Zum Hauptinhalt springen

Datenübermittlung in die USA prüfen: die Datenübermittlung-Folgenabschätzung (Teil 17 der Reihe DSGVO-Dokumentation)

Teil 17 der Video-Reihe "DSGVO-Dokumentation mit preeco": die Übermittlung von Newsletter-Daten an einen US-Dienst mit einer Datenübermittlung-Folgenabschätzung prüfen, von Akteuren und Rechtslage im Zielland über Garantien bis zur Bewertung.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video prüfen Sie in preeco | datenschutz eine Datenübermittlung in die USA mit einer Datenübermittlung-Folgenabschätzung. Unser Newsletterdienst sitzt in den USA. Was müssen wir prüfen, bevor Daten dorthin gehen? MailHarbor war nach dem EU-US Data Privacy Framework zertifiziert, hat die Zertifizierung aber nicht erneuert. Seitdem stützt Kaltenbach die Übermittlung auf Standardvertragsklauseln. Dann muss Kaltenbach prüfen, ob das Recht im Zielland den Schutz der Klauseln aushebelt. Im Fachjargon heißt diese Prüfung Transfer Impact Assessment. Der Ausgangspunkt steht im Verzeichnis: Der Newsletter läuft über MailHarbor in den USA. Den fehlenden Angemessenheitsbeschluss hat Lea schon nachgetragen. Die Prüfung legen Sie unter Risiken an, neben den Datenschutz-Folgenabschätzungen. Bezeichnung und Organisation genügen zum Anlegen. Mit Alle gilt die Prüfung für das ganze Unternehmen. Zuerst der Bezug: die Verarbeitungstätigkeit Newsletter. Exporteur ist Kaltenbach selbst. Lea übernimmt die Organisation, die oben unter Zugehörigkeit steht. Sie wählt die GmbH und klickt auf Übernehmen. Name, Anschrift und Kontaktdaten der GmbH stehen jetzt im Formular. Den Importeur lädt Lea aus der Verarbeitungstätigkeit, wo MailHarbor schon als Empfänger steht. Zur Auswahl stehen die Empfänger des Newsletters. Lea nimmt MailHarbor. Damit steht auch der Importeur mit seiner Anschrift in San Francisco im Formular. Unter zusätzliche Datenempfänger steht der Hoster, den MailHarbor einsetzt. Die Beschreibung der Übertragung: seit wann, unter welchen Umständen und auf welchem Weg. Zweck und Datenkategorien übernimmt Lea aus dem Verzeichnis. Dafür setzt sie die beiden Haken bei Datenübernahme. Was übernommen wird, zeigt die Vorschau: Zweck und Kategorien aus dem Newsletter. Jetzt der Kern: Was erlaubt das Recht im Zielland den Behörden? Die Bewertung gilt für einen Zeitraum. Danach prüft Kaltenbach neu. Hier steht, welche Zugriffsrechte Behörden in den USA haben und welche Rechtsbehelfe Menschen aus der EU dagegen haben. Diese Einschätzung schreiben Sie selbst, meist mit Ihrem Datenschutzbeauftragten. preeco gibt die Gliederung vor und bewertet das Recht im Zielland nicht. Hat der Importeur schon Anfragen von Behörden bekommen? Laut seinem Transparenzbericht keine zu Kundendaten aus der EU. Unter Garantien verweisen Sie auf die technischen und organisatorischen Maßnahmen. Die Rechtsgrundlage sind die Standardvertragsklauseln der EU-Kommission. Dazu weitere Maßnahmen: Bestelldaten bleiben bei Kaltenbach, und alles läuft verschlüsselt. In der Bewertung steht das Risiko, um das es geht: ein Zugriff von Behörden im Zielland auf die Empfängerliste. Mit Risikokategorie, Wahrscheinlichkeit und Schwere, wie bei der Folgenabschätzung für die Ortung. Auch hier ergänzt die KI auf Wunsch weitere Risiken. Dafür gehen die Daten der Prüfung an den KI-Anbieter. Die Vorschläge landen im Formular, gespeichert ist noch nichts. Drei Vorschläge sind dazugekommen, etwa die Weitergabe an den Hoster. Lea prüft sie und speichert. Für die Maßnahmen geht es genauso. Die KI schlägt Maßnahmen vor, von weniger Klickdaten bis zu einem Verfahren für Anfragen von Behörden. Der erste Vorschlag ist eine Verschlüsselung, bei der die Schlüssel in der EU bleiben. Ob das beim Newsletter geht, klärt Lea mit der IT. Dafür trägt sie einen Termin ein. Danach speichert sie die Prüfung. Die Risikokartierung in der Detailansicht zeigt: Alle Risiken liegen im selben Feld, begrenzte Wahrscheinlichkeit und begrenzte Schwere. Ein eigenes Feld für den Datenschutzbeauftragten hat diese Prüfung nicht. Lea schreibt seine Einschätzung deshalb in den Bericht. Thomas Wendler hält die Übermittlung mit den Klauseln und den zusätzlichen Maßnahmen für vertretbar. Zum Schluss setzt Lea den Status auf Akzeptabel. Wäre ein Risiko zu hoch, stünde hier Handeln und Prüfen oder Inakzeptabel. Lea speichert. Damit ist die Prüfung abgeschlossen, mit dem Status Akzeptabel und der Einschätzung im Bericht. Lässt sich MailHarbor wieder nach dem Data Privacy Framework zertifizieren, ändert sich die Grundlage der Übermittlung. Dann aktualisieren Sie die Prüfung. Übermitteln Sie nur, was der Dienst braucht. Jede Datenkategorie, die in Europa bleibt, fällt aus der Prüfung heraus. Im nächsten Teil vereinbart Kaltenbach mit einem Händlerverband, wer bei gemeinsamen Probefahrten wofür verantwortlich ist.

