Drittländertransfer

Definition: Ein Drittländertransfer ist jede Übermittlung, Weitergabe oder sonstige Bereitstellung personenbezogener Daten an Empfänger in Ländern außerhalb des Europäischen Wirtschaftsraums (EWR), also außerhalb der 27 EU-Mitgliedstaaten sowie Island, Liechtenstein und Norwegen. Das Kapitel V der Datenschutz-Grundverordnung (DSGVO, Art. 44–49) regelt abschließend, unter welchen Voraussetzungen solche Transfers rechtmäßig sind. Das Grundprinzip: Das innerhalb der EU garantierte Schutzniveau für personenbezogene Daten darf durch eine Datenübermittlung ins Ausland nicht unterlaufen werden. Ein Transfer liegt dabei nicht nur dann vor, wenn Daten aktiv an einen Dritten gesendet werden – auch der Fernzugriff eines Dienstleisters mit Sitz außerhalb des EWR auf in der EU gespeicherte Daten gilt als Drittländertransfer und löst die Anforderungen des Kapitels V aus. Im digitalen Marketing sind Drittländertransfers alltäglich, da ein Großteil der weltweit führenden Technologieanbieter – von Google und Meta bis zu Salesforce oder HubSpot – seinen Sitz in den Vereinigten Staaten hat und Daten auf dortigen Servern verarbeitet.

Erläuterung

Die DSGVO stuft Drittländer nicht pauschal als unsicher ein, sondern unterscheidet nach dem tatsächlich vorhandenen Schutzniveau. Entscheidend ist die Frage, ob im Empfängerland ein der EU vergleichbares Datenschutzniveau herrscht oder ob durch geeignete Maßnahmen sichergestellt werden kann, dass das europäische Schutzniveau gewahrt bleibt.

Die Kaskade der möglichen Rechtsgrundlagen für Drittländertransfers beginnt mit dem Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO): Hat die Kommission festgestellt, dass ein bestimmtes Drittland ein angemessenes Schutzniveau bietet, darf ohne weitere Genehmigung übermittelt werden. Solche Beschlüsse existieren u. a. für das Vereinigte Königreich, die Schweiz, Japan, Kanada (für kommerzielle Organisationen), Israel, Neuseeland, Südkorea und seit Juli 2023 erneut für die USA im Rahmen des EU-US Data Privacy Framework (DPF).

Liegt kein Angemessenheitsbeschluss vor, müssen geeignete Garantien nach Art. 46 DSGVO vorliegen. Das wichtigste Instrument sind die Standardvertragsklauseln (Standard Contractual Clauses, SCC) der EU-Kommission, zuletzt überarbeitet im Juni 2021. Sie bilden vier Module ab: Verantwortlicher zu Verantwortlichem, Verantwortlicher zu Auftragsverarbeiter, Auftragsverarbeiter zu Auftragsverarbeiter sowie Auftragsverarbeiter zu Verantwortlichem. Ergänzend zu den SCC hat das Europäische Datenschutzgremium (EDPB) empfohlen, einen Transfer Impact Assessment (TIA) durchzuführen, um zu prüfen, ob das Recht des Empfängerlandes die vertraglichen Garantien unterläuft.

Das Schrems-II-Urteil des EuGH vom Juli 2020 (C-311/18) hat die Anforderungen an Drittländertransfers erheblich verschärft: Das EU-US Privacy Shield wurde für unwirksam erklärt, und Datenexporteure wurden verpflichtet, im Einzelfall zu prüfen, ob im Empfängerland staatliche Zugriffsmöglichkeiten (z. B. nach US-amerikanischem Geheimdienstrecht wie Section 702 FISA oder EO 12333) die vertraglichen Garantien aushebeln. Diese Einzelfallprüfung stellt gerade kleinere Unternehmen vor erhebliche praktische Herausforderungen.

