Für Australien besteht nach der am 8. September 2026 geprüften Liste der Europäischen Kommission kein Angemessenheitsbeschluss. Ein deutscher Verantwortlicher kann einen australischen Dienstleister deshalb nicht allein mit dem Hinweis auf dessen Privacy-Act-Konformität freigeben. Er benötigt für einen tatsächlichen Drittlandtransfer einen passenden Weg nach Kapitel V DSGVO und muss die übrigen Verarbeitungsvoraussetzungen unabhängig davon erfüllen.
Für eine laufende Dienstleisterbeziehung kommen insbesondere geeignete Garantien nach Artikel 46 in Betracht. Dieser Leitfaden führt von der Empfänger- und Rollenprüfung über Standardvertragsklauseln bis zu einer dokumentierten Entscheidung über australische Supportzugriffe. Das ausgefüllte Beispiel beschreibt eine fiktive Beschaffung; es ist keine pauschale Freigabe australischer Anbieter.
1. Den tatsächlichen Transfer beschreiben
„Die Server stehen in Frankfurt“ beantwortet nur einen Teil der Prüfung. Wenn ein rechtlich eigenständiger australischer Dienstleister dort gespeicherte personenbezogene Daten einsehen kann, kann die Bereitstellung bereits eine Übermittlung sein. Eine heruntergeladene Datei ist dafür nicht erforderlich. Relevant sind auch Tickets, Diagnoseprotokolle, Bildschirmfreigaben und administrative Zugänge.
Nach den EDPB-Leitlinien 05/2021 sind die Beteiligten entscheidend: Ein der DSGVO unterliegender Exporteur macht Daten einem anderen Verantwortlichen oder Auftragsverarbeiter in einem Drittland zugänglich. Der Zugriff einer eigenen beschäftigten Person auf Dienstreise ist nicht allein wegen ihres Aufenthaltsorts eine Übermittlung an einen anderen Empfänger. Die Sicherheit dieser Verarbeitung bleibt trotzdem zu gewährleisten.
Erstellen Sie daher eine konkrete Zeile pro Datenfluss: exportierende Gesellschaft, empfangende Gesellschaft, Aufgabe, Datenkategorien, betroffene Personen, Speicherort, Zugriffsland und Weiterempfänger. Unterscheiden Sie eine australische Tochtergesellschaft von einer bloßen Betriebsstätte derselben juristischen Person. Bei unklaren Konzernbezeichnungen liefert die Kartierung der IT-Systemlandschaft die Verbindung zwischen Vertrag, Anwendung und tatsächlichem Zugriff. Wird der Support anschließend nach Singapur weitergeleitet, benötigt dieser Datenfluss eine eigene Bewertung; der Leitfaden zur Datenübermittlung nach Singapur zeigt die dortige Empfänger- und Rechtsprüfung.
2. Australisches Datenschutzrecht richtig einordnen
Der Privacy Act 1988 und die Australian Privacy Principles können wichtige Pflichten des Empfängers begründen. Ihre Anwendbarkeit ist jedoch konkret zu prüfen. Die OAIC erläutert für kleine Unternehmen, dass viele Unternehmen mit höchstens drei Millionen australischen Dollar Jahresumsatz nicht erfasst sind, zugleich aber zahlreiche Ausnahmen bestehen, etwa für Gesundheitsdienstleister oder bestimmte Geschäfte mit personenbezogenen Informationen.
Die Aussage „Wir sind ein kleines Unternehmen“ beantwortet die Frage deshalb ebenso wenig wie „Wir haben eine Datenschutzerklärung“. Bitten Sie um eine nachvollziehbare Einordnung der empfangenden Gesellschaft und ihrer Tätigkeit. Eine mögliche australische Ausnahme beseitigt weder vertragliche Verpflichtungen gegenüber dem deutschen Auftraggeber noch dessen eigene DSGVO-Pflichten.
