Grenzüberschreitendes Outsourcing und DSGVO: Datenfluss, SCC

Ein ausgelagerter Prozess kann lokal wirken, obwohl seine Daten deutlich weiter reisen. Der Kunde sendet eine Datei an einen Dienstleister mit Sitz in der EU. Die Leistung nutzt jedoch eine globale Cloud, Sicherungen werden zwischen Regionen repliziert und der nächtliche technische Support erfolgt außerhalb des Europäischen Wirtschaftsraums. Im Vertrag steht ein Anbieter; der reale Datenfluss umfasst möglicherweise mehrere Länder und Unternehmen.

Kapitel V der DSGVO verlangt, dass das Schutzniveau personenbezogene Daten bei einer Übermittlung in ein Drittland oder an eine internationale Organisation begleitet. Der Firmensitz des Vertragspartners genügt daher nicht. Es muss bekannt sein, wo Daten gespeichert werden, von wo darauf zugegriffen werden kann, wer Support leistet und wo Kopien, Exporte und Protokolle liegen.

Mit der tatsächlichen Datenflusskarte beginnen

Erfassen Sie den gesamten Lebenszyklus: Eingang, Validierung, Produktion, Bericht, Reklamation, Archiv und Löschung. Bei Geschäftspost können Adressdatenbank, Quelldokument, Druckbild, Produktionsliste, Versandnachweis, Retourenscan und Kundenbericht entstehen. Jedes Element kann einen anderen Speicherort und eine andere Aufbewahrungsdauer haben.

Frage	Zu klären	Nachweis
Wo?	Produktion, Cloud, Backup, Archiv, Test	freigegebene Regionen und Standorte
Wer?	Dienstleister, Unterauftragsverarbeiter, Administration, Support	aktuelles Empfängerverzeichnis
Wie?	Übertragung, Replikation, Fernzugriff, Export, Ansicht	Fluss- und Berechtigungsdiagramm
Auf welcher Grundlage?	EWR, Angemessenheitsbeschluss, SCC oder anderes Instrument	Vertrag und Transferdokumentation
Wie lange?	Produktion, Reklamation, Logs und Backups	Aufbewahrungsmatrix

Der EDPB nennt die Erfassung aller Übermittlungen als ersten Prüfungsschritt. Auch ein Zugriff aus einem Drittland auf in Europa gespeicherte Daten kann eine Transferanalyse erfordern. „Unsere Server stehen in der EU“ ist keine vollständige Antwort.

EWR, angemessenes Land und anderes Drittland sind verschiedene Fälle

Verarbeitung im EWR. Kapitel V verlangt kein zusätzliches Transferinstrument. Artikel 28, Sicherheit, Datenminimierung und Unterauftragskontrolle gelten weiterhin.
Land mit Angemessenheitsbeschluss der Europäischen Kommission. Daten können ohne zusätzliches Instrument nach Artikel 46 fließen. Alle übrigen DSGVO-Pflichten bleiben bestehen; der genaue Geltungsbereich ist zu prüfen.
Anderes Drittland. Regelmäßig ist eine Garantie nach Artikel 46, etwa Standardvertragsklauseln, erforderlich. Zusätzlich ist zu bewerten, ob sie praktisch ein im Wesentlichen gleichwertiges Schutzniveau gewährleistet.

Die Ausnahmen nach Artikel 49 dürfen nicht zur Standardgrundlage eines regelmäßigen Outsourcings werden. Sie gelten für besondere Situationen und sind eng auszulegen.

SCC starten die Kontrolle, schließen sie aber nicht automatisch ab

Die Standardvertragsklauseln der Europäischen Kommission von 2021 enthalten Module für unterschiedliche Beziehungen, darunter Verantwortlicher-Verantwortlicher und Verantwortlicher-Auftragsverarbeiter. Wählen Sie das passende Modul, füllen Sie die Anhänge konkret zu Daten, Zweck, Empfängern und Schutzmaßnahmen aus und erfassen Sie weitere Unterauftragsverarbeiter.

Eine unterschriebene leere Vorlage reicht nicht. Ein Transfer Impact Assessment muss Recht und Praxis des Ziellandes mit Datenart, Zugriffsmodell und realen Kontrollen vergleichen. Reicht das Instrument nicht, sind ergänzende Maßnahmen nötig. Kann das geforderte Schutzniveau nicht erreicht werden, darf die Übermittlung nicht beginnen oder muss ausgesetzt werden.

