Was ist ein Transfer Impact Assessment (TIA)?
Ein Transfer Impact Assessment (TIA) ist die dokumentierte, transferbezogene Einzelfallbewertung, ob ein Drittlandtransfer unter dem gewählten Instrument ein im Wesentlichen gleichwertiges Schutzniveau gewährleisten kann und erforderlichenfalls wirksame ergänzende Maßnahmen bestehen.
Auslegung: Die DSGVO legaldefiniert weder den Ausdruck „TIA“ noch eine eigenständige Prüfungsart dieses Namens. Die Bewertung wird aus Kapitel V DSGVO, der Rechtsprechung, den Standardvertragsklauseln und den Empfehlungen des Europäischen Datenschutzausschusses abgeleitet. Sie betrifft Datenexporteure und bei Standardvertragsklauseln insbesondere deren Parteien bei geplanten oder fortgesetzten Drittlandübermittlungen.
Der Normwortlaut
Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach der Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden; dies gilt auch für die etwaige Weiterübermittlung personenbezogener Daten aus dem Drittland oder der internationalen Organisation an ein anderes Drittland oder eine andere internationale Organisation. Alle Bestimmungen dieses Kapitels sind anzuwenden, um sicherzustellen, dass das durch diese Verordnung gewährleistete Schutzniveau für natürliche Personen nicht untergraben wird.
Normtext: Artikel 44 DSGVO in der amtlichen Fassung. Die Vorschrift enthält keine eigenständige TIA-Frist, macht aber jede erfasste Übermittlung einschließlich einer Weiterübermittlung davon abhängig, dass Verantwortlicher und Auftragsverarbeiter Kapitel V und die sonstigen Bestimmungen der DSGVO einhalten. Amtlicher Wortlaut der DSGVO
Wann ist eine TIA relevant?
Auslegung: Die Einzelfallprüfung ist vor allem bei geeigneten Garantien nach Artikel 46 DSGVO relevant, insbesondere beim Einsatz von Standardvertragsklauseln. Zu prüfen sind das Transferinstrument, die konkreten Übermittlungsumstände, Daten und Zwecke, die Übermittlungskette, Empfänger und Zugriffsmöglichkeiten sowie Recht und Praxis des Bestimmungslands. Ein einschlägiger Angemessenheitsbeschluss nach Artikel 45 verdrängt diese Artikel-46-Prüfung für den von ihm erfassten Transfer. Artikel 49 bildet ein gesondertes Ausnahmeverfahren.
Was müssen Parteien von Standardvertragsklauseln prüfen?
Vertragliche Primärregel: Nach Klausel 14 müssen die Parteien bei Vereinbarung der Klauseln bewerten und dokumentieren, ob sie Grund zu der Annahme haben, dass Recht und Praxis des Bestimmungslands den Datenimporteur an der Erfüllung der Klauseln hindern. Einzubeziehen sind die besonderen Umstände der Übermittlung, die einschlägigen Gesetze und Praktiken sowie relevante vertragliche, technische und organisatorische Garantien. Die Dokumentation ist der zuständigen Aufsichtsbehörde auf Verlangen vorzulegen.
Wann muss neu bewertet oder ausgesetzt werden?
Vertragliche Primärregel: Der Datenimporteur muss den Exporteur während der Vertragsdauer unverzüglich informieren, wenn er Grund zu der Annahme hat, dass für ihn Rechtsvorschriften oder Gepflogenheiten gelten oder gelten werden, die nicht mit den Anforderungen nach Klausel 14 Buchstabe a im Einklang stehen. Nach einer solchen Mitteilung oder wenn der Exporteur anderweitig Grund zu der Annahme hat, dass der Importeur seine Pflichten aus den Klauseln nicht mehr erfüllen kann, muss der Exporteur unverzüglich geeignete Maßnahmen ermitteln, um die Situation zu beheben. Ist er der Auffassung, dass keine geeigneten Garantien gewährleistet werden können, oder weist ihn die zuständige Aufsichtsbehörde entsprechend an, muss er die Übermittlung aussetzen. In diesem Fall ist er berechtigt, den Vertrag zu kündigen, soweit die Verarbeitung personenbezogener Daten gemäß den Klauseln betroffen ist; beabsichtigt er trotz der Nichtkonformität, die Übermittlung fortzusetzen, muss er die zuständige Aufsichtsbehörde unterrichten.
Weitere Vertragsfolgen: Kann der Datenimporteur die Klauseln aus irgendeinem Grund nicht einhalten, muss er den Exporteur unverzüglich informieren. Der Exporteur muss die Übermittlung aussetzen, bis die Einhaltung wieder gewährleistet ist oder der Vertrag beendet wird. Er ist insbesondere zur Kündigung berechtigt, wenn die Einhaltung nach einer Aussetzung nicht innerhalb einer angemessenen Frist und spätestens innerhalb eines Monats wiederhergestellt ist, der Importeur erheblich oder fortdauernd gegen die Klauseln verstößt oder eine bindende Entscheidung eines zuständigen Gerichts oder einer zuständigen Aufsichtsbehörde zu seinen Pflichten aus den Klauseln nicht befolgt.
Welche Ausnahmen und Grenzen gelten?
