{"id":19237,"date":"2023-07-03T11:54:12","date_gmt":"2023-07-03T11:54:12","guid":{"rendered":"https:\/\/lawpilots.com\/?p=19237"},"modified":"2024-09-13T10:09:01","modified_gmt":"2024-09-13T08:09:01","slug":"transfer-impact-assessment","status":"publish","type":"post","link":"https:\/\/lawpilots.com\/de\/blog\/datenschutz\/transfer-impact-assessment\/","title":{"rendered":"TIA: Internationaler Datenschutz leicht gemacht"},"content":{"rendered":"\n
\n
\n

Das Transfer Impact Assessment, auch TIA genannt, ist ein relativ neues Konzept im Bereich des Datenschutzes und ein Produkt der neuesten Entwicklungen im Bereich der internationalen Daten\u00fcbertragung in Drittl\u00e4nder. Nach dem Urteil des EuGH zu Schrems II musste die Europ\u00e4ische Kommission die Standardvertragsklauseln (SCC) \u00fcberarbeiten und an die Anforderungen der DSGVO anpassen. Es war erforderlich, gem\u00e4\u00df Klausel 14 der neuen SCC in Zukunft eine Bewertung der \u00dcbertragung in ein Drittland durchzuf\u00fchren. Im Artikel erfahren Sie, was das TIA ist, wie es in der Praxis umgesetzt wird und worauf Sie bei der Bewertung achten m\u00fcssen.<\/p>\n\n\n\n

Was ist das Transfer Impact Assessment (TIA)?<\/strong><\/h2>\n\n\n\n

Das Transfer Impact Assessment (TIA) stellt eine spezifische Art der Risikobewertung dar, die f\u00fcr die Daten\u00fcbermittlung in L\u00e4nder mit potenziell unsicherer Datensicherheit ausgelegt ist. Es ist eine erg\u00e4nzende Evaluierung, die auf Grundlage der Standardvertragsklauseln erforderlich ist und in sich selbstst\u00e4ndig von anderen Risikobewertungen im Rahmen der Datenverarbeitung oder Datenschutz-Folgenabsch\u00e4tzungen durchgef\u00fchrt wird.<\/p>\n\n\n\n

Das Hauptziel des TIA ist es, eine tiefgehende und unabh\u00e4ngige Untersuchung des Sicherheitsstandards des Empf\u00e4ngerlandes, in das die Daten \u00fcbertragen werden, zu liefern. Es ist eine sorgf\u00e4ltige Analyse, die sowohl von der Partei, die Daten exportiert, als auch von der Partei, die Daten importiert, durchgef\u00fchrt und ber\u00fccksichtigt werden muss.<\/p>\n\n\n\n

Laut Artikel 4, Absatz 7 der Datenschutzgesetze tr\u00e4gt der oder die DatenexporteurIn die Verantwortung f\u00fcr die \u00dcbertragung personenbezogener Daten in ein Drittland, etwa wenn dort Dienstleistungen von Softwareunternehmen genutzt werden. In der Regel fungiert der oder die DatenimporteurIn als AuftragsverarbeiterIn, beispielsweise ein Softwareunternehmen, das L\u00f6sungen f\u00fcr europ\u00e4ische NutzerInnen bereitstellt.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Rechtliche Grundlage<\/strong><\/h3>\n\n\n\n

Die Paragrafen 44 ff. der Datenschutzgesetze regeln die Bedingungen f\u00fcr die \u00dcbermittlung von personenbezogenen Daten in Drittl\u00e4nder. Die Definition von \u201e\u00dcbermittlung\u201c umfasst die Offenlegung pers\u00f6nlicher Daten an Parteien in anderen L\u00e4ndern oder an internationale Organisationen. Dies betrifft nicht nur die physische Weitergabe der Daten, sondern auch die Bereitstellung der Daten f\u00fcr Dritte. Selbst der einfache Zugriff auf einen Server beispielsweise f\u00e4llt darunter.<\/p>\n\n\n\n

