Drittland

Ein Drittland ist im Datenschutzrecht ein Staat außerhalb der Europäischen Union (EU) und des Europäischen Wirtschaftsraums (EWR). Werden personenbezogene Daten aus dem europäischen Datenschutzraum an Empfänger in einem Drittland übermittelt, gelten besondere Anforderungen der Datenschutz-Grundverordnung (DS-GVO). Die Art. 44 bis 49 DS-GVO regeln, unter welchen Voraussetzungen solche Datenübermittlungen zulässig sind.

Was ist ein Drittland im Sinne der DS-GVO?

Als Drittland werden im europäischen Datenschutzrecht Staaten bezeichnet, die weder Mitglied der Europäischen Union noch Teil des Europäischen Wirtschaftsraums sind.

Zum Europäischen Wirtschaftsraum gehören neben den EU-Mitgliedstaaten auch Island, Liechtenstein und Norwegen. Datenübermittlungen zwischen diesen Staaten unterliegen daher nicht den besonderen Anforderungen für Drittlandübermittlungen nach Kapitel V der DS-GVO.

Zu den Drittländern gehören beispielsweise:

• USA: Die Vereinigten Staaten sind kein Mitglied der EU oder des EWR. Für bestimmte zertifizierte US-Unternehmen besteht ein Angemessenheitsbeschluss im Rahmen des EU-US Data Privacy Framework.
• Schweiz: Die Schweiz gehört nicht zum EWR, verfügt jedoch über einen Angemessenheitsbeschluss der Europäischen Kommission.
• Vereinigtes Königreich: Seit dem Brexit gilt das Vereinigte Königreich datenschutzrechtlich als Drittland. Für das Land besteht ein Angemessenheitsbeschluss der Europäischen Kommission.
• China: China ist ein Drittland, für das kein allgemeiner Angemessenheitsbeschluss der Europäischen Kommission besteht.

Auch für weitere Staaten, darunter beispielsweise Japan, Südkorea, Kanada und Brasilien, bestehen Angemessenheitsbeschlüsse. Deren Anwendungsbereich kann je nach Staat und Empfänger unterschiedlich ausgestaltet sein.

Die Einordnung als Drittland bedeutet nicht automatisch, dass eine Datenübermittlung unzulässig ist. Entscheidend ist, ob die gesetzlichen Voraussetzungen für die Übermittlung personenbezogener Daten erfüllt werden.

Wann liegt eine Datenübermittlung in ein Drittland vor?

Eine Drittlandübermittlung liegt insbesondere vor, wenn ein Verantwortlicher oder Auftragsverarbeiter, der der DS-GVO unterliegt, personenbezogene Daten an einen anderen Verantwortlichen oder Auftragsverarbeiter in einem Drittland übermittelt oder diesem zugänglich macht.

Dabei ist keine physische Übertragung von Daten erforderlich. Auch der Zugriff auf personenbezogene Daten aus einem Drittland kann eine Drittlandübermittlung darstellen, wenn die Daten einem dort ansässigen Empfänger zugänglich gemacht werden.

Typische Beispiele sind:

• Ein deutsches Unternehmen übermittelt Kundendaten an einen Dienstleister in den USA.
• Ein Cloud-Anbieter ermöglicht seinem Supportpersonal in Indien den Zugriff auf personenbezogene Daten europäischer Kunden, wobei die Daten einem dort ansässigen Dienstleister zugänglich gemacht werden.
• Ein Unternehmen nutzt eine Softwarelösung, bei der personenbezogene Daten an einen externen Anbieter in einem Drittland weitergegeben werden.

Entscheidend ist nicht allein, wo die Server stehen. Auch Zugriffsberechtigungen und die beteiligten Unternehmen müssen berücksichtigt werden.

Nicht jeder Auslandsbezug stellt jedoch automatisch eine Drittlandübermittlung im Sinne von Kapitel V der DS-GVO dar. Greift beispielsweise ein Beschäftigter eines deutschen Unternehmens während einer Dienstreise aus einem Drittland auf die Systeme seines Arbeitgebers zu, liegt bei einem rein unternehmensinternen Zugriff nicht schon deshalb eine Übermittlung an einen anderen Empfänger vor.

Unternehmen müssen deshalb die tatsächlichen Datenflüsse und Empfänger ihrer Verarbeitungsvorgänge prüfen.

Unter welchen Voraussetzungen dürfen personenbezogene Daten in Drittländer übermittelt werden?

Die Übermittlung personenbezogener Daten in ein Drittland ist nur zulässig, wenn neben den allgemeinen Anforderungen der DS-GVO auch die besonderen Voraussetzungen des Kapitels V eingehalten werden.

