Ein Transfer Impact Assessment prüft, ob die für eine konkrete Drittlandübermittlung vorgesehenen Garantien im tatsächlichen Empfängerkontext wirksam bleiben. Bei Standardvertragsklauseln geht es insbesondere darum, ob einschlägige Gesetze und Praktiken den Importeur an der Einhaltung seiner Verpflichtungen hindern und ob erforderliche zusätzliche Schutzmaßnahmen diese Lücke schließen.
Das Ergebnis ist eine begründete Entscheidung über einen bestimmten Datenfluss. Eine unterschriebene Vertragsanlage oder ein allgemeines Länderrating reicht dafür nicht. Dieser Leitfaden führt durch die sechs Arbeitsschritte und zeigt anhand eines ausgefüllten Supportbeispiels, wann Informationen nachzufordern sind und wann die Architektur geändert werden muss.
Vorprüfung: Welcher Transfer und welches Instrument liegen vor?
Prüfen Sie zunächst, ob personenbezogene Daten einem anderen Verantwortlichen oder Auftragsverarbeiter in einem Drittland bereitgestellt werden. Dazu kann ein Fernzugriff gehören, auch wenn der Server innerhalb des EWR steht. Umgekehrt sollte nicht jede technische Verbindung ohne Prüfung als identische Übermittlungssituation behandelt werden. Die beteiligten Rechtsträger und ihre Tätigkeiten müssen feststehen.
Ein einschlägiger Angemessenheitsbeschluss nach Artikel 45 DSGVO und Garantien nach Artikel 46 sind unterschiedliche Wege. Beim EU-U.S. Data Privacy Framework ist beispielsweise die konkrete erfasste US-Organisation samt geltendem Umfang zu prüfen. Der Mechanismus beruht auf Angemessenheit und ist keine Zertifizierungsgarantie nach Artikel 46 Absatz 2 Buchstabe f. Für eine tatsächlich erfasste Übermittlung wird nicht zusätzlich dieselbe SCC-basierte TIA verlangt.
Fehlt passende Angemessenheit und werden Garantien nach Artikel 46 verwendet, ist deren Wirksamkeit im konkreten Kontext zu beurteilen. Ausnahmen nach Artikel 49 haben eigene enge Voraussetzungen und sind kein allgemeiner Ersatz, wenn eine TIA zu einem unerwünschten Ergebnis kommt. Die Auswahl zwischen BCR, SCC und DPF sollte vor dem Ausfüllen einer Bewertungsmatrix geklärt sein.
Bei den SCC nach Beschluss (EU) 2021/914 ist zudem deren Anwendungsbereich zu beachten. Sie sind für Importeurverarbeitungen vorgesehen, die nicht bereits nach Artikel 3 DSGVO der Verordnung unterliegen. Die Kommission erläutert diese Grenze in ihren aktuellen FAQ. Eine direkte DSGVO-Bindung des Importeurs erledigt nicht automatisch Kapitel V, macht aber die ungeprüfte Verwendung gerade dieses Klauselsatzes unpassend.
Für Modul 4 gilt eine weitere Präzisierung: Abschnitt III mit Klauseln 14 und 15 erfasst dort die Verbindung von Daten des Drittland-Verantwortlichen mit personenbezogenen Daten, die der EU-Auftragsverarbeiter in der EU erhoben hat. Die reine Rückgabe der ursprünglich vom Drittland-Verantwortlichen erhaltenen Daten ist von dieser besonderen Abschnitt-III-Prüfung ausgenommen. Dokumentieren Sie, welcher Fall vorliegt.
Schritt 1: Den tatsächlichen Datenfluss aufnehmen
Erfassen Sie Exporteur und Importeur mit genauer Firma, Sitz und Rolle. Beschreiben Sie Zweck, Datenkategorien, betroffene Personen, Häufigkeit und Speicherdauer. Ergänzen Sie Unterauftragnehmer, Supportstandorte, Sicherungskopien und sonstige Weitergaben. Eine Anbieterzentrale sagt nicht zuverlässig, welche Rechtsträger tatsächlich Zugriff erhalten.