Sollte kein Angemessenheitsbeschluss gem\u00e4\u00df Artikel 45 der Datenschutzgesetze vorliegen, kann die Weitergabe pers\u00f6nlicher Daten an ein Drittland erfolgen, vorausgesetzt der oder die Verantwortliche oder der oder die AuftragsverarbeiterIn hat passende Sicherheitsgarantien bereitgestellt. Zudem m\u00fcssen den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verf\u00fcgung stehen. Als geeignete Sicherheitsgarantie kommen unter anderem die Standardvertragsklauseln gem\u00e4\u00df Artikel 46 Absatz 2 c der Datenschutzgrundverordnung infrage<\/p>\n\n\n\n

Durch die effektive Anwendung von SCC bei internationalem Datentransfer wird gew\u00e4hrleistet, dass der Datenschutzstandard innerhalb der Europ\u00e4ischen Union nicht beeintr\u00e4chtigt wird. Dar\u00fcber hinaus existieren zus\u00e4tzliche geeignete Garantien nach Artikel 46 der Datenschutzgrundverordnung. Artikel 49 der DSGVO enth\u00e4lt zudem spezifische Ausnahmen, die eine Weitergabe ohne angemessenen Beschluss oder passende Garantien erm\u00f6glichen.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Die Umsetzung des TIA in die Praxis<\/strong><\/h2>\n\n\n\n

Wie genau gelingt nun die praktische Durchf\u00fchrung eines TIA? Bis dato existieren keine offiziellen Richtlinien oder verbindlichen Anweisungen. Die ma\u00dfgeblichen Kriterien, die in Betracht gezogen werden m\u00fcssen, lassen sich jedoch aus den in Klausel 14 lit. b) Nr. i) – iii) der SCC dargelegten Aspekten sowie der aktuellen Rechtslage im Zusammenhang mit der \u00dcbermittlung personenbezogener Daten ins Ausland ableiten. Es ist von Bedeutung, die folgenden Punkte in Erw\u00e4gung zu ziehen:<\/p>\n\n\n\n

Darlegung des Datentransfers<\/strong><\/h3>\n\n\n\n

Zuerst ist es essenziell, die Basisinformationen f\u00fcr die \u00dcbertragung detailliert aufzulisten und zu erl\u00e4utern. Hierbei spielen vor allem die in Klausel 14 lit. b) Nr. i) genannten Punkte eine tragende Rolle, die in der ersten Phase beantwortet werden sollten. Dar\u00fcber hinaus sollten weitere relevante Punkte wie geeignete technische und organisatorische Ma\u00dfnahmen in Betracht gezogen werden.<\/p>\n\n\n\n

Bewertungsgrundlage<\/strong><\/h3>\n\n\n\n

Zudem ist es wichtig, die Kriterien zu definieren, die f\u00fcr die Beurteilung herangezogen wurden. Entsprechend Klausel 14 lit. b) Nr. ii) ist es erforderlich, die rechtlichen Gegebenheiten und die Praxis im jeweiligen Drittland zu untersuchen. In diesem Kontext sollte auch das betroffene Drittland, das Datum der Daten\u00fcbermittlung, der Beurteilungszeitraum und dergleichen angegeben werden.<\/p>\n\n\n\n

Bestehende Sicherheitsvorkehrungen<\/strong><\/h3>\n\n\n\n

Im Prozess des TIA ist es ebenso unerl\u00e4sslich, die bestehenden Sicherheitsvorkehrungen zu klassifizieren. Hierbei sollte besonders darauf geachtet werden, ob die EDSA nach dem Schrems II-Urteil im Juli 2021 zus\u00e4tzliche Schutzma\u00dfnahmen eingef\u00fchrt hat. Es ist au\u00dferdem relevant, auf welcher gesetzlichen Basis die Daten\u00fcbermittlung stattfindet.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Bewertung des Risikos staatlicher Zugriffe<\/strong><\/h3>\n\n\n\n

Der n\u00e4chste Schritt umfasst die Einsch\u00e4tzung der rechtlichen Gegebenheiten im Drittland hinsichtlich der potenziellen Gefahr eines staatlichen Zugriffs. Besonders bedeutsam ist hier die \u00dcberlegung, ob der oder die AnbieterIn von Datenimporten in den USA einen elektronischen Kommunikationsdienst anbietet und ob er oder sie Zugang zu den personenbezogenen Daten im Klartext hat.<\/p>\n\n\n\n

