Datenübermittlung außerhalb des EWR

Grundsätzlich verarbeiten wir personenbezogene Daten innerhalb des Europäischen Wirtschaftsraums, und aus Polen erbrachte Dienstleistungen halten wir innerhalb seiner Grenzen. Für eine der EU-Regulierung unterliegende Organisation bedeutet dies, dass kein Übermittlungsmechanismus zu verhandeln ist, keine Angemessenheit überwacht werden muss und keine Standardvertragsklauseln für diese Arbeit aufrechtzuerhalten sind.

Eine Übermittlung außerhalb des EWR kann ausnahmsweise auftreten, wenn ein bestimmter Dienst oder ein Werkzeug eine Verarbeitung durch eine Stelle oder in einer Infrastruktur außerhalb des EWR erfordert. In einem solchen Fall erfolgt die Übermittlung ausschließlich unter Anwendung eines geeigneten, in Kapitel V der DSGVO vorgesehenen Mechanismus, worüber wir die betroffenen Personen informieren.

Als Grundlage für eine Übermittlung wenden wir in der für den jeweiligen Fall geeigneten Reihenfolge an: einen Angemessenheitsbeschluss der Europäischen Kommission für das Bestimmungsland, beispielsweise den Beschluss zum EU-US Data Privacy Framework für zertifizierte Stellen, von der Kommission angenommene Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften. Fehlen diese Grundlagen, kann eine Übermittlung ausschließlich auf den in Artikel 49 DSGVO vorgesehenen Ausnahmen beruhen, die streng und in begrenztem Umfang angewendet werden.

Vor einer auf Standardvertragsklauseln gestützten Übermittlung prüfen wir, ob Recht und Praxis des Bestimmungslandes die Wirksamkeit der Garantien untergraben, insbesondere hinsichtlich des Zugriffs von Behörden auf Daten. Zeigt die Prüfung ein Risiko auf, setzen wir zusätzliche ergänzende Maßnahmen technischer, organisatorischer oder vertraglicher Art um oder verzichten auf die Übermittlung.

Als Übermittlung betrachten wir auch die Situation, in der ein Auftragsverarbeiter oder dessen Unterauftragsverarbeiter außerhalb des EWR auf Daten zugreift, einschließlich im Rahmen von Fernsupport oder -administration. Daher überprüfen wir den Standort der Unterauftragsverarbeiter sowie den Ort, von dem aus der Zugriff auf Systeme erfolgt, und berücksichtigen dies bei der Übermittlungsbewertung.

Über das Bestehen einer Übermittlung außerhalb des EWR, deren Grundlage sowie die Möglichkeit, Informationen zu den angewandten Garantien zu erhalten, informieren wir in der Datenschutzerklärung sowie auf Anfrage. Hinsichtlich der von einer Übermittlung erfassten Daten stehen Ihnen die in der Datenschutzerklärung beschriebenen Rechte zu, einschließlich des Rechts auf Beschwerde beim Präsidenten des Amtes für den Schutz personenbezogener Daten.