Übermittlung personenbezogener Daten ins Ausland und rechtliche Anforderungen

Eingang

Die Übermittlung personenbezogener Daten ins Ausland zählt zu den wichtigsten rechtlichen Fragestellungen in der digitalisierten Geschäftswelt. Viele Unternehmen nutzen heute E-Mail-Infrastruktur, CRM-Systeme, Cloud-Speicherdienste, Personalverwaltungssoftware, Buchhaltungsprogramme, Live-Support-Tools, Werbe- und Analysetechnologien, Zahlungssysteme oder Kundenmanagement-Panels über ausländische Dienstleister. Daher kann es vorkommen, dass ein in der Türkei ansässiges Unternehmen personenbezogene Daten ins Ausland übermittelt, selbst ohne es zu wissen.

Die Nutzung von Google Workspace, Microsoft 365, AWS, Meta Pixel, Google Analytics, HubSpot, Salesforce, Mailchimp, Zoom, Slack, ausländischen Hosting-Anbietern, internationalen Zahlungsinstituten oder ausländischer Personalmanagement-Software kann beispielsweise die Frage der Übermittlung personenbezogener Daten ins Ausland aufwerfen. Ebenso kann es als Datenübermittlung ins Ausland gelten, wenn ein türkisches Unternehmen Mitarbeiterdaten an seine ausländische Muttergesellschaft sendet, Kundendaten auf einem ausländischen Server speichert, Bestellinformationen von E-Commerce-Kunden in einem ausländischen CRM-System verarbeitet oder Werbe-Cookies von Drittanbietern auf seiner Website verwendet.

In der Türkei ist die Übermittlung personenbezogener Daten ins Ausland in Artikel 9 des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten geregelt. Das Gesetz Nr. 7499, veröffentlicht im Amtsblatt am 12. März 2024, nahm wesentliche Änderungen an Artikel 9 vor, die am 1. Juni 2024 in Kraft traten. Mit diesen Änderungen wurden neue, geeignete Schutzmaßnahmen, wie Standardverträge und verbindliche Unternehmensregeln, für Datenübermittlungen ins Ausland eingeführt.

Daher reicht es bei der Bewertung von Datenübermittlungen ins Ausland nicht mehr aus, wie bisher üblich, lediglich anzugeben, dass eine ausdrückliche Einwilligung vorliege. Nach dem neuen System muss die Übermittlung schrittweise geprüft werden: Zunächst ist der allgemeine Erfordernis der Datenverarbeitung zu bewerten, anschließend erfolgt eine Entscheidung über die Angemessenheit, geeignete Zusicherungen oder Ausnahmen für gelegentliche Übermittlungen.

Was versteht man unter der Übermittlung personenbezogener Daten ins Ausland?

Unter der Übermittlung personenbezogener Daten ins Ausland versteht man die Übermittlung, den Zugriff oder die technische Verarbeitung von personenbezogenen Daten, die sich in der Türkei befinden, an eine natürliche oder juristische Person, einen Verantwortlichen für die Datenverarbeitung, einen Auftragsverarbeiter, einen Server, einen Cloud-Service-Anbieter, ein Konzernunternehmen, eine Softwareplattform oder eine internationale Organisation mit Sitz im Ausland.

Datentransfer erfolgt nicht immer durch aktives Versenden von E-Mails. Auch die Speicherung personenbezogener Daten auf Servern im Ausland, der Fernzugriff eines ausländischen Dienstleisters auf Daten in der Türkei, die Übermittlung von Nutzerinformationen an ausländische Werbeplattformen über Website-Cookies, die Eingabe von Kundendaten in ausländische CRM-Software oder der Zugriff eines Konzernunternehmens im Ausland auf Mitarbeiterdaten können als Datentransfer ins Ausland gelten.

An diesem Punkt reicht die Vorgehensweise von Datenverantwortlichen, wie etwa „Wir geben die Daten in der Türkei ein“ oder „Wir wissen nicht, wo sich der Server befindet“, nicht mehr aus. Der Datenfluss der verwendeten Software, Cloud-Infrastruktur, Werbetechnologie, des E-Mail-Dienstes, des Kundenverwaltungssystems und der Zahlungsinfrastruktur muss technisch geprüft werden. Denn aus Sicht des Datenschutzgesetzes ist entscheidend, ob die personenbezogenen Daten tatsächlich an einen Empfänger im Ausland übermittelt werden oder ob sie von dort aus zugänglich werden.

Die neue Datenübertragungsregelung in Artikel 9 des KVKK (Gesetz zum Schutz personenbezogener Daten)

Nach der Änderung von Artikel 9 des französischen Datenschutzgesetzes (KVKK) wurde ein gestaffeltes Verfahren für die Übermittlung personenbezogener Daten ins Ausland eingeführt. Laut der Datenschutzbehörde umfasst dieses System im Allgemeinen drei Stufen: Einholung eines Zuständigkeitsbeschlusses bezüglich des Landes, des Sektors oder der internationalen Organisation, an die die Daten übermittelt werden sollen; falls kein Zuständigkeitsbeschluss vorliegt, Bereitstellung einer der im Gesetz vorgesehenen geeigneten Garantien; und falls auch dies nicht möglich ist, sind Ausnahmeübermittlungen nur in begrenzten und zufälligen Fällen zulässig.

