Drittlandtransfer Behoerdenpaket Output

Drittlandtransfer-Behördenpaket-Output

Startsignal

Dieses Fachmodul, wenn der Nutzer sagt:

• "Die Aufsichtsbehörde fragt nach dem US-Transfer."
• "Wir brauchen ein Paket, das wir vorlegen können."
• "Bitte druckreif dokumentieren."
• "Zeig, dass DPF/SCC/TIA geprüft wurden."
• "Wir müssen nachweisen, dass ein Anbieter gelistet oder nicht gelistet ist."

Eingangslogik

1. Liegt bereits ein TIA vor? Wenn nein, us-transfer-tia-dokumentation vorschlagen und den fehlenden Kern extrahieren.
2. Liegen SCC vor? Wenn unklar, standardvertragsklauseln-scc-paket vorschlagen.
3. Liegt ein DPF-Nachweis vor? Wenn nein, Abruf/Prüfung als nicht verifiziert markieren und Nachholung als Sofortmaßnahme setzen.
4. Ist die Behördenfrist bekannt? Wenn ja, Ausgabe nach Frist priorisieren.

Paketstruktur

1. Deckvermerk

Erstelle einen klaren Vermerk:

• Aktenzeichen/Behördenbezug.
• Verantwortliche Stelle und Datenschutzkontakt.
• Betroffener Dienst/Transfer.
• Kurzentscheidung: DPF / SCC + TIA / BCR / Art. 49 / Stop.
• Standdatum.
• Liste der beigefügten Nachweise.
• Offene Punkte und Nachreichungsangebot.

2. Entscheidungsmatrix

3. Anlagenverzeichnis

Nummeriere die Anlagen:

1. Transferregister-Auszug.
2. DPF-Prüfvermerk mit Abrufdatum.
3. AVV/DPA.
4. SCC mit Modul- und Annex-I-III-Übersicht.
5. TIA-Vermerk.
6. TOM-/Security-Anlage.
7. Subprozessoren-Archiv.
8. Datenschutzhinweis-/VVT-Auszug.
9. Managemententscheidung.
10. Review-Kalender und Maßnahmenplan.

4. Behördenantwort

Formuliere neutral, präzise und ohne Überbehauptung:

• Was geprüft wurde.
• Welche Rechtsgrundlage aktuell herangezogen wird.
• Warum Safe Harbor/Privacy Shield nicht als aktuelle Grundlage genutzt werden.
• Ob DPF trägt und für welchen Scope.
• Falls DPF nicht trägt: welche SCC/BCR/TIA-Maßnahmen greifen.
• Welche Lücken erkannt und bis wann geschlossen werden.

Keine falsche Sicherheit: Wenn ein Nachweis fehlt, schreibe nicht "liegt vor", sondern "wird bis [Datum] nachgereicht" oder "ist beim Anbieter angefordert".

Drei Standardszenarien

A. US-Anbieter aktiv DPF-gelistet

Output-Schwerpunkt:

• DPF-Check als Hauptnachweis.
• Scope-Abgleich.
• Transferregister und AVV.
• TOMs und Subprozessoren als Kontrollnachweise.
• Review alle 6 bis 12 Monate und bei Zertifizierungsablauf.

B. US-Anbieter nicht oder nicht passend DPF-gelistet

Output-Schwerpunkt:

• SCC-Modulwahl.
• TIA mit Drittlandsrecht/Praxis und Zusatzmaßnahmen.
• Subprozessoren.
• Entscheidung "Freigabe mit Auflagen" oder "Stop".
• Keine Berufung auf DPF für diesen Transfer.

C. Altfall Safe Harbor/Privacy Shield

Output-Schwerpunkt:

• Historische Grundlage ausdrücklich als überholt markieren.
• Zeitraum und Datenflüsse abgrenzen.
• Aktuelle Ersatzgrundlage festlegen.
• Nachbereinigung von Datenschutzhinweisen, AVV, VVT und Einkaufsakten.

Druckreifes Ausgabeformat

Wenn der Nutzer "ausdrucken", "vorlegen", "Behörde" oder "Aktenvermerk" sagt, liefere:

1. Einseitige Executive Summary.
2. Vollvermerk mit Tabellen.
3. Anlagenliste.
4. Antwortschreiben.
5. Offene-Punkte-Liste mit Eigentümer und Datum.

Qualitätsgate vor Abschluss

• Stimmen Rechtsträgernamen überall überein?
• Ist der genaue Transfer benannt, nicht nur der Anbieter?
• Sind DPF/SCC/TIA logisch konsistent?
• Gibt es keine Behauptung "Shield gültig"?
• Sind Dokumentstände datiert?
• Sind offene Punkte sichtbar statt versteckt?
• Ist die nächste Wiedervorlage gesetzt?

Quellen und Aktualität

• Stand: 05/2026.
• DSGVO Art. 5 Abs. 2, Art. 24, Art. 28, Art. 30, Art. 44-49.
• EU-US Data Privacy Framework-Angemessenheitsbeschluss vom 10.07.2023.
• Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914.
• EDSA Recommendations 01/2020.