Singapur ist ein möglicher Standort für regionale Dienstleister, Hosting und Support. Für die Übermittlung personenbezogener Daten aus Deutschland gibt es aber keine allgemeine Freigabe: Die am 8. September 2026 geprüfte Angemessenheitsliste der Europäischen Kommission enthält Singapur nicht. Ein tatsächlicher Drittlandtransfer benötigt daher einen anderen passenden Weg nach Kapitel V DSGVO.
Besonders wichtig ist die Trennung dreier Fragen: Was erlaubt der europäische Datenschutzrahmen? Welche Pflichten gelten für die Verarbeitung in Singapur? Und welche Regeln greifen bei einer späteren Weitergabe aus Singapur? Dieser Leitfaden führt diese Fragen in einem konkreten Beschaffungsvermerk zusammen.
1. Das digitale Handelsabkommen richtig einordnen
Das EU-Singapur-Abkommen über digitalen Handel trat nach der Mitteilung der Kommission am 1. Februar 2026 in Kraft. Es enthält Regeln zum digitalen Handel und zu grenzüberschreitenden Datenflüssen. Daraus folgt jedoch kein Angemessenheitsbeschluss nach Artikel 45 DSGVO.
Der amtliche Vertragstext hält in Artikel 6 Absatz 11 ausdrücklich Raum für Maßnahmen des jeweiligen Datenschutzrahmens einschließlich Regeln für grenzüberschreitende Übermittlungen offen. Ein Beschaffungsvermerk sollte deshalb nicht „Transfer erlaubt durch Handelsabkommen“ lauten. Die konkrete Grundlage nach Kapitel V bleibt gesondert zu bestimmen.
Das ist auch bei einer Produktpräsentation wichtig, die auf „freien Datenverkehr“ verweist. Bitten Sie den Anbieter um das konkrete Instrument für Ihre Gesellschaft, Ihre Daten und die empfangende juristische Person. Eine politische oder handelspolitische Zusage zwischen Vertragsparteien beantwortet diese operative Frage nicht automatisch.
Ebenso wenig ersetzen ASEAN Model Contractual Clauses allein die EU-SCC. Die gemeinsame Anleitung von EU und ASEAN unterstützt die Arbeit mit beiden Klauselsystemen und deren Gemeinsamkeiten. Sie macht aus regionalen Vertragsmustern keine uneingeschränkte europäische Transfergrundlage. Dokumentieren Sie deshalb, welches Regelwerk jede einzelne Anlage erfüllen soll.
2. Den regionalen Datenfluss statt nur den Hauptsitz erfassen
Ein Anbieter mit Sitz in Singapur kann Daten im EWR speichern und trotzdem von Singapur aus darauf zugreifen. Er kann auch weitere Konzerngesellschaften für Bereitschaftsdienste einsetzen. Der Hauptsitz allein liefert deshalb weder die vollständige Empfängerliste noch die tatsächlichen Zugriffsländer.
Für die Prüfung benötigen Sie die exportierende und empfangende juristische Person, die Rolle je Verarbeitung, Datenarten, Personenbezug, Zweck, Speicherorte und mögliche Weiterempfänger. Ein konzerninternes Zentrum ist häufig eine eigenständige Gesellschaft. Demgegenüber ist ein eigener Beschäftigter derselben juristischen Person im Ausland nicht schon allein durch den Aufenthaltsort ein anderer Importeur; die Sicherheitsanforderungen bleiben unabhängig davon relevant.
Lassen Sie sich eine konkrete Supportschicht erklären: Welche Konten werden verwendet? Welche Tickets sind sichtbar? Welche Anhänge können heruntergeladen werden? Ist die Bildschirmfreigabe auf ein bestimmtes Fenster begrenzt? Eine Vertragsformulierung „kein Datentransfer“ ist nicht mit einem technischen Modell vereinbar, das einer anderen Gesellschaft vollständige Sicht auf personenbezogene Informationen eröffnet.
