Das Wichtigste
- Eine Anfrage an den Server eines Drittanbieters übermittelt die IP-Adresse des Besuchers: Außerhalb des EWR gilt Kapitel V DSGVO.
- Nach dem EU-US Data Privacy Framework zertifizierte US-Empfänger stützen sich auf den Angemessenheitsbeschluss von 2023.
- Für andere ist ein anderes Instrument erforderlich, in der Regel Standardvertragsklauseln mit einer Beurteilung.
Warum eine Anfrage eine Übermittlung ist
Ruft ein Browser ein Skript, ein Pixel oder eine Schriftart vom Server eines anderen Unternehmens ab, erhält dieser Server die IP-Adresse des Besuchers und oft weitere Kennungen. Ist der Empfänger außerhalb des Europäischen Wirtschaftsraums niedergelassen, gilt für diese Übermittlung Kapitel V der DSGVO.
Besucher in der EUBrowser
GET Seite
Ihre WebsiteEU
IP + Kennungen
DrittanbieterVereinigte Staaten
Jede Anfrage an einen Drittanbieter ist eine Übermittlung in das Land des Empfängers. Ist er nach dem Data Privacy Framework zertifiziert? Falls nicht, welche Garantie greift?
Was sich 2020 und 2023 geändert hat
- Im Juli 2020 erklärte der EuGH das EU-US Privacy Shield für ungültig (Schrems II, C-311/18) und verlangte bei der Nutzung von Standardvertragsklauseln eine Beurteilung des Ziellandes.
- Am 10. Juli 2023 erließ die Europäische Kommission einen Angemessenheitsbeschluss für das EU-US Data Privacy Framework. Übermittlungen an danach zertifizierte US-Unternehmen stützen sich auf diesen Beschluss; für andere ist weiterhin ein anderes Instrument erforderlich, in der Regel Standardvertragsklauseln mit einer Beurteilung.
Was Sie für jeden Drittanbieter prüfen sollten
- Wer die Daten erhält und wo der Empfänger niedergelassen ist.
- Bei einem US-Empfänger: ob er auf der Liste des Data Privacy Framework als zertifiziert geführt wird.
- Ob der Zweck vorab eine Einwilligung erfordert (siehe § 25 TDDDG) und ob der Dienst ersetzt oder in der EU gehostet werden könnte.
- Dass der Anbieter, sein Zweck und die Übermittlung in Ihrem Verzeichnis von Verarbeitungstätigkeiten aufgeführt sind.
Checkliste
- Jeder Drittanbieter mit dem Land aufgeführt, in dem sein Empfänger niedergelassen ist.
- US-Empfänger mit der Liste des Data Privacy Framework abgeglichen (die Zertifizierung kann erlöschen).
- Standardvertragsklauseln und eine Übermittlungsbeurteilung für die übrigen.
- Vorab eingeholte Einwilligung, wo der Zweck dies erfordert.
- Übermittlungen im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) dokumentiert.
Quellen
- Kapitel V DSGVO (Art. 44 bis 49).
- EuGH, Urteil vom 16. Juli 2020, Data Protection Commissioner gegen Facebook Ireland und Schrems, C-311/18.
- Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 (EU-US Data Privacy Framework).
- Durchführungsbeschluss (EU) 2021/914 der Kommission (Standardvertragsklauseln).
Allgemeine Informationen, keine Rechtsberatung. Lassen Sie Ihre konkrete Situation von Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung prüfen.