Fragen im Umgang mit Drittstaatentransfers.

Question

Wir haben Fragen im Umgang mit Drittstaatentransfers betreffend:    In unserer Praxis sollen häufig Anbieter eingesetzt werden, welche einen oder mehrere Unterauftragsverarbeiter mit Sitz in den USA haben. In der Regel haben die Auftragsverarbeiter höchstens SCC mit den Unterauftragsverarbeitern abgeschlossen, jedoch weder ein TIA durchgeführt noch daraus resultierende geeignete Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus implementiert. Bei einer Prüfung des Anbieters muss man nun zu dem Schluss kommen, dass dieser nicht DSGVO-konform einsetzbar ist. Dies beeinträchtigt insbesondere in Hinblick auf die Durchführung von Forschungsprojekten oder internationalen Kooperationen die Handlungsfähigkeit so massiv, dass im E-Fall die Projekte nicht durchgeführt werden können.       1.  Gibt es Ausnahmetatbestände, welche einen Drittstaatentransfer ermöglichen, wenn die Regelungen in Art. 49 nicht anwendbar sind und wenn ja, welche wären dies?     2.  Ist in irgendeiner Form das Forschungsprivileg anwendbar und wenn ja, bitte kurz ausführen?    3.  Was kann man tun, wenn bspw. ein Tool genutzt werden soll, zu welchem es nachweislich keine Alternative gibt, bei diesem Tool aber eine Übermittlung pbD erfolgt? Ein möglicherweise hoch gefördertes DFG-Projekt nicht durchführen zu können, weil ausschließlich ein US-Anbieter alleiniger Anbieter einer spezifischen Software ist, kann doch nicht die Lösung sein?    Ich danke Ihnen sehr für Ihre Unterstützung.

Rechtsanwältin Sonja Stadler · Accepted Answer

Sehr geehrter Fragesteller,    auf Grundlage der durch Sie mitgeteilten Informationen beantworte ich Ihre Frage wie folgt:    Nach meiner Erfahrung sollte es für einen IT-Dienstleister eine durchaus überwindbare Hürde darstellen zumindest für die gängigen Cloud-Anbieter AWS, Google und Microsoft ein TIA durchzuführen. Wenn das nicht möglich ist, dann sollte man bereits grundsätzlich die Qualität der dort angebotenen Dienstleistungen hinterfragen. Zumal diese Blattformen auch mit On-Boardmitteln &lpar;z.B. BYOK&rpar; bereits ermöglichen geeignete Maßnahmen zu ergreifen.    1. Sie können eine Einwilligung der betroffenen Personen in den Drittlandtransfer einholen, das ist im Rahmen der DSGVO ausdrücklich so vorgesehen.    2. Einen gesonderten Tatbestand der Privilegierung der Forschung gibt es in diesem Zusammenhang leider nicht.     3. Sie sollten prüfen, ob im Forschungskontext nicht eine Pseudonymisierung erfolgen kann, die das Risiko hinreichend reduziert.    Bei weiteren Fragen stehe ich Ihnen selbstverständlich jederzeit zur Verfügung.    Mit freundlichen Grüßen    Sonja Stadler  Rechtsanwältin

Fragen im Umgang mit Drittstaatentransfers.

Datenschutzrecht

Rechtsanwältin Sonja Stadler

Diese Frage ist vertraulich.

Antwort