Drittlandübertragung

Von einer Drittlandübertragung spricht das Datenschutzrecht, wenn personenbezogene Daten an eine Stelle außerhalb des Europäischen Wirtschaftsraums übermittelt oder dort zugänglich gemacht werden. Ein Zugriff aus dem Ausland auf Daten, die physisch in Europa liegen, zählt ebenfalls dazu. Zulässig ist eine solche Übertragung nur auf einer geeigneten Grundlage, etwa einem Angemessenheitsbeschluss der EU-Kommission für das betreffende Land oder Standardvertragsklauseln mit ergänzenden Schutzmaßnahmen.

Für Handwerksbetriebe ist das Thema durch KI-Werkzeuge praktisch geworden. Viele bekannte Dienste werden von Unternehmen außerhalb Europas betrieben oder greifen auf Rechenzentren in verschiedenen Regionen zurück. Wer Kundendaten aus einem Angebot, ein Reklamationsschreiben oder ein Baustellenfoto mit erkennbaren Personen in ein solches Werkzeug gibt, löst damit möglicherweise eine Drittlandübertragung aus, ohne dass es an der Oberfläche sichtbar wäre.

Was das im Betrieb bedeutet

Der erste Schritt ist Klarheit über die Verarbeitungsorte. Diese Angaben stehen im Auftragsverarbeitungsvertrag und in der Liste der Unterauftragnehmer. Wichtig ist, dass auch Support- und Wartungszugriffe erfasst werden, denn hier entsteht der Auslandsbezug oft zusätzlich zum eigentlichen Betrieb.

Manche Anbieter stellen eine Verarbeitung ausschließlich in europäischen Rechenzentren als Option bereit, teilweise nur in Geschäftstarifen und nach ausdrücklicher Auswahl der Region. Diese Einstellung sollte bewusst gesetzt und dokumentiert werden, denn Voreinstellungen können sich mit Vertragswechseln ändern.

Der zweite Schritt ist die Frage, ob personenbezogene Daten überhaupt hineinmüssen. In vielen Fällen im Handwerk lautet die Antwort nein. Ein Angebotstext lässt sich mit Platzhaltern erzeugen, eine Leistungsbeschreibung braucht keinen Bauherrennamen, eine Zusammenfassung des Bautagebuchs funktioniert mit Kürzeln. Wo Personenbezug unvermeidbar ist und die Vertragslage unklar bleibt, ist eine On-Premise-Lösung oder ein europäischer Anbieter die einfachere Antwort.

Eine Einwilligung der betroffenen Personen ist als Grundlage für laufende Übertragungen kaum praktikabel. Ein Bauherr, der ein Angebot anfordert, wird nicht vorab gefragt, ob seine Daten in einem Rechenzentrum außerhalb Europas verarbeitet werden dürfen, und eine nachträgliche Zustimmung lässt sich im Tagesgeschäft nicht organisieren. Der Weg führt in der Praxis deshalb über die Auswahl des Anbieters und über Datensparsamkeit, nicht über Erklärungen der Kunden.

Als Merkposten für die Systemliste eignen sich drei Spalten: Verarbeitungsort, Grundlage der Übertragung und Datum der letzten Prüfung. Da sich Rechtslage und Anbieterkonstellationen ändern können, gehört diese Prüfung in einen festen Rhythmus, etwa einmal im Jahr zusammen mit der Durchsicht der übrigen Verträge.