Die IT-Systemkarte liefert hierfür technische Anknüpfungspunkte. Verfolgen Sie einen geeigneten Vorgang: Welche Informationen werden hochgeladen? Welche Diagnoseprotokolle entstehen? Kann der Support Anhänge herunterladen? Werden Daten in ein gesondertes Ticketsystem kopiert? Welche Zugänge bestehen dauerhaft, welche erst nach Freigabe?
Ein ausgefüllter Bestandsvermerk könnte lauten: „Der deutsche Verantwortliche verwendet eine Personalverwaltungsanwendung. Der vertragliche Anbieter bezieht eine gesonderte Supportgesellschaft außerhalb des EWR ein. Im vorgesehenen Supportfall können Name, Personalnummer, Vergütungsangaben und Freitextanhänge sichtbar werden. Offen ist, ob Anhänge automatisch in ein zweites System übertragen werden.“ Die offene Frage gehört in den Prüfumfang, bevor die Übermittlung freigegeben wird.
Schritt 2: Garantien und Vertragskette zuordnen
Ordnen Sie das Transferinstrument dem konkreten Verhältnis zu. Bei SCC richtet sich das Modul nach den tatsächlichen Rollen: Verantwortlicher zu Verantwortlichem, Verantwortlicher zu Auftragsverarbeiter, Auftragsverarbeiter zu Auftragsverarbeiter oder Auftragsverarbeiter zu Verantwortlichem. Ein Vertragstitel ersetzt die Rollenprüfung nicht.
Prüfen Sie, ob die Parteien wirksam gebunden sind und die Beschreibung der Übermittlung den aufgenommenen Datenfluss abdeckt. Ein neuer Supportempfänger fällt nicht allein deshalb unter eine alte Anlage, weil beide denselben Konzernnamen tragen. Kontrollieren Sie die erforderlichen Genehmigungen und die Weitergabekette.
Eine TIA darf auf Vertragsunterlagen verweisen, muss aber die entscheidenden Tatsachen erkennen lassen. Halten Sie beispielsweise fest, welche Konfiguration bei der Bewertung zugrunde lag. Eine später aktivierte Funktion kann einen zusätzlichen Transfer schaffen, den die ursprüngliche Entscheidung nicht geprüft hat.
Schritt 3: Einschlägiges Recht und tatsächliche Praxis beurteilen
Klausel 14 verlangt eine kontextbezogene Bewertung. Untersuchen Sie, welche Zugriffs- oder Offenlegungspflichten für diesen Importeur und diese Verarbeitung relevant sind. Berücksichtigen Sie deren Grenzen, Verhältnismäßigkeit, Aufsicht und Rechtsschutz. Eine Liste sämtlicher Gesetze eines Landes ohne Bezug zum Empfänger beantwortet die entscheidende Frage nicht.
Der Importeur muss relevante Informationen bestmöglich bereitstellen und bei der Bewertung mitwirken. Fragen Sie nach der rechtlichen Einordnung seiner Tätigkeit, betroffenen Dienstkategorien, verwendeten Rechtsträgern und nachvollziehbaren Erfahrungen mit Behördenanfragen. Verlangen Sie Quellen und eine Erklärung, welchen Zeitraum und welchen Tätigkeitsbereich die Antwort abdeckt.
Die Aussage „Wir hatten bisher keine Anfrage“ beweist allein keine wirksamen Garantien. Praktische Erfahrung kann nach den Bedingungen der Klausel 14 berücksichtigt werden, muss aber im Gesamtbild mit verlässlichen Informationen zu Recht und Praxis bewertet werden. Eine geringe geschäftliche Wahrscheinlichkeit eines Zugriffs ist kein frei wählbarer Ersatz für die erforderliche Schutzbewertung.
Aktuelle Länderprüfungen müssen auch begrenzende Garantien und Rechtsschutzmöglichkeiten berücksichtigen. Übernehmen Sie keine pauschale Rangliste „sichere“ und „unsichere“ Länder. Bei Australien, Kanada oder Indien sind bereits die jeweiligen Ausgangsfragen und möglichen Angemessenheitsgrenzen unterschiedlich.
Die Prüfung für Singapur zeigt zusätzlich, warum ein Handelsabkommen und eine datenschutzrechtliche Transfergrundlage getrennt zu bewerten sind.
