen Anforderungen an internationale Datenübermittlungen. Dort heißt es:
„Alle Bestimmungen dieses Kapitels sind anzuwenden, um sicherzustellen, dass das durch diese Verordnung gewährleistete Schutzniveau [...] nicht untergraben wird.“
Damit stellt die DSGVO klar, dass der Schutz personenbezogener Daten nicht an der europäischen Grenze enden darf.
Art. 46 DSGVO ermöglicht Datenübermittlungen in Drittländer ohne Angemessenheitsbeschluss, sofern geeignete Garantien bestehen und durchsetzbare Rechte sowie wirksame Rechtsbehelfe gewährleistet sind. Ein wichtiges Instrument hierfür sind die Standardvertragsklauseln der Europäischen Kommission.

Klausel 14 der Standardvertragsklauseln

Besonders konkret wird die Prüfungspflicht in Klausel 14 der mit Durchführungsbeschluss (EU) 2021/914 veröffentlichten Standardvertragsklauseln. Dort sichern die Parteien zu,
„keinen Grund zu der Annahme zu haben, dass die [...] Rechtsvorschriften und Gepflogenheiten im Bestimmungsdrittland [...] den Datenimporteur an der Erfüllung seiner Pflichten [...] hindern.“

Diese Zusicherung darf nicht ohne tatsächliche Prüfung abgegeben werden.

Nach Klausel 14 sind insbesondere die Umstände der Übermittlung, die einschlägigen Rechtsvorschriften und Gepflogenheiten des Empfängerlands sowie vorhandene technische, vertragliche und organisatorische Garantien zu berücksichtigen.  Die Bewertung muss dokumentiert werden.

Weiterführend: Welche Anforderungen Standardvertragsklauseln erfüllen müssen, wie sie eingesetzt werden und welche Pflichten sich daraus ergeben, erläutern wir ausführlich in unserem Wiki-Beitrag „Standardvertragsklauseln (SCC): Datenschutz bei Drittlandübermittlungen“.

4. Wann ist ein TIA erforderlich?

Ob ein TIA durchgeführt werden muss, hängt vor allem davon ab, auf welcher Grundlage die Drittlandübermittlung erfolgt.

Datenübermittlung auf Grundlage eines Angemessenheitsbeschlusses

Hat die Europäische Kommission für das betreffende Drittland einen Angemessenheitsbeschluss nach Art. 45 DSGVO erlassen, ist grundsätzlich kein zusätzliches TIA nach dem Schrems-II-Prüfprogramm erforderlich. Die Europäische Kommission hat das Datenschutzniveau in diesem Fall bereits geprüft und als angemessen anerkannt.

Das gilt allerdings nur, soweit die konkrete Übermittlung tatsächlich vom Angemessenheitsbeschluss erfasst wird.

Ein Beispiel ist das EU-US Data Privacy Framework (DPF). Es ermöglicht unter bestimmten Voraussetzungen Datenübermittlungen an entsprechend zertifizierte US-Unternehmen.

Wichtig: Nicht jedes US-Unternehmen fällt automatisch unter den Angemessenheitsbeschluss. Entscheidend ist insbesondere, ob eine gültige Zertifizierung besteht und die betreffende Datenverarbeitung vom Anwendungsbereich erfasst wird. Fehlt diese Voraussetzung, kann die Übermittlung gegebenenfalls auf Standardvertragsklauseln gestützt werden. Dann stellt sich die TIA-Frage erneut.

Datenübermittlung auf Grundlage von Standardvertragsklauseln

Werden personenbezogene Daten auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO übermittelt, ist die in Klausel 14 vorgesehene Prüfung durchzuführen. Das bedeutet allerdings nicht, dass für jede Übermittlung eine umfangreiche rechtswissenschaftliche Abhandlung über das gesamte Rechtssystem des Empfängerlands erstellt werden muss. Entscheidend ist eine nachvollziehbare, auf die konkrete Übermittlung bezogene Bewertung.

