Drittlandtransfer

Ein Drittlandtransfer ist die Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums (EWR) – also in ein sogenanntes Drittland. Die DSGVO unterscheidet in Kapitel V (Art. 44–49) klar: Innerhalb der EU dürfen Daten frei fließen, in Drittländer nur, wenn dort ein dem EU-Niveau vergleichbarer Datenschutz sichergestellt ist. Schon das Speichern deiner Kundendaten auf einem Server in den USA oder der Zugriff eines US-Dienstleisters auf deine Systeme zählt als Drittlandtransfer.

Relevanz für KMU

Für mittelständische Unternehmen ist das Thema allgegenwärtig, weil viele gängige Software-Tools – von E-Mail-Marketing bis CRM – Daten auf Servern außerhalb der EU verarbeiten. Entscheidend ist nicht der Firmensitz des Anbieters, sondern wo die Daten tatsächlich verarbeitet werden und wer darauf zugreifen kann.

Es gibt drei zulässige Wege für einen Drittlandtransfer:

1. Angemessenheitsbeschluss: Die EU-Kommission hat für bestimmte Länder (z. B. UK, Japan, Schweiz, sowie die USA für zertifizierte Unternehmen unter dem EU-US Data Privacy Framework) festgestellt, dass dort ein angemessenes Schutzniveau besteht. Dann ist der Transfer ohne weitere Garantien möglich.
2. Geeignete Garantien (Art. 46 DSGVO): Vor allem die Standardvertragsklauseln (SCC) der EU-Kommission, ergänzt durch weitere technische und organisatorische Maßnahmen (TOMs), wenn das Recht des Drittlands staatliche Zugriffe erlaubt.
3. Ausnahmen (Art. 49 DSGVO): Nur für gelegentliche Fälle gedacht, etwa eine ausdrückliche Einwilligung oder Vertragserfüllung – keine Dauerlösung.

Nach dem Schrems-II-Urteil des EuGH (2020) wurde das alte Privacy-Shield-Abkommen gekippt. Der Grund: US-Gesetze erlauben Geheimdiensten weitreichende Zugriffe auf Daten europäischer Nutzer. Seitdem musst du bei SCC zusätzlich prüfen, ob das Drittlandrecht den Schutz faktisch unterläuft, und gegebenenfalls Zusatzmaßnahmen wie Verschlüsselung treffen.

Typische Missverständnisse

• „Der Anbieter hat eine Niederlassung in Deutschland, also kein Problem.“ Falsch – entscheidend ist, wo die Server stehen und ob ein Zugriff aus dem Drittland (z. B. durch die Muttergesellschaft oder Support-Teams) möglich ist.
• „Standardvertragsklauseln reichen immer aus.“ Nein – seit Schrems II brauchst du eine Transfer Impact Assessment (TIA) und gegebenenfalls ergänzende Maßnahmen.
• „Der Auftragsverarbeiter kümmert sich schon drum.“ Die Verantwortung bleibt bei dir als Verantwortlichem. Der AV-Vertrag deckt die Drittland-Thematik nicht automatisch ab.

Prüfpunkte

• In welchen Ländern verarbeitet jeder deiner SaaS-Anbieter Daten (inkl. Subprozessoren)?
• Liegt für das Zielland ein Angemessenheitsbeschluss vor, oder sind SCC abgeschlossen?
• Wurde bei USA-Transfers geprüft, ob der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist?
• Ist der Drittlandtransfer im Verzeichnis der Verarbeitungstätigkeiten dokumentiert?
• Gibt es technische Zusatzmaßnahmen wie Ende-zu-Ende-Verschlüsselung bei Ländern ohne Angemessenheitsbeschluss?

Wenn du das Risiko ganz umgehen willst, ist die einfachste Strategie: Anbieter mit Serverstandorten ausschließlich in der EU wählen – etwa beim Managed Hosting.