Sitzt der Anbieter, mit dem Sie einen Datenverarbeitungsvertrag abschließen, außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, ändert sich der Datenverarbeitungsvertrag selbst nicht wesentlich. Die gleichen Bestandteile, die die DSGVO vorschreibt — der Gegenstand und die Dauer der Verarbeitung, die Art und der Zweck, die Art der Daten, die Kategorien der Betroffenen und die Pflichten und Rechte von Ihnen als Verantwortlicher — müssen immer noch enthalten sein, unabhängig davon, wo sich der Anbieter befindet.
Was hinzukommt, ist eine separate Ebene von Regeln: Die DSGVO stellt zusätzliche Bedingungen an die Übermittlung personenbezogener Daten in ein Land außerhalb der EU oder des EWR. Diese Ebene zwingt Sie zu prüfen, ob für dieses spezifische Land eine zusätzliche Garantie über die normalen Vereinbarungen im Datenverarbeitungsvertrag hinaus erforderlich ist, und wenn ja, welche.
Was gleich bleibt
Der Kern eines Datenverarbeitungsvertrags befasst sich mit der Beziehung zwischen Ihnen und dem Unternehmen, das in Ihrem Namen Daten verarbeitet: wer was tut, zu welchem Zweck, wie lange, und was im Falle einer Datenpanne oder bei Beendigung der Zusammenarbeit geschieht. Diese Vereinbarungen gelten für jeden Auftragsverarbeiter, ob dieser nun in Rotterdam, Dublin oder San Francisco sitzt. Ein Anbieter außerhalb der EU entbindet Sie also nicht von der normalen Prüfung eines Datenverarbeitungsvertrags; diese Prüfung bleibt erforderlich, nur kommt etwas hinzu.
Die Übermittlungsregeln: die zusätzliche Ebene
Die DSGVO regelt getrennt, unter welchen Bedingungen personenbezogene Daten das Gebiet der EU oder des EWR verlassen dürfen. Das Grundprinzip ist, dass das Schutzniveau der Daten nicht dadurch verschlechtert werden darf, dass sie in ein anderes Land gehen. Für eine Reihe von Ländern hat die Europäische Kommission festgestellt, dass das Schutzniveau dort ausreichend ist; dies wird als Angemessenheitsbeschluss bezeichnet, und er gilt nicht automatisch für ein ganzes Land, sondern manchmal nur für einen bestimmten Sektor oder eine bestimmte Regelung. Wenn es keinen Angemessenheitsbeschluss gibt, ist ein häufig verwendeter Mechanismus die Standarddatenschutzklauseln, die die Europäische Kommission veröffentlicht: ein etabliertes Muster, das als Ergänzung neben oder als Anlage zum Datenverarbeitungsvertrag verwendet wird. Welche Variante anwendbar ist und ob diese aktuell ist, kann sich ändern; die Fundstelle der aktuellen Listen und Muster finden Sie bei der Europäischen Kommission und bei der Autoriteit Persoonsgegevens, nicht in einem festen Text, den Sie sich merken können.
Die Cloud macht es schwieriger als es scheint
Bei vielen SaaS-Tools scheint die Frage "sitzt mein Anbieter innerhalb der EU" einfacher zu sein, als sie ist. Ein Anbieter kann einen europäischen Hauptsitz haben und dennoch Unterauftragsverarbeiter, Datenzentren für Sicherungen oder Support-Mitarbeiter außerhalb der EU nutzen. Dies zählt auch als Übermittlung, selbst wenn sich der Hauptsitz in den Niederlanden oder Deutschland befindet. Die Frage ist also nicht nur, wo sich der Anbieter befindet, sondern wo die Daten tatsächlich enden, einschließlich der dahinter liegenden Verbindungen.
Was Sie praktisch erfragen können
Ein Anbieter, der seine Angelegenheiten in Ordnung hat, kann normalerweise angeben, wo Daten verarbeitet und gespeichert werden, ob Unterauftragsverarbeiter außerhalb der EU eingesetzt werden und welcher Übermittlungsmechanismus dafür angewendet wurde. Diese Art von Fragen gehört in die gleiche Bewertung wie der Rest des Datenverarbeitungsvertrags: nicht als separate Übung im Nachhinein, sondern als Teil des Lesens der Vereinbarung selbst. Wer hier Struktur sucht, findet in die Wissensdatenbank pro Thema erklärt wie sich die verschiedenen Situationen zueinander verhalten.
Warum die Fundstelle hier besonders wichtig ist
Da sich Listen mit Angemessenheitsbeschlüssen und Musterverträgen im Laufe der Zeit ändern, ist das Risiko einer veralteten Annahme hier größer als bei den meisten anderen DSGVO-Themen. Ein Text, der heute korrekt ist, muss das in einem Jahr nicht mehr sein. Deshalb arbeiten wir bei solchen Themen immer mit einer direkten Verweisung auf die Quelle statt mit einer Zusammenfassung, die für sich allein stehen muss; wie genau das aussieht, lesen Sie unter der Seite darüber, woher unsere Informationen stammen.
Was dies für Ihr Register und Ihre Vereinbarungen bedeutet
Wenn Sie nachverfolgbar machen, welche Lieferanten Sie nutzen und wo diese ansässig sind, sehen Sie auf einen Blick, bei welchen Verträgen mit Auftragsverarbeitern die Regeln zur Datenübermittlung eine Rolle spielen und bei welchen nicht. Das ist genau der Grund, warum das Land der Betriebsstätte ein fester Bestandteil der Art ist, wie wir einen Lieferanten im System erfassen. Häufig gestellte Fragen zu diesem Thema finden Sie unter Häufig gestellte Fragen zu Lieferanten und Daten außerhalb der EU.
Ob für Ihre Situation tatsächlich eine zusätzliche Garantie erforderlich ist und welche, ist letztendlich Ihre Entscheidung oder die Ihres Rechtsanwalts; wir bieten Erläuterungen und Struktur, keine Rechtsberatung. Wenn Sie sich über die Anwendung in einem konkreten Fall unsicher sind, können Sie sich auch an die Autoriteit Persoonsgegevens wenden.
Möchten Sie einen klaren Überblick darüber erhalten, welche Ihrer Lieferanten sich innerhalb und welche außerhalb der EU befinden, und ob es dazu eine Vereinbarung mit den Auftragsverarbeitern mit den richtigen Garantien gibt? Führen Sie die kostenlose Überprüfung einer Vereinbarung mit einem Auftragsverarbeiter durch oder ein Geschäftskonto eröffnen, um es in Ihrem Register zu verwalten.