Drittlandübermittlung

Eine Drittlandübermittlung liegt vor, wenn personenbezogene Daten in ein Land übertragen werden, das nicht dem Europäischen Wirtschaftsraum (EWR) – bestehend aus den EU-Mitgliedstaaten sowie Island, Liechtenstein und Norwegen – angehört. Da das Datenschutzniveau außerhalb des EWR nicht einheitlich ist, verlangt die DSGVO in Art. 44 ff. besondere Garantien, um sicherzustellen, dass das in der EU gewährleistete Schutzniveau nicht unterlaufen wird. Die Übermittlung ist nur dann zulässig, wenn eine dieser Garantien vorliegt.

Die wichtigsten Übermittlungsgrundlagen sind: erstens ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), mit dem für ein bestimmtes Drittland ein angemessenes Schutzniveau festgestellt wird – aktuell bestehen solche Beschlüsse u.a. für die USA (EU-US Data Privacy Framework), Großbritannien, Japan und die Schweiz; zweitens Standarddatenschutzklauseln (Standard Contractual Clauses, SCCs), die von der EU-Kommission erlassen wurden und zwischen dem Datenexporteur und -importeur vereinbart werden (Art. 46 Abs. 2 lit. c DSGVO); drittens verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCRs) für konzerninterne Übermittlungen.

Für Compliance Officer ist die Drittlandproblematik eine alltägliche Herausforderung, da viele weit verbreitete Cloud-Dienste, insbesondere aus dem US-amerikanischen Raum, Drittlandübermittlungen auslösen. Bei jeder Einführung eines neuen Dienstleisters ist daher zu prüfen, in welche Länder Daten übertragen werden und welche Übermittlungsgrundlage einschlägig ist. Seit dem Schrems-II-Urteil des EuGH (2020) müssen bei SCCs zusätzlich Transfer Impact Assessments (TIAs) durchgeführt werden, um das Schutzniveau im Empfängerland konkret zu bewerten.