Das TIA und die Standardvertragsklauseln erfüllen dabei unterschiedliche Aufgaben: Während die SCC die vertraglichen Datenschutzgarantien festlegen, dient das TIA der Prüfung, ob diese Garantien unter den tatsächlichen Bedingungen der Datenübermittlung wirksam sind. Beide Instrumente müssen deshalb im Zusammenhang betrachtet werden.

Andere Übermittlungsinstrumente nach Art. 46 DSGVO

Auch bei anderen Garantien nach Art. 46 DSGVO muss gewährleistet sein, dass sie unter den konkreten Bedingungen der Übermittlung wirksam sind. Die Prüfung ist deshalb nicht ausschließlich auf Standardvertragsklauseln beschränkt.
Umfang und Dokumentation richten sich nach dem jeweiligen Übermittlungsinstrument.

Ausnahmen nach Art. 49 DSGVO

Art. 49 DSGVO sieht für bestimmte Situationen Ausnahmen vor, etwa bei einer ausdrücklichen Einwilligung nach Aufklärung über die möglichen Risiken. Ein TIA nach Klausel 14 der Standardvertragsklauseln ist hierfür nicht vorgeschrieben. Die Ausnahmen dürfen jedoch nicht als pauschaler Ersatz für eine reguläre, dauerhafte Datenübermittlung auf Grundlage von Art. 45 oder 46 DSGVO verwendet werden.

5. Wie wird ein Transfer Impact Assessment durchgeführt?

Der Europäische Datenschutzausschuss (EDSA) hat mit seinen Empfehlungen 01/2020 ein Prüfprogramm entwickelt, das sich in sechs Schritte gliedert.

Schritt 1: Datenübermittlungen identifizieren

Zunächst müssen Unternehmen feststellen, welche personenbezogenen Daten tatsächlich in Drittländer übermittelt werden. Dabei geht es nicht nur um den physischen Speicherort. Auch der Zugriff eines Dienstleisters aus einem Drittland kann relevant sein, beispielsweise wenn Mitarbeitende eines außerhalb des EWR ansässigen Unternehmens auf personenbezogene Daten zugreifen können. Zu erfassen sind insbesondere die Empfänger, die Datenkategorien, die Zwecke der Übermittlung und mögliche weitere Empfänger.

Schritt 2: Übermittlungsinstrument bestimmen

Im zweiten Schritt wird festgestellt, auf welcher rechtlichen Grundlage die Übermittlung erfolgen soll. Besteht ein einschlägiger Angemessenheitsbeschluss nach Art. 45 DSGVO? Werden Standardvertragsklauseln eingesetzt?
Oder wird ein anderes Instrument nach Art. 46 DSGVO verwendet? Erst wenn die Übermittlungsgrundlage feststeht, lässt sich bestimmen, welche weitere Prüfung erforderlich ist.

Schritt 3: Rechtslage und Praxis im Empfängerland bewerten

Dieser Schritt bildet den eigentlichen Schwerpunkt des TIA. Es muss untersucht werden, ob die Rechtsvorschriften oder Gepflogenheiten des Empfängerlands die Wirksamkeit des Übermittlungsinstruments beeinträchtigen können. Besondere Bedeutung haben staatliche Zugriffsbefugnisse, Überwachungsmaßnahmen und die Möglichkeiten betroffener Personen, sich gegen rechtswidrige Eingriffe zu wehren.

Dabei ist nicht jede theoretisch denkbare staatliche Zugriffsmöglichkeit automatisch ein Hindernis für eine Datenübermittlung. Entscheidend ist, ob die einschlägigen Vorschriften und ihre tatsächliche Anwendung im konkreten Fall mit dem erforderlichen Schutzniveau vereinbar sind.