Bevor jedoch mit diesen drei Schritten fortgefahren wird, muss eine grundlegende Voraussetzung beachtet werden: Die Übermittlung personenbezogener Daten ins Ausland stellt ebenfalls eine Datenverarbeitung dar. Daher muss zunächst eine Datenverarbeitungsbedingung gemäß Artikel 5 des französischen Datenschutzgesetzes (KVKK) oder, im Falle besonderer Kategorien personenbezogener Daten, gemäß Artikel 6 KVKK erfüllt sein. Mit anderen Worten: Die Übermittlung muss nicht nur nach Artikel 9, sondern auch nach den allgemeinen Datenschutzbestimmungen rechtmäßig sein.

Beispielsweise kann die Übermittlung von Bestelldaten eines E-Commerce-Kunden an ein ausländisches Frachtintegrationssystem zur Vertragserfüllung erforderlich sein. Die Übermittlung von Gehaltsdaten eines Mitarbeiters an die ausländische Muttergesellschaft zu Berichtszwecken ist gesondert im Hinblick auf berechtigte Interessen oder vertragliche Verpflichtungen zu prüfen. Handelt es sich um besondere Kategorien personenbezogener Daten wie Gesundheitsdaten, biometrische Daten oder Daten zu strafrechtlichen Verurteilungen, sind die strengeren Bestimmungen des Artikels 6 des KVKK (französisches Datenschutzgesetz) zu beachten.

Erste Methode: Erhalt einer Entscheidung über die Anspruchsberechtigung

Die erste Phase der neuen Regelung ist der Angemessenheitsbeschluss. Gemäß Artikel 9 des Gesetzes zum Schutz personenbezogener Daten dürfen personenbezogene Daten ins Ausland übermittelt werden, wenn eine der in den Artikeln 5 und 6 des Gesetzes genannten Verarbeitungsbedingungen erfüllt ist und ein Angemessenheitsbeschluss für das Land, die Sektoren innerhalb dieses Landes oder die internationale Organisation vorliegt, an die die Daten übermittelt werden sollen.

Der Angemessenheitsbeschluss ist eine Entscheidung des Vorstands, die besagt, dass das Land oder der Sektor, in den die Daten übermittelt werden sollen, ein angemessenes Schutzniveau für personenbezogene Daten bietet. Dieser Beschluss bietet Datenverantwortlichen einen praktischen Vorteil. Denn bei einer Übermittlung in ein Land mit einem Angemessenheitsbeschluss sind Mechanismen wie Standardverträge, verbindliche Unternehmensregeln oder die Zustimmung des Vorstands unter Umständen nicht erforderlich.

Die Webseite der Datenschutzbehörde zu Datentransfers ins Ausland gibt jedoch an, dass die Behörde noch keine Entscheidung über Länder getroffen hat, in denen ein angemessenes Datenschutzniveau besteht. Daher ist es derzeit für viele Unternehmen in der Praxis nicht möglich, Daten auf Grundlage eines Angemessenheitsbeschlusses zu übermitteln; Übermittlungen müssen in der Regel anhand geeigneter Garantien oder eng begrenzter Ausnahmen bewertet werden.

Zweite Option: Angemessene Garantien

Liegt kein Angemessenheitsbeschluss vor, müssen geeignete Garantien für die Übermittlung personenbezogener Daten ins Ausland getroffen werden. Eine geeignete Garantie ist ein Rechtsmechanismus, der sicherstellt, dass die betroffene Person ihre Rechte im Empfangsland ausüben und wirksame Rechtsbehelfe in Anspruch nehmen kann, auch wenn kein Angemessenheitsbeschluss vorliegt.

Gemäß Artikel 9 des philippinischen Datenschutzgesetzes (KVKK) zählen zu den geeigneten Schutzmaßnahmen Vereinbarungen zwischen öffentlichen Einrichtungen oder internationalen Organisationen, die nicht den Charakter internationaler Verträge haben, die Zustimmung des Vorstands, verbindliche Unternehmensregeln, Standardverträge und schriftliche Verpflichtungserklärungen mit Bestimmungen zur Gewährleistung eines angemessenen Schutzes, die ebenfalls die Zustimmung des Vorstands erfordern. Die Stellungnahmen der Behörde deuten darauf hin, dass diese Methoden als Mechanismen herangezogen werden können, wenn kein Angemessenheitsbeschluss vorliegt.

Angemessene Sicherungsmethoden sind in der Praxis, insbesondere für Unternehmen, von großer Bedeutung. Dies liegt daran, dass Unternehmen, die ausländische Cloud-Dienste, CRM-Software, Personalmanagement-Plattformen, globale Konzerngesellschaften, internationale Zahlungsinstitute oder ausländische technische Supportdienste nutzen, sich bei regelmäßigen und fortlaufenden Überweisungen oft nicht auf Ausnahmen für „zufällige Überweisungen“ berufen können. Diese Unternehmen müssen geeignete Sicherungsinstrumente wie Standardverträge, verbindliche Unternehmensregeln oder Verpflichtungserklärungen prüfen.

Standardverträge

Eine der praktischsten Methoden des neuen Übertragungsregimes sind Standardverträge. Standardverträge sind vom Datenschutzrat veröffentlichte Texte, die für die Übermittlung personenbezogener Daten ins Ausland verwendet werden können. Mit dem Beschluss des Rates vom 04.06.2024 mit der Nummer 2024/959 wurden Standardvertragstexte, verbindliche Unternehmensregeln, Antragsformulare und Leitfäden verabschiedet und auf der Website des Rates veröffentlicht.

Die Institution hat vier verschiedene Standardvertragsmodelle erstellt: für Datenübermittlungen zwischen Datenverantwortlichen, zwischen Datenverantwortlichen und Datenverarbeitern, zwischen Datenverarbeitern und zwischen Datenverarbeitern und Datenverantwortlichen. Diese Unterscheidung ist von entscheidender Bedeutung, da bei einer fehlerhaften Bestimmung des Rechtsstatus der an der Übermittlung beteiligten Parteien der falsche Standardvertrag zum Einsatz kommt. Die vier Vertragstypen sind auch auf der Seite „Standardverträge“ der Institution aufgeführt.

Wenn beispielsweise ein türkisches E-Commerce-Unternehmen Kundendaten an einen CRM-Anbieter im Ausland übermittelt, kann dies in den meisten Fällen als Übermittlung von einem Verantwortlichen an einen Auftragsverarbeiter gelten. Übermittelt ein türkisches Unternehmen hingegen Kundendaten an einen unabhängigen Geschäftspartner im Ausland zur Verarbeitung für eigene Zwecke, so kann dies als Übermittlung von einem Verantwortlichen an einen anderen gelten. Und übermittelt ein Dienstleister, der als Auftragsverarbeiter fungiert, Daten an einen Unterauftragnehmer, so kann dies als Übermittlung von einem Auftragsverarbeiter an einen anderen gelten.

Einer der wichtigsten Aspekte von Standardverträgen ist, dass sie die Datenübertragung ohne gesonderte Genehmigung der Behörde ermöglichen. Die Unterzeichnung eines Standardvertrags allein genügt jedoch nicht. Gemäß Artikel 9 des Datenschutzgesetzes muss der Standardvertrag der Behörde innerhalb von fünf Werktagen nach seiner Unterzeichnung gemeldet werden. Um diese Meldung zu beschleunigen, hat die Behörde das Standardvertrags-Meldemodul bereitgestellt.

Zu beachtende Punkte bei Standardverträgen

Einer der häufigsten Fehler bei der Erstellung eines Standardvertrags ist die Annahme, dass die Verpflichtung mit der Unterzeichnung vollständig endet. Damit ein Standardvertrag jedoch gültig ist, muss er erstellt, von den richtigen Parteien unterzeichnet und deren Befugnisse dokumentiert sein. Außerdem muss er innerhalb der vorgegebenen Frist der zuständigen Institution gemeldet werden.

Die jüngste Bekanntmachung der Datenschutzbehörde zu den in Standardverträgen zu berücksichtigenden Punkten besagt, dass Standardverträge von den Übertragungsparteien oder von Personen, die befugt sind, sie zu vertreten und in ihrem Namen zu unterzeichnen, unterzeichnet werden müssen; dass der Vertrag ungültig ist, wenn eine gültige Unterschrift fehlt; dass Unterschriften auch dann auf dem türkischen Text vorhanden sein müssen, wenn der Vertrag in einer Fremdsprache abgeschlossen wurde; und dass der Behörde Dokumente vorgelegt werden müssen, die die Unterzeichnungsbefugnis nachweisen.

Unternehmen sollten daher den Standardvertragsprozess nicht als bloßes „Unterzeichnen von Formularen“ betrachten. Es ist entscheidend, die Übertragungsparteien korrekt zu identifizieren, Datenkategorien genau zu definieren, die Übertragungszwecke zu konkretisieren, sicherzustellen, dass die technischen und administrativen Maßnahmen der tatsächlichen Situation entsprechen, zusätzliche Maßnahmen für besondere Datenkategorien festzulegen und die fünftägige Benachrichtigungsfrist nicht zu versäumen.

Auch bei Verwendung eines Standardvertrags bleibt der Verantwortliche für die Datenverarbeitung seinen allgemeinen Pflichten gemäß DSGVO treu. Der Informationstext muss aktualisiert, das Datenverzeichnis überarbeitet, ausländische Empfänger und Übermittlungszwecke klar angegeben, die Datenverarbeitungsbeziehung mit Drittanbietern gesondert geregelt und Sicherheitsmaßnahmen getroffen werden.

Verbindliche Unternehmensregeln

Verbindliche Unternehmensregeln sind ein wichtiges Instrument für den Datentransfer ins Ausland, insbesondere für multinationale Konzerne. Bei einem regelmäßigen und systematischen Austausch personenbezogener Daten zwischen Konzerngesellschaften in verschiedenen Ländern ist es unter Umständen nicht praktikabel, für jeden einzelnen Transfer separate Standardvereinbarungen zu erstellen. In diesem Fall kann die Einführung konzernweiter, verbindlicher Unternehmensregeln sinnvoll sein.