Den Newsletter verschickt die Velomanufaktur Kaltenbach über MailHarbor, einen Dienst in den USA. MailHarbor hat seine Zertifizierung nach dem EU-US Data Privacy Framework nicht erneuert, deshalb stützt Kaltenbach die Übermittlung jetzt auf Standardvertragsklauseln. In diesem Teil prüft Lea Brandner in preeco | datenschutz mit einer Datenübermittlung-Folgenabschätzung, ob die Daten in den USA ausreichend geschützt sind. Dieser Artikel ist Teil 17 der Video-Reihe "DSGVO-Dokumentation mit preeco".

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
  • Die Verarbeitungstätigkeit, um die es geht, ist im Verzeichnis erfasst, mit dem Empfänger im Drittland (Teil 05 der Reihe).
  • Für "Risikokatalog ergänzen" und "Maßnahmen ergänzen" ist in Ihrem Team die KI-Integration eingerichtet.

Worum es geht

Personenbezogene Daten dürfen nur dann in ein Land außerhalb der EU gehen, wenn dort ein angemessenes Schutzniveau besteht (Art. 44 DSGVO). Ohne Angemessenheitsbeschluss (Art. 45 DSGVO) braucht es geeignete Garantien wie die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Seit dem Urteil "Schrems II" des EuGH (C-311/18) müssen Sie zusätzlich prüfen, ob das Recht im Zielland den Schutz der Klauseln aushebelt. Diese Prüfung heißt im Fachjargon Transfer Impact Assessment, in preeco Datenübermittlung-Folgenabschätzung.

Die Prüfung anlegen

  1. Öffnen Sie im Menü Risiken den Punkt Datenübermittlung-Folgenabschätzungen.
  2. Klicken Sie auf Neu und Datenübermittlung-Folgenabschätzung erstellen. Geben Sie eine Bezeichnung ein, wählen Sie unter Zugehörigkeit die Organisation und klicken Sie auf Erstellen. Mit dem Schalter Alle gilt die Prüfung auch für die untergeordneten Organisationen.
  3. Klicken Sie auf Bearbeiten und wählen Sie unter Bezug auf Verarbeitungstätigkeiten die Verarbeitungstätigkeit, bei Kaltenbach den Newsletter.

Akteure und Beschreibung der Übertragung

  1. Unter Akteure öffnen Sie bei Datenexporteur:in das Menü und wählen Oben ausgefüllte Organisationseinheit übernehmen. Wählen Sie die Organisation und klicken Sie auf Übernehmen. Name, Anschrift und Kontaktdaten stehen dann im Formular.
  2. Bei Datenimporteur:in wählen Sie im Menü Aus Verarbeitungstätigkeit laden. Zur Auswahl stehen die Empfänger der verknüpften Verarbeitungstätigkeit. Kaltenbach wählt MailHarbor Inc. mit Sitz in San Francisco.
  3. Unter Zusätzliche Datenempfänger tragen Sie weitere Stellen ein, die die Daten erhalten. Bei Kaltenbach ist das der Hoster, den MailHarbor als Subunternehmer einsetzt.
  4. Unter Beschreibung der Übertragung halten Sie Startdatum, Umstände der Übermittlung, Übertragungskanäle und den Speicherort der übermittelten Daten fest.
  5. Zweck und Datenkategorien übernehmen Sie aus dem Verzeichnis: Setzen Sie die beiden Haken bei Datenübernahme. Was übernommen wird, zeigt die Vorschau.

Rechtsvorschriften und Garantien

  1. Unter Rechtsvorschriften und Gepflogenheiten (im Bestimmungsdrittland) geben Sie den Beurteilungszeitraum an. Danach prüfen Sie neu.
  2. Beschreiben Sie unter Rechtsvorschriften und Geltende Beschränkungen und Garantien, welche Zugriffsrechte Behörden im Zielland haben und welche Rechtsbehelfe Betroffene aus der EU dagegen haben.
  3. Unter Frühere Ersuchen um Offenlegung seitens Behörden notieren Sie, ob der Importeur schon Anfragen von Behörden erhalten hat, etwa laut seinem Transparenzbericht.
  4. Unter Garantien verweisen Sie auf Ihre technischen und organisatorischen Maßnahmen, nennen die Rechtsgrundlage und beschreiben Weitere Maßnahmen. Bei Kaltenbach gehen nur E-Mail-Adresse und Vorname an MailHarbor, Bestelldaten bleiben im Haus.

