Kurzdefinition: Art. 44 DSGVO ist der Grundsatz für den internationalen Datentransfer. Die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation ist nur zulässig, wenn die Bedingungen des Kapitels V der DSGVO eingehalten werden. [N-DSGVO-44]
Der Normwortlaut
Art. 44 DSGVO bestimmt, dass jede Übermittlung an ein Drittland „nur zulässig“ ist, wenn der Verantwortliche und der Auftragsverarbeiter die Bedingungen des Kapitels V einhalten; alle Bestimmungen sind anzuwenden, „um sicherzustellen, dass das durch diese Verordnung gewährleistete Schutzniveau für natürliche Personen nicht untergraben wird“. [N-DSGVO-44]
Wann ist ein Drittlandtransfer zulässig?
Nur unter den Bedingungen des Kapitels V. Art. 44 DSGVO stellt den Grundsatz auf; die Einzelwege ergeben sich aus den Folgeartikeln des Kapitels V: ein Angemessenheitsbeschluss der Kommission (Art. 45), geeignete Garantien wie Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften (Art. 46) oder Ausnahmen für bestimmte Fälle (Art. 49). Ohne eine dieser Grundlagen ist die Übermittlung unzulässig. [N-DSGVO-44]
Was ist ein Drittland?
Ein Staat außerhalb von EU und EWR. Übermittlungen innerhalb des Europäischen Wirtschaftsraums sind keine Drittlandtransfers. Erst wenn Daten diesen Raum verlassen — etwa an einen Cloud-Anbieter in einem Nicht-EWR-Staat —, greifen die Anforderungen des Kapitels V. [N-DSGVO-44]
Warum ist der Grundsatz so streng?
Weil das Schutzniveau nicht unterlaufen werden soll. Art. 44 DSGVO verlangt ausdrücklich, dass das durch die Verordnung gewährleistete Schutzniveau auch bei Übermittlungen und Weiterübermittlungen erhalten bleibt. Der Schutz soll den Daten also über die Grenze folgen. [N-DSGVO-44]
Was ist das Ziel der Kapitel-V-Regeln?
Der Schutz des Datenniveaus. Art. 44 DSGVO stellt klar, dass alle Bestimmungen des Kapitels V anzuwenden sind, um sicherzustellen, dass das durch die Verordnung gewährleistete Schutzniveau für natürliche Personen nicht untergraben wird. Der Datenexport darf den Schutz also nicht aushöhlen. [N-DSGVO-44]
Gilt der Grundsatz auch für Auftragsverarbeiter?
Ja. Art. 44 DSGVO nimmt den Verantwortlichen und den Auftragsverarbeiter gleichermaßen in die Pflicht. Auch eine Übermittlung durch einen Auftragsverarbeiter an ein Drittland ist nur unter den Bedingungen des Kapitels V zulässig. [N-DSGVO-44]
Häufige Fehlannahmen
- „Datenexport ins Ausland ist frei möglich.“ Nein. Er ist nur unter den Bedingungen des Kapitels V zulässig. [N-DSGVO-44]
- „Ein Vertrag mit dem Empfänger genügt immer.“ Nicht automatisch. Es braucht eine tragfähige Grundlage wie Angemessenheitsbeschluss oder geeignete Garantien. [N-DSGVO-44]
- „In die USA darf man gar nicht mehr übermitteln.“ Nicht pauschal. Für nach dem EU-US Data Privacy Framework zertifizierte US-Unternehmen besteht ein Angemessenheitsbeschluss; für nicht zertifizierte Empfänger sind geeignete Garantien nötig. [N-DSGVO-44]
- „Standardvertragsklauseln genügen ohne weitere Prüfung.“ Nicht in jedem Fall. Nach der Schrems-II-Rechtsprechung ist zusätzlich zu prüfen, ob im Empfängerland tatsächlich ein gleichwertiges Schutzniveau gewährleistet ist. [N-DSGVO-44]
- „Übermittlungen innerhalb des EWR sind Drittlandtransfers.“ Nein. Erst außerhalb von EU und EWR greift Art. 44 DSGVO. [N-DSGVO-44]
Was die Geschäftsleitung tun sollte
- Datenflüsse kennen. Übermittlungen in Drittländer im Verzeichnis erfassen.
- Transfergrundlage sichern. Angemessenheitsbeschluss, geeignete Garantien oder eine einschlägige Ausnahme nach Kapitel V nachweisen.
- Dienstleister prüfen. Auch Cloud- und Subdienstleister auf Drittlandbezug prüfen.
- Schutzniveau wahren. Zusätzliche Maßnahmen einsetzen, wo nötig.
Für die Geschäftsleitung
Art. 44 DSGVO zieht eine klare Linie: Daten dürfen den EWR nur verlassen, wenn das durch die DSGVO gewährleistete Schutzniveau nicht untergraben wird. Für Unternehmen ist das im Cloud-Zeitalter zentral. Wer seine Datenflüsse kennt und für jede Übermittlung eine tragfähige Grundlage nachweist, schafft eine belastbare Grundlage für den internationalen Transfer.
Quellen
- [N-DSGVO-44] Art. 44 DSGVO (Allgemeine Grundsätze der Datenübermittlung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
