Darf mein Lieferant Daten außerhalb der EU verarbeiten?

Daten außerhalb der EU sind zulässig, sofern eine gültige Rechtsgrundlage besteht

Ein Anbieter darf Personendaten in den meisten Fällen außerhalb der EU verarbeiten lassen, aber das geht nicht einfach so. Die DSGVO unterscheidet zwischen zwei Fragen, die oft durcheinander geworfen werden: darf dieser Anbieter überhaupt Daten in Ihrem Namen verarbeiten (die Unterauftragsverarbeiter-Frage), und darf diese Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden (die Übermittlungs-Frage). Beide Fragen haben eine eigene Antwort, und beide müssen mit "ja" beantwortet werden können, bevor die Daten das Gebäude verlassen dürfen.

Für den Unterauftragsverarbeiter gilt, dass ein Anbieter einen anderen Beteiligten nur mit vorheriger Zustimmung einschalten darf, und dass die Verpflichtungen aus dem Auftragsverarbeitungsvertrag dann an diesen Unterauftragsverarbeiter weitergegeben werden müssen. Für die Übermittlung in ein Land außerhalb der EU gilt eine separate Ebene: das ist zulässig auf der Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission für dieses Land, oder mangels dessen auf der Grundlage angemessener Garantien, wie etwa von der Kommission angenommene Standardverträge. Ohne eine dieser beiden Grundlagen fehlt die Basis für die Übermittlung, auch wenn der Unterauftragsverarbeiter selbst ordnungsgemäß eingeschaltet wurde.

Die Grundlage: Artikel 28 und Artikel 44 DSGVO

Die Einschaltung eines Unterauftragsverarbeiters ist in Artikel 28 der DSGVO geregelt, der die Voraussetzungen für Zustimmung und weiterzugebende Verpflichtungen festlegt; die Übermittlung in ein Drittland ist in Artikel 44 der DSGVO geregelt, der den Ausgangspunkt für das Kapitel über Übermittlungen außerhalb der EU bildet. Der EDPB hat hierzu Leitlinien veröffentlicht, die weiter ausarbeiten, wann eine Garantie als "angemessen" gilt und wie eine Organisation dies beurteilen kann.