Hierfür sieht die DS-GVO insbesondere drei Möglichkeiten vor:

1. Angemessenheitsbeschluss nach Art. 45 DS-GVO

Die Europäische Kommission kann feststellen, dass ein Drittland, ein bestimmtes Gebiet oder ein bestimmter Sektor ein angemessenes Datenschutzniveau gewährleistet.

Besteht ein einschlägiger Angemessenheitsbeschluss, dürfen personenbezogene Daten grundsätzlich ohne zusätzliche Übermittlungsgarantien nach Kapitel V übermittelt werden. Die übrigen Anforderungen der DS-GVO bleiben bestehen.

Dabei ist zu beachten, dass Angemessenheitsbeschlüsse nicht zwangsläufig sämtliche Empfänger oder Verarbeitungsvorgänge eines Landes erfassen. Ihr jeweiliger Anwendungsbereich muss daher geprüft werden.

2. Geeignete Garantien nach Art. 46 DS-GVO

Liegt kein einschlägiger Angemessenheitsbeschluss vor, kann eine Übermittlung auf geeignete Garantien gestützt werden. In der Unternehmenspraxis spielen insbesondere folgende Instrumente eine Rolle:

• Standardvertragsklauseln (SCC): Von der Europäischen Kommission vorgegebene Vertragsklauseln zum Schutz personenbezogener Daten bei internationalen Übermittlungen.
• Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR): Genehmigte Datenschutzregelungen für bestimmte konzerninterne Datenübermittlungen.

Daneben sieht Art. 46 DS-GVO weitere Möglichkeiten vor, beispielsweise bestimmte Vereinbarungen zwischen öffentlichen Stellen sowie genehmigte Verhaltensregeln oder Zertifizierungsmechanismen mit entsprechenden Verpflichtungen der Datenempfänger.

Bei der Verwendung von Standardvertragsklauseln müssen Unternehmen prüfen, ob diese im konkreten Drittland wirksam eingehalten werden können. Hierzu gehört insbesondere die Bewertung des dortigen Rechts und der tatsächlichen Umstände der Übermittlung. Gegebenenfalls sind zusätzliche Schutzmaßnahmen erforderlich.

3. Ausnahmen nach Art. 49 DS-GVO

Wenn weder ein Angemessenheitsbeschluss noch geeignete Garantien vorliegen, kann eine Drittlandübermittlung in bestimmten Ausnahmefällen zulässig sein.

Dazu gehören unter den jeweiligen gesetzlichen Voraussetzungen beispielsweise eine ausdrückliche Einwilligung nach Aufklärung über die möglichen Risiken, bestimmte vertraglich erforderliche Übermittlungen, wichtige Gründe des öffentlichen Interesses

oder die Geltendmachung, Ausübung beziehungsweise Verteidigung von Rechtsansprüchen.

Weitere eng begrenzte Ausnahmen betreffen unter anderem lebenswichtige Interessen, bestimmte Übermittlungen aus öffentlichen Registern und besondere Einzelfälle zur Wahrung zwingender berechtigter Interessen.

Diese Ausnahmen sind eng auszulegen und ersetzen grundsätzlich keine dauerhafte Absicherung regelmäßig stattfindender Datenübermittlungen.

Eine Rechtsgrundlage für die Datenverarbeitung, beispielsweise nach Art. 6 DS-GVO, bleibt unabhängig vom gewählten Übermittlungsinstrument erforderlich.

Welche Besonderheiten gelten bei Datenübermittlungen in die USA?

Die USA sind datenschutzrechtlich ein Drittland. Für bestimmte Datenübermittlungen besteht jedoch mit dem EU-US Data Privacy Framework (DPF) eine besondere Grundlage.

Die Europäische Kommission hat im Juli 2023 einen Angemessenheitsbeschluss für die USA im Rahmen des EU-US Data Privacy Framework erlassen. Dieser erfasst personenbezogene Datenübermittlungen an US-Unternehmen, die nach dem Framework entsprechend zertifiziert sind und unter den Anwendungsbereich des Beschlusses fallen.

Unternehmen müssen deshalb vor einer Übermittlung prüfen, ob der jeweilige US-Empfänger über eine gültige Zertifizierung verfügt und diese die betreffende Datenverarbeitung abdeckt.

Eine solche Zertifizierung lässt sich über die offizielle Liste unter https://www.dataprivacyframework.gov/ überprüfen.

Ist ein US-Unternehmen nicht entsprechend zertifiziert, kann eine Datenübermittlung beispielsweise auf Standardvertragsklauseln gestützt werden. Dabei müssen die Anforderungen des Art. 46 DS-GVO einschließlich der erforderlichen Prüfung des Schutzniveaus eingehalten werden.

