Ein Drittland ist datenschutzrechtlich jeder Staat außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums.
Wer gehört dazu?
Der EWR umfasst die EU-Mitgliedstaaten sowie Island, Liechtenstein und Norwegen. Für diese Staaten gilt die DSGVO, sie sind keine Drittländer. Alle anderen Staaten, darunter die Schweiz, das Vereinigte Königreich und die USA, sind Drittländer.
Angemessenes Datenschutzniveau
Die EU-Kommission kann feststellen, dass ein Drittland ein angemessenes Schutzniveau bietet. Solche Angemessenheitsbeschlüsse bestehen etwa für die Schweiz, Japan und Kanada (für kommerzielle Organisationen) sowie für die USA hinsichtlich der unter dem EU-U.S. Data Privacy Framework zertifizierten Unternehmen. Die aktuelle Liste veröffentlicht die EU-Kommission.
Für alle übrigen Drittländer sind geeignete Garantien wie Standardvertragsklauseln oder eine der Ausnahmen des Art. 49 DSGVO erforderlich.
Rechtsgrundlagen
- Art. 44 DSGVO
- Allgemeine Grundsätze der Datenübermittlung in Drittländer.
- Art. 45 DSGVO
- Übermittlung auf Grundlage eines Angemessenheitsbeschlusses.
- Art. 46 DSGVO
- Übermittlung vorbehaltlich geeigneter Garantien.
Verwandte Begriffe.
Standardvertragsklauseln (SCC) Standardvertragsklauseln sind von der EU-Kommission vorgegebene Vertragsmuster, mit denen geeignete Garantien für die Übermittlung personenbezogener Daten in Drittländer geschaffen werden. Art. 46 Abs. 2 lit. c DSGVO Schrems II Schrems II ist das Urteil des EuGH vom 16. Juli 2020 (C-311/18), mit dem der EU-US Privacy Shield für ungültig erklärt wurde. EuGH, C-311/18 