Datenübermittlung ins Drittland- was sollte man beachten?

Bei der Übermittlung personenbezogener Daten ins Ausland sollten Unternehmen vorsichtig sein; insbesondere sind die hohen Anforderungen der Datenschutz-Grundverordnung (DSGVO) zu beachten, damit im Zweifel hohe Bußgelder und Schadensersatzklagen vermieden werden können.

Wann spricht man von einer Datenübermittlung ins Drittland?

Da die DSGVO in allen Mitgliedsstaaten innerhalb der EU einen einheitlichen Datenschutz-Standard gewährleistet, ist nur der Transfer in Länder außerhalb der Europäischen Union, sogenannte Drittländer, problematisch. Innerhalb der Union werden Datenübermittlungen folglich wie eine Inlandsübermittlung gewertet. Unter einem „Drittland“ im Sinne der DSGVO sind daher sämtliche Staaten zu verstehen, die keine Mitgliedstaaten der EU oder des EWR sind.

Von einer „Übermittlung“ wird dann gesprochen, wenn personenbezogene Daten in einem Mitgliedsstaat der EU erhoben und gegenüber einem Empfänger in einem Drittland offengelegt werden. Ebenfalls fallen anschließende Weiterübermittlungen darunter, ganz gleich ob innerhalb desselben oder eines anderen Drittlandes.

Der Grundsatz des freien Datenverkehrs

Grundsätzlich darf die Übermittlung von Daten innerhalb der Union nicht eingeschränkt oder gar verboten werden (Grundsatz des freien Datenverkehrs); die Vorgaben für die Verarbeitung von personenbezogenen Daten sind abschließend in der DSGVO geregelt, dürfen also nicht noch darüber hinaus gehen. Auch innerhalb der EU müssen Unternehmen ihre Daten also datenschutzkonform verarbeitet werden.

Unter der „Verarbeitung“ ist dabei unter anderem die Erhebung, Speicherung, Veränderung, Löschung, Verbreitung, Offenlegung durch Übermittlung sowie die Verwendung von personenbezogenen Daten zu verstehen. Das bedeutet, dass jede Art der Bereitstellung oder Nutzung von Daten nach der DSGVO zu beurteilen ist.

Anwendbarkeit der DSGVO

Die Vorschriften der DSGVO für die Übermittlung von Daten ins Ausland sind nur dann einschlägig, wenn es sich um personenbezogene Daten handelt; folglich Informationen, die sich auf identifizierbare natürliche Personen beziehen. Anonyme Daten sind hiervon also ausgenommen. Auf pseudonymisierte Daten ist die DSGVO ebenfalls uneingeschränkt anwendbar, da mit Hilfe von dem notwendigem Wissen Rückschlüsse auf die Person gezogen werden können.

Sofern personenbezogene Daten erstmalig in einem Drittland erhoben werden, ist die DSGVO nicht anwendbar, da hier keine „Übermittlung“ stattfindet.

Wann ist eine Datenübermittlung ins Drittland zulässig?

Eine Datenübermittlung ins Ausland ist nur dann zulässig, wenn Unternehmen auch garantieren können, dass der Empfänger die personenbezogenen Daten ebenfalls DSGVO-Konform verarbeiten wird. Hierfür bestehen verschiedene Möglichkeiten, wie dies sichergestellt werden kann.; durch einen sog. Angemessenheitsbeschluss der EU-Kommission oder wenn geeignete Garantien bestehen.

Angemessenheitsbeschluss

Sofern ein Angemessenheitsbeschluss vorliegt, hat die EU-Kommission (durch Beschluss) festgestellt, dass in dem jeweiligen Land ein ausreichendes Datenschutzniveau gegeben ist. Diese werden im Amtsblatt der EU sowie auf der Website der Kommission veröffentlicht. Ein solcher wurde bislang für die folgenden Staaten gefasst:

Andorra
Argentinien
Färöer-Inseln
Guernsey
Israel
Isle of Man
Japan
Jersey
Kanada
Neuseeland
Republik Korea (Südkorea)
Schweiz
Uruguay
Vereinigtes Königreich

Geeignete Garantien

Fehlt ein Angemessenheitsbeschluss für ein Drittland, kann eine Übermittlung personenbezogener Daten nur auf Grundlage geeigneter Garantien erfolgen. Diese sollen in einem Drittland bestehende Mängel am Datenschutzniveau ausgleichen und so den Schutz betroffener Personen gewährleisten.

Nach Art. 46 Abs. 2 DSGVO können diese Garantien (nicht ausschließlich) in folgenden Formen bestehen:

einem rechtlich bindenden und durchsetzbaren Dokument zwischen den Behörden oder öffentlichen Stellen;
verbindlich internen Datenschutzvorschriften gem. Art. 47 DSGVO;
von der Kommission im Verfahren nach Art. 93 Abs. 2 DSGVO erlassenen oder genehmigten und von einer Aufsichtsbehörde angenommenen Standarddatenschutzklauseln;
genehmigten Verhaltensregeln gem. Art. 40 DSGVO oder einem genehmigten Zertifizierungsmechanismus nach Art. 42 DSGVO zusammen mit rechtsverbindlichen und durchsetzbaren Pflichten des Verantwortlichen/Auftragsverarbeiters im Drittland zur Anwendung der geeigneten Garantien (auch hinsichtlich der Rechte der Betroffenen).