Schritt 4: Zusätzliche Maßnahmen am erkannten Problem messen
Die EDSA-Empfehlungen 01/2020 enthalten eine sechsstufige Arbeitsmethode und Beispiele ergänzender Maßnahmen. Eine Maßnahme muss die konkret festgestellte Schutzlücke adressieren. Die Empfehlungen verlangen keine pauschale jährliche Neubewertung für jeden Transfer, sondern angemessene Intervalle und fortlaufende Aufmerksamkeit für relevante Veränderungen.
Die technische Kernfrage lautet häufig, wer Daten im Klartext erhalten kann. Eine Transportverschlüsselung schützt den Übertragungsweg, verhindert aber nicht den Zugriff eines Empfängers, der die Daten für seine Aufgabe entschlüsselt. Auch Verschlüsselung im Speicher hilft gegen bestimmte Risiken, löst aber nicht jeden problematischen Behördenzugriff, wenn der Importeur die Schlüssel besitzt.
Bei einer reinen verschlüsselten Ablage kann die Gestaltung anders aussehen als bei interaktivem Support. Im ersten Fall ist zu prüfen, ob der Anbieter tatsächlich keine entschlüsselbaren Inhalte erhält. Im zweiten Fall braucht die Tätigkeit möglicherweise Einsicht in Daten. Das Team muss diese fachliche Anforderung offenlegen, statt dieselbe Sicherheitsformulierung in beide Bewertungen zu kopieren.
Eine Pseudonymisierung benötigt ebenfalls eine Prüfung aller verbleibenden Merkmale und Zusatzinformationen. Ein ersetzter Name macht eine präzise Personalakte nicht automatisch ausreichend unzuordenbar. Vermeiden Sie die Vermischung von tatsächlich anonymen Ergebnissen und pseudonymisierten personenbezogenen Daten in derselben Transferbeschreibung.
Vertragliche Informations-, Prüfungs- und Anfechtungspflichten sowie organisatorische Zugriffsbeschränkungen ergänzen die Bewertung. Sie setzen einschlägiges Drittlandrecht aber nicht außer Kraft. Wenn die festgestellte Lücke trotz der Maßnahmen bestehen bleibt, ist der Transfer in dieser Gestaltung nicht freizugeben beziehungsweise auszusetzen.
Schritt 5: Ausgefüllte Entscheidung für einen Supportfall
Das folgende Beispiel ist fiktiv und trifft keine pauschale Aussage über ein bestimmtes Land oder einen realen Anbieter. Es setzt voraus, dass die konkrete Rechtsprüfung eine problematische Zugriffsmöglichkeit auf Klartextdaten festgestellt hat. Geprüft wird, ob die vorgeschlagene Architektur dieses Problem wirksam löst.
| Prüffeld | Feststellung im Beispiel | Konsequenz |
|---|---|---|
| Fachlicher Zweck | Fehleranalyse einer Personalverwaltungsfunktion | Nur für diesen Zweck erforderliche Informationen bereitstellen |
| Aktueller Zugriff | Support kann vollständige Datensätze und Anhänge lesen | Klartextzugriff ist Teil des Transferproblems |
| Vorgeschlagene Schutzmaßnahme | Transport- und Speicherverschlüsselung; Importeur besitzt Schlüssel | Behebt die festgestellte Zugriffsmöglichkeit nicht ausreichend |
| Alternative A | Fehler zunächst mit synthetischen Beispieldaten reproduzieren | Personenbezug der tatsächlich übertragenen Inhalte separat prüfen |
| Alternative B | Geschützte Diagnoseansicht ohne benötigte Identifikatoren und Freitext | Verbleibende Zuordenbarkeit und Exportwege bewerten |
| Offener Punkt | Bildschirm- und Ticketanhänge können die Begrenzung umgehen | Vor einer neuen Freigabe technisch und organisatorisch schließen |
Der Entscheidungsvermerk lautet: „Die derzeitige Klartextarchitektur wird auf Grundlage der festgestellten Schutzlücke nicht freigegeben. Die vorhandene Verschlüsselung verhindert den relevanten Zugriff nicht. Ein überarbeiteter Supportprozess soll zuerst mit synthetischen Beispielen arbeiten. Für verbleibende personenbezogene Fälle werden Datenumfang, Empfängerzugriff und Rechtsbewertung erneut geprüft. Eine Produktivfreigabe erfolgt erst nach dokumentierter Bewertung und technischer Abnahme.“
Das ist ein brauchbares Ergebnis, obwohl es keinen unmittelbaren Start erlaubt. Die Aufgabe der TIA ist eine begründete Entscheidung. Ein automatisch erzeugtes positives Gesamturteil ohne Klärung der maßgeblichen Lücke erfüllt diesen Zweck nicht.
