Datenübermittlung in Drittländer

Kurz: Personenbezogene Daten dürfen in Länder außerhalb der EU nur übermittelt werden, wenn dort ein angemessenes Schutzniveau gesichert ist.

Genauer: Das kann durch einen Angemessenheitsbeschluss der EU-Kommission geschehen (z. B. für Länder wie die Schweiz oder, mit Zertifizierung, die USA im „Data Privacy Framework”), durch Standardvertragsklauseln (SCC) mit zusätzlichen Maßnahmen oder durch verbindliche interne Regeln.

Keine Rechtsberatung. Die Rechtslage ändert sich, aktuelle Beschlüsse prüfen.

Im Detail

• Schrems II (2020): Der EuGH kippte das „Privacy Shield”. Seither braucht es bei den USA und anderen Ländern eine sorgfältige Prüfung.
• Data Privacy Framework (2023): Angemessenheitsbeschluss für zertifizierte US-Unternehmen.
• Transfer Impact Assessment: Prüfung, ob im Zielland staatlicher Zugriff die Garantien aushebelt.
• Praxis: EU-Server wählen, wenn möglich. Verschlüsseln, sodass der Anbieter nicht mitlesen kann.
• Eingebundene Dienste: Auch Schriften, Karten, Videos und Analyse-Skripte können Daten in Drittländer übermitteln (Google Fonts und Datenschutz).

Siehe auch: Auftragsverarbeitung (AVV), DSGVO: Grundsätze und Rechtsgrundlagen