Für eine regionale Kette sollten die nächsten Stationen einzeln bewertet werden. Die Leitfäden zu Übermittlungen nach Australien und Übermittlungen nach Indien zeigen, weshalb ein einheitliches APAC-Etikett die unterschiedlichen lokalen Fragen nicht ersetzt. Auch ein kanadischer Zwischenempfänger wäre nur innerhalb der begrenzten kanadischen Angemessenheit zu beurteilen.
3. PDPA-Pflichten nach der tatsächlichen Rolle bestimmen
Die PDPC-Leitlinien zu den Grundbegriffen, im Dokument revidiert am 29. April 2026, erläutern die Anwendbarkeit des Personal Data Protection Act auch auf aus dem Ausland eingehende Daten. Dabei unterscheiden sie die Verarbeitung für eigene Zwecke von der Tätigkeit als vertraglicher „data intermediary“.
Ein solcher Dienstleister unterliegt für die beschriebene Tätigkeit insbesondere Schutz-, Aufbewahrungs- und bestimmten Verletzungsmitteilungspflichten. Er ist nicht allein wegen dieser Rolle von jeder Datenschutzpflicht befreit. Öffentliche Stellen sind von den zentralen Datenschutzbestimmungen ausgenommen; private Dienstleister öffentlicher Stellen können hingegen eigene, rollenabhängige Pflichten behalten. Die Einordnung des Empfängers muss diese Unterschiede abbilden.
Für Ihren Fragebogen heißt das: Lassen Sie Zwecke und Entscheidungsbefugnisse getrennt erklären. „Data intermediary“ darf keine pauschale Antwort für eigene Werbung, Produktanalysen oder die Nutzung von Kundendaten zur Entwicklung neuer Dienste sein. Prüfen Sie, ob der Vertrag solche eigenen Nutzungen tatsächlich ausschließt oder nur an anderer Stelle versteckt erlaubt.
Die europäische Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter ist zusätzlich vorzunehmen. Eine Bezeichnung aus dem lokalen Recht wird nicht ungeprüft in die DSGVO übertragen. Für jede Rolle sollten die tatsächlichen Tätigkeiten und die darauf bezogenen Pflichten nachvollziehbar sein.
4. Den SCC-Vertrag passend zur Beziehung aufbauen
Die EU-SCC von 2021 bieten unterschiedliche Module. Ein deutscher Verantwortlicher mit einem weisungsgebundenen Dienstleister in Singapur prüft Modul 2. Ein deutscher Auftragsverarbeiter, der dort eine weitere Gesellschaft einsetzt, prüft Modul 3. Modul 1 betrifft zwei Verantwortliche, Modul 4 einen Auftragsverarbeiter als Exporteur und einen Verantwortlichen als Importeur.
Vor dieser Auswahl ist die Anwendungsgrenze zu klären: Die Klauseln betreffen Importeure, deren jeweilige Verarbeitung nicht bereits der DSGVO unterliegt. Die Kommissions-FAQ erläutert den Zusammenhang mit Artikel 3. Eine direkte DSGVO-Anwendbarkeit beim Empfänger beseitigt die Anforderungen aus Kapitel V nicht; das passende Instrument muss dennoch geprüft werden.
Die Anlagen sollen Ihren Sachverhalt beschreiben: Parteien, Übermittlungszwecke, Personengruppen, Datenkategorien, Frequenz, Aufbewahrungsdauer und konkrete Sicherheitsmaßnahmen. Die Angabe „branchenübliche Maßnahmen“ sagt beispielsweise nicht, ob Produktionszugriff dauernd besteht, wer ihn freigibt oder ob eine lokale Kopie technisch möglich ist. Bei Unterauftragnehmern muss die Liste zur Genehmigungsregel und der einschlägigen Anlage passen.
Prüfen Sie außerdem Vorrang- und Änderungsregeln im Hauptvertrag. Ein umfassender Ausschluss von Betroffenenrechten oder ein einseitiges Recht zur beliebigen Zweckänderung darf den Schutz der SCC nicht aushöhlen. Der Klauseltext und die tatsächliche Leistung müssen zusammenpassen, bevor beide Parteien unterschreiben.
