A. Allgemeine Angaben
B. Angaben zum Unternehmen
I. Angaben zum Datenimporteuer und Datenexporteur
II. Angaben zum Datentransfer
An welche Stellen werden die Daten übermittelt? (z.B. Rechenzentrum, Cloud-Speicher, sonstige Unternehmen)
C. Bewertung der Rechtslage im Drittland (USA)
I. Gesetze und Rechtsprechung mit Relevanz für den Datenschutz (USA)
Anmerkung: Eine der genannten Aussagen trifft zu, daher unterfällt der Konzern FISA 702.
Dies hat zur Folge, dass der amerikanische Generalstaatsanwalt oder die Direktoren der amerikanischen Geheimdienste legitimiert sind, den Zugriff auf Datenbestände anzuordnen, um eine Verfolgung von Personen zu ermöglichen. Dies gilt auch dann, wenn sich die Datenbestände oder Personen im Ausland befinden.
Anmerkung: Die genannte Aussage trifft zu, daher haben Überwachungsbehörden einen ungehinderten Zugriff auf die Daten.
Anmerkung: Die genannte Aussage trifft zu, daher haben US-Behörden auch einen ungehinderten Zugriff auf die Server, die in der EU stehen.
Dies ist unvereinbar mit der DSGVO.
Anmerkung: Die genannte Aussage trifft zu, daher
- müssen die Datenübermittlungen angemeldet werden und
- dürfen nicht ohne Anmeldung beim amerikanischen Handelsministerium übertragen werden.
Anmerkung: Die genannten Aussagen treffen zu, daher findet der California Act Anwendung.
Anmerkung: Die genannten Aussagen treffen zu, daher findet die Health Insurance Portability and Accountability Act (HIPAA) Anwendung.
II. Legale oder tatsächliche Restriktionen
Ein Beispiel kann sein:
Gesetze, die Behörden oder Geheimdiensten den ungehinderten Zugang zu personenbezogenen Daten ermöglichen, ohne das die Möglichkeit besteht dagegen Rechtsmittel einzulegen.
D. Bestehen von geeigneten Garantien
I. Standarddatenschutzklauseln
II. Verbindliche interne Datenschutzvorschriften (binding corperate rules)
III. Sonstige geeignete Garantien nach Art. 44 ff DSGVO
E. Prüfung von Risiken
Welche Risiken ergeben sich für die Gewährleistungsziele Integrität, Vertraulichkeit, Verfügbarkeit, Transparenz und Rechtsdurchsetzbarkeit trotz der geeigneten Garantien?
Risiken können sich zum einen aus der Rechtslage und zum anderen aus fehlenden Schutz bei der Übermittlung in technischer Hinsicht ergeben.
Beispiel: Werden die Betroffenen entsprechend der geltenden Rechtslage über Ihre Rechte informiert?
Beispiel: Haben die Betroffene die Möglichkeit Ihre Rechte ggf. gerichtlich durchzusetzen?
Beispiel: Gefährdung durch Veränderung oder Manipulation des Datenbestands durch einen unbefugten Dritten. Beispiel: Übermittlung der Daten nach Russland -> Gefahr von Hackerangriffen oder „Spionagetrojanern“ erhöht
Beispiel: Gefährdung des Zugriffs/Zugangs/Abrufs der Daten durch Dritte oder mangelnde Fähigkeit die Daten im Falle eines technischen Zwischenfalls wiederherzustellen -> Fehlendes oder fehlerhaftes BackUp nach Serverausfall, fehlerhafte Systembedienung die zur Vernichtung des Datenbestands führt
Beispiel: Gefahr der zufälligen oder unrechtmäßigen Offenbarung von personenbezogenen Daten –> Zugriff durch Geheimdienst, Offenlegung von Daten aufgrund unzureichender Verschlüsselung.
F. Geeignete TOM zur Risikominimierung
Die konkret festgestellten Risiken bei der Datenübermittlung sollten durch entsprechende Gegenmaßnahmen minimiert werden.
Wichtig ist, dass nicht nur eine allgemeine TOM Liste erstellt wird, sondern das erläutert wird, welche Maßnahmen gegen welche Risiken wirken.
Beispiele aus den edpd-Empfehlungen (edpb-Empfehlungen 01/2020, S. 26 ff)
- Verpflichtung des Datenimporteurs zur Ergreifung von Rechtsmitteln bei behördlichen Zugriffen die gegen die DSGVO verstoßen
- Pseudonymisierung vor Übermittlung
- Verschlüsselung bei Transit durch Drittland
- Übermittlung an Datenimporteur der im Drittland besonderen Schutz genießt (z.B. Arzt, Rechtsanwalt, Steuerberater)
- Aufteilung der Daten auf verschiedene Auftragsverarbeiter, so dass eine Rekonstruktion der personenbezogenen Daten im Ganzen nicht möglich ist
Beispiele des Bitkom (Bitkom des AK Datenschutzes)
- Prozessuale Maßnahmen z.B. Externe Zertifikate und Prüfberichte
- Technische Maßnahmen z.B. Pseudonymisierung und Ende-zu-Ende-Verschlüsselung
- Vertragliche Maßnahmen z.B. Regelungen zum Umgang mit Behördenanfragen, Pflicht zur Ergreifung von Rechtsmitteln, Drittbegünstigungsklausel, Vereinbarung von geeigneten Garantien
G. Ergebnis / Risikobewertung
Das Ergebnis sollte umfassen, welche Risiken auch nach Ergreifen der Maßnahmen noch bestehen und wie gravierend diese eingeschätzt werden.
(Beispielsweise „clustern“ in sehr niedrig, niedrig, mittel, hoch, sehr hoch)
Begründung, warum der Verantwortliche einen Datentransfer trotz der bestehenden Risiken für vertretbar erachtet: