Klotzkette Datentransfer im internationalen Handel
Arbeitsweg
- Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
- Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
- Tragende Normen verifizieren: HGB §§ 1-7, 17-37 (Firma/Register), 48-58 (Prokura), 84-92c (Handelsvertreter), 343 ff. (Handelsgeschäfte), 373 ff. (Handelskauf); CISG — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
- Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
- Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.
Worum es geht
Internationale Handelsverträge beinhalten häufig Datenaustausch (Kundendaten, Lieferantendaten, Zahlungsinformationen). DSGVO Art. 44-49 regelt Drittlandübermittlung streng: Ohne Angemessenheitsbeschluss sind Standardvertragsklauseln (SCC) oder Binding Corporate Rules erforderlich. Das EU-US Data Privacy Framework (2023) schafft einen neuen Angemessenheitsbeschluss.
Kernnormen / Kernquellen
- DSGVO Art. 44: Grundsatz — kein Transfer ohne angemessenes Schutzniveau
- DSGVO Art. 45: Angemessenheitsbeschluss (z.B. EU-US DPF, UK, Kanada)
- DSGVO Art. 46 Abs. 2 lit. c: Standardvertragsklauseln (SCC) als Garantie
- DSGVO Art. 49: Ausnahmen — Einwilligung, Vertragserforderlichkeit, wichtige öffentliche Interessen
- EU-US Data Privacy Framework (DPF) Beschluss 2023/1795: Neuer Angemessenheitsbeschluss USA
- Schrems II EuGH C-311/18 (2020): Privacy Shield ungültig; TIA für SCC erforderlich
Schlüsselbegriffe
- Angemessenheitsbeschluss: EU-Kommission entscheidet; DPF für USA, Adequacy für UK/Kanada
- SCC: Standardvertragsklauseln der EU-Kommission (Version 2021); Transfer Impact Assessment (TIA)
- Binding Corporate Rules (BCR): Konzernweiter Datenschutzrahmen; aufwändige Genehmigung
- TIA: Transfer Impact Assessment — Risikobewertung für SCC-gestützte Transfers
- Data Processing Agreement (DPA): DSGVO Art. 28 — Auftragsverarbeitung
Typische Streitfragen / Anwendungsfälle
- Kaufpreis-/Kundendaten werden in Cloud-System (USA) gespeichert: welche Grundlage?
- SCC 2021: Welche Module für welche Transfers (C2C, C2P, P2C)?
- TIA: Welche Rechtsordnung des Empfängerlandes ist zu bewerten (Schrems-II-Folge)?
- DPF 2023: Gilt es für alle US-Unternehmen oder nur für zertifizierte?
- Exportkontrolle und Datentransfer: Gilt EAR auch für Software-Übermittlung?
Methodik
- Transfer-Basis auswählen: (1) Angemessenheitsbeschluss?, (2) SCC + TIA?, (3) BCR?
- SCC-Modul-Wahl: C2C (beide Verantwortliche), C2P (Verantwortlicher → Auftragsverarbeiter)
- TIA-Dokumentation: Rechtslage des Empfängerlandes (Geheimdienste, Zugriff) bewerten
- Handelsvertrag: DPA nach Art. 28 DSGVO als Anhang einbinden