Schritt 4: Zusätzliche Schutzmaßnahmen festlegen

Ergibt die Prüfung, dass das eingesetzte Übermittlungsinstrument allein keinen ausreichenden Schutz bietet, müssen geeignete zusätzliche Maßnahmen geprüft werden. Dazu können insbesondere gehören:
  • Wirksame Verschlüsselung, bei der der Datenempfänger keinen Zugriff auf die erforderlichen Entschlüsselungsschlüssel hat.
  • Pseudonymisierung, sofern die zur Identifizierung erforderlichen Zusatzinformationen wirksam getrennt bleiben.
  • Vertragliche Verpflichtungen zu Transparenz, Benachrichtigungen und zum Umgang mit behördlichen Anfragen.
  • Organisatorische Maßnahmen zur Begrenzung von Zugriffsberechtigungen und zur Kontrolle von Datenzugriffen.

Welche Maßnahmen geeignet sind, hängt von den konkreten Risiken ab.

Eine gewöhnliche Transportverschlüsselung genügt beispielsweise nicht ohne Weiteres, wenn der Datenempfänger die Daten nach der Übertragung im Klartext benötigt und darauf staatliche Stellen rechtmäßig zugreifen können.

Schritt 5: Erforderliche Verfahrensschritte umsetzen

Soweit zusätzliche Maßnahmen notwendig sind, müssen sie rechtlich und technisch wirksam umgesetzt werden.
Bei bestimmten Änderungen an Standardvertragsklauseln oder der Verwendung besonderer Übermittlungsinstrumente können weitere formelle Anforderungen bestehen. Entscheidend ist, dass die Schutzmaßnahmen nicht nur dokumentiert, sondern tatsächlich umgesetzt werden.

Schritt 6: Übermittlung regelmäßig überprüfen

Ein TIA ist keine einmalige Formalität. Ändern sich die Rechtslage im Empfängerland, die beteiligten Dienstleister, die übertragenen Daten oder die technischen Abläufe, kann eine erneute Bewertung erforderlich werden.
Unternehmen sollten deshalb festlegen, wann und aus welchen Anlässen ihre Einschätzung überprüft wird.

6. Was muss in einem TIA dokumentiert werden?

Eine gesetzlich vorgeschriebene Standardvorlage gibt es nicht.

Aus der Prüfung sollte aber nachvollziehbar hervorgehen, welche Datenübermittlung untersucht wurde, auf welche Erkenntnisse sich die Bewertung stützt und weshalb das gewählte Übermittlungsinstrument als ausreichend angesehen wird. Dazu gehören regelmäßig:
  • Beschreibung der Datenübermittlung und ihrer Beteiligten
  • Datenkategorien, Zwecke und gegebenenfalls besondere Risiken
  • Rechtsgrundlage für die Drittlandübermittlung
  • Einschlägige Rechtsvorschriften und tatsächliche Verhältnisse im Empfängerland
  • Bewertung möglicher staatlicher Zugriffe
  • Vorhandene und gegebenenfalls zusätzlich erforderliche Schutzmaßnahmen
  • Begründetes Ergebnis und Datum der Prüfung
  • Festlegung einer anlassbezogenen oder regelmäßigen Überprüfung
Die Dokumentation sollte so konkret sein, dass auch eine Datenschutzaufsichtsbehörde die Überlegungen nachvollziehen kann.

7. Praxisbeispiel: US-amerikanischer Cloud-Dienstleister

Ein deutsches Unternehmen nutzt einen Cloud-Dienstleister, dessen Server sich in Frankfurt befinden. Der Anbieter hat seinen Sitz jedoch in den USA. Außerdem können bestimmte Administratoren aus den USA auf die Systeme zugreifen.

Bedeutet der deutsche Serverstandort, dass kein TIA erforderlich ist?

Nicht unbedingt.

Zunächst muss festgestellt werden, ob überhaupt eine Drittlandübermittlung im Sinne der DSGVO vorliegt. Dafür reicht der Sitz eines Mutterunternehmens in den USA allein nicht aus. Besteht jedoch ein Zugriff eines eigenständigen Empfängers in den USA, kann eine Drittlandübermittlung vorliegen, auch wenn die Daten physisch in Deutschland gespeichert bleiben.