Laut der Erklärung der Behörde handelt es sich bei verbindlichen Unternehmensregeln um Datenschutzvorschriften für die Übermittlung personenbezogener Daten ins Ausland durch multinationale Konzerne, die in Ländern tätig sind, in denen kein angemessenes Datenschutzniveau gewährleistet ist. Diese Vorschriften stellen sicher, dass ein angemessenes Datenschutzniveau schriftlich festgehalten wird. Unternehmen, die unter diese Regelung fallen, müssen sich bei der Behörde bewerben, indem sie das entsprechende Formular ausfüllen.

Verbindliche Unternehmensregeln sind ein wirksames Instrument zur Einhaltung von Vorschriften für Holdinggesellschaften, die Daten innerhalb von Konzernen übertragen, für internationale Unternehmen, multinationale Technologieunternehmen, Unternehmen mit globalem Personalmanagement und Unternehmen mit internationalen Kundendatenbanken. Dieses Verfahren ist jedoch umfassender als ein Standardvertrag, da es Vorbereitung, interne Richtlinien, Audits, die Ausübung von Rechten, Rechenschaftspflicht, einen Beschwerdemechanismus und die Zustimmung des Aufsichtsrats erfordert.

Verpflichtungserklärung und Zustimmung des Vorstands

Eine geeignete Schutzmaßnahme ist eine schriftliche Verpflichtungserklärung, die Bestimmungen zur Gewährleistung eines angemessenen Schutzes und die Zustimmung des Vorstands enthält. Diese Methode kann in Situationen relevant sein, in denen kein Standardvertrag verfügbar ist oder die Parteien aufgrund der besonderen Art der Übertragung eine separate Verpflichtungserklärung aufsetzen müssen.

Die Erklärung der Behörde zum Datentransfer ins Ausland weist darauf hin, dass aufgrund sektorspezifischer oder regionaler Erfordernisse, die einen Transfer über Standardvereinbarungen verhindern, ein Transfer nur dann erfolgen kann, wenn die beteiligten Parteien dem Vorstand eine Verpflichtungserklärung mit ihren Zusagen zum Schutz personenbezogener Daten zur Genehmigung vorlegen.

Da die Verpflichtungserklärung der Genehmigung durch den Vorstand bedarf, ist das Verfahren im Vergleich zu Standardverträgen länger und aufwendiger. Der Antrag muss die Befugnisse der Parteien, die Datenkategorien, den Übermittlungszweck, das Empfängerland, die technischen und administrativen Maßnahmen, die Rechte der betroffenen Person, die Antragsmechanismen und die Sicherheitsmaßnahmen klar darlegen. Während Verpflichtungserklärungen im alten System zu den wichtigsten Instrumenten zählten, hat die Einführung von Standardverträgen im neuen System diesen Aufwand in der Praxis deutlich reduziert.

Fälle versehentlicher Übertragung

Sofern kein Angemessenheitsbeschluss gefasst und keine geeigneten Garantien gegeben sind, ist die Übermittlung personenbezogener Daten ins Ausland nur in Ausnahmefällen und unter bestimmten Umständen möglich. Der Begriff „unter bestimmten Umständen“ ist hierbei von entscheidender Bedeutung. Diese Ausnahmen gelten nicht für regelmäßige, kontinuierliche, systematische und wiederholte Datenübermittlungen.

Laut der Erklärung der Behörde sind punktuelle Übermittlungen nur zulässig, wenn einer der in Gesetz und Verordnung aufgeführten Ausnahmefälle vorliegt. Zu diesen Ausnahmefällen zählen: die ausdrückliche Einwilligung der betroffenen Person nach Aufklärung über die potenziellen Risiken; die Notwendigkeit der Übermittlung zur Vertragserfüllung; die Notwendigkeit der Übermittlung für den Abschluss oder die Erfüllung eines im Interesse der betroffenen Person zu tätigenden Vertrags; ein überwiegendes öffentliches Interesse; die Notwendigkeit zur Geltendmachung oder zum Schutz eines Rechts; der Schutz von Leben oder körperlicher Unversehrtheit im Falle faktischer Unmöglichkeit; und die Übermittlung aus einem öffentlichen Register unter bestimmten Bedingungen. Die Behörde weist zudem darauf hin, dass diese Ausnahmen eng auszulegen sind.

Daher ist es oft riskant, sich bei ausländischen Cloud-Diensten, CRM-Software, E-Mail-Infrastruktur, Werbepixeln oder Personalmanagement-Plattformen, die Unternehmen regelmäßig nutzen, auf die Ausnahme der „Einholung der ausdrücklichen Einwilligung der betroffenen Person“ zu berufen. Im Rahmen der neuen Regelung ist die ausdrückliche Einwilligung keine allgemeine Lösung mehr, insbesondere nicht für regelmäßige Datenübermittlungen; sie ist zu einem begrenzten Mechanismus geworden, der in Ausnahmefällen und unter bestimmten Voraussetzungen Anwendung finden kann, sofern die betroffene Person über die potenziellen Risiken aufgeklärt wird.

