Was als Drittlandtransfer gilt
Drittland ist jedes Land außerhalb des Europäischen Wirtschaftsraums (EU plus Island, Liechtenstein und Norwegen). Ein Transfer liegt vor, wenn personenbezogene Daten an einen Empfänger dort übermittelt oder ihm zugänglich gemacht werden – etwa durch Fernzugriff eines Support-Teams oder Admins im Ausland.
Die Regeln stehen in Kapitel V der DSGVO (Artikel 44 bis 50). Sie gelten zusätzlich zu den allgemeinen Regeln: Auch für die Verarbeitung selbst braucht es eine Rechtsgrundlage.
Die drei Wege
- Angemessenheitsbeschluss (Art. 45)
- Die EU-Kommission hat festgestellt, dass das Land ein angemessenes Schutzniveau bietet – etwa die Schweiz, das Vereinigte Königreich oder Japan und für zertifizierte Organisationen die USA unter dem Data Privacy Framework.
- Geeignete Garantien (Art. 46, 47)
- Vor allem Standardvertragsklauseln und verbindliche interne Datenschutzvorschriften (BCR). Seit Schrems II verlangen sie eine Prüfung des Rechts im Empfängerland im Einzelfall.
- Ausnahmen (Art. 49)
- Ausnahmen für bestimmte Fälle, etwa eine ausdrückliche Einwilligung oder eine Übermittlung, die für einen Vertrag mit der Person nötig ist. Sie sind für gelegentliche, nicht für regelmäßige Übermittlungen gedacht.
In der Praxis
- Erfasse, welche Anbieter und Unterauftragsverarbeiter außerhalb des EWR Daten erhalten oder darauf zugreifen können.
- Notier für jeden den Übermittlungsmechanismus – Angemessenheitsbeschluss, SCC oder Ausnahme.
- Bei SCC: Dokumentiere eine Transfer-Folgenabschätzung und zusätzliche Maßnahmen, etwa Verschlüsselung mit Schlüsseln in der EU.
- Informiere die Betroffenen in deiner Datenschutzerklärung.
Coviqo speichert und verarbeitet Inhalte auf Servern in Deutschland. Wo Daten die EU doch verlassen – Netzwerkschutz und CDN, Zahlungen, optionale Anmeldeanbieter und Integrationen –, stützen sich die Übermittlungen auf das Data Privacy Framework, wenn der Empfänger zertifiziert ist, sonst auf Standardvertragsklauseln. Details: Warum Coviqo aus Europa.
Diese Seite ist eine allgemeine Information und keine Rechtsberatung.
Häufige Fragen
Ist ein US-Anbieter mit EU-Rechenzentrum ein Drittlandtransfer?
Nicht automatisch – durch die Speicherung in der EU allein werden keine Daten übermittelt. Ein Fernzugriff aus den USA kann aber ein Transfer sein, und der Anbieter kann US-Recht wie dem CLOUD Act unterliegen.
Ist das Vereinigte Königreich ein Drittland?
Ja, seit dem Brexit. Die EU-Kommission erkennt das Schutzniveau des Vereinigten Königreichs aber seit 2021 als angemessen an; solange dieser Angemessenheitsbeschluss gilt, brauchen Übermittlungen dorthin keine zusätzlichen Garantien.