5. Staatliche Zugriffe und tatsächliche Schutzwirkung prüfen
Das TIA bewertet die auf den konkreten Transfer anwendbaren Gesetze und Praktiken. Für Singapur reicht weder der Verweis auf die PDPC noch die Feststellung, dass private Organisationen Datenschutzpflichten unterliegen. Staatliche Befugnisse, ihre Grenzen, mögliche Rechtsbehelfe und die tatsächlich verfügbaren Daten gehören in eine gesonderte Analyse.
Ein konkreter Ausgangspunkt ist Section 40 des Criminal Procedure Code. Sie betrifft unter ihren Voraussetzungen den Zugang zu Entschlüsselungsinformationen im Rahmen der Untersuchung eines „arrestable offence“ und eine entsprechende Ermächtigung durch den Public Prosecutor. Die lokale Prüfung muss untersuchen, welche Personen und Fähigkeiten in Ihrem Dienstleistungsmodell betroffen sein könnten; eine allgemeine Aussage „Verschlüsselung verhindert jeden Zugriff“ wäre dafür ungeeignet.
Beschreiben Sie im Prüfauftrag auch die Gegenargumente und Grenzen, statt nur Befugnisse aufzuzählen. Welche Daten besitzt die Gesellschaft überhaupt? Kann sie auf Schlüssel zugreifen? Welche Informationen könnte eine zulässige Anfrage erfassen? Welche Prüfungs- und Anfechtungsmöglichkeiten bestehen tatsächlich? Fehlen belastbare Antworten, muss dies im Vermerk als offene Frage stehen bleiben.
Der Leitfaden zum Transfer Impact Assessment verbindet diese Fragen mit einem nachvollziehbaren Freigabeprozess. Dabei ist die besondere Reichweite der Klauseln 14 und 15 bei Modul 4 zu beachten: Sie betrifft dort die vorgesehene Kombination von in der EU erhobenen Daten mit den vom Drittlandverantwortlichen erhaltenen Daten. Ein allgemeines TIA-Muster sollte diese Konstellation nicht undifferenziert behandeln.
6. Ein ausgefülltes Beispiel für regionale Bereitschaft
Die fiktive Elbeportal GmbH betreibt eine Plattform für Unternehmenskunden und handelt dabei als Auftragsverarbeiter. Eine eigenständige Konzerngesellschaft in Singapur soll nachts Störungen analysieren. Das bisherige Modell stellt vollständige Supporttickets samt Anhängen bereit. Die Datenbank selbst bleibt in Deutschland.
Die erste gemeinsame Prüfung von Einkauf, Technik und Datenschutzfunktion ergibt:
| Prüfung | Feststellung und konkrete Folge |
|---|---|
| Transfer | Die andere Gesellschaft kann personenbezogene Tickets einsehen; EWR-Hosting beseitigt diesen Datenfluss nicht |
| Weisungskette | Unterbeauftragung für Kunden; Modul 3 und die jeweiligen Genehmigungen prüfen |
| Lokale Rolle | Die Gesellschaft soll nur nach dokumentierter Weisung arbeiten; eigene Datennutzung ausschließen und tatsächliches Modell prüfen |
| Umfang | Für Verfügbarkeitsstörungen reichen häufig Systemkennungen und bereinigte Fehlermeldungen |
| Anhänge | Automatische Weitergabe deaktivieren; Erforderlichkeit im Einzelfall begründen |
| Schlüssel | Kein Zugriff auf Kundenschlüssel vorgesehen; technische Durchsetzung separat kontrollieren |
| Rechtsanalyse | Anwendbare Zugriffsregeln und Maßnahmen noch nicht abschließend bewertet |
Der Zwischenvermerk lautet: „Bereitschaft mit synthetischen Fehlerfällen und nicht personenbezogenen Zustandsmeldungen vorbereitet. Zugriff auf personenbezogene Tickets bis zum Abschluss der rechtlichen und technischen Freigabe gesperrt.“ Das Unternehmen erhält damit eine belastbare Entscheidung für den nächsten Arbeitsschritt, ohne eine positive Transferbewertung vorzutäuschen.