Auslandsüberweisung mit ausdrücklicher Zustimmung

Die ausdrückliche Einwilligung für Datenübermittlungen ins Ausland ist nicht vollständig abgeschafft. Ihr Status hat sich jedoch im Rahmen der neuen Regelung geändert. Früher versuchten Unternehmen häufig, Datenübermittlungen ins Ausland mit ausdrücklicher Einwilligung abzuwickeln. Im neuen System ist die ausdrückliche Einwilligung nur noch in Ausnahmefällen erforderlich, wenn keine ausreichenden Schutzmaßnahmen vorhanden sind und die Übermittlung unbeabsichtigt erfolgt.

Damit eine ausdrückliche Einwilligung gültig ist, muss die betroffene Person über die potenziellen Risiken der Datenübermittlung aufgeklärt werden. Darüber hinaus muss die Einwilligung spezifisch, informiert und freiwillig erfolgen. Allgemeine und abstrakte Aussagen wie „Ich bin mit der Übermittlung meiner personenbezogenen Daten ins Ausland einverstanden“ genügen nicht. Es sollte so konkret wie möglich angegeben werden, welche Daten in welches Land, an welchen Empfänger und zu welchem ​​Zweck übermittelt werden.

Die ausdrückliche Einwilligung als Voraussetzung für die Nutzung einer Dienstleistung zu machen, insbesondere bei internationalen Datenübermittlungen, die für die Erbringung der Dienstleistung nicht zwingend erforderlich sind, kann Fragen zur Willensfreiheit aufwerfen. Wird beispielsweise einer Person der Zugang zu einer Website verweigert, ohne dass sie der Verwendung von Werbe-Cookies ausdrücklich zugestimmt hat, ist fraglich, ob diese Einwilligung freiwillig erteilt wurde. Daher muss der Mechanismus zur ausdrücklichen Einwilligung sorgfältig gestaltet werden.

Analysen, die Unternehmen beim Export von Waren ins Ausland durchführen müssen

Unternehmen, die feststellen möchten, ob sie Daten ins Ausland übermitteln, sollten zunächst eine Datenlandkarte und ein Dateninventar erstellen. Sie müssen Fragen beantworten wie: Welche personenbezogenen Daten werden erhoben, wo werden sie gespeichert, welche Dienstleister werden eingesetzt, wo befinden sich die Server, wer hat Zugriff auf die Daten, welche Konzerngesellschaften erhalten die Daten, welche Cookies werden verwendet und welche ausländischen Plattformen empfangen die Daten?.

Im zweiten Schritt muss der Status der Parteien geklärt werden. Handelt es sich bei dem Unternehmen in der Türkei um einen Verantwortlichen oder einen Auftragsverarbeiter? Ist der Empfänger im Ausland ebenfalls ein Verantwortlicher oder ein Auftragsverarbeiter? Erfolgt die Übermittlung von einem Verantwortlichen an einen Auftragsverarbeiter, von einem Verantwortlichen an einen anderen oder von einem Auftragsverarbeiter an einen Unterauftragsverarbeiter? Diese Klärung hat direkten Einfluss darauf, welcher Standardvertrag Anwendung findet.

Im dritten Schritt ist die Kontinuität der Übermittlung zu prüfen. Erfolgt die Übermittlung regelmäßig und systematisch oder ist sie lediglich zufällig? Ein täglich laufendes CRM-System, ein permanent aktiver Werbe-Cookie oder regelmäßige Cloud-Backups gelten nicht als zufällig. Die Übermittlung bestimmter Dokumente an ein ausländisches Gericht in einem Ausnahmefall oder eine einmalige Transaktion auf Wunsch der betroffenen Person hingegen können als zufällige Übermittlung gelten.

Im vierten Schritt ist ein geeigneter Übertragungsmechanismus auszuwählen. Liegt keine Entscheidung über die Übertragungsberechtigung vor und handelt es sich um eine reguläre Übertragung, ist der Standardvertrag für die meisten Unternehmen die praktikabelste Option. Bei konzerninternen Übertragungen innerhalb multinationaler Unternehmen können verbindliche Unternehmensrichtlinien in Betracht gezogen werden. In Ausnahmefällen können eine Verpflichtungserklärung und die Zustimmung des Aufsichtsrats erforderlich sein. Einzelfälle sind eng auszulegen und sollten nicht als allgemeine Lösung für kontinuierliche Übertragungen herangezogen werden.

Websites, Cookies und Datentransfer ins Ausland

Wenn es um die Übermittlung von Daten ins Ausland geht, denken die meisten Unternehmen nur an Verträge oder Kundendatenbanken. Cookies und Drittanbieter-Tools, die auf Websites verwendet werden, können jedoch ebenfalls zu einer Datenübertragung ins Ausland führen.

Beispielsweise können Google Analytics, Meta Pixel, TikTok Pixel, LinkedIn Insight Tag, ausländische Live-Support-Software, Kartendienste, Video-Einbettungstools oder Werbenetzwerke IP-Adressen, Geräteinformationen, Verhaltensdaten oder Cookie-IDs von Nutzern an Empfänger im Ausland übermitteln. In diesem Fall müssen sowohl die Pflicht zur Einholung einer ausdrücklichen Einwilligung und die Information über Cookies als auch die Bedingungen für die Datenübermittlung ins Ausland gemeinsam betrachtet werden.