Standarddatenschutzklauseln

Die von der EU-Kommission erlassenen Standarddatenschutzklauseln dienen als vorformulierte Vertragsklauseln, deren Anwendung keiner weiteren Genehmigung durch eine Aufsichtsbehörde bedarf. Diese genügen nicht in jedem Fall der Datenübermittlung in ein Drittland zur Herstellung eines gleichwertigen Datenschutzniveaus. Vielmehr werden regelmäßig weitere Maßnahmen nötig sein.

Verbindlich interne Datenschutzvorschriften

Mithilfe von verbindlich internen Datenschutzvorschriften können personenbezogene Daten innerhalb einer Unternehmensgruppe von einem für die Erhebung von Daten Verantwortlichen innerhalb der EU an einen Empfänger außerhalb des Geltungsbereichs der DSGVO übermittelt werden.

Ausnahmefälle

Liegt weder ein Angemessenheitsbeschluss vor, noch bestehen geeignete Garantien, kann die Übermittlung personenbezogener Daten ausnahmsweise trotzdem zulässig sein, wenn die Übermittlung

auf Grundlage einer ausdrücklichen Einwilligung der betroffenen Personen erfolgt
für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen oder zur Durchführung von vorvertraglichen Maßnahmen auf Antrag der betroffenen Person erforderlich ist
zum Schutz lebenswichtiger Interessen erforderlich ist
aus wichtigen Gründen eines öffentlichen Interesses notwendig ist
zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist

Unsichere Drittstaaten

Trotz dieser Maßnahmen bleibt der Datentransfer in unsichere Drittstaaten riskant. Beispielsweise sind die Standardvertragsklauseln (SCCs) und Binding Corporate Rules (BCRs) strengen Bedingungen unterworfen, und die Rechtsprechung des Europäischen Gerichtshofs (EuGH), insbesondere das „Schrems II“-Urteil, hat gezeigt, dass selbst diese Schutzmechanismen in bestimmten Fällen nicht ausreichen können. Insbesondere, wenn in einem Drittstaat weitreichende Zugriffsmöglichkeiten staatlicher Behörden auf die Daten bestehen, kann dies den Schutz, den die DSGVO verlangt, untergraben.

Unternehmen sollten sich der Risiken bewusst sein, die mit dem Transfer personenbezogener Daten in unsichere Drittstaaten verbunden sind, und sicherstellen, dass sie die notwendigen rechtlichen und technischen Maßnahmen ergreifen, um die Einhaltung der DSGVO zu gewährleisten. Eine sorgfältige Bewertung der jeweiligen Umstände sowie eine kontinuierliche Überwachung der datenschutzrechtlichen Entwicklungen sind unerlässlich, um rechtliche und finanzielle Risiken zu minimieren.

Welche Rechte haben Betroffene?

Bei der Übermittlung personenbezogener Daten auf Grundlage geeigneter Garantien müssen natürlichen Personen in den Art. 15 bis 21 DSGVO vorgesehene Betroffenenrechte eingeräumt werden und durchsetzbar sein. Dabei handelt es sich insbesondere um folgende Rechte:

Recht auf Auskunft: betroffene Personen können von den Verantwortlichen eine Bestätigung verlangen, ob sie betreffende Daten verarbeitet werden, über die Art der Verarbeitung sowie eine Benennung von Empfängern der Daten
Recht auf Berichtigung: das Recht auf Berichtigung gibt die Möglichkeit, eine unverzügliche Berichtigung unrichtiger personenbezogener Daten zu verlangen
Recht auf Löschung: nach dem Recht auf Löschung können betroffene Personen von den Verantwortlichen eine unverzügliche Löschung sie betreffender Daten – etwa aufgrund unrechtmäßiger Verarbeitung – verlangen
Recht auf Einschränkung der Verarbeitung: in dem Fall, dass die Rechte auf Berichtigung, Löschung oder Widerspruch noch nicht durchgesetzt werden können, verleiht das Recht auf Einschränkung der Verarbeitung die Möglichkeit, die zukünftige Verarbeitung von personenbezogenen Daten der betroffenen Person einzuschränken
Widerspruchsrecht: nach dem Widerspruchsrecht, können Personen, deren Daten für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt, oder in Ausübung öffentlicher Gewalt verarbeitet werden, der Verarbeitung sie betreffender personenbezogener Daten widersprechen. Dieses Recht kann allerdings nur geltend gemacht werden, soweit sich der Widerspruch aus einer besonderen Situation der betroffenen Person begründen lässt
Recht auf Geltendmachung von Schadensersatzansprüchen innerhalb der Union oder einem Drittland

Folgen bei Verstößen gegen die Vorschriften der DSGVO

Bei Verstößen droht die Verhängung hoher Geldbußen durch die zuständigen Aufsichtsbehörden, die genaue Höhe wird dabei insbesondere anhand der Schwere der Rechtsverletzung sowie der getroffenen Vorkehrungen ab Bekanntwerden der Rechtswidrigkeit des Handelns bemessen.

