Eine Verarbeitung außerhalb des EWR erfordert einen Transfermechanismus und laufende Überwachung. Eine Verarbeitung innerhalb der Union beseitigt diese Risikokategorie vollständig.
Wenn Sie einen Prozess mit personenbezogenen Daten an einen Anbieter außerhalb des Europäischen Wirtschaftsraums vergeben, übernehmen Sie eine Transferpflicht, die sich nie vollständig schließt: Sie benötigen einen Transfermechanismus, eine Bewertung des Rechts des Ziellandes, ergänzende Maßnahmen und laufende Überwachung. Ist der Anbieter innerhalb der Union, gilt nichts davon. Dies ist eine allgemeine Information und keine Rechtsberatung.
Vier Dinge verschwinden, statt einfacher zu werden. Der Transfermechanismus entfällt, weil es keinen grenzüberschreitenden Transfer zu legalisieren gibt. Die Transfer-Folgenabschätzung entfällt. Die Analyse ergänzender Maßnahmen entfällt. Und die Überwachungspflicht schrumpft, weil Angemessenheitsbeschlüsse angefochten werden können und sich das Recht von Drittstaaten ändert.
Eine Leistungserbringung in der Union ist jedoch keine Befreiung von der Compliance. Sie benötigen weiterhin einen Auftragsverarbeitungsvertrag, Garantien für technische und organisatorische Maßnahmen, Kontrolle über die Unterauftragsverarbeitung sowie Löschung oder Rückgabe der Daten am Ende. Und Sie müssen weiterhin prüfen, wo die Unterauftragsverarbeiter des Anbieters sitzen: Ein Anbieter in der Union, der Anfragen über eine anderswo gehostete Plattform leitet, hat die Transferfrage durch die Hintertür eingeführt.
Dieses Argument wiegt heute schwerer als vor fünf Jahren, weil die umgebende Regulierung dichter geworden ist. Der Datenschutz ist nicht mehr das einzige Regime mit Standortdimension: der KI-Rechtsakt der Union, DORA, NIS2 und der Rechtsakt zur Barrierefreiheit greifen je nach Sitz des Anbieters unterschiedlich. Für einen europäischen Einkäufer lautet die Frage, ob der Partner im selben Regulierungsperimeter sitzt wie er.
Najczęstsze pytania
- Erlaubt die DSGVO Outsourcing außerhalb der Europäischen Union?
- Ja, unter Bedingungen. Transfers außerhalb des EWR erfordern einen Transfermechanismus wie einen Angemessenheitsbeschluss oder Standardvertragsklauseln, eine Bewertung, ob das Recht des Ziellandes diese Garantien untergräbt, sowie ergänzende Maßnahmen, die laufend überwacht werden.
- Was ändert sich, wenn mein Anbieter innerhalb der Union sitzt?
- Der Transfermechanismus, die Transfer-Folgenabschätzung und die Analyse ergänzender Maßnahmen entfallen, weil es keinen grenzüberschreitenden Transfer gibt. Der Auftragsverarbeitungsvertrag, die Sicherheitsprüfung und die Kontrolle der Unterauftragsverarbeiter bleiben unverändert.
- Kann ein Anbieter aus der EU dennoch ein Transferproblem schaffen?
- Ja, über Unterauftragsverarbeiter und Fernzugriff. Ein Anbieter mit Sitz in der Union, der Daten außerhalb hostet, Unterauftragsverarbeiter außerhalb der EU nutzt oder administrativen Zugriff von außerhalb des EWR zulässt, hat einen Transfer eingeführt. Fordern Sie stets die vollständige Liste der Unterauftragsverarbeiter mit Standorten an.