Transfer Impact Assessment (TIA)

Drittlandsübermittlung: Transfer Impact Assessment (TIA)

Spätestens seit dem EuGH Urteil vom 16. Juli 2020 zu US-Übermittlungen (Schrems II) reichen Transfertools/Garantien nach Art. 46 ff. DSGVO alleine für Übermittlungen in Drittländer nicht mehr aus. 

Insbesondere der Schritt 3 aus der Handlungsempfehlung (englisch, pdf) des Europäischen Datenschutzausschusses (EDSA/EDPB) stellt Verantwortliche vor erhebliche Herausforderungen. Die Aufsichtsbehörden erwarten vom verantwortlichen Datenexporteur eine nachweisbare Bewertung des Datenschutzniveaus im Drittland des Datenempfängers (und seiner Subunternehmen).

Im Paket "Muster Transfer Impact Assessment (TIA)" finden Sie folgende Dokumente: 

• Transfer Impact Assessment (Muster für Durchführung/Nachweis einer Bewertung des Datenschutzniveaus im Drittland des Datenempfängers)
• TIA Anlage A Subunternehmen (Muster für die Bewertung des Datenschutzniveaus von Subunternehmern des Datenempfängers)
• TIA Questions EN (Fragebogen an Datenempfänger im Drittland)
• "Mini-TIA" für AV mit Drittlandsbezug (Muster für die Prüfung von Auftragsverarbeitern mit Mutter-/Tochtergesellschaften in Drittländern)

Die im Download-Paket (ZIP-Datei, 665 kb) enthaltenen Dokumente sollen es Verantwortlichen für den Datenschutz erleichtern, die Schritte eines detaillierten Transfer Impact Assessments durchzuführen und nachweisbar zu dokumentieren.

Das Hauptdokument "Transfer Impact Assessment" behandelt die einzelnen Schritte der Bewertung des Datenschutzniveaus im Drittland, angelehnt an die derzeit bekannten Anforderungen von Aufsichtsbehörden und EDPB. (docx, 51 kb). 

"TIA Anlage A Subunternehmen" ist eine Anlage für die Bewertung von Subunternehmen des Datenempfängers in weiteren Drittländern (docx, 44 kb).

"TIA Questions EN" ist ein Fragebogen in englischer Sprache, der an Datenempfänger im Drittland geschickt werden kann, um die für die relevanten Teile des TIA notwendigen externen Informationen direkt anzufragen (docx, 48 kb). 

Update / Zusatzdokument, Stand 18. Februar 2023:

"Mini-TIA AV Drittlandsbezug" ist eine Vorlage, welche die Prüfansätze des DSK-Beschlusses vom 31.02.2023 in die Praxis umsetzbar machen soll (docx, 48 kb) 

Hinweis: Zumindest für die Teile der TIA Dokumente, wo eine Beurteilung Rechtslage Drittland erfolgen soll, ist die Hinzuziehung von Spezialisten wie z.B. international tätige Anwaltskanzleien zu empfehlen.

Bitte beachten: Muster/Vorlagen können lediglich für eine erste Version Ihrer Dokumente genutzt werden. Vor Veröffentlichung im Unternehmen müssen diese in jedem Fall bezüglich Ihrer individuellen Organisation ergänzt/angepasst und juristisch geprüft werden. 

Autor/Copyright:

Wolfgang Thanner, securiserve ist seit 1994 in der IT Security Branche und seit dem Jahr 2011 selbständig im Bereich Datenschutz und Informationssicherheits-Management tätig. Er ist Datenschutzbeauftragter, Informationssicherheits-Manager und für kleine und mittlere Unternehmen als Datenschutzberater und externer Datenschutz-Beauftragter tätig.