Sofern Sie einen Verstoß gegen datenschutzrechtliche Vorgaben der DSGVO festgestellt haben, oder ein hinreichender Verdacht für das Vorliegen eines solchen besteht, kann es sein, dass dieser bei der Datenschutzbehörde zu melden ist.

Hierfür ist zunächst eine Risikoabschätzung erforderlich; dabei ist das Risiko vor allem anhand der Art der betroffenen Daten und des Datenschutzvorfalls, des Grades der Vertraulichkeit sowie des Missbrauchspotentials zu beurteilen. Wird ein solches Risiko festgestellt, sind Sie zur Meldung des Datenschutzvorfalls binnen 72 Stunden nach Bekanntwerden gegenüber der zuständigen Aufsichtsbehörde verpflichtet.

Besteht ein hohes Risiko für Rechte und Freiheiten natürlicher Personen, kann zudem eine Meldepflicht gegenüber den betroffenen Personen bestehen, deren Daten von dem Datenschutzvorfall betroffen sind.

Die Schwelle des „hohen Risikos“ kann entweder durch eine hohe drohende Schadensschwere oder durch eine hohe Wahrscheinlichkeit des Schadenseintritts trotz geringer Schadensschwere überschritten werden.

Ihre Spezialisten im Datenschutzrecht - Hilfe bei DSGVO

Sie haben eine Webseite erstellt und benötigen Unterstützung bei der Erstellung einer Datenschutzerklärung, Impressum oder Allgemeinen Geschäftsbedinungen? In letzter Zeit werden vermehrt Abmahnung aufgrund fehlerhafter Webseitengestaltung ausgesprochen. Daher ist es umso wichtiger, diese von einem Anwalt prüfen oder formulieren zu lassen und zukünftig Kosten zu vermeiden. Unsere Anwälte sind auf das Medienrecht spezialisiert und haben bereits unzählige Webseiten unterstützt. Kontaktieren Sie uns noch heute!

    
 
 
        
   Biene Bunt 
 15 November 2023
 
 
    Ausgesprochen schnelle und freundliche Rückmeldung. Mein Dank geht dabei insbesondere an Herrn Bönsch, der auch noch spät Abends erreichbar war und alle meine Fragen beantwortet hat. Ich habe mich insgesamt sehr gut aufgehoben gefühlt und werde die Media Kanzlei gerne überall weiterempfehlen
  
 
 
 
       
   Katja Blondin 
 12 Oktober 2023
 
 
    Ich bin mega zufrieden! Gute Beratung, ausgesprochen freundlicher Kontakt. Ich habe mein Anliegen erklärt und man hat sich sofort an die Arbeit gemacht. Der Fall konnte mit einem einzigen Anschreiben erledigt werden. Kontakt via Telefon und E-Mail. Würde mich immer wieder an diese Kanzlei wenden, wenn auch ich das lieber nicht möchte :)
  
 
 
 
       
   Rita Röscher 
 3 Oktober 2023
 
 
    Als mein Instagram-Account gehackt wurde, nahm ich die rechtliche Hilfe von der Media Kanzlei in Anspruch. Meine Ansprechpartnerin war Lisa-Marie Peter. Durch ihre kompetente, zuverlässige Unterstützung ist der Account wieder in meinem Besitz. Danke, dafür. Ich kann die Kanzlei jedem/jeder empfehlen, der/die einen rechtlichen Beistand in Sachen "Medienrecht" sucht bzw. benötigt.
  
 
 
 
       
   Wien mal anders 
 26 September 2023
 
 
    Super Service und schnelle Abwickelung! Wir haben unseren Instagram wieder, danke dafür. :)
  
 
 
 
       
   Steffiii Blackmamba 
 26 September 2023
 
 
    Sehr Kompetent schnelle Hilfe bei gehackten Sozial Media Account nur weiter zu empfehlen
  
 
 
 
  
  
 
 
  Google Gesamtbewertung 4.9 von 5, 
basierend auf 133 Bewertungen

MEDIA KANZLEI IN DEN MEDIEN

MEHRFACH AUSGEZEICHNETE KANZLEI

Dr. Severin Riemenschneider Anwalt des Jahres 2019, 2020, 2021, 2022, 2023
für Medienrecht

JUVE Ranking 2020, 2021, 2022, 2023 Presse- und Äußerungsrecht, The Legal 500 2023 Presse- und Verlagsrecht, Best Lawyers Ranking 2020, 2021, 2022, Medien- und Urheberrecht – Handelsblatt, Most Outstanding Specialist Media Law 2020, 2021 – Acquisition INTL, Legal Tech Kanzlei 2020 – Legal Tech Kanzleien, Lawyer of the Year 2019, 2020, 2021, 2022, Medienrecht – Lawyer Monthly, Media Law International (MLI) ranked firm 2018, 2019, 2020, 2021, 2022, 2023