Die bloße Angabe „Wir haben eine Cookie-Richtlinie“ auf einer Website reicht nicht aus. Es ist unerlässlich, technisch zu kennzeichnen, welche Cookies tatsächlich verwendet werden; nicht notwendige Cookies sollten nur mit Zustimmung des Nutzers aktiviert werden; und falls Cookies ins Ausland übertragen werden, muss dies in der Cookie-Richtlinie und der allgemeinen Datenschutzerklärung vermerkt werden. Auch die Notwendigkeit einer Standardvereinbarung oder anderer geeigneter Schutzmaßnahmen sollte geprüft werden.

Übermittlung besonderer Kategorien personenbezogener Daten

Die Übermittlung sensibler personenbezogener Daten ins Ausland ist eine besonders heikle Angelegenheit. Zu den besonders risikobehafteten Datenkategorien zählen unter anderem Gesundheitsdaten, biometrische Daten, genetische Daten, Informationen zum Sexualleben, strafrechtliche Verurteilungen und Sicherheitsmaßnahmen, politische Meinungen, religiöse Überzeugungen, Konfessionszugehörigkeit und Gewerkschaftszugehörigkeit.

Die Übermittlung solcher Daten muss zunächst die in Artikel 6 des französischen Datenschutzgesetzes (KVKK) festgelegten Verarbeitungsanforderungen erfüllen. Anschließend ist gemäß Artikel 9 über Angemessenheit, geeignete Gewährleistungen oder eine Ausnahme zu entscheiden. Standardverträge müssen zudem zusätzliche technische und organisatorische Maßnahmen für besondere Kategorien personenbezogener Daten festlegen. Die Stellungnahmen der Behörde zu Datenübermittlungen ins Ausland weisen darauf hin, dass Standardverträge Angaben zu Datenkategorien, Übermittlungszwecken, Empfängern, technischen und organisatorischen Maßnahmen sowie zusätzlichen Vorkehrungen für besondere Kategorien personenbezogener Daten enthalten sollten.

Unternehmen im Medizintourismus, Krankenhäuser, Kliniken, Unternehmen, die biometrische Authentifizierung nutzen, Personalmanagement-Plattformen und Versicherungen sollten diesbezüglich besonders vorsichtig sein. Beispielsweise erfordert die Weitergabe von Gesundheitsdaten an Ärzte, Vermittler oder Versicherungen im Ausland zur Koordination ausländischer Patienten eine gesonderte rechtliche Prüfung.

Wie sollte die Datenschutzerklärung für internationale Datentransfers gestaltet sein?

Werden Daten ins Ausland übermittelt, muss dies in der Benachrichtigung an die betroffene Person klar angegeben werden. Die Benachrichtigung sollte die Identität des Verantwortlichen, die Kategorien der verarbeiteten Daten, die Zwecke der Verarbeitung, die Rechtsgrundlage, die Empfängergruppen, an die die Daten übermittelt werden, den Zweck der Übermittlung sowie die Rechte der betroffenen Person enthalten. Bei einer Datenübermittlung ins Ausland müssen die Empfängergruppen und der Grund für die Übermittlung angegeben werden.

Eine allgemeine Aussage wie „Ihre personenbezogenen Daten können ins Ausland übermittelt werden“ ist beispielsweise in den meisten Fällen unzureichend. Stattdessen sollten konkretere Formulierungen verwendet werden, etwa „Sie können an einen ausländischen CRM-Dienstleister zum Zweck der Kundenbeziehungsverwaltung übermittelt werden“ oder „Für die E-Mail-Kommunikationsinfrastruktur wird ein ausländischer Cloud-Dienstleister genutzt“.

Wenn die Datenübermittlung auf einer ausdrücklichen Einwilligung beruht, sollte der Einwilligungstext vom Informationstext getrennt sein, und die betroffene Person sollte über die potenziellen Risiken aufgeklärt werden. Werden geeignete Schutzmaßnahmen wie Standardverträge oder verbindliche Unternehmensrichtlinien eingesetzt, sollte deren Vorhandensein im Datenverzeichnis und in den Compliance-Dokumenten nachgewiesen werden.

Häufige Fehler bei der Datenübertragung ins Ausland

Einer der häufigsten Fehler in der Praxis ist, nicht zu erkennen, dass Daten ins Ausland übertragen werden. Ein Unternehmen mag zwar behaupten: „Wir senden keine Daten an Dritte“, doch die verwendete Software kann auf einem Server im Ausland laufen. Daher ist eine fundierte rechtliche Beurteilung ohne die Prüfung der technischen Infrastruktur und der Zulieferer nicht möglich.

Der zweite Fehler besteht darin, jede Datenübertragung mit einer ausdrücklichen Einwilligung abwickeln zu wollen. Gemäß Artikel 9 der DSGVO ist eine ausdrückliche Einwilligung keine allgemeine Lösung für regelmäßige Datenübertragungen. Für regelmäßige und systematische Datenübertragungen sollten Standardverträge, verbindliche Unternehmensregeln oder andere geeignete Schutzmaßnahmen in Betracht gezogen werden.

