Drittlandtransfer mit SCC und TIA: Was Unternehmen dokumentieren müssen

Ein Drittlandtransfer mit Standardvertragsklauseln ist erst dann belastbar dokumentiert, wenn das Unternehmen den konkreten Datenfluss, die anwendbare Klausel und die tatsächlichen Zugriffsrisiken geprüft hat. Die Unterschrift unter einem SCC-Dokument ersetzt weder die Auswahl des passenden Moduls noch die Prüfung, ob Behördenzugriffe im Empfängerland wirksam begrenzt werden können.

Dieser Beitrag richtet sich an Unternehmen, die personenbezogene Daten aus Österreich oder einem anderen EWR-Staat in ein Drittland übermitteln oder einem dort ansässigen Dienstleister zugänglich machen. Im Mittelpunkt stehen der Transferumfang, das Transfer Impact Assessment, technische und organisatorische Zusatzmaßnahmen sowie die Nachweise, die in Verzeichnis, Lieferantenakte und laufender Kontrolle zusammengehören.

Kapitel V DSGVO gilt, wenn personenbezogene Daten aus dem EWR an einen Empfänger in einem Drittland übermittelt werden oder dort für diesen Empfänger zugänglich sind. Entscheidend ist nicht allein, wo die Produktionsdatenbank steht. Ein Supportteam, eine Fernwartung, ein Administrationskonto oder ein Unterauftragnehmer außerhalb des EWR kann ebenfalls einen relevanten Datenfluss auslösen.

Art 44 DSGVO verlangt, dass das Schutzniveau der Verordnung bei der Übermittlung nicht unterlaufen wird. Die Standardvertragsklauseln sind ein Instrument nach Art 46 DSGVO. Sie funktionieren aber nur innerhalb ihres Anwendungsbereichs und zusammen mit den übrigen Pflichten aus der DSGVO. Zuerst müssen daher Rollen, Zweck, Datenkategorien und Empfänger feststehen.

Das Verzeichnis der Verarbeitungstätigkeiten sollte den Transfer nicht als bloßes Länderfeld verstecken. Sinnvoll ist eine Zuordnung von Verarbeitungsvorgang, Datenexporteur, Importeur, Unterauftragsverarbeiter, Transferweg, Rechtsgrundlage, SCC-Modul und Zusatzmaßnahmen. So lässt sich später erklären, welche Prüfung zu welchem Datenfluss gehört.

Der Durchführungsbeschluss (EU) 2021/914 enthält einen modularen Satz Standardvertragsklauseln. Die Auswahl richtet sich danach, wer exportiert und wer importiert: Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter oder Auftragsverarbeiter an Verantwortlichen. Ein Unternehmen sollte die Rolle für den konkreten Vorgang prüfen und nicht nur den Namen des Anbieters übernehmen.

Zu den Klauseln gehören insbesondere die Beschreibung der Übermittlung und die technischen und organisatorischen Maßnahmen. Anhang I sollte Datenkategorien, betroffene Personengruppen, Zwecke, Häufigkeit, Dauer und Empfänger verständlich abbilden. Anhang II sollte nicht lediglich auf eine allgemeine Sicherheitsbroschüre verweisen, wenn konkrete Zugriffsbeschränkungen, Verschlüsselung oder Löschprozesse entscheidend sind.

Bei einer Dienstleisterkette müssen auch Unterauftragsverarbeiter und weitere Empfänger sichtbar werden. Ein Vertrag mit dem unmittelbaren Anbieter beantwortet nicht automatisch, wer im Support, Hosting, Backup oder Sicherheitsbetrieb tatsächlich Zugriff nehmen kann. Die Übersicht zu Auftragsverarbeitung und Dienstleistern hilft bei der vorgelagerten Rollen- und Vertragsprüfung.