Anschließend ist zu prüfen, ob der Empfänger unter einen einschlägigen Angemessenheitsbeschluss fällt, etwa durch eine gültige DPF-Zertifizierung. Ist dies nicht der Fall und werden Standardvertragsklauseln eingesetzt, muss die Wirksamkeit dieser Garantien anhand der konkreten Umstände geprüft werden. Dabei kann es einen erheblichen Unterschied machen, ob der Dienstleister ausschließlich verschlüsselte Daten verarbeitet, deren Schlüssel allein beim europäischen Kunden liegen, oder ob er jederzeit auf Gesundheitsdaten im Klartext zugreifen kann.

Der Serverstandort allein beantwortet die datenschutzrechtliche Frage deshalb nicht.

8. Was passiert, wenn das TIA negativ ausfällt?

Ergibt die Prüfung, dass das erforderliche Datenschutzniveau nicht gewährleistet werden kann, dürfen Unternehmen die Übermittlung nicht einfach unverändert fortsetzen. Der EuGH hat hierzu in Schrems II klargestellt, dass eine Übermittlung auszusetzen oder zu beenden ist, wenn kein ausreichender Schutz durch zusätzliche Maßnahmen erreicht werden kann.

In der Praxis kann dies bedeuten, dass ein anderer technischer Dienst eingesetzt, die Verarbeitung umgestaltet oder auf die Übermittlung verzichtet werden muss.

Ein negatives TIA ist daher nicht bloß ein Dokumentationsproblem. Es kann unmittelbare Auswirkungen auf die Zulässigkeit eines eingesetzten Dienstes haben.

9. Eigene Bewertung: Das TIA muss zur tatsächlichen Datenverarbeitung passen

In der Praxis besteht die Gefahr, dass ein TIA als reine Formalität behandelt wird. Ein Dienstleister stellt Standardvertragsklauseln bereit, ergänzt diese um eine allgemeine Erklärung zur Einhaltung der DSGVO und versichert, dass bislang keine problematischen Behördenanfragen eingegangen seien.

Das kann für sich genommen keine ausreichende Prüfung ersetzen.

Ebenso wenig ist es allerdings sinnvoll, bei jedem Drittlandtransfer ungeachtet seiner technischen Ausgestaltung dieselbe umfangreiche Länderanalyse zu verlangen.

Entscheidend ist die konkrete Zugriffsmöglichkeit auf die übertragenen Daten.


Ein Anbieter, der ausschließlich stark verschlüsselte Daten erhält und keinen Zugang zu den Entschlüsselungsschlüsseln hat, ist anders zu beurteilen als ein Dienstleister, der Gesundheitsdaten im Klartext verarbeitet.

Die Prüfung muss deshalb nicht möglichst umfangreich, sondern möglichst aussagekräftig sein. Dazu gehört auch, die Grenzen technischer Schutzmaßnahmen anzuerkennen. Nicht jede Verschlüsselung verhindert einen Zugriff durch den Empfänger, und nicht jede vertragliche Zusicherung kann entgegenstehendes staatliches Recht überwinden.

Ein gut dokumentiertes TIA zeigt, dass sich das Unternehmen mit diesen Fragen tatsächlich auseinandergesetzt hat.

10. Fazit: Ein TIA ist mehr als ein unterschriebenes Formular

Ein Transfer Impact Assessment soll sicherstellen, dass personenbezogene Daten bei einer Drittlandübermittlung nicht allein auf dem Papier geschützt sind. Wer Standardvertragsklauseln einsetzt, muss prüfen, ob diese unter den konkreten Bedingungen der Übermittlung wirksam eingehalten werden können. Dabei sind die Rechtslage im Empfängerland, die tatsächlichen Datenflüsse und die technischen Schutzmaßnahmen gemeinsam zu betrachten.

Ein TIA muss nicht zwangsläufig kompliziert sein. Es muss aber nachvollziehbar begründen, warum die betreffende Übermittlung zulässig ist.

Die wichtigste praktische Erkenntnis: Nicht der Abschluss der Standardvertragsklauseln beendet die Prüfung. Erst die Bewertung der tatsächlichen Übermittlung zeigt, ob die vereinbarten Garantien ausreichen.

11. Rechtsgrundlagen und weiterführende Quellen