Internationaler Datenschutz
Hohe Hürden für internationale Datentransfers?
Gemeinsam überwinden wir sie!
Wir beraten Sie gerne zu den Anforderungen beim grenzüberschreitenden Datenverkehr und zeigen auf, welche rechtlichen Stolpersteine hier lauern können. Diese Thematik ist naturgemäß in Zeiten von zunehmend globalen Geschäftsbeziehungen, Lieferketten und Konzernstrukturen von großer Bedeutung. Gerade der Einsatz von Cloud Computing Anbietern, die die personenbezogenen Daten Ihrer MitarbeiterInnen oder KundInnen in Rechenzentren auf der ganzen Welt speichern könnten, ohne dass es für Sie auf den ersten Blick erkennbar ist, spielt hierbei eine große Rolle.
Erste Stufe
Bei der Thematik geht es nicht nur um die Frage, welches Recht welchen Landes anwendbar oder welche Aufsichtsbehörde zuständig ist, sondern insbesondere darum, wie die Zulässigkeit der Übermittlung personenbezogener Daten in ein sog. Drittland hergestellt werden kann.
Bei einem Drittland handelt es sich grundsätzlich um jedes Land außerhalb der EU bzw. des EWR. Bei Übermittlungen an Empfänger in einem Drittland müssen mehrere Anforderungen erfüllt sein:
Die bei jeder Datenübermittlung zu erfüllenden Anforderungen der DSGVO müssen auch bei Übermittlungen an EmpfängerInnen in einem Drittland eingehalten werden.
Zweite Stufe
Darüber hinaus muss bei Übermittlungen an EmpfängerInnen in einem Drittland sichergestellt werden, dass ein angemessenes Datenschutzniveau im Drittland gewährleistet ist.
Für die „zweite Stufe“ kommen je nach Drittland und je nach EmpfängerInnen unterschiedliche Lösungen in Betracht, wie etwa:
- sogenannte Angemessenheitsbeschlüsse der Europäischen Kommission,
- geeignete Garantien wie Standardvertragsklauseln oder Binding Corporate Rules, sowie Ausnahmevorschriften der DSGVO für bestimmte Fälle.
Ob die Anforderungen im konkreten Fall erfüllt sind, hängt oftmals von Details ab:
- Erfordert die Rechtslage im Drittland zusätzliche Maßnahmen neben den Standardvertragsklauseln, um ein angemessenes Datenschutzniveau zu erreichen?
- Ist die Übermittlung an einen EmpfängerInnen in den USA von dessen EU-U.S. Data Privacy Framework Zertifizierung umfasst?