Standardvertragsklauseln sind ein Vertrag zwischen Datenexporteur und Datenimporteur. Ein Vertrag bindet aber keine Behörden im Empfängerstaat. Das Transfer Impact Assessment beantwortet deshalb die Frage, ob die Klauseln im konkreten Fall halten, was sie versprechen.
Herkunft
Im Urteil Schrems II vom Juli 2020 (Rechtssache C-311/18) hat der Europäische Gerichtshof das damalige Privacy Shield aufgehoben und festgehalten, dass Exporteure bei Standardvertragsklauseln prüfen müssen, ob das Recht des Empfängerstaats ein im Wesentlichen gleichwertiges Schutzniveau zulässt. Der Europäische Datenschutzausschuss hat dazu Empfehlungen veröffentlicht, die das Vorgehen beschreiben. Auch der EDÖB erwartet bei Bekanntgaben aus der Schweiz eine entsprechende Prüfung.
Wann es nötig ist
Ein TIA ist nötig, wenn Personendaten in einen Staat ohne Angemessenheitsentscheid übermittelt werden und sich die Übermittlung auf Standardvertragsklauseln oder ähnliche Garantien stützt. Nicht nötig ist es, wenn der Empfängerstaat als angemessen anerkannt ist, etwa die EU- und EWR-Staaten aus Schweizer Sicht, oder wenn der Empfänger in den USA unter dem Data Privacy Framework zertifiziert ist.
Was geprüft wird
Die Umstände der Übermittlung: welche Daten, zu welchem Zweck, an wen, über welche Wege und Unterauftragsbearbeiter. Das Recht und die Praxis des Empfängerstaats: Zugriffsrechte von Behörden, Rechtsschutz für Betroffene, Erfahrungen mit Zugriffsanfragen. Und die Frage, ob zusätzliche Massnahmen die Lücke schliessen.
Zusätzliche Massnahmen
Die wirksamste technische Massnahme ist eine Verschlüsselung, bei der der Empfänger keinen Zugang zu den Schlüsseln hat, oder eine Pseudonymisierung, bei der die Zuordnung beim Exporteur bleibt. Vertraglich helfen Pflichten zur Information über Zugriffsanfragen und zur Anfechtung. Organisatorisch hilft Datenminimierung: Was nicht übermittelt wird, muss nicht geschützt werden. Für Dienste, die Daten im Klartext verarbeiten müssen, etwa viele KI-Modelle, stossen technische Massnahmen an Grenzen.
Pragmatisch dokumentieren
Ein TIA muss kein Gutachten sein. Für viele Standardfälle genügt eine strukturierte Dokumentation pro Anbieter mit den Angaben zu Daten, Empfängerstaat, Rechtslage, Risiko und Massnahmen, die bei Änderungen aktualisiert wird. Den Gesamtrahmen beschreibt der Beitrag zu Datentransfers zwischen Schweiz, EU und Drittstaaten.