Eine Auswertung des Datenschutzniveaus w\u00e4re insbesondere in Bezug auf die USA wertvoll, da das EU-US-Privacy Shield nicht l\u00e4nger G\u00fcltigkeit besitzt und dennoch zahlreiche Daten\u00fcbermittlungen in dieses Land erfolgen. Es wurden bereits Gutachten zur komplizierten Rechtslage in den USA ver\u00f6ffentlicht und gleichzeitig die wichtigsten Ergebnisse zusammengestellt. <\/p>\n\n\n\n

Hierbei wird bem\u00e4ngelt, dass der Terminus \u201eAnbieter von elektronischen Kommunikationsdiensten“ im Kontext von Section 702 FISA nur unzureichend definiert wurde. Dar\u00fcber hinaus ist es den Beh\u00f6rden \u00fcber Section 702 FISA m\u00f6glich, auf s\u00e4mtliche Unternehmensdaten zuzugreifen, selbst wenn ein Unternehmen nur f\u00fcr bestimmte Services als \u201eelectronic communication service provider“ angesehen wird. Die Aufsichtsbeh\u00f6rden des DSK geben an, dass sie das Gutachten trotz seiner nicht verbindlichen Wirkung in ihrer Arbeit ber\u00fccksichtigen und gegenw\u00e4rtig die Auswirkungen beurteilen.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Abschlie\u00dfende Bewertung der Daten\u00fcbermittlung<\/strong><\/h3>\n\n\n\n

Es existieren diverse Ans\u00e4tze, um zu einem Resultat zu gelangen. Doch alle Ans\u00e4tze sollten miteinander harmonieren, um die abschlie\u00dfende Beurteilung schl\u00fcssig zu begr\u00fcnden. Es k\u00f6nnte sich als hilfreich erweisen, Scoring-Modelle, Risikomatrizen oder Stellungnahmen als Instrumente einzusetzen. Letztlich gibt es jedoch keine offizielle Richtlinie oder Standardisierung f\u00fcr die Erstellung eines Transfer Impact Assessments. Bislang ist allerdings klar, dass jeder, der die neuen Standardvertragsklauseln akzeptiert, ebenso eine Bewertung durchf\u00fchren muss. Nach Ablauf der \u00dcbergangsfrist oder dem Auslaufen der alten SCC, wird diese Thematik immer relevanter f\u00fcr Unternehmen, die pers\u00f6nliche Daten au\u00dferhalb des EWR (Europ\u00e4ischer Wirtschaftsraum) verarbeiten. In der Zukunft werden besonders SaaS-Unternehmen betroffen sein, die \u00fcblicherweise als Auftragsverarbeiter agieren.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Fazit<\/strong><\/h2>\n\n\n\n

Das Transfer Impact Assessment stellt eine kritische und komplexe Ma\u00dfnahme im internationalen Datenschutz dar, die eine tiefgr\u00fcndige Bewertung des Datenschutzniveaus im Empf\u00e4ngerland erfordert. Ungeachtet der Tatsache, dass es noch keine offiziellen Richtlinien gibt, ist die Durchf\u00fchrung eines TIA f\u00fcr jeden, der die neuen Standardvertragsklauseln anerkennt, unvermeidlich. Die Bedeutung dieses Assessments wird f\u00fcr Unternehmen, speziell jene, die au\u00dferhalb des EWR operieren, immer gr\u00f6\u00dfer. Es ist daher von entscheidender Bedeutung, dass sie dieses Assessment gr\u00fcndlich durchf\u00fchren, um einen soliden Datenschutz zu gew\u00e4hrleisten.<\/p>\n\n\n\n

Doch neben technischen Ma\u00dfnahmen wie dem TIA spielt auch die Schulung der Mitarbeitenden eine zentrale Rolle, um Datenschutzkonformit\u00e4t im Unternehmen sicherzustellen.<\/p>\n\n\n\n

Unsere Datenschutzschulungen schaffen durch Dialogspiele, interaktive Elemente, Erkl\u00e4rvideos und Experteninterviews in nur 45 Minuten ein nachhaltiges Datenschutzbewusstsein bei Ihren Mitarbeitenden.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n<\/div>\n\n\n\n
\n
\n
\n
\n
\n

Inhaltsangabe<\/p>\n