Der Angemessenheitsbeschluss für das EU-US Data Privacy Framework ersetzt somit nicht die Prüfung des konkreten Empfängers. Unternehmen sollten außerdem berücksichtigen, dass sich die rechtlichen Rahmenbedingungen internationaler Datenübermittlungen durch gerichtliche Entscheidungen oder neue Angemessenheitsbeschlüsse verändern können.

Welche Pflichten und Risiken bestehen bei einer Drittlandübermittlung?

Unternehmen müssen internationale Datenübermittlungen vor ihrer Durchführung datenschutzrechtlich prüfen und die Einhaltung der gesetzlichen Anforderungen sicherstellen.

Dazu gehören insbesondere folgende Maßnahmen:

• Datenflüsse erfassen: Feststellen, welche personenbezogenen Daten an welche Empfänger und in welche Staaten übermittelt werden.
• Übermittlungsgrundlage prüfen: Klären, ob ein Angemessenheitsbeschluss, geeignete Garantien oder eine gesetzliche Ausnahme vorliegen.
• Schutzniveau bewerten: Bei Übermittlungen auf Grundlage geeigneter Garantien prüfen, ob das erforderliche Schutzniveau tatsächlich gewährleistet werden kann.
• Vertragliche Anforderungen erfüllen: Bei einer Auftragsverarbeitung gegebenenfalls einen Auftragsverarbeitungsvertrag nach Art. 28 DS-GVO abschließen.
• Betroffene informieren: Drittlandübermittlungen und die maßgeblichen Garantien entsprechend den Informationspflichten der Art. 13 und 14 DS-GVO offenlegen.
• Prüfung dokumentieren: Die getroffenen Entscheidungen und Schutzmaßnahmen nachvollziehbar festhalten.

Eine unzulässige Drittlandübermittlung kann aufsichtsbehördliche Maßnahmen nach Art. 58 DS-GVO und Geldbußen nach Art. 83 Abs. 5 lit. c DS-GVO zur Folge haben.

Der gesetzliche Bußgeldrahmen beträgt bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Unternehmen sollten internationale Datenübermittlungen deshalb nicht allein anhand des Serverstandorts beurteilen, sondern sämtliche beteiligten Empfänger, Zugriffsmöglichkeiten und rechtlichen Grundlagen berücksichtigen.

Praxisbeispiel: Nutzung eines US-amerikanischen Cloud-Dienstes

Ein deutsches Unternehmen möchte einen US-amerikanischen Cloud-Dienst zur Verwaltung seiner Kundendaten einsetzen. Die personenbezogenen Daten werden auf Servern innerhalb der Europäischen Union gespeichert. Der US-Anbieter kann jedoch im Rahmen des technischen Supports auf diese Informationen zugreifen.

Das Unternehmen prüft zunächst, ob der Zugriff durch den US-Anbieter eine Drittlandübermittlung darstellt. Anschließend kontrolliert es, ob der Anbieter über eine gültige Zertifizierung nach dem EU-US Data Privacy Framework verfügt und der betreffende Dienst davon erfasst wird.

Ist dies der Fall, kann die Übermittlung auf den entsprechenden Angemessenheitsbeschluss gestützt werden. Eine zusätzliche Absicherung durch Standardvertragsklauseln ist für diese Übermittlung aufgrund des Drittlandbezugs grundsätzlich nicht erforderlich.

Unabhängig davon prüft das Unternehmen die allgemeinen Anforderungen der DS-GVO, schließt bei Vorliegen einer Auftragsverarbeitung einen entsprechenden Vertrag und informiert die betroffenen Personen über die Datenverarbeitung.

Fehlt eine einschlägige Zertifizierung, prüft das Unternehmen alternative Übermittlungsinstrumente und gegebenenfalls erforderliche zusätzliche Schutzmaßnahmen.

legal data Einschätzung: Bei Drittlandübermittlungen kommt es nicht allein auf den Standort der Server an. Unternehmen müssen auch mögliche Zugriffe aus dem Ausland und die rechtliche Stellung der beteiligten Dienstleister berücksichtigen. Besonders bei Cloud-Diensten und international eingesetzter Software ist eine sorgfältige Prüfung der Übermittlungsgrundlage erforderlich. Eine dokumentierte Bewertung der Datenflüsse und Schutzmaßnahmen reduziert das Risiko unzulässiger Datenübermittlungen.

Rechtsgrundlagen

Art. 6 DS-GVO

Art. 13 DS-GVO

Art. 14 DS-GVO

Art. 28 DS-GVO

Art. 44 bis 49 DS-GVO

Art. 58 DS-GVO

Art. 83 DS-GVO