Normative Abgrenzung: Artikel 45 erlaubt eine von einem einschlägigen Angemessenheitsbeschluss erfasste Übermittlung ohne besondere Genehmigung. Artikel 49 ist nur anwendbar, wenn weder ein Angemessenheitsbeschluss noch geeignete Garantien einschließlich verbindlicher interner Datenschutzvorschriften bestehen und die Voraussetzungen der jeweiligen Ausnahme erfüllt sind. Die Ausnahme für zwingende berechtigte Interessen setzt unter anderem voraus, dass die Übermittlung zur Wahrung zwingender berechtigter Interessen des Verantwortlichen erforderlich ist, nicht wiederholt erfolgt und nur eine begrenzte Zahl betroffener Personen betrifft; die Interessen dürfen nicht von den Interessen oder Rechten und Freiheiten der betroffenen Personen überwogen werden. Ein positives TIA ist weder eine behördliche Genehmigung noch eine dauerhafte Freigabe.
Welche Fristen oder Schwellenwerte gelten für eine TIA?
Die DSGVO nennt keine allgemeine TIA-Frist, keine feste Prüffrequenz und keinen numerischen Schwellenwert. Bei Standardvertragsklauseln ist die Bewertung bei Vereinbarung der Klauseln vorzunehmen und zu dokumentieren. Relevante Änderungen von Recht, Praxis oder Transferumständen lösen eine Neubewertung und gegebenenfalls die Aussetzung aus.
Wie sind ergänzende Maßnahmen technisch zu bewerten?
Behördenpraxis: Datenflüsse, Empfänger, Speicherorte und Zugriffsmöglichkeiten müssen konkret abgebildet werden. Vertragliche, organisatorische oder technische Zusatzmaßnahmen sind nur geeignet, wenn sie das festgestellte Defizit tatsächlich schließen. Verschlüsselung genügt nicht pauschal: Entscheidend sind unter anderem ihre Stärke, die Kontrolle über die Schlüssel und ein möglicher Klartextzugriff. Die EDSA-Empfehlungen verlangen eine fallbezogene Wirksamkeitsprüfung und keine starre Regel, nach der Schlüssel stets im EU- oder EWR-Raum liegen müssten.
Wie unterscheidet sich die TIA von einer Datenschutz-Folgenabschätzung?
Eine TIA bewertet eine konkrete Drittlandübermittlung und die Wirksamkeit ihres Transferinstruments. Eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO beurteilt dagegen voraussichtlich hohe Risiken einer Verarbeitung für die Rechte und Freiheiten natürlicher Personen. Beide Prüfungen können denselben Verarbeitungsvorgang betreffen, ersetzen einander aber nicht.
Häufige Fehlannahmen
- „Die DSGVO schreibt ein Formular namens TIA vor.“ Nein. Der Begriff ist nicht legaldefiniert; bei Garantien nach Artikel 46, insbesondere Standardvertragsklauseln, ist die erforderliche transferbezogene Bewertung inhaltlich und nachvollziehbar zu dokumentieren.
- „Jeder Drittlandtransfer benötigt dieselbe TIA.“ Nein. Ein einschlägiger Angemessenheitsbeschluss, Garantien nach Artikel 46 und Ausnahmen nach Artikel 49 sind getrennte Regime mit unterschiedlichen Voraussetzungen.
- „Ein positives Ergebnis genehmigt den Transfer dauerhaft.“ Nein. Es ist weder eine behördliche Genehmigung noch eine dauerhafte Freigabe; relevante Änderungen können eine Neubewertung und Aussetzung auslösen.
- „Verschlüsselung löst jedes Drittlandrisiko.“ Nein. Sie ist nur wirksam, wenn sie das konkrete Defizit schließt; Stärke, Schlüsselkontrolle und Klartextzugriff sind fallbezogen zu prüfen.
- „Eine TIA ist dasselbe wie eine DSFA.“ Nein. Die TIA betrifft den Drittlandtransfer, die DSFA die hohen Risiken einer Verarbeitung nach Artikel 35 DSGVO.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind Governance-Empfehlungen und keine zusätzliche gesetzliche TIA-Formpflicht.
- Drittlandtransfers und Weiterübermittlungen mit Empfängern, Datenflüssen, Zwecken, Speicherorten und Zugriffsmöglichkeiten inventarisieren.
- Für jeden Transfer das einschlägige Regime und Instrument bestimmen und dessen Bedingungen nachvollziehbar dokumentieren.
- Einzelfallbewertung, Quellen, ergänzende Maßnahmen und Freigabeentscheidung verbindlich festhalten.
- Änderungen beim Bestimmungsland, Dienstleister, Instrument und Datenfluss anlassbezogen überwachen und Neubewertungen auslösen.
- Für nicht behebbare Schutzlücken die Nichtaufnahme, Aussetzung oder Beendigung des Transfers sowie alternative Verarbeitungsvorgänge vorsehen.
Für die Geschäftsleitung
Die TIA gehört vor allem zur Steuerung von Artikel-46-Transfers und ist keine pauschale Prüfung für jedes Drittlandszenario. Die Leitung sollte eine transferbezogene Entscheidung mit klarer Instrumentenwahl, erforderlichenfalls wirksamen Zusatzmaßnahmen und dokumentierter Freigabe verlangen. Der Nachweis muss die tatsächlichen Umstände und Quellen abbilden; relevante Änderungen müssen zur Neubewertung führen, nicht behebbare Schutzlücken zur Nichtaufnahme, Aussetzung oder Beendigung.
Quellen
- EUR-Lex: Datenschutz-Grundverordnung, insbesondere Artikel 35 und 44 bis 49
- EUR-Lex: Durchführungsbeschluss (EU) 2021/914, Anhang, insbesondere Klauseln 14 und 16
- Gerichtshof der Europäischen Union: Urteil C-311/18 vom 16. Juli 2020, insbesondere Randnummern 126 und 133 bis 135
- Europäischer Datenschutzausschuss: Empfehlungen 01/2020, Version 2.0, insbesondere Randnummern 6, 14 bis 49 und 79 bis 97 sowie Anhang 2