Für eine technische Probe wird ein fiktiver Verbindungsfehler mit derselben Fehlerkennung und Zeitfolge nachgestellt. Die Schicht muss die zuständige Komponente finden können, ohne den Namen eines Kunden zu kennen. Benötigt sie weitere Informationen, soll sie den konkreten diagnostischen Nutzen benennen. Das schützt vor der allmählichen Rückkehr zur vollständigen Ticketfreigabe aus Bequemlichkeit.
7. Ergänzende Maßnahmen passend zum Zugriff auswählen
Die finalen EDPB-Empfehlungen 01/2020 helfen bei der Bewertung ergänzender Maßnahmen. Entscheidend ist, ob die Maßnahme das festgestellte Problem tatsächlich adressiert. Transportverschlüsselung kann den Übertragungsweg schützen und zugleich wirkungslos gegen den Klartextzugriff des Empfängers sein.
Eine reduzierte Ticketansicht ist daher konkret zu prüfen: Sind Namen nur in der Oberfläche verborgen, aber im Export enthalten? Enthält der Link eine Kundenkennung? Verrät ein Anhang die Identität? Wird das Original im Hintergrund an ein anderes Analysesystem geschickt? Erst das tatsächliche Verhalten zeigt, welchen Schutz die Beschränkung bietet.
Wenn eine problematische, einschlägige staatliche Zugriffslage festgestellt wird, behebt eine zeitliche Begrenzung des Zugangs diese nicht automatisch. Protokollierung und Freigabeprozesse können organisatorisch sinnvoll sein, müssen aber zum festgestellten Risiko passen. Bleibt eine relevante Schutzlücke trotz Maßnahmen bestehen, ist der Datenfluss zu verändern, auszusetzen oder zu unterlassen.
8. Weitergaben aus Singapur kontrollieren
Section 26 PDPA und die zugehörigen Regeln betreffen Auslandsübermittlungen aus Singapur. Die genannten PDPC-Leitlinien beschreiben dafür vergleichbaren Schutz durch rechtlich durchsetzbare Verpflichtungen oder bestimmte anerkannte Zertifizierungen. Diese lokale Prüfungsrichtung ist mit den Pflichten der konkreten europäischen Verarbeitungskette abzugleichen; sie ersetzt sie nicht.
Erfassen Sie jeden zusätzlichen Empfänger und die jeweilige Funktion. Ein neues Supportzentrum kann andere lokale Gesetze, Zugriffsmodelle und Vertragsanforderungen mitbringen. Verlangen Sie deshalb rechtzeitig Informationen über Änderungen und prüfen Sie, ob die bestehenden Genehmigungen, Bewertungen und technischen Einstellungen den neuen Ablauf noch abdecken.
Zum Betriebsnachweis gehören eine überprüfte Berechtigungsvergabe und eine tatsächlich funktionierende Entziehung. Dokumentieren Sie außerdem, wer einen Wechsel der Supportregion bemerkt und die Neubewertung anstößt. Ein jährlich unterschriebenes Formular ist wenig aussagekräftig, wenn eine kritische Änderung bereits Monate zuvor ohne Prüfung umgesetzt wurde.
Häufige Fragen
Schafft das Handelsabkommen einen Ersatz für SCC?
Es ist kein Angemessenheitsbeschluss und ersetzt die konkrete Prüfung nach Kapitel V nicht. Benennen Sie die tatsächlich verwendete Transfergrundlage und ihre Voraussetzungen unabhängig vom Handelsabkommen.
Reicht die Zusage, alle Daten in Deutschland zu speichern?
Prüfen Sie zusätzlich Zugriffe durch andere Gesellschaften, Tickets, Exporte und Sicherungen. Der Speicherort allein sagt nicht, welche Empfänger personenbezogene Informationen erhalten oder einsehen können.
Kann der Anbieter sein vorhandenes TIA bereitstellen?
Ja, als überprüfbare Informationsgrundlage. Der deutsche Exporteur muss die Übereinstimmung mit seinen tatsächlichen Daten, Rollen, Empfängern und Zugriffsmöglichkeiten kontrollieren. Abweichungen gehören in die eigene Bewertung und gegebenenfalls in angepasste Maßnahmen.