Datentransfer-Check EU–USA ← Übersicht
Datentransfer-Check EU–USA

Datentransfer-Check EU–USA

Der Check erfasst Ihre Cloud- und Software-Anwendungen und bewertet jede einzelne nach der Logik eines Transfer-Impact-Assessments (Art. 44 ff. DSGVO, Schrems II): Welche Übermittlungsgrundlage trägt, wie stark greift das Recht des Drittlands, welche Zusatzmaßnahmen wirken — und welches Restrisiko bleibt. Zu jeder kritischen Anwendung werden europäische Alternativen ausgewiesen.

Warum jetzt: Das EU-US Data Privacy Framework (DPF) besteht, steht aber unter Druck — die Nichtigkeitsklage Latombe liegt beim Gericht der EU, und die Arbeitsfähigkeit der US-Aufsichtsgremien (PCLOB, Data Protection Review Court) ist umstritten. Dieser Check bewertet deshalb jede Anwendung zusätzlich für das Szenario „DPF entfällt". Wer sich allein auf den Angemessenheitsbeschluss stützt, hat in diesem Fall keine Übermittlungsgrundlage mehr.

Schritt 1 · Unternehmensprofil

Das Profil steuert die Gewichtung: Je sensibler die verarbeiteten Daten, desto strenger fällt die Bewertung jeder Drittlandübermittlung aus.

Schritt 2 · IT-Inventar

Bewertung je Anwendung

Erfasste Anwendungen

Schritt 3 · Auswertung

Auswertung

Schritt 4 · Maßnahmen & europäische Alternativen

Handlungsempfehlungen

Europäische Alternativen

Schritt 5 · Bericht

Die Zusammenfassung wird aus Ihren Eingaben vorgeschlagen und ist frei überschreibbar. Der Druck erzeugt den vollständigen Bericht — im Druckdialog „Als PDF sichern" wählen.

Solange Sie nichts ändern, wird der Text bei jeder Neuberechnung aktualisiert.

Methodik

  1. Übermittlungsgrundlage — Angemessenheitsbeschluss (DPF), Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften oder Ausnahme nach Art. 49 DSGVO. Fehlt eine tragfähige Grundlage, liegt das Restrisiko unabhängig von allem Weiteren mindestens bei „hoch".
  2. Rechtslage im Drittland — Zugriffsbefugnisse der dortigen Behörden, gewichtet nach Konzernsitz und tatsächlichem Verarbeitungsort. Für US-Anbieter maßgeblich: FISA 702, EO 12333 und der CLOUD Act, der auch auf in der EU gespeicherte Daten durchgreift, sobald der Anbieter der US-Jurisdiktion unterliegt.
  3. Zusatzmaßnahmen — technische und organisatorische Maßnahmen im Sinne der EDSA-Empfehlungen 01/2020. Wirksam ist vor allem die Verschlüsselung mit Schlüsselhoheit beim Verantwortlichen; vertragliche und organisatorische Maßnahmen mindern das Restrisiko nur begrenzt.
  4. Restrisiko — Ergebnis aus den Schritten 1 bis 3, gewichtet mit der Sensibilität der verarbeiteten Daten. Zusätzlich wird geprüft, ob die Übermittlung auch ohne den Angemessenheitsbeschluss trägt.
Rechtlicher Hinweis: Dieser Check liefert eine strukturierte erste Orientierung und ersetzt weder eine Rechtsberatung noch ein vollständiges Transfer-Impact-Assessment durch Ihren Datenschutzbeauftragten oder einen Fachanwalt. Die hinterlegten Anbieterangaben sind Sekundärinformationen mit Stand ; Verarbeitungsorte, Vertragswerke und Zertifizierungen ändern sich laufend und sind vor jeder Entscheidung anhand Ihrer konkreten Verträge und der aktuellen Anbieterdokumentation zu prüfen. Alle Daten dieses Tools bleiben in Ihrem Browser — es findet keine Übertragung an einen Server statt.

Dürfen unsere Daten in die USA?

Pauschal lässt sich das nicht beantworten — nur je Anwendung. Denn die Frage hängt an der Übermittlungsgrundlage, an den Zugriffsbefugnissen im Drittland und an den Zusatzmaßnahmen, die Sie tatsächlich getroffen haben. Dieser Check erfasst Ihre Cloud-Anwendungen und bewertet jede einzeln nach dem Muster eines Transfer-Impact-Assessments gemäß Art. 44 ff. DSGVO und der Schrems-II-Rechtsprechung.