Ein zweiter häufiger Irrtum betrifft APP 8. Nach der aktuellen OAIC-Anleitung zu grenzüberschreitenden Offenlegungen betrifft diese Regel grundsätzlich Offenlegungen durch eine erfasste australische Stelle an ausländische Empfänger. Sie enthält angemessene Schutzschritte, Verantwortlichkeit und Ausnahmen. Das ist für eine Weitergabe aus Australien relevant, ersetzt aber kein Transferinstrument für die ursprüngliche Übermittlung aus Deutschland.
Auch ein Sicherheitszertifikat beantwortet eine andere Frage. Es kann Hinweise auf kontrollierte Sicherheitsprozesse liefern, stellt jedoch keinen Angemessenheitsbeschluss und keine Standardvertragsklauseln dar. Prüfen Sie seinen tatsächlichen Geltungsbereich, statt aus dem Logo auf sämtliche Verarbeitungstätigkeiten und Konzernunternehmen zu schließen.
3. Rollen und Vertragsweg festlegen
Die Rollen bestimmen das passende SCC-Modul. Ein deutscher Verantwortlicher, der einen australischen Dienstleister ausschließlich weisungsgebunden arbeiten lässt, prüft grundsätzlich Modul 2. Beauftragt ein deutscher Auftragsverarbeiter einen australischen Unterauftragsverarbeiter, ist Modul 3 einschlägig. Bei selbstständigen Zwecken beider Parteien kommt Modul 1 in Betracht; die Rückgabe durch einen europäischen Auftragsverarbeiter an einen australischen Verantwortlichen gehört zu Modul 4.
Die SCC von 2021, Beschluss 2021/914, haben eine wichtige Anwendungsgrenze: Sie betreffen Übermittlungen an Importeure, deren betreffende Verarbeitung nicht bereits der DSGVO unterliegt. Das erläutert auch die Kommission in ihren SCC-Fragen und Antworten. Eine eigenständige Anwendbarkeit nach Artikel 3 beim Importeur muss daher vor der Modulwahl geklärt werden; Kapitel V fällt dadurch nicht einfach weg.
Der Name eines Vertrags macht aus einer eigenständig entscheidenden Gesellschaft keinen Auftragsverarbeiter. Lassen Sie insbesondere eigene Produktanalysen, Werbung, Trainingszwecke und mandantenübergreifende Auswertungen gesondert erklären. Die Abgrenzung von Verantwortlichem und Auftragsverarbeiter hilft bei der Zuordnung je Verarbeitung.
Bei Auftragsverarbeitung gehören zudem die erforderlichen Artikel-28-Regelungen in die Beziehung. Stimmen Sie Weisungen, Unterauftragnehmer, Unterstützung bei Betroffenenrechten und das Ende der Verarbeitung mit den SCC ab. Zusatzklauseln dürfen deren Schutz nicht unterlaufen. Ein allgemeines Haftungs- oder Geheimhaltungsmuster sollte nicht unbemerkt Betroffenenrechte aus den Klauseln verdrängen.
4. Australische Zugriffsregeln im TIA untersuchen
Das Transfer Impact Assessment untersucht, ob die anwendbaren Gesetze und Praktiken den Importeur an der Einhaltung seiner Garantien hindern können. Dazu gehören die konkrete Dienstleistung, Datenart, Zugriffsarchitektur, Rechtsbehelfe und staatliche Befugnisse. Eine allgemeine Länderbeschreibung oder ein pauschales „Wir erhielten bisher keine Anfrage“ genügt nicht als vollständige Begründung.
Ein relevanter Prüfansatz ist Part 15 des Telecommunications Act 1997 in der amtlichen Fassung vom 4. Juni 2026. Er unterscheidet Technical Assistance Requests, Technical Assistance Notices und Technical Capability Notices. Die Instrumente, ihre Adressaten und ihre Voraussetzungen sind auseinanderzuhalten. Section 317ZG enthält insbesondere Grenzen gegen das Verlangen oder Erbitten systemischer Schwächen oder Verwundbarkeiten; daraus folgt aber kein allgemeiner Ausschluss staatlicher Zugriffe.