Ergänzende Maßnahmen müssen zum tatsächlichen Risiko passen

Verschlüsselung. Prüfen Sie neben dem Verfahren, wer die Schlüssel besitzt und ob der Empfänger Klartext benötigt.
Pseudonymisierung. Trennen Sie Identifikatoren und Inhalt, wenn der ausgelagerte Schritt ohne vollständige Identität funktioniert.
Datenminimierung. Übermitteln Sie nicht das gesamte Archiv, wenn eine Charge oder wenige Felder genügen.
Zugriffskontrolle. Befristete Rechte, Rollen, MFA, Sitzungsprotokolle und schnelle Sperrung sind aussagekräftiger als eine allgemeine Vertraulichkeitszusage.
Prozesstrennung. Lassen Sie den sensiblen Schritt im EWR und geben Sie nur Arbeiten ohne identifizierende Daten weiter.

Eine technische Maßnahme ist nur wirksam, wenn sie zum Betrieb passt. Verschlüsselung ruhender Daten hilft wenig, wenn das ausländische Team täglich jedes Dokument im Klartext lesen muss.

Acht notwendige Regelungen im Outsourcing-Vertrag

Datenkategorien und Verarbeitungsschritte in jedem Land;
freigegebene Orte und ein kontrolliertes Änderungsverfahren;
Verzeichnis der Unterauftragsverarbeiter und Widerspruchsfrist;
Transferinstrument für jeden Datenweg und Aktualisierungspflicht;
technische und organisatorische Maßnahmen einschließlich Schlüsselverwaltung;
Umgang mit Behördenanfragen, soweit eine Information rechtlich zulässig ist;
Informations-, Audit- und Nachweisrechte;
Rückgabe, Portabilität und Löschung beim Wechsel oder Ende der Leistung.

Verbinden Sie diese Regelungen mit der Steuerung von Unterauftragsverarbeitern und der Aufbewahrungsmatrix. Sie behandeln unterschiedliche Risiken, müssen jedoch dieselbe Prozesskarte verwenden.

Praktische Überprüfung in 30 Tagen

Verträge, Unterauftragnehmerlisten und Cloud-Regionen zusammentragen.
Daten vom Eingang bis zur Löschung einschließlich Backups, Tests und Support abbilden.
EWR, angemessene Länder und übrige Ziele markieren.
Jedem Transfer Instrument und geschäftlich Verantwortliche zuordnen.
SCC ausfüllen und erforderliche TIA dokumentieren.
Ergänzende Maßnahmen wählen und am realen Zugriffsszenario testen.
Unnötige Wege, Konten, Exporte und Replikate entfernen.
Vierteljährliche Prüfung und Kontrolle vor jeder Anbieter- oder Regionsänderung einführen.

BackOffice Outsourcing unterstützt Prozesse wie Geschäftskorrespondenz, Druck, Kuvertierung, Dokumentenworkflows und ausgewählte Backoffice-Tätigkeiten. Standort und Verarbeitungsmodell sind für den konkreten Umfang abzustimmen. Sprechen Sie mit uns über Datenflüsse, Nachweise und einen kontrollierten Pilotbetrieb.

Quellen

Häufig gestellte Fragen

Bedeutet ein Server in der EU, dass kein Transfer außerhalb des EWR stattfindet?

Nicht zwingend. Fernzugriff, Support, Unterauftragsverarbeiter, Replikate, Backups und Exporte müssen einbezogen werden. Der Standort des Hauptservers beschreibt nicht den gesamten Prozess.

Reichen SCC in jedem Fall aus?

Nein. Erforderlich sind das richtige Modul, konkrete Anhänge, die Bewertung des Transferkontexts und gegebenenfalls wirksame ergänzende Maßnahmen.

Benötigt ein Transfer in ein angemessenes Land SCC?

Im Geltungsbereich eines wirksamen Angemessenheitsbeschlusses grundsätzlich nicht. Die übrigen DSGVO-Pflichten gelten weiter, und Empfänger sowie Transfer müssen erfasst sein.

Wie häufig ist die Datenflusskarte zu aktualisieren?

Vor dem Start, nach Änderungen an System, Region, Unterauftragsverarbeiter oder Support und regelmäßig - praktisch mindestens jährlich, bei hohem Risiko häufiger.

Besprechen Sie Ihren Prozess mit uns

Kontakt aufnehmen

← Alle Artikel

Grenzüberschreitendes Outsourcing und DSGVO: Datenfluss, SCC und Zugriffe außerhalb des EWR