Die Übermittlung personenbezogener Daten in Drittstaaten stellt Unternehmen vor große Herausforderungen. Denn laut DSGVO muss das Datenschutzniveau auch außerhalb des Europäischen Wirtschaftsraums (EWR) gewahrt bleiben. Die französische Datenschutzbehörde CNIL hat daher für Unternehmen einen Leitfaden zur Durchführung eines notwendigen Transfer Impact Assessment (TIA) entwickelt. Dieses Verfahren ermöglicht es Unternehmen, das Datenschutzniveau im Empfängerland zu bewerten und entsprechende Schutzmaßnahmen zu ergreifen.
Wann ein Transfer Impact Assessment notwendig ist
Ein Transfer Impact Assessment (TIA) ist erforderlich, wenn personenbezogene Daten in ein Drittland übermittelt werden und kein allgemeiner Angemessenheitsbeschluss der Europäischen Kommission vorliegt. Die DSGVO fordert in Art. 46, dass ein solcher Datentransfer nur erfolgen darf, wenn geeignete Garantien bestehen und den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.
Als geeignete Garantien kommen insbesondere Standardvertragsklauseln (Standard Contractual Clauses, SCC) und Binding Corporate Rules (BCR) in Betracht. Diese vertraglichen Mechanismen sollen sicherstellen, dass die Verarbeitung personenbezogener Daten im Drittland ein Schutzniveau bietet, das mit dem im Europäischen Wirtschaftsraum (EWR) vergleichbar ist. Die bloße Anwendung solcher Mechanismen reicht jedoch nicht aus. Unternehmen müssen prüfen, ob das Drittland tatsächlich ein angemessenes Schutzniveau gewährleisten kann. Dabei sind insbesondere die dortige Gesetzgebung sowie die behördlichen Zugriffsrechte auf die Daten zu analysieren.
Seit dem Urteil des Europäischen Gerichtshofs in der Rechtssache “Schrems II” ist klargestellt, dass Datenexporteure für eine umfassende Bewertung der datenschutzrechtlichen Rahmenbedingungen im Empfängerland verantwortlich sind. Kann ein angemessenes Schutzniveau nicht allein durch Standardvertragsklauseln oder BCRs gewährleistet werden, müssen zusätzliche Maßnahmen ergriffen werden. Diese können technischer, organisatorischer oder vertraglicher Natur sein, wie z.B. starke Verschlüsselungstechniken, Pseudonymisierung oder umfassende Audit- und Kontrollmechanismen.
Stellt sich heraus, dass trotz aller Maßnahmen ein gleichwertiges Schutzniveau nicht erreicht werden kann, darf die Verbringung nicht erfolgen. Unternehmen müssen zudem regelmäßig prüfen, ob sich die Rahmenbedingungen im Empfängerland ändern und eine Neubewertung des TIA erforderlich machen. Die Pflicht zur Durchführung einer TIA entfällt nur dann, wenn die Europäische Kommission für das betreffende Drittland einen Angemessenheitsbeschluss nach Art. 45 DSGVO erlassen hat oder eine der engen Ausnahmen des Art. 49 DSGVO eingreift.
Lese-Tipp: EU-Kommission veröffentlicht neue FAQ zum Data Act – das steht drin!
Ziel und Umfang eines Transfer Impact Assessment
Hauptziel eines TIA ist es, die Einhaltung der Datenschutzverpflichtungen des Datenimporteurs im Drittland zu bewerten und sicherzustellen, dass das Datenschutzniveau dem der EU entspricht. Dazu gehört eine detaillierte Prüfung der regulatorischen Rahmenbedingungen, insbesondere der Datenschutzgesetze und der Zugriffsmöglichkeiten staatlicher Behörden auf die übermittelten Daten. Eine zentrale Rolle spielt dabei die Analyse, ob die Gesetzgebung des Drittlandes mit den europäischen Datenschutzprinzipien vereinbar ist oder ob Risiken bestehen, die zu einem unzureichenden Schutz personenbezogener Daten führen könnten.
Die Bewertung eines TIAs umfasst mehrere Aspekte. Zunächst muss die Rechtslage im Drittland ermittelt werden. Dazu gehören die bestehenden Datenschutzgesetze, die Befugnisse der lokalen Datenschutzbehörden und die Durchsetzbarkeit der Rechte der Betroffenen. Zweitens sind die tatsächlichen Zugriffsmöglichkeiten staatlicher Stellen zu analysieren, insbesondere im Hinblick auf Überwachungsprogramme und gesetzliche Verpflichtungen zur Herausgabe von Daten. Drittens ist die Wirksamkeit des gewählten Übermittlungsinstruments, z.B. Standardvertragsklauseln oder Binding Corporate Rules, zu prüfen. Reichen diese nicht aus, müssen zusätzliche Schutzmaßnahmen ergriffen werden.
Zusätzliche Maßnahmen können technischer, organisatorischer oder vertraglicher Art sein. Technische Maßnahmen umfassen die starke Verschlüsselung, Anonymisierung oder Pseudonymisierung von Daten, so dass sie für unbefugte Dritte nicht lesbar sind. Organisatorische Maßnahmen umfassen die Einführung klarer Sicherheitsrichtlinien, die Schulung des Personals sowie regelmäßige Audits und Kontrollen. Vertragliche Maßnahmen können Verpflichtungen des Datenimporteurs zur Abwehr staatlicher Zugriffe und zur unverzüglichen Unterrichtung des Datenexporteurs über behördliche Anfragen umfassen.