Diese Einschätzung schreiben Sie selbst, meist zusammen mit Ihrem Datenschutzbeauftragten. preeco gibt die Gliederung vor und bewertet das Recht im Zielland nicht.

Risiken und Maßnahmen, auf Wunsch mit KI

  1. Unter Bewertung legen Sie die Risiken an, jeweils mit Risikokategorie, Eintrittswahrscheinlichkeit und Schwere der Auswirkung. Die Risikokartierung zeigt die Einordnung.
  2. Über KI-Aktionen und Risikokatalog ergänzen schlägt die KI weitere Risiken vor. Die Daten der Prüfung gehen dabei an den KI-Anbieter. Die Vorschläge landen im Formular, gespeichert ist noch nichts. Prüfen Sie jeden Vorschlag und klicken Sie dann auf Speichern.
  3. Unter Maßnahmen funktioniert Maßnahmen ergänzen genauso. Jede Maßnahme hat Bezeichnung, Beschreibung, Planung der Umsetzung bis und Status der Umsetzung.

Die Vorschläge der KI sind ein Entwurf. Bei Kaltenbach schlägt sie eine Verschlüsselung vor, bei der die Schlüssel in der EU bleiben. Ob das bei einem Newsletterdienst überhaupt geht, klärt Lea mit der IT und trägt dafür einen Termin ein.

Bericht und Status

  1. Die Datenübermittlung-Folgenabschätzung hat kein eigenes Feld für den Datenschutzbeauftragten. Schreiben Sie seine Einschätzung im Abschnitt Bericht unter Inhalte über Neu in die Beschreibung und klicken Sie auf Übernehmen.
  2. Setzen Sie unter Allgemein den Status auf Akzeptabel. Ist ein Risiko zu hoch, wählen Sie "Handeln / Prüfen" oder "Inakzeptabel".
  3. Klicken Sie auf Speichern.

Lässt sich der Importeur wieder nach dem Data Privacy Framework zertifizieren, ändert sich die Grundlage der Übermittlung. Dann aktualisieren Sie die Prüfung.

So machen es Praktiker

Übermitteln Sie nur, was der Dienst braucht. Jede Datenkategorie, die in Europa bleibt, fällt aus der Prüfung heraus.

Nächster Schritt

Im nächsten Teil vereinbart Kaltenbach mit einem Händlerverband, wer bei gemeinsamen Probefahrten wofür verantwortlich ist.

Alle Teile der Reihe

← Teil 16: DSFA: Maßnahmen und Bericht · Teil 18: Gemeinsame Verantwortlichkeit →

  1. Auftakt: DSGVO-Dokumentation aufbauen
  2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
  3. Teil 2: Systeme erfassen
  4. Teil 3: Datenfelder und Datenflüsse
  5. Teil 4: TOMs nach Art. 32
  6. Teil 5: Die erste Verarbeitungstätigkeit
  7. Teil 6: Verzeichnis mit KI und Team füllen
  8. Teil 7: Prüfen, freigeben, vorlegen
  9. Teil 8: Informationspflichten nach Art. 13 und 14
  10. Teil 9: Veröffentlichen
  11. Teil 10: Fehlende AV-Verträge erkennen
  12. Teil 11: AV-Vertrag erstellen und unterzeichnen
  13. Teil 12: Schutzbedarf ermitteln
  14. Teil 13: Löschkonzept und Löschklassen
  15. Teil 14: Löschregeln und Durchführer
  16. Teil 15: DSFA: Kontext und Risiken
  17. Teil 16: DSFA: Maßnahmen und Bericht
  18. Teil 17: Drittlandtransfer prüfen (dieser Artikel)
  19. Teil 18: Gemeinsame Verantwortlichkeit
  20. Teil 19: Kaltenbach als Auftragsverarbeiter
  21. Teil 20: Betroffenenanfrage bearbeiten
  22. Teil 21: Vorfall erfassen und melden
  23. Teil 22: Aus einem Vorfall lernen
  24. Teil 23: Einwilligungen einholen
  25. Teil 24: Datenschutzschulung durchführen
  26. Teil 25: Cookie-Banner und Datenschutzerklärung
  27. Teil 26: Wiedervorlagen, Aufgaben, Workflows
  28. Teil 27: Anfrage der Aufsichtsbehörde

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Unterlagen für eine Anfrage der Aufsichtsbehörde zusammenstellen (Teil 27 der Reihe DSGVO-Dokumentation) Wiedervorlagen, Aufgaben und Status-Workflows im Alltag (Teil 26 der Reihe DSGVO-Dokumentation) Cookie-Banner und Datenschutzerklärung der Website einrichten (Teil 25 der Reihe DSGVO-Dokumentation) Die jährliche Datenschutzschulung durchführen (Teil 24 der Reihe DSGVO-Dokumentation)

Passende Glossarbegriffe

Transfer Impact Assessment Standardvertragsklauseln
Zurück zu den Kurzanleitungen