Datenübermittlung in ein Drittland?

Data-Transfer-Folgenabschätzung

Datenschutz bei grenzüberschreitenden Daten​

Mit dem Schrems-II-Urteil des Europäischen Gerichtshofs (EuGH) wurde das Privacy Shield (Selbstzertifizierung US-amerikanischer Unternehmen auf die Einhaltung des Datenschutzes und damit Grundlage für einen legalen Datentransfer von Europa in die USA) für ungültig erklärt.

Unternehmen, die Daten grenzüberschreitend übermitteln, müssen daher andere Rechtsgrundlagen für ihre Datenübermittlung finden, z. B. Standardvertragsklauseln (SCC), um der Datenschutz-Grundverordnung (DSGVO) zu genügen. Dies gilt für jede Datenübermittlung in ein Drittland.

Gemäß DSGVO (Artikel 44-50) können Vertragsklauseln, die angemessene Datenschutzgarantien gewährleisten, als Grundlage für Datenübermittlungen aus der EU in Drittländer herangezogen werden. Dazu gehört eine neue Form von Standardvertragsklauseln (SCC), die von der Europäischen Kommission genehmigt wurden und bis Dezember 2022 abgeschlossen werden müssen.

Ziel der Data-Transfer-Folgenabschätzung

Oftmals sind die SCC für Ihr spezielles Geschäft nicht ausreichend.  In diesen Fällen ist Ihr Unternehmen dafür verantwortlich, mit der gebotenen Sorgfalt zu prüfen, ob die Garantien der SCC im Zielland tatsächlich aufrechterhalten werden. Die Daten-übermittlung sollte von Fall zu Fall mittels einer Data-Transfer-Folgenabschätzung bewertet werden.

Lösung der Data-Transfer-Folgenabschätzung

Eine Data-Transfer-Folgenabschätzung ist der Datenschutz-Folgenabschätzung sehr ähnlich. Das Team von 2B Advice führt ein Audit durch und bereitet Folgendes vor:

• Empfehlungen zur Verringerung/Minimierung von Risiken bei Drittland-Übermittlungen, z. B. durch SCCs und Verzeichnisse von Verarbeitungstätigkeiten sowie spezifische technisch-organisatorische Maßnahmen (TOM) für Organisationen, die ihre Datenübermittlung in Drittländer aufrechterhalten wollen, z. B. zur Implementierung einer Cloud-basierten SaaS-Lösung (ERP, CRM usw.) mit Hosting in den Vereinigten Staaten und einer Tochtergesellschaft in der EU
• Beratung zu den rechtlichen Anforderungen für den Einsatz von SCC
  • Implementierung der SCC derart, dass die vom Europäischen Gerichtshof festgelegten Mindestanforderungen erfüllt werden (C-311/18)
  • Bereitstellung von Handlungsempfehlungen zur Risikobewertung eines Drittstaatentransfers und des Hostings von Daten in einer Cloud-Instanz
  • Unterstützung bei der Ausarbeitung zusätzlicher Schutzmaßnahmen im Einklang mit der Entscheidung des EuGH (C-311/18)
  • Festlegung von Kriterien für die Aussetzung des Datentransfers
  • Bei Bedarf Bereitstellung von Handlungsempfehlungen für die Meldung an die Datenschutzaufsichtsbehörde.
  • Entwurf eines Anhangs zu den SCC, der “zusätzliche Garantien” festlegt
• Beratung und Unterstützung bei der Entwicklung von Maßnahmen zur weiteren Verwendung von SCC
  • Hilfe bei der Ermittlung relevanter Datentransfers und betroffener Datentypen
  • Durchführung von Ad-hoc-Risikobewertungen bei Drittlandübermittlungen
  • Bei Bedarf Unterstützung bei der Ausarbeitung zusätzlicher Garantien
  • Festlegung einer Strategie zur Reaktion/Prävention

Vorteile der Data-Transfer-Folgenabschätzung

Eine Data-Transfer-Folgenabschätzung für die Übermittlung in Drittländer bietet mehr, als nur die Möglichkeit, weiterhin Daten zwischen Ländern auszutauschen.

Die Durchführung einer Data-Transfer-Folgenabschätzung ermöglicht es Unternehmen, eine fundierte Entscheidung darüber zu treffen, wo sie eine größere oder geringere Anzahl von Geschäftsaktivitäten durchführen möchten. Das Verständnis der möglichen Risiken, die die Übertragung von Daten an einen bestimmten Standort mit sich bringt, ermöglicht eine genauere und sicherere Planung von Investitionen.