Der praktische Auftrag an die lokale Rechtsprüfung lautet: „Fällt diese Gesellschaft für diesen Dienst unter die einschlägigen Anbieterbegriffe? Welche Anforderungen könnten die verfügbaren Informationen oder Fähigkeiten betreffen? Welche Grenzen, Kontrollmöglichkeiten und Offenlegungsbeschränkungen gelten?“ Weitere einschlägige Befugnisse sind abhängig vom Sachverhalt zu ergänzen. Die Aufzählung eines einzelnen Gesetzes ist noch kein vollständiges TIA.
Die Anleitung zur Durchführung eines TIA verbindet diese Prüfung mit Datenflüssen, Quellen und Maßnahmen. Bei Modul 4 ist die besondere Reichweite der Klauseln 14 und 15 zu beachten: Sie greifen dort für die vorgesehene Konstellation, in der in der EU erhobene Daten mit den vom Drittlandverantwortlichen erhaltenen Daten kombiniert werden. Ein unverändert verwendetes Modul-2-Muster kann diese Unterscheidung verdecken.
5. Maßnahmen gegen das konkret festgestellte Problem auswählen
Die finalen EDPB-Empfehlungen 01/2020 verlangen eine Bewertung der Wirksamkeit ergänzender Maßnahmen. Verschlüsselung während der Übertragung schützt nicht vor einem Empfänger, der die Daten anschließend im Klartext verarbeitet. Eine EU-Schlüsselverwaltung hilft gegen einen bestimmten Zugriff nur, wenn der betroffene Empfänger die Informationen nicht anderweitig entschlüsseln oder im laufenden Betrieb einsehen kann.
Prüfen Sie deshalb jeweils den Angriffspunkt: Braucht der Support Namen, Kundennummern und vollständige Nachrichten? Kann ein Fehler mit synthetischen Fällen reproduziert werden? Reicht ein bereinigtes technisches Protokoll? Welche Kombinationen könnten die Person dennoch identifizierbar machen? Die Verringerung des Datenumfangs ist oft praktisch wirksamer als eine zusätzliche allgemeine Geheimhaltungszusage.
Vertragliche Pflichten zur Prüfung behördlicher Anfragen und zur zulässigen Information des Exporteurs bleiben sinnvoll. Sie können zwingendes ausländisches Recht aber nicht ausschalten. Wenn eine tatsächlich einschlägige problematische Zugriffsbefugnis und der notwendige Klartextzugriff nicht wirksam aufgefangen werden, darf die Entscheidung nicht allein auf wirtschaftliche Dringlichkeit gestützt werden. Dann muss der Datenfluss geändert, ausgesetzt oder unterlassen werden.
6. Ausgefülltes Beispiel: Support für eine deutsche Buchungsplattform
Die fiktive Rheinbuchung GmbH möchte technische Unterstützung durch eine australische Gesellschaft nutzen. Die Produktdatenbank verbleibt im EWR. Der erste Vertragsentwurf erlaubt dennoch uneingeschränkten Zugriff auf Produktivkonten und vollständige Supporttickets. Der Einkauf hält das zunächst für einen Vertrag ohne Drittlandtransfer.
Die Bestandsaufnahme korrigiert diese Annahme:
| Prüfpunkt | Festgestellter Sachverhalt | Entscheidung für die nächste Fassung |
|---|---|---|
| Empfänger | Eigenständige australische Supportgesellschaft | Drittlandempfänger ausdrücklich erfassen |
| Rolle | Weisungsgebundene Fehleranalyse ohne eigene Datennutzung | Auftragsverarbeitung und SCC-Modul 2 prüfen; Artikel-3-Reichweite zuvor klären |
| Daten | Namen, E-Mail-Adressen, Freitext und technische Kennungen | Standardtickets vor Weitergabe bereinigen |
| Zugang | Dauerhafte administrative Berechtigung | Zugang entfernen; einzelne Sitzungen nur nach begründeter Freigabe |
| Nachweise | Bisher nur Sicherheitsbroschüre | Konkrete Rollenbeschreibung, Zugriffskonzept und lokale Rechtsanalyse anfordern |
| Weitergabe | Weitere Supportstandorte unklar | Keine pauschale Standortfreigabe; Empfänger und Länder einzeln klären |
Der ausgefüllte Zwischenvermerk lautet: „Produktiver Zugriff noch nicht freigegeben. Die australische Gesellschaft erhält zunächst ausschließlich synthetische Fehlerbeispiele. Für personenbezogene Tickets fehlen die abgeschlossene TIA-Bewertung und ein technisch überprüftes Bereinigungskonzept.“ Das ist eine klare Beschaffungsentscheidung, ohne ein nicht durchgeführtes positives TIA vorzutäuschen.