Nur in Ausnahmefällen und wenn keine der vorstehenden Grundlagen einschlägig ist, können die Ausnahmetatbestände des Art. 49 DSGVO herangezogen werden, etwa die ausdrückliche Einwilligung der betroffenen Person oder die Erforderlichkeit zur Vertragserfüllung. Diese Ausnahmen sind jedoch eng auszulegen und dürfen nicht zur regelmäßigen Umgehung der strengeren Anforderungen genutzt werden.

Wichtige Instrumente und Rechtsgrundlagen

Angemessenheitsbeschluss (Art. 45 DSGVO): Entscheidung der EU-Kommission, dass ein Drittland ein gleichwertiges Datenschutzniveau bietet. Ermöglicht freien Datenfluss ohne zusätzliche Maßnahmen.
Standardvertragsklauseln – SCC (Art. 46 Abs. 2 lit. c DSGVO): Von der EU-Kommission vorformulierte Vertragsklauseln, die zwischen Datenexporteur und -importeur vereinbart werden. Seit 2021 in überarbeiteter Fassung mit vier Modulen verfügbar.
Verbindliche interne Datenschutzvorschriften – BCR (Art. 47 DSGVO): Konzernweite Datenschutzregeln, die von der zuständigen Aufsichtsbehörde genehmigt werden. Vor allem für multinationale Konzerne relevant.
EU-US Data Privacy Framework (DPF): Seit Juli 2023 gilt dieser Angemessenheitsbeschluss für US-Unternehmen, die sich beim US-Handelsministerium zertifiziert haben. Er ersetzt das 2020 für ungültig erklärte Privacy Shield.
Transfer Impact Assessment (TIA): Risikoanalyse, die im Rahmen von SCC-basierten Transfers bewertet, ob das Recht des Empfängerlandes die SCC-Garantien unterläuft. Empfohlen vom EDPB.
Ausnahmen nach Art. 49 DSGVO: Nur für Einzelfälle zulässig, u. a. informierte Einwilligung, Vertragserfüllung, wichtige öffentliche Interessen oder Rechtsansprüche.

Praxisrelevanz im Online-Marketing

US-Dienste und Tools: Google Analytics, Google Ads, Meta Pixel, HubSpot, Salesforce, Mailchimp, Stripe – nahezu alle marktführenden Marketing-Tools transferieren Daten in die USA. Seit dem DPF (2023) sind viele dieser Anbieter wieder auf einer sichereren Rechtsgrundlage, sofern sie zertifiziert sind.
CDN und Cloud-Hosting: Auch der Einsatz von Content Delivery Networks oder Cloud-Diensten mit Serverstandorten außerhalb des EWR kann Drittländertransfers auslösen, selbst wenn der Hauptsitz des Anbieters in der EU liegt.
Auftragsdatenverarbeitung: Drittländertransfers sind häufig mit Auftragsverarbeitung kombiniert: Ein EU-Verantwortlicher beauftragt einen US-Auftragsverarbeiter. In diesem Fall sind sowohl ein AVV als auch ein geeignetes Transferinstrument erforderlich.
Dokumentationspflicht: Das Verarbeitungsverzeichnis (Art. 30 DSGVO) muss Drittländertransfers ausweisen, einschließlich der genutzten Garantien.

Praxistipp: Legen Sie ein internes Register aller Tools und Dienste an, die personenbezogene Daten in Drittländer übertragen, und dokumentieren Sie jeweils die einschlägige Rechtsgrundlage. Prüfen Sie bei US-Anbietern regelmäßig, ob eine aktuelle DPF-Zertifizierung vorliegt (einsehbar auf der offiziellen DPF-Liste des US-Handelsministeriums). Für Dienste ohne DPF-Zertifizierung sollten SCC abgeschlossen und ein TIA durchgeführt werden. Holen Sie bei neuen Tools frühzeitig rechtlichen Rat ein, bevor Sie den Dienst produktiv einsetzen – der nachträgliche Wechsel auf alternative Anbieter ist oft aufwendiger.