Schritt 6: Umsetzung und erneute Bewertung organisieren
Ordnen Sie jede zugesagte Maßnahme einer verantwortlichen Person und einem Nachweis zu. Wurde der Export tatsächlich deaktiviert? Funktioniert die begrenzte Supportansicht? Sind bestehende Berechtigungen entzogen? Decken die ausgefüllten Anhänge genau diese Gestaltung ab? Ein geplanter Schutz ist noch kein umgesetzter Schutz.
Legen Sie fest, welche Änderungen eine erneute Prüfung auslösen: neue Rechtslage oder Rechtsprechung, geänderte Empfänger, neue Datenkategorien, zusätzlicher Supportstandort, veränderte Schlüsselverwaltung oder Hinweise auf Behördenzugriffe. Ein passendes regelmäßiges Prüfintervall ergänzt diese Anlässe. Ein Jahresdatum darf nicht dazu führen, dass eine relevante Änderung bis zur nächsten Routineprüfung ignoriert wird.
Klauseln 14 und 16 regeln außerdem die Reaktion, wenn die Einhaltung nicht mehr gewährleistet werden kann. Der Prozess muss eine tatsächliche Aussetzung ermöglichen und die weiteren vertraglichen Schritte berücksichtigen. Klären Sie deshalb vorab, wie Datenzugriffe technisch unterbrochen werden und welche Ersatzlösung den Betrieb gegebenenfalls aufrechterhält.
Welche Unterlagen gehören in die TIA-Akte?
Halten Sie Datenfluss, Rollen, Instrument, relevante Rechtsquellen, Empfängerinformationen, technische Nachweise und Entscheidung zusammen. Ergänzen Sie offene Punkte, Freigabebedingungen, Datum und Ereignisse für die erneute Bewertung. Eine feste Seitenzahl ist kein Qualitätskriterium: Ein umfangreicher Anhang kann notwendig sein, eine lange Sammlung allgemeiner Texte aber ebenso wenig helfen wie ein leeres Formular.
Verknüpfen Sie die Akte mit dem Verzeichnis der Verarbeitungstätigkeiten und den zuständigen Systemverantwortlichen. Beschränken Sie den Zugriff auf vertrauliche Architektur- und Vertragsdetails. Prüfen Sie die Aufbewahrung der Nachweise gesondert; es gibt keine universelle SCC-Regel, die jede TIA zwingend fünf Jahre nach Ende des Transfers aufzubewahren erlaubt oder verlangt.
Häufige Fragen
Ist eine TIA dasselbe wie eine Datenschutz-Folgenabschätzung? Nein. Die TIA bewertet die Wirksamkeit der Transfergarantien im Drittlandkontext. Eine DSFA nach Artikel 35 prüft voraussichtlich hohe Risiken der Verarbeitung für die betroffenen Personen. Beide Prüfungen können erforderlich sein und Informationen gemeinsam nutzen.
Darf der Anbieter seine eigene TIA liefern? Seine Unterlagen sind hilfreich, müssen aber den konkreten Exporteur, Datenfluss und gewählten Umfang abdecken. Das Unternehmen muss die maßgeblichen Aussagen nachvollziehen und offene Punkte bearbeiten.
Reicht eine Verschlüsselungszusage? Erst die konkrete Schlüssel- und Zugriffsgestaltung zeigt, gegen welche Risiken sie schützt. Wer Klartext lesen kann und unter welchen Bedingungen, bleibt eine zentrale Prüffrage.