Auch: Drittlandübermittlung · Kapitel V DSGVO · Angemessenheitsbeschluss
Kurzantwort
Drittlandtransfer Ein Drittlandtransfer ist die Übermittlung personenbezogener Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums. Er ist nach Kapitel V der DSGVO nur zulässig, wenn ein Angemessenheitsbeschluss der Kommission vorliegt oder geeignete Garantien bestehen, etwa Standardvertragsklauseln zusammen mit einer Prüfung der Rechtslage im Empfängerland. Der Zugriff einer Konzernmutter aus einem Drittland auf Daten, die physisch in der EU liegen, gilt ebenfalls als Übermittlung.
Kurz-Fakten
Geregelt in Art. 44 bis 50 DSGVO
Standardvertragsklauseln allein genügen nicht – es braucht zusätzlich eine Prüfung der Rechtslage im Zielland
Für die USA besteht seit Juli 2023 ein Angemessenheitsbeschluss, das Data Privacy Framework
Der Beschluss ist an die Zertifizierung des jeweiligen Unternehmens gebunden, nicht an das Land als Ganzes
Bedeutung in der Praxis
Die häufigste Fehlvorstellung lautet, der Serverstandort entscheide. Er ist ein Kriterium, aber nicht das einzige: Wenn eine Muttergesellschaft in einem Drittland nach dortigem Recht Herausgabe verlangen kann, liegt ein Zugriffsrisiko vor, unabhängig davon, wo das Blech steht.
Für die Auswahl eines Anbieters ist deshalb die Eigentümerstruktur eine ebenso berechtigte Frage wie der Rechenzentrumsstandort – und bei den meisten großen Anbietern ist sie unbequem zu beantworten.
Inhaber von SEO NW in Bertingen, Sachsen-Anhalt. Baut dort den KI SEO-Manager auf – einen KI-Dienst mit offenen Modellen auf eigener Hardware, dessen Datenschutzversprechen technisch nachvollziehbar sein sollen statt nur vertraglich zugesichert.