Sie haben den Transfer vermutlich schon, nur nicht so genannt
Ein Drittlandtransfer beginnt selten mit einer Datei, die jemand ins Ausland schickt. Meist beginnt er mit einem Tool. Das Marketing legt eine Newsletter-Liste an, die Personalabteilung nutzt ein Bewerbungsportal, der Vertrieb ein CRM. Verarbeitet einer dieser Anbieter oder einer seiner Unterauftragsverarbeiter die personenbezogenen Daten außerhalb der EU, liegt eine Übermittlung in ein Drittland vor.
Wer dabei als Exporteur gilt, hängt vom Weg der personenbezogenen Daten ab. Buchen Sie einen Anbieter außerhalb der EU direkt, sind Sie es. Gibt ein Anbieter in der EU die personenbezogenen Daten an einen eigenen Unterauftragsverarbeiter im Drittland weiter, ist er es. Artikel 44 DSGVO bindet Verantwortliche und Auftragsverarbeiter gleichermaßen an die Regeln von Kapitel V. Ihre eigene Verantwortung als Verantwortlicher bleibt in beiden Fällen bestehen, denn Sie müssen die Einhaltung der DSGVO nachweisen können (Artikel 5 Absatz 2 und Artikel 24 Absatz 1).
Der erste praktische Schritt ist deshalb kein juristischer. Sie brauchen eine Liste Ihrer Dienstleister und zu jedem zwei Angaben. Wo werden die personenbezogenen Daten verarbeitet? Und wer sind die Unterauftragsverarbeiter? Beides steht im Auftragsverarbeitungsvertrag oder in dessen Anlage, nicht auf der Produktseite des Anbieters.
Die Reihenfolge der Prüfung
Kapitel V der DSGVO gibt eine feste Abfolge vor.
Erstens: Gibt es einen Angemessenheitsbeschluss? Nach Artikel 45 kann die Europäische Kommission feststellen, dass ein Drittland ein angemessenes Schutzniveau bietet. Deckt ein solcher Beschluss das Land und den konkreten Fall ab, braucht die Übermittlung keine besondere Genehmigung. Artikel 46 kommt dann nicht zum Zug.
Zweitens: Wenn nicht, greift Artikel 46. Absatz 2 nennt sechs Instrumente, die ohne gesonderte Genehmigung einer Aufsichtsbehörde genutzt werden können. Im Alltag begegnen Ihnen vor allem die Standardvertragsklauseln der Kommission. Daneben stehen unter anderem verbindliche interne Datenschutzvorschriften (sog. Binding Corporate Rules oder BCRs), ein genehmigter Verhaltenskodex nach Artikel 40 und ein genehmigter Zertifizierungsmechanismus nach Artikel 42. Die beiden letzten gelten nur zusammen mit verbindlichen und durchsetzbaren Verpflichtungen des Empfängers im Drittland.
Drittens: Das Instrument allein genügt nicht. Artikel 46 Absatz 1 verlangt zusätzlich, dass den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Ob das der Fall ist, hängt von der Rechtslage im Empfängerland ab. Fragen Sie Ihren Anbieter deshalb, auf welches Instrument er sich stützt, und lassen Sie es sich zeigen.
Was die EDSA-Übersicht vom September 2026 hinzufügt
Der Europäische Datenschutzausschuss (EDSA) hat im September 2026 eine kurze Übersicht zur Zertifizierung als Transferinstrument veröffentlicht. Sie behandelt nur diesen einen Weg aus Artikel 46. Die Fragen, die sie stellt, passen trotzdem zu fast jedem Dienstleister.
Vier Pflichten des Exporteurs nennt die Übersicht ausdrücklich.
Vor der Übermittlung prüfen Sie den Umfang. Eine Zertifizierung ist keine pauschale Freigabe. Sie muss gültig sein, von einer akkreditierten Stelle stammen und genau die Verarbeitung abdecken, um die es geht.
Im Vertrag machen Sie es verbindlich. Der Vertrag muss den Importeur rechtlich an die Regeln binden. Zudem muss er betroffenen Personen Rechte als Dritte einräumen, die sie vor einem europäischen Gericht oder bei einer Datenschutzbehörde geltend machen können.
Sie lassen sich die lokale Rechtslage zusichern. Der Importeur muss anhand eines Transfer Impact Assessments zusichern, dass er die Gesetze und Praktiken seines Landes bewertet hat, einschließlich staatlicher Zugriffsmöglichkeiten, und dass nichts ihn an der Einhaltung seiner Zusagen hindert. Wo nötig, kommen ergänzende Maßnahmen wie Verschlüsselung hinzu. Ihre eigenen Systeme müssen zu diesen Maßnahmen passen.
Sie regeln den Umgang mit Behördenanfragen. Der Importeur muss Sie umgehend über Zugriffsanfragen ausländischer Behörden unterrichten und unverhältnismäßige Anfragen anfechten.
Sinngemäß stellt die Übersicht dazu zwei Fragen. Könnten ausländische Gesetze die zugesagten Garantien außer Kraft setzen? Und werden Sie es erfahren, wenn eine ausländische Behörde Zugriff auf die personenbezogenen Daten verlangt? Stellen Sie beide Fragen, bevor Sie den nächsten Dienstleistervertrag unterschreiben.
Der Standort des Rechenzentrums beantwortet die Frage nicht allein
„Server in Deutschland“ ist eine Aussage über den Speicherort. Artikel 46 Absatz 1 fragt dagegen, ob Rechte und Rechtsbehelfe im Land des Importeurs tatsächlich greifen. Das sind zwei verschiedene Dinge. Genau diesen Unterschied nimmt die EDSA-Übersicht in den Blick, wenn sie eine Bewertung der Gesetze und Praktiken im Land des Importeurs verlangt.
Daraus folgt eine konkrete Frage an jeden Anbieter. Welcher Rechtsordnung unterliegt das Unternehmen, das die personenbezogenen Daten verarbeitet? Und gilt sie auch für seine Muttergesellschaft und seine Unterauftragsverarbeiter? Beantwortet der Auftragsverarbeitungsvertrag das nicht, fragen Sie schriftlich nach.
Wie ETHYX das für sich selbst gelöst hat
Für unsere Plattform haben wir uns diese Prüfung erspart, indem wir die Konstellation eines Drittlandtransfers vermieden haben. Die ETHYX-Plattform läuft bei netcup in Nürnberg. Keine US-Clouds, keine US-APIs. Die Compliance-Daten unserer Kunden verlassen die EU nicht.
Das heißt nicht, dass jeder es so machen muss. Nicht für jedes Tool gibt es eine europäische Alternative und ein Transfer auf Grundlage von Artikel 46 ist ein regulärer Weg. Nebenbei erledigt er sich allerdings nicht. Dazu gehören das Instrument, die Vertragsklauseln, die Bewertung der Rechtslage und die Dokumentation aller drei.
Der nächste Schritt ist in beiden Fällen derselbe. Erstellen Sie eine vollständige Liste Ihrer Dienstleister mit Verarbeitungsort und Unterauftragsverarbeitern. Ohne sie wissen Sie nicht, welche Transfers Sie überhaupt haben.