BRDDrittlandübermittlung bei Cloud-Diensten: DPF, Standardvertragsklauseln, TIA
Personenbezogene Daten dürfen nur dann in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt werden, wenn die Voraussetzungen von Kapitel V der DSGVO (Art. 44 bis 49) erfüllt sind: ein Angemessenheitsbeschluss der Kommission, geeignete Garantien wie Standardvertragsklauseln oder eine der eng auszulegenden Ausnahmen. Bei Cloud-Diensten betrifft das nicht nur den Speicherort, sondern auch Fernzugriffe, Support und Unterauftragsverarbeiter.
- Drittlandbezug entsteht auch durch Zugriffe aus dem Drittland, etwa durch Support oder Unterauftragsverarbeiter.
- Für die USA gilt seit 10.07.2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, aber nur für zertifizierte Unternehmen.
- Bei Standardvertragsklauseln ist zu prüfen, ob das Schutzniveau im Zielland tatsächlich eingehalten werden kann (EuGH, Schrems II).
- Die Prüfung wird dokumentiert und bei Änderungen der Rechtslage wiederholt.
Welche Grundlagen für Drittlandübermittlungen gibt es?
| Grundlage | Fundstelle | Praxis bei Cloud-Diensten |
|---|---|---|
| Angemessenheitsbeschluss | Art. 45 DSGVO | z. B. für die USA nur für Unternehmen auf der Data-Privacy-Framework-Liste; weitere Länder siehe Liste der Kommission |
| Standardvertragsklauseln | Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914 | häufigste Grundlage; passendes Modul wählen, ergänzt um Prüfung des Ziellandes |
| Verbindliche interne Datenschutzvorschriften | Art. 47 DSGVO | für Übermittlungen innerhalb eines Konzerns mit genehmigten Regeln |
| Ausnahmen | Art. 49 DSGVO | z. B. ausdrückliche Einwilligung; für regelmäßige Cloud-Nutzung in der Regel ungeeignet |
Was hat das Schrems-II-Urteil geändert?
Der Europäische Gerichtshof hat mit Urteil vom 16.07.2020 (C-311/18) den damaligen Angemessenheitsbeschluss für die USA (Privacy Shield) für ungültig erklärt. Standardvertragsklauseln blieben gültig; der Datenexporteur muss aber prüfen, ob das Recht des Ziellandes ihre Einhaltung zulässt, und gegebenenfalls ergänzende Maßnahmen ergreifen. Wie diese Prüfung abläuft, beschreibt der Europäische Datenschutzausschuss in seinen Empfehlungen 01/2020. In der Praxis wird das Ergebnis als Transfer-Folgenabschätzung (Transfer Impact Assessment, TIA) dokumentiert.
Wie wird das EU-US Data Privacy Framework genutzt?
Mit dem Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 hat die Kommission ein angemessenes Schutzniveau für Übermittlungen an US-Unternehmen festgestellt, die nach dem Data Privacy Framework zertifiziert sind. Vor der Nutzung ist deshalb zu prüfen, ob der Anbieter und gegebenenfalls seine Unterauftragsverarbeiter auf der offiziellen Liste stehen und ob die Zertifizierung die betroffenen Daten umfasst. Viele Anbieter vereinbaren zusätzlich Standardvertragsklauseln als Rückfallebene.
Welche ergänzenden Maßnahmen kommen in Betracht?
- Speicherung und Verarbeitung in Rechenzentren im EWR, vertraglich zugesichert
- Verschlüsselung mit Schlüsseln, die ausschließlich beim Kunden liegen, wo der Dienst das zulässt
- Pseudonymisierung vor der Übertragung
- Beschränkung von Support- und Administratorzugriffen aus Drittländern, mit Protokollierung
- vertragliche Pflichten des Anbieters zum Umgang mit Behördenanfragen und zur Information des Kunden
Keine Rechtsberatung. Rechtsstand: 04.11.2026.