Transfer Impact Assessment (TIA)

Standardvertragsklauseln sind vertragliche Regelungen, mit denen Datenübermittlungen in unsichere Staaten außerhalb der EU / des Europäischen Wirtschaftsraum (EWR) abgesichert werden. Wenn Ihr Unternehmen beispielsweise IT-Dienstleistungen von einem Anbieter in Anspruch nimmt, dessen Sitz im Drittland ist, werden in der Regel Standardvertragsklauseln mit diesem Anbieter abgeschlossen. Die Europäische Kommission hat Anfang Juni 2021 neue Standardvertragsklauseln (SCC-Module) für internationale Datentransfers angenommen. Dabei wurden die Anforderungen der DSGVO sowie die neuen Vorgaben aus dem Schrems-II-Urteil berücksichtigt. Bis zum 27.12.2022 müssen alle bestehenden Standardvertragsklauseln durch die neuen SCCs ersetzt werden und zukünftig nur noch diese abgeschlossen werden. Die neuen Klauseln sind modular aufgebaut. Je nachdem, ob der Datenexporteur (Ihr Unternehmen) oder der Datenimporteur (der Empfänger im Drittstaat) datenschutzrechtlich als Verantwortlicher oder als Auftragsverarbeiter einzuordnen sind, greifen spezielle Regelungen.

Die neuen Standardvertragsklauseln erlegen den Parteien auch neue Informations- und Dokumentationspflichten auf. Dazu zählt unter anderem die Durchführung eines Transfer Impact Assessment (TIA). Der Europäische Datenschutzausschuss (EDSA) hat hierzu am 18.06.2021 die Version 2.0 der Empfehlungen veröffentlicht, wie durch zusätzliche Maßnahmen und weitere Vorgehensweisen ein angemessenes Schutzniveau beim Empfänger gewährleistet werden kann. Dieser Ansatz ist für das Erreichen eines angemessenen Schutzniveaus im Empfängerstaat Bestandteil des Transfer Impact Assessments.

Beim Transfer Impact Assessment handelt es sich um eine Risikobewertung, wonach Sie überprüfen müssen, ob der Empfänger durch geltendes Recht im Drittland gezwungen sein kann, gegen die Regelungen aus den Standardvertragsklauseln zu verstoßen. Diese Prüfung dient der Beschreibung, Bewertung und Eindämmung von Risiken für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten im Drittland. Die Vertragsparteien sind verpflichtet, das Ergebnis dieser Prüfungen zu dokumentieren. Die Dokumentation ist umso dringlicher und wichtiger geworden, da die Aufsichtsbehörden die Datentransfers ausgesuchter Unternehmen anhand umfänglicher Fragebögen untersuchen.

Unsere auf die Datenschutzberatung spezialisierten Consultants unterstützen Sie bei der Durchführung des Transfer Impact Assessments und beim Ersetzen der alten Standardvertragsklauseln beziehungsweise dem Abschluss neuer Standardvertragsklauseln in dem jeweils zutreffenden Modul. Bei der Durchführung des Transfer Impact Assessments analysieren wir die individuellen Rahmenbedingungen Ihres Datentransfers und beraten Sie exklusiv auf dem Weg zu einer rechtssicheren Datenübermittlung. Mit pragmatischen Ansätzen und langjähriger Erfahrung im internationalen Kontext erstellen wir eine Risikobewertung des Datentransfers nach den Anforderungen des TIA und sprechen Handlungsempfehlungen aus. Die Erfüllung Ihrer Dokumentationspflichten können mit unserer Datenschutzmanagement Software Guardileo erfolgen. Dort besteht im Rahmen des Moduls „Drittlandtransfer-Prüfung“ die Möglichkeit, den Prozess der Datenübermittlung zu dokumentieren und regelmäßig neu zu bewerten. Neben der Drittlandtransfer-Prüfung bieten wir Ihnen mit Guardileo auf Wunsch weitere professionelle Funktionalitäten an, um den Datenschutz in Ihrem Unternehmen entsprechend den EU-Standards zu gestalten und zur ordnungsgemäßen Erfüllung Ihrer Nachweis- und Rechenschaftspflichten beizutragen.