Für eine spätere Freigabe müsste dokumentiert sein, dass die rechtliche Bewertung abgeschlossen ist und die beschlossenen Maßnahmen tatsächlich funktionieren. Eine neue Supportregion, zusätzliche Datenkategorien oder veränderte Schlüsselzugriffe lösen eine erneute Prüfung aus. Das Beispiel enthält bewusst keine Zusage, dass zeitlich begrenzte Sitzungen allein jedes erkannte Rechtsproblem beheben.
7. Vertragsanlagen und Betrieb zusammenführen
Die Anlagen müssen denselben Sachverhalt beschreiben wie das TIA und die technische Einrichtung. Erfassen Sie Parteien, konkrete Übermittlungszwecke, Personengruppen, Datenkategorien, Frequenz und Speicherdauer. Beschreiben Sie Sicherheitsmaßnahmen dienstbezogen. Unterauftragnehmerangaben müssen zu der tatsächlich gewählten Genehmigungsregel und der einschlägigen Anlage passen; eine beiliegende Liste ersetzt nicht jede erforderliche Genehmigung.
Legen Sie fest, wer den Freigabevermerk aktualisiert und wer Änderungen melden muss. Ein neuer Unterauftragnehmer in einem weiteren Drittland benötigt eine eigene Einordnung der Weiterübermittlung. Australische APP-8-Pflichten und die europäischen Vertragsvorgaben sind dabei parallel zu betrachten. Der Vergleich der Transferinstrumente BCR, SCC und DPF verhindert, dass eine US-Zertifizierung einer anderen Konzerngesellschaft versehentlich als Freigabe für Australien behandelt wird.
Der Betriebsnachweis sollte mindestens eine tatsächlich kontrollierte Zugriffsfreigabe und eine überprüfte Entziehung enthalten. Nutzen Sie das Logkonzept für Sicherheitsereignisse, um die erforderlichen Nachweise mit angemessenem Datenumfang zu planen. Die Protokollierung selbst kann personenbezogene Daten erzeugen und benötigt daher klare Zwecke, Zugriffe und Löschregeln.
Häufige Fragen
Bedeutet fehlende Angemessenheit, dass Australien generell unzulässig ist?
Nein. Es fehlt die pauschale Grundlage nach Artikel 45. Der konkrete Transfer kann über einen passenden anderen Weg zulässig sein, sofern dessen Voraussetzungen und die übrigen DSGVO-Anforderungen erfüllt sind. Eine individuelle Prüfung ersetzt kein pauschales Länderurteil durch ein anderes.
Kann eine Einwilligung den laufenden Support absichern?
Artikel 49 ist kein allgemeiner Ersatz für die Gestaltung eines dauerhaften Dienstleistermodells. Die jeweilige Ausnahme muss eng anhand ihrer Voraussetzungen geprüft werden. Eine allgemeine Einwilligung zur Datenschutzerklärung genügt insbesondere nicht für die ausdrückliche, über spezifische Transferrisiken informierte Einwilligung nach Artikel 49 Absatz 1 Buchstabe a.
Reicht das TIA des australischen Anbieters?
Es kann eine wichtige Informationsquelle sein. Der deutsche Exporteur muss jedoch prüfen, ob die beschriebenen Daten, Rollen, Zugriffe und Maßnahmen seinem eigenen Vorgang entsprechen. Ein Anbieterpapier für verschlüsselte Sicherungskopien passt nicht ohne Weiteres zu einem Supportdienst mit Klartextzugriff.