Ein TIA beantwortet nicht nur die Frage, ob ein Land auf einer internen Liste steht. Es untersucht den konkreten Transfer, die dort geltenden Gesetze und die praktische Anwendung. Dazu gehören etwa mögliche Behördenzugriffe, die Befugnisse der Behörden, Rechtsschutzmöglichkeiten, die Art der Daten, der Zweck des Zugriffs und die Wahrscheinlichkeit, dass der Importeur tatsächlich in Anspruch genommen wird.

Die Prüfung beginnt mit Tatsachen: Welche Daten werden übertragen? Werden sie im Klartext verarbeitet? Wer kann sie lesen, administrieren oder aus Backups wiederherstellen? Gibt es Support aus dem Drittland? Kann der Anbieter Zugriffe technisch protokollieren und begrenzen? Danach werden Rechtslage und Praxis des Empfängerlandes auf genau diesen Datenfluss bezogen.

Das Ergebnis sollte nicht nur „SCC vorhanden“ lauten. Halten Sie fest, ob die Klauseln die Risiken zusammen mit den Zusatzmaßnahmen wirksam adressieren, welche Annahmen gelten und ob offene Punkte den Transfer begrenzen. Wenn kein angemessenes Schutzniveau erreicht werden kann, muss das Unternehmen den Transfer aussetzen, umgestalten oder eine andere Lösung wählen.

Zusatzmaßnahmen müssen zum Risiko passen. Eine Ende-zu-Ende-Verschlüsselung kann besonders wirksam sein, wenn der Importeur keinen Schlüsselzugriff erhält. Pseudonymisierung kann helfen, wenn die Zuordnung getrennt und sicher beim Exporteur verbleibt. Rollenbasierte Zugriffe, getrennte Administrationskonten, Protokollierung, kurze Berechtigungszeiten und ein kontrollierter Supportprozess können die Zugriffsmöglichkeiten weiter begrenzen.

Die Maßnahme muss aber praktisch funktionieren. Prüfen Sie, wer Schlüssel verwaltet, ob ein Anbieter im Notfall Zugriff erzwingen kann, welche Daten in Logs und Backups erscheinen und ob Supportpersonal die Pseudonymisierung auflösen kann. Vertragliche Zusagen allein verhindern einen gesetzlich möglichen Behördenzugriff nicht immer. Sie können organisatorische und technische Maßnahmen ergänzen, ersetzen aber nicht deren Wirksamkeitsprüfung.

Die Checkliste für Auftragsverarbeiter kann als Ausgangspunkt für Verantwortlichkeiten, Zugriffe, Unterauftragnehmer und Nachweise dienen. Für die Rollenfrage ist auch der Rollen-Check hilfreich. Beide ersetzen die konkrete Transferprüfung nicht, ordnen aber die notwendigen Informationen.

In der Lieferantenakte sollten zumindest der Vertrag, das ausgewählte SCC-Modul, die ausgefüllten Anhänge, die aktuelle Empfänger- und Unterauftragnehmerliste und das TIA auffindbar sein. Ergänzend gehören eine Datenflussbeschreibung, die Risikobewertung, die Entscheidung zu Zusatzmaßnahmen und die für die Verarbeitung zuständige Person dazu.

Das TIA sollte mit dem Verzeichnis der Verarbeitungstätigkeiten und den Datenschutzinformationen zusammenpassen. Wenn die Datenschutzerklärung einen EWR-Standort nennt, der Anbieter aber Support aus einem Drittland ermöglicht, entsteht eine erklärungsbedürftige Lücke. Gleiches gilt, wenn der Vertrag eine kurze Speicherfrist nennt, Backups aber wesentlich länger zugänglich bleiben.

Dokumentieren Sie auch die Entscheidung gegen einen Transfer oder gegen einen bestimmten Anbieter, wenn diese Entscheidung Teil der Risikosteuerung ist. Der Nachweis muss nicht jede interne Überlegung speichern. Er sollte aber erkennen lassen, welche Fakten geprüft, welche Maßnahmen gewählt und wann die Entscheidung überprüft wurde. Die österreichische Datenschutzbehörde betont im Zusammenhang mit der Rechenschaftspflicht, dass Verantwortliche ihre organisatorischen und technischen Maßnahmen nachvollziehbar darlegen können müssen.

