Datenschutz in der Lieferkette - Datenübermittlung ins Ausland – was Unternehmen beachten müssen

Eine Datenübermittlung ins Ausland liegt vor, wenn personenbezogene Daten außerhalb der EU oder des Europäischen Wirtschaftsraums (EWR) verarbeitet werden.

Das betrifft zum Beispiel:

• Cloud-Dienste mit Servern in den USA
• Software-Anbieter mit Sitz außerhalb der EU
• Support-Dienstleister in Drittstaaten

Wichtig ist:
Es kommt nicht nur auf den Sitz des Unternehmens an, sondern auch darauf, wo die Daten tatsächlich verarbeitet werden.

Was sind Drittländer?

Als Drittländer gelten alle Staaten außerhalb der EU und des EWR.

Beispiele:

• USA
• Indien
• China
• Türkei

Für diese Länder gilt die DSGVO nicht automatisch. Deshalb sind zusätzliche Schutzmaßnahmen notwendig.

Warum ist die Datenübermittlung kritisch?

Die DSGVO soll personenbezogene Daten schützen. Dieser Schutz kann in anderen Ländern geringer sein.

Typische Risiken:

• geringere Datenschutzstandards
• Zugriff durch Behörden
• fehlende Rechte für betroffene Personen

Deshalb stellt die DSGVO strenge Anforderungen an Datenübermittlungen.

Wann ist eine Datenübermittlung erlaubt?

Eine Datenübermittlung in ein Drittland ist nur erlaubt, wenn bestimmte Voraussetzungen erfüllt sind.

1. Angemessenheitsbeschluss

Die EU-Kommission kann feststellen, dass ein Land ein angemessenes Datenschutzniveau hat.

In diesem Fall ist die Datenübermittlung relativ einfach möglich.

2. Standardvertragsklauseln (SCC)

Wenn kein Angemessenheitsbeschluss vorliegt, müssen sogenannte Standardvertragsklauseln abgeschlossen werden.

Diese sind:

• von der EU vorgegeben
• rechtlich verbindlich
• verpflichtend bei vielen Drittstaaten

3. Zusätzliche Schutzmaßnahmen

In manchen Fällen reichen Standardvertragsklauseln allein nicht aus.

Dann sind zusätzliche Maßnahmen notwendig, zum Beispiel:

• Verschlüsselung
• Zugriffsbeschränkungen
• technische Sicherungen

Besonderheit: Datenübermittlung in die USA. Die USA sind ein Sonderfall im Datenschutz.

Viele bekannte Anbieter sitzen dort, zum Beispiel:

• Google
• Microsoft
• Meta

Hier ist besonders wichtig:

• zu prüfen, ob ein gültiger Rechtsrahmen besteht
• Standardvertragsklauseln zu nutzen
• zusätzliche Maßnahmen umzusetzen

Welche Pflichten haben Unternehmen?

Wenn Sie Daten ins Ausland übertragen, müssen Sie:

1. Datenflüsse kennen

Sie müssen wissen:

• wohin Daten übertragen werden
• wer Zugriff hat
• welche Systeme genutzt werden

2. Risiken bewerten

Prüfen Sie:

• wie sicher das Zielland ist
• welche Daten betroffen sind
• wie sensibel diese sind

3. Verträge abschließen

Standardvertragsklauseln sind häufig erforderlich.

4. Maßnahmen umsetzen

Je nach Risiko müssen zusätzliche Schutzmaßnahmen getroffen werden.

5. Dokumentation

Alle Schritte müssen nachvollziehbar dokumentiert werden.

Praxisbeispiel

Ein Unternehmen nutzt:

• ein US-amerikanisches Newsletter-Tool
• einen Cloud-Speicher

Hier werden personenbezogene Daten in die USA übertragen.

Notwendig sind:

• AV-Vertrag
• Standardvertragsklauseln
• Prüfung der Sicherheitsmaßnahmen

Fehlen diese Punkte, liegt ein DSGVO-Verstoß vor.

Typische Fehler in der Praxis

Viele Unternehmen machen ähnliche Fehler:

1. Unwissenheit über Datenstandorte

Es wird nicht geprüft, wo Daten gespeichert werden.

2. Fehlende Verträge

Standardvertragsklauseln werden nicht abgeschlossen.

3. Keine Risikoanalyse

Die Risiken werden nicht bewertet.

4. Blindes Vertrauen in Anbieter

Unternehmen verlassen sich auf Aussagen der Anbieter.

5. Fehlende Dokumentation

Maßnahmen werden nicht festgehalten.

Best Practices für Unternehmen

So setzen Sie Datenübermittlungen sicher um:

• Datenflüsse vollständig erfassen
• Anbieter sorgfältig prüfen
• Standardvertragsklauseln nutzen
• zusätzliche Sicherheitsmaßnahmen umsetzen
• Prozesse dokumentieren
• regelmäßig überprüfen

Welche Folgen drohen bei Verstößen?

Eine unzulässige Datenübermittlung kann zu:

• Bußgeldern
• Untersagung der Datenverarbeitung
• Reputationsverlust
• Vertrauensverlust bei Kunden

führen.

Gerade internationale Datenübertragungen stehen im Fokus der Aufsichtsbehörden.

Die Datenübermittlung ins Ausland ist ein zentraler Bestandteil des Datenschutzes in der Lieferkette.

Die wichtigsten Punkte:

• Drittstaaten bergen zusätzliche Risiken
• klare rechtliche Anforderungen müssen eingehalten werden
• Standardvertragsklauseln sind oft notwendig
• zusätzliche Schutzmaßnahmen können erforderlich sein

Wenn Sie diese Punkte beachten, können Sie internationale Dienstleister sicher nutzen.

Sie nutzen internationale Dienstleister und sind unsicher bei der DSGVO?
Wir unterstützen Sie bei der rechtssicheren Umsetzung von Datenübermittlungen.

Jetzt Beratung anfragen auf www.datenschutz-prinz.de

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!

Ihr Team von Datenschutz Prinz

Abonnieren Sie auch gerne unseren Blog für mehr Informationen rund um die Themen Datenschutz, KI, IT-Sicherheit und digitale Awareness.