Die internationale EY-Organisation besteht aus den Mitgliedsunternehmen von Ernst & Young Global Limited (EYG). Jedes EYG-Mitgliedsunternehmen ist rechtlich selbstständig und unabhängig und haftet nicht für das Handeln und Unterlassen der jeweils anderen Mitgliedsunternehmen. Ernst & Young Global Limited ist eine Gesellschaft mit beschränkter Haftung nach englischem Recht und erbringt keine Leistungen für Mandanten.
So unterstützen wir Sie
-
Die Digitalisierung transformiert nicht nur die Welt der Arbeit, Freizeit und Mobilität, sondern birgt auch immense rechtliche Herausforderungen. Mit unserer Practice Group Digital Law beraten wir unsere Mandanten dabei, die digitale Transformation rechtssicher zu gestalten.
Mehr lesen
Das Data Transfer Impact Assessment im Detail
Gemäß Klausel 14 der EU-Standardvertragsklauseln sind folgende Anforderungen bei der Durchführung des Data Transfer Impact Assessments zu berücksichtigen:
- ob Anhaltspunkte für den Zugang öffentlicher Behörden zu den Daten vorliegen,
- ob Umstände der Übermittlung, Informationen zu den Akteuren, zum Zweck der Datenübermittlung, den Kategorie der Daten, den rechtliche Bestimmungen im Drittland und ergänzende Garantien etc. vorliegen,
- ob eine Best-Effort-Zusicherung bezüglich Information und Gewährleistung existiert,
- ob Dokumentationen auf behördliche Anfrage zur Verfügung gestellt werden müssen und
- ob bei Bedenken hinsichtlich des Schutzes der Daten der Datenexporteur sowie alle Betroffenen innerhalb der EU vor einem behördlichen Zugriff auf die Daten benachrichtigt wird.
Zu dem letzten Punkt, regelt Klausel 15 der EU-Standardvertragsklauseln, dass der Datenimporteur den Datenexporteur und alle Betroffenen über Anfragen ausländischer Behörden auf die übertragenen Daten zu benachrichtigen hat. Im Fall eines Benachrichtigungsverbots besteht die Pflicht des Datenimporteurs sich um Aufhebung des Verbots zu bemühen. Zudem muss der Datenimporteur die Rechtmäßigkeit von Offenlegungsersuchen überprüfen.
Umsetzungsempfehlungen des Europäischen Datenschutzausschusses
Der Europäische Datenschutzausschuss (EDSA) hat mit seinen Empfehlungen vom 18.06.2021 aufgezeigt, wie bei der Datenübermittlung in ein Drittland vorzugehen ist. Dabei stellt der EDSA die folgenden sechs Schritte heraus:
- Stellen Sie sich die Frage, ob Sie den Transfer kennen;
- Identifizieren Sie die Übertragungsinstrumente, auf die Sie sich stützen;
- Beurteilen Sie, ob das Übertragungsinstrument, auf das Sie sich nach Artikel 46 DSGVO stützen, unter Berücksichtigung aller Umstände des Transfers wirksam ist,
- Ergreifen Sie zusätzliche technische und organisatorische Maßnahmen,
- Ergreifen Sie alle formellen Verfahrensschritte, wenn Sie wirksame ergänzende Maßnahmen identifiziert haben,
- Bewerten Sie das Schutzniveau regelmäßig neu.
Dabei fällt schon auf, dass auch mit dem Einsatz und Abschluss der neuen EU-Standardvertragsklauseln es allein nicht getan ist. Vielmehr sind je nach Ausgang des sog. Data Transfer Impact Assessments (Schritt 3) zusätzliche Datenschutz-Maßnahmen zur Absicherung der Übermittlung in das Drittland zu definieren und implementieren (Schritt 4).
So sieht dies auch die deutsche Datenschutzkonferenz als Zusammenschluss aller deutschen Aufsichtsbehörden, wie aus ihrer Pressemittelung vom 21. Juni 2021 zu entnehmen ist.
Aber auch zu diesen zusätzlichen Maßnahmen spricht der EDSA in seinem Papier in Anhang 2 Empfehlungen in technischer, vertraglicher und organisatorischer Form aus.
So sind zusätzlich insbesondere bei unzureichendem Schutzniveau technische Maßnahmen empfehlenswert, wie beispielsweise Verschlüsselungsverfahren (wie etwa das Encryption Key Management), bei dem der Schlüssel beim Datenexporteur in der EU verbleibt, Pseudonymisierung oder Data Splitting. Jedoch sind solche technischen Maßnahmen manchmal, bereits aufgrund der Art des in Anspruch genommenen Dienstes, rein faktisch nicht möglich.
Neben der technischen Implementierung sind die rechtlichen Umsetzungsmöglichkeiten in den Blick zu nehmen. Die vertraglichen Maßnahmen, wie der Abschluss von Verträgen zur Auftragsverarbeitung mit Unternehmen in nicht-europäische Staaten, sind zum Teil bereits durch die Klausel 15 abgedeckt. Zudem gilt es in der Praxis die organisatorischen Maßnahmen, wie unternehmensinterne Richtlinien, die Überwachung der Einhaltung der gebotenen Standards sowie die Empfehlungen des Europäischen Datenschutzausschuss (EDSA) und der Datenschutzkommission (DSK) zu beachten.
Stichtag und sonstige (formelle) Neuerungen
Die neuen SCCs, welche seit dem 27. September 2021 auf neue Verträge verpflichtend anzuwenden sind, stellen neue und erhöhte Anforderungen an Datentransfers in Drittländer. Spätestens bis zum 27.12.2022 muss eine Umstellung sämtlicher Altverträge auf die neuen SCCs erfolgt sein.
Mit den neuen SCCs kommen auf die verantwortlichen Unternehmen jedoch nicht nur zusätzliche Anforderungen zu. Durch ihren (neuen) modularen Aufbau können die Klauseln jetzt auf alle Konstellationen datenschutzrechtlicher Verantwortlichkeit bei internationalen Datentransfers von Übermittlungen personenbezogener Daten angewandt werden. Umfasst sind jetzt mithin vier, von ehemals nur zwei Übermittlungsmöglichkeiten:
So war es in der Vergangenheit beispielsweise nicht möglich, dass der Auftragsverarbeiter direkt mit dem Unterauftragsverarbeiter im Drittland das Übermittlungsinstrument der EU-Standardvertragsklauseln abschließt, sondern der Verantwortliche hier über eine komplizierte Dreieckskonstellation agieren musste. Dies ist jetzt mit dem neuen Modul 3 nicht mehr erforderlich.
Die neuen SCCs sind auch speziell so formuliert, dass sie als Datenverarbeitungsverträge (zwischen Verantwortlichen und Auftragsverarbeitern) im Sinne von Art. 28 Abs. 3 DSGVO verwendet werden können (Klausel 2 der neuen SCCs) und nicht zwingend ein separates Vertragswerk erforderlich ist.
Weiter enthält der Erwägungsgrund 7 ein sogenanntes Kopplungsverbot, das besagt, dass die EU-Standardvertragsklauseln immer dann nicht abzuschließen sind, wenn der jeweilige Cloud-Diensteanbieter der DSGVO unterfällt.