Cloud- und IT-Serviceprovider: Die Krux mit dem Drittland

Tochterfirmen als Auftragsverarbeiter

Als Vertragspartner für europäische Kundinnen und Kunden agieren dabei häufig nicht die Muttergesellschaften aus dem außereuropäischen „Drittland“ (im Sinne von Art. 44 ff. Datenschutz-Grundverordnung (­DSGVO)), sondern Tochterfirmen, die in einem EU-Mitgliedstaat angesiedelt sind. Überwiegend treten sie gegenüber den Auftraggebern als Auftragsverarbeiter nach Art. 28 ­DSGVO auf. So weit, so gut.

Drei Szenarien der Datenübermittlung in ein Drittland

In der Praxis ist es so, dass über diesen Konstellationen spätestens seit dem Ende des EU-US Privacy Shield stets die Frage schwebt: „Erfolgt eine unzulässige Datenübermittlung ins Drittland?“ Dabei lassen sich grob drei Szenarien unterscheiden.

Im ersten Szenario vereinbaren der Auftraggeber (Verantwortlicher) und der Auftragnehmer (Auftragsverarbeiter) in ­einem Auftragsverarbeitungsvertrag (AVV), dass der Auftragnehmer die Daten zur Verarbeitung an einen Unterauftragnehmer im Drittland übermittelt bzw. Mitarbeiter dieses Unterauftragsverarbeiters auf die – grundsätzlich in der EU gespeicherten – Daten Zugriff nehmen dürfen.

Hierunter fallen Konstellationen, in denen …