Quick-Check und Expertenmodus

Der Quick-Check gibt eine erste Einordnung über einen kuratierten Katalog von 55 Anwendungen — jeder Eintrag mit Anbieter, Sitz, Übermittlungslage und Quellen-URL. Der Expertenmodus geht je Anwendung durch Übermittlungsgrundlage, Datenkategorien, Zugriffsbefugnisse, Zusatzmaßnahmen und Restrisiko. Die Bewertung ist regelbasiert, nicht KI-gestützt: Jedes Ergebnis lässt sich auf die Eingaben zurückführen.

Das Szenario, das viele verdrängen

Der Check enthält die Variante „DPF entfällt" — die Lage, die einträte, wenn der Angemessenheitsbeschluss zum Data Privacy Framework fiele. Wer diese Frage erst stellt, wenn es so weit ist, hat keine Antwort. Zu jeder Anwendung im Katalog sind zusätzlich europäische Alternativen hinterlegt.

Katalogstand pflegen

Der Anbieterkatalog ist eine Momentaufnahme und trägt seinen Stand sichtbar mit. Anbieterlagen ändern sich; die Einträge sind vor einer Entscheidung an der aktuellen Anbieterdokumentation und den eigenen Verträgen gegenzuprüfen.

Hilfe

Die beiden Modi

Quick-Check — die zwölf verbreitetsten Anwendungen als Kacheln anklicken, Datenarten wählen, fertig. Für eine erste Standortbestimmung in wenigen Minuten.

Expertenmodus — voller Katalog mit Suche und Kategoriefilter, eigene Anwendungen ergänzbar, und pro Anwendung sämtliche TIA-Felder einzeln editierbar. Für die Arbeit am konkreten Mandat.

Der Wechsel zwischen den Modi verwirft nichts — im Quick-Check erfasste Anwendungen bleiben im Expertenmodus vorhanden und lassen sich dort verfeinern.

Ablauf

  1. Unternehmensprofil ausfüllen, insbesondere die verarbeiteten Datenarten.
  2. Anwendungen aus dem Katalog übernehmen oder eigene ergänzen. Die Katalogwerte sind Startwerte — überschreiben Sie sie mit dem, was in Ihren Verträgen steht.
  3. Auswertung lesen: Kennzahlen, Risikoverteilung, Detailtabelle.
  4. Maßnahmen und europäische Alternativen prüfen.
  5. Zusammenfassung anpassen und den Bericht drucken.

Die Felder pro Anwendung

  • Souveränitätsstufe — wie weit reicht fremdes Recht auf die Daten durch? Von „Drittlandkonzern, weltweite Verarbeitung" bis „Eigenbetrieb in der EU".
  • Übermittlungsgrundlage — worauf stützen Sie die Übermittlung? Bei reinem EU-Betrieb ist keine erforderlich.
  • AVV — Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Unabhängig von der Drittlandfrage Pflicht, sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet.
  • Datenkategorie — was landet in dieser Anwendung? Besondere Kategorien nach Art. 9 und Beschäftigtendaten wiegen deutlich schwerer.
  • Zusatzmaßnahmen — was haben Sie ergänzend umgesetzt? Nur die Schlüsselhoheit senkt das Restrisiko wirklich deutlich.

Speichern und Laden

Der Stand wird automatisch im Browser gesichert und beim nächsten Aufruf wiederhergestellt. Speichern lädt den Stand zusätzlich als JSON-Datei herunter — für die Ablage im Mandat oder den Wechsel auf einen anderen Rechner. Laden spielt eine solche Datei wieder ein.

Grenzen des Tools

Die Bewertung folgt einem offengelegten Regelwerk, keiner KI. Sie ist damit nachvollziehbar und wiederholbar, kennt aber Ihren konkreten Vertragsstand nicht. Der Anbieterkatalog ist eine gepflegte Momentaufnahme und im Zweifel gegen die Trust-Center-Dokumentation des Anbieters zu prüfen — die Quelle ist bei jeder Anwendung verlinkt.