Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Übermittlung personenbezogener Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums oder deren Zugänglichmachung von dort aus. Zulässig ist ein solcher Transfer nur, wenn eine der Grundlagen aus Kapitel V der DSGVO vorliegt.
Art. 45 erlaubt den Transfer, wenn die Kommission dem Zielland ein angemessenes Schutzniveau bescheinigt hat. Fehlt ein solcher Beschluss, kommen die geeigneten Garantien nach Art. 46 in Betracht, vor allem Standardvertragsklauseln und verbindliche interne Datenschutzvorschriften nach Art. 47. Erst danach greifen die eng auszulegenden Ausnahmen des Art. 49.
Nicht nur beim physischen Versand von Daten. Ein Transfer liegt auch vor, wenn Daten auf europäischen Servern liegen, aber aus einem Drittland darauf zugegriffen werden kann, etwa durch Administratoren oder ein Support-Team. Typische übersehene Quellen sind Unterauftragsketten, Test- und Entwicklungsumgebungen mit Echtdaten, Backup-Replikation und Monitoring-Werkzeuge.
Stützt sich der Transfer auf Standardvertragsklauseln, ist zusätzlich eine Einzelfallbewertung erforderlich, ob diese Klauseln im Zielland eingehalten werden können.
Nicht automatisch. Besteht Zugriff aus einem Drittland, liegt ein Transfer vor, auch wenn die Daten physisch in Europa gespeichert sind.
Zunächst ein Angemessenheitsbeschluss nach Art. 45. Fehlt er, geeignete Garantien nach Art. 46 oder 47. Die Ausnahmen des Art. 49 sind eng auszulegen und nur für Einzelfälle gedacht.
.svg){kind=icon}