Ein Transfer bleibt nicht unverändert, nur weil der Vertrag unterschrieben wurde. Neue Unterauftragnehmer, ein anderes Supportmodell, eine zusätzliche Analysefunktion oder ein neuer Datenstandort können den Risikokern verändern. Legen Sie deshalb auslösende Ereignisse und eine verantwortliche Stelle für die Nachkontrolle fest.

Bei einer Änderung sollte zuerst der Datenfluss aktualisiert werden. Danach ist zu prüfen, ob SCC-Anhänge, TIA, Datenschutzerklärung, Verzeichnis und technische Konfiguration noch zusammenpassen. Eine periodische Kontrolle kann sinnvoll sein, ersetzt aber nicht die anlassbezogene Prüfung bei einem wesentlichen Eingriff in die Verarbeitung.

Stellt sich heraus, dass die Klauseln oder Zusatzmaßnahmen nicht mehr ausreichen, muss das Unternehmen handeln. Möglich sind eine technische Umgestaltung, eine Einschränkung des Supports, eine Verlagerung in den EWR, ein anderer Anbieter oder die Aussetzung des betroffenen Datenflusses. Ein offener Risikovermerk ohne Zuständigkeit ist keine dauerhafte Lösung.

Nur der Serverstandort wird geprüft: Fernzugriffe, Support, Backups und Unterauftragnehmer bleiben unberücksichtigt, obwohl sie den tatsächlichen Zugriff bestimmen können.

Ein SCC-Muster wird unverändert abgelegt: Modul, Parteien und Anhänge passen nicht zum konkreten Rollenmodell oder enthalten keine brauchbare Beschreibung der Daten und Maßnahmen.

Das TIA ist eine Anbietererklärung: Eine Zusage, die Rechtsordnung einzuhalten, ersetzt keine eigene Prüfung von Recht, Praxis, Zugriff und Wirksamkeit der Maßnahmen.

Verschlüsselung wird nur behauptet: Niemand klärt, wer Schlüssel kontrolliert, welche Metadaten lesbar bleiben und ob der Anbieter im Supportfall Zugriff erhält.

Die Prüfung endet mit der Unterschrift: Änderungen bei Unterauftragnehmern, Produkten oder Behördenpraxis werden nicht in die Dokumentation übernommen.

Beginnen Sie mit einer Transferkarte für genau einen Vorgang. Erfassen Sie Exporteur, Importeur, Rollen, Daten, betroffene Personen, Zwecke, Systeme, Zugriffspunkte, Unterauftragnehmer und den konkreten Transferweg. Markieren Sie anschließend, welches SCC-Modul und welche Zusatzmaßnahmen dazugehören.

Führen Sie die rechtliche und praktische Prüfung getrennt, aber auf denselben Sachverhalt bezogen durch. Halten Sie Quellen, Tatsachen, Annahmen, Risikobewertung und Schlussfolgerung in einer nachvollziehbaren Reihenfolge fest. So kann eine spätere Kontrolle erkennen, ob die Entscheidung auf einem aktuellen Datenfluss beruht.

Zum Schluss braucht die Akte einen laufenden Prozess: Verantwortliche Person, Änderungsmeldung des Anbieters, Review-Anlass, technische Kontrolle und Entscheidung bei einer neuen Risikolage. Die Schwerpunktseite zu Compliance und Datenschutz-Governance zeigt, wie sich solche Zuständigkeiten in ein betriebliches Datenschutzsystem einordnen lassen.

Wir prüfen mit Ihnen den konkreten Datenfluss, die Rollen, das passende SCC-Modul, die Anhänge und die Zusatzmaßnahmen. Dabei ordnen wir auch Supportzugriffe, Unterauftragnehmer, Rechtslage, TIA und laufende Kontrolle in einer belastbaren Dokumentation. Kontaktieren Sie uns mit dem Vertrag, der Anbieterübersicht oder Ihrer bestehenden Transferakte, damit die offenen Punkte gezielt geklärt werden können.