Die Unternehmen müssen eine umfassende Risikobewertung durchführen und dokumentieren. Darüber hinaus ist ein kontinuierliches Monitoring erforderlich, um zeitnah auf Änderungen der Gesetzgebung oder der Behördenpraxis reagieren zu können. Stellt sich heraus, dass ein gleichwertiges Schutzniveau nicht gewährleistet werden kann, darf die Übermittlung nicht erfolgen.
Hier bietet die französische Datenschutzbehörde CNIL mit ihrem veröffentlichten Leitfaden eine Unterstützung für Unternehmen an. In sechs Schritten werden Unternehmen durch ein TIA geführt, Tabellen unterstützen bei der Dokumentation.
Mit diesen 6 Schritten führen Unternehmen einen sicheren Transfer Impact Assessment durch
Die CNIL definiert sechs wesentliche Schritte für ein TIA:
- Kenntnis über Transfer: Zunächst müssen die Art der Übermittlung, die beteiligten Parteien sowie die Sensitivität der Daten bestimmt werden. Hierzu sind die Datenkategorien, Übertragungswege und Speicherdauer zu dokumentieren.
- Identifikation des Transferinstruments: Die rechtliche Grundlage der Übermittlung ist festzustellen. Standardvertragsklauseln oder BCRs müssen geprüft und korrekt implementiert sein.
- Bewertung des Ziellandes: Die Gesetzgebung des Empfängerlandes wird analysiert. Insbesondere sind Überwachungsbefugnisse und mögliche Eingriffe durch Behörden zu prüfen. Zudem müssen Unternehmen einschätzen, ob gesetzliche Schutzmechanismen für betroffene Personen bestehen.
- Ermittlung und Implementierung zusätzlicher Maßnahmen: Falls das Schutzniveau des Drittlandes unzureichend ist, müssen Unternehmen technische, organisatorische oder vertragliche Schutzmaßnahmen ergreifen. Dazu gehören Verschlüsselung, Pseudonymisierung und vertragliche Verpflichtungen des Datenimporteurs.
- Umsetzung der ergänzenden Maßnahmen: Die ermittelten Schutzmaßnahmen müssen tatsächlich implementiert und operativ durchgesetzt werden. Dies kann durch interne Richtlinien, Schulungen und regelmäßige Audits erfolgen. So kann sichergestellt werden, dass sie wirksam sind und etwaige Hindernisse (z. B. finanzielle Schwierigkeiten, Nichtverfügbarkeit der zuständigen Teams usw.) antizipiert werden.
- Regelmäßige Neubewertung: Die rechtlichen Rahmenbedingungen und getroffenen Maßnahmen sind in regelmäßigen Abständen zu überprüfen. Falls sich die Gesetzeslage oder Behördenpraktiken im Drittland ändern, muss das TIA entsprechend aktualisiert werden.
CNIL-Leitfaden für TIA unterstützt Unternehmen
Der Leitfaden der CNIL bietet Unternehmen eine praxisorientierte Unterstützung, um TIAs effizient durchzuführen und die datenschutzrechtlichen Anforderungen der DSGVO zu erfüllen. Ein wesentlicher Vorteil liegt in der strukturierten Vorgehensweise, die Unternehmen eine klare Orientierung bei der Durchführung eines TIA gibt. Dies erleichtert die Identifikation potenzieller Datenschutzrisiken und ermöglicht eine zielgerichtete Bewertung der datenschutzrechtlichen Rahmenbedingungen im Empfängerland.
Ein weiterer Vorteil liegt in der praktischen Anwendbarkeit des Leitfadens. Unternehmen erhalten eine konkrete Anleitung zur systematischen Analyse der relevanten rechtlichen, technischen und organisatorischen Aspekte. Dies hilft insbesondere kleinen und mittleren Unternehmen, die möglicherweise nicht über umfassende Datenschutzexpertise verfügen, dennoch einen DSGVO-konformen Datentransfer sicherzustellen.
Durch die detaillierte Darstellung von Schutzmaßnahmen wie Verschlüsselung, Anonymisierung und vertraglichen Verpflichtungen des Datenimporteurs bietet der Leitfaden konkrete Handlungsempfehlungen. Unternehmen können so effektive Sicherheitsmaßnahmen umsetzen, um das Datenschutzniveau im Drittland an das europäische Niveau anzugleichen.
Darüber hinaus erleichtert die Methodik der CNIL die regelmäßige Überprüfung und Aktualisierung des TIA. Da sich die rechtlichen Rahmenbedingungen in Drittländern ändern können, stellt der Leitfaden sicher, dass Unternehmen ihre Maßnahmen kontinuierlich anpassen und mögliche Compliance-Verstöße vermeiden. Dies trägt dazu bei, das Risiko behördlicher Sanktionen zu reduzieren und das Vertrauen von Geschäftspartnern und Kunden in den Umgang mit personenbezogenen Daten zu stärken.
Letztlich hilft der Leitfaden nicht nur bei der Erfüllung der gesetzlichen Pflichten, sondern verbessert auch die unternehmensinterne Datenschutzstrategie. Unternehmen, die den CNIL-Leitfaden anwenden, profitieren von einem systematischen und effizienten Ansatz für den internationalen Datentransfer, was langfristig zu einer besseren Datenschutzkultur und mehr Rechtssicherheit führt.
Quelle: Leitfaden der CNIL zum Transfer Impact Assessment
Sie haben noch Fragen zur Durchführung eines TIAs? Unsere Experten unterstützen Sie gerne dabei.
German 
English 
Italian 
French