Der dritte Fehler besteht in der Wahl der falschen Vertragspartei im Standardvertrag. Wird ein Standardvertrag unterzeichnet, ohne zwischen Verantwortlichem und Auftragsverarbeiter zu unterscheiden, kann der Übermittlungsmechanismus rechtlich problematisch werden. Aufgrund dieser Parteienbeziehung existieren vier verschiedene Standardvertragsmodelle.

Der vierte Fehler besteht darin, dass die Institution nicht innerhalb der vorgegebenen Frist über den Standardvertrag informiert wurde. Laut Gesetz muss der Standardvertrag der Institution innerhalb von fünf Werktagen nach seiner Unterzeichnung mitgeteilt werden. Das Standardvertrags-Benachrichtigungsmodul der Institution wurde entwickelt, um diese Benachrichtigungen elektronisch zu ermöglichen.

Der fünfte Fehler besteht darin, die Datenschutzrichtlinien nicht zu aktualisieren. Unternehmen, die neue ausländische Software einsetzen, Werbepixel hinzufügen oder Daten an ein ausländisches Konzernunternehmen übertragen, müssen ihre Datenschutzrichtlinien und ihre Datenbestandsaufnahme aktualisieren.

Folgen einer unrechtmäßigen Übertragung

Die unrechtmäßige Übermittlung personenbezogener Daten ins Ausland kann gemäß dem französischen Datenschutzgesetz (KVKK) zu Verwaltungssanktionen führen. Kommt der Verantwortliche seinen Datenschutzpflichten und den Übermittlungsbedingungen nicht nach, drohen ihm Konsequenzen wie Ermittlungen durch die Datenschutzbehörde, Bußgelder, die Aussetzung der Datenverarbeitung, Disziplinarmaßnahmen und Rufschädigung.

Darüber hinaus können Schadensersatzansprüche entstehen, wenn den Betroffenen ein Schaden entstanden ist. Wurden beispielsweise die Finanzdaten eines Kunden auf ein unsicheres System im Ausland übertragen und anschließend offengelegt, kann der Betroffene Schadensersatz für seine materiellen und immateriellen Schäden verlangen. Dieses Risiko erhöht sich zusätzlich bei der unrechtmäßigen Übermittlung sensibler personenbezogener Daten.

Darüber hinaus kann die unrechtmäßige Übermittlung von Daten in manchen Fällen auch strafrechtliche Folgen haben. Die unrechtmäßige Offenlegung, Verbreitung oder der unrechtmäßige Erwerb personenbezogener Daten kann gemäß Artikel 136 des türkischen Strafgesetzbuches strafrechtliche Konsequenzen nach sich ziehen. Daher sollten die strafrechtlichen Risiken berücksichtigt werden, wenn Unternehmensleiter, Mitarbeiter oder Dritte personenbezogene Daten unrechtmäßig an Personen oder Institutionen im Ausland übermitteln.

Checkliste zur Einhaltung der Vorschriften für Unternehmen

Unternehmen, die Daten ins Ausland übermitteln oder übermitteln könnten, sollten zunächst alle ihre digitalen Tools auflisten. E-Mail-Anbieter, Cloud-Speicher, CRM-, ERP-Systeme, Personalverwaltungssysteme, Buchhaltungssoftware, Zahlungsinfrastruktur, Werbetechnologien, Cookies, Live-Support-Tools, Callcenter-Systeme und Konzernunternehmen sollten separat betrachtet werden.

Für jede Übermittlung sollten folgende Fragen gestellt werden: Welche personenbezogenen Daten werden übermittelt? Wer ist der Empfänger? In welchem ​​Land befindet sich der Empfänger? Ist der Empfänger ein Verantwortlicher oder ein Auftragsverarbeiter? Handelt es sich um eine regelmäßige oder gelegentliche Übermittlung? Besteht eine Verarbeitungspflicht gemäß Artikel 5 oder 6 des KVKK (Gesetz zum Schutz personenbezogener Daten)? Liegt ein Angemessenheitsbeschluss vor? Wurden angemessene Garantien getroffen? Falls ein Standardvertrag erforderlich ist, wurde der richtige Vertragstyp gewählt? Wurde die Benachrichtigung innerhalb von fünf Werktagen erteilt? Ist der Informationstext aktuell? Handelt es sich um besondere Kategorien personenbezogener Daten? Sind die technischen und organisatorischen Maßnahmen ausreichend?

Es reicht nicht aus, ohne diese Analyse zu behaupten, man sei DSGVO-konform. Datentransfers ins Ausland sollten nun als eigenständiges Thema in die DSGVO-Konformitätsprozesse von Unternehmen aufgenommen werden; Verträge, technische Infrastruktur, Datenschutzerklärungen, Cookie-Einstellungen, Lieferantenmanagement und Datenbestand sollten entsprechend aktualisiert werden.

Die Rolle des Anwalts und des Rechtsberaters

Die Übermittlung personenbezogener Daten ins Ausland ist ein komplexer Prozess mit technischen, vertraglichen und rechtlichen Aspekten. Daher reicht es oft nicht aus, wenn das IT-Team oder das Rechtsteam ihn allein beurteilt. Das IT-Team muss Datenflüsse, Serverstandorte, Cookies und Softwareintegrationen identifizieren, während das Rechtsteam den rechtmäßigen Übermittlungsmechanismus gemäß Artikel 5, 6 und 9 des Datenschutzgesetzes festlegen muss.

Die Rolle eines Rechtsanwalts im Bereich des Datenschutzrechts und des IT-Rechts umfasst: die rechtliche Prüfung der Datentransfermatrix, die Bestimmung der geeigneten Schutzmaßnahmen, die Auswahl des Standardvertragstyps, die Aktualisierung der Informationstexte, die Ausarbeitung von Auftragsverarbeitungsverträgen, die Analyse internationaler Transferrisiken, die Bewertung des Einwilligungsmechanismus im Hinblick auf Cookie- und Werbetechnologien sowie die Vorbereitung auf mögliche Untersuchungen durch die Aufsichtsbehörde.

Unternehmen, die mit ausländischen Softwareanbietern zusammenarbeiten, multinationale Konzerne sind, im E-Commerce tätig sind, Gesundheitsdaten verarbeiten, Werbetechnologien einsetzen oder sensible Daten ins Ausland übermitteln, müssen sich in Bezug auf Datentransfers professionelle Rechtsberatung einholen.

Abschluss

Die Übermittlung personenbezogener Daten ins Ausland ist einer der kritischsten und technisch anspruchsvollsten Aspekte der DSGVO-Konformität. Die Änderungen an Artikel 9 der DSGVO durch das Gesetz Nr. 7499 traten am 1. Juni 2024 in Kraft und führten zu einem neuen, mehrstufigen System für die Datenübermittlung ins Ausland. In diesem System muss zunächst eine gültige Verarbeitungsbedingung gemäß Artikel 5 oder 6 der DSGVO erfüllt sein; anschließend wird über Angemessenheit, geeignete Zusicherungen oder begrenzte Ausnahmen entschieden.

Aufgrund fehlender Angemessenheitsentscheidungen in der Praxis haben Standardverträge, verbindliche Unternehmensregeln oder geeignete Sicherungsmethoden wie Verpflichtungserklärungen für viele Unternehmen an Bedeutung gewonnen. Standardverträge sind zwar ein praktisches Instrument, doch ist es unerlässlich, den richtigen Vertragstyp auszuwählen, ihn von Bevollmächtigten unterzeichnen zu lassen, sicherzustellen, dass die Unterschriften auf der türkischen Fassung erfolgen, und die Behörde innerhalb von fünf Werktagen nach Unterzeichnung zu benachrichtigen.

Die ausdrückliche Einwilligung sollte nicht länger als einfache, allgemeine Lösung für regelmäßige und fortlaufende Datenübermittlungen angesehen werden. Sie stellt einen begrenzten Anwendungsbereich dar, der nur bei gelegentlichen und außergewöhnlichen Übermittlungen genutzt werden kann, wenn keine Zuständigkeitsentscheidung und keine angemessene Gewährleistung vorliegen und die betroffene Person über die potenziellen Risiken informiert wurde. Gemäß den Erläuterungen der Aufsichtsbehörde sind die Ausnahmen für gelegentliche Übermittlungen eng auszulegen und auf unregelmäßige und seltene Übermittlungsvorgänge anzuwenden.

Zusammenfassend lässt sich sagen, dass Unternehmen, Websites, E-Commerce-Plattformen, Gesundheitsorganisationen, Technologieunternehmen und internationale Konzerne ihre Datentransferprozesse ins Ausland neu bewerten müssen. Ausländische Software, Cloud-Dienste, Werbe- und Analyse-Cookies, CRM-Systeme, HR-Tools, Zahlungsinfrastrukturen und konzerninterne Datenflüsse müssen individuell geprüft werden. Für jeden Transfer müssen Empfänger, Land, Datenkategorie, Verarbeitungszweck, Rechtsgrundlage, Transfermechanismus und technisch-administrative Maßnahmen klar definiert werden.

Die Übermittlung personenbezogener Daten ins Ausland ist nicht allein eine Frage von Vertrag oder Einwilligung. Dieser Prozess erfordert umfassende Maßnahmen zur Einhaltung der gesetzlichen Bestimmungen, darunter die Erstellung eines Dateninventars, die Analyse des technischen Datenflusses, die Prüfung der Artikel 5 und 6 des französischen Datenschutzgesetzes (KVKK), die Regelungen zu Datenübermittlungen gemäß Artikel 9, die Erstellung von Standardvertragsbenachrichtigungen, die Aktualisierung der Informationstexte, das Cookie-Management, die Beziehung zum Auftragsverarbeiter sowie die Umsetzung von Sicherheitsmaßnahmen. Daher ist es für alle Verantwortlichen, die Daten ins Ausland übermitteln, von größter Wichtigkeit, den Prozess professionell zu gestalten, um potenziellen Verwaltungssanktionen, Schadensersatzansprüchen und Reputationsschäden vorzubeugen.