US-Transfer-TIA-Dokumentation
Zweck
Erstellt ein belastbares Dokumentationspaket für personenbezogene Datenübermittlungen in die USA. Er ist für Kanzleien, Datenschutzbeauftragte und Rechtsabteilungen gedacht, die gegenüber einer deutschen Aufsichtsbehörde zeigen müssen: Transfer identifiziert, Rechtsgrundlage gewählt, DPF-Listing geprüft, Alternativpfad SCC/BCR/TIA sauber dokumentiert, technische und organisatorische Maßnahmen bewertet, Wiedervorlage gesetzt.
Wichtige Grundregel: Safe Harbor und EU-US Privacy Shield sind keine aktuelle Transfergrundlage. Sie werden nur als historische Einordnung oder Altlastenprüfung dokumentiert. Aktuelle Pfade sind insbesondere Art. 45 DSGVO über den EU-US Data Privacy Framework-Angemessenheitsbeschluss bei teilnehmenden US-Organisationen, Art. 46 DSGVO mit Standardvertragsklauseln/BCR plus TIA oder im Ausnahmefall Art. 49 DSGVO.
Wann verwenden?
- Ein US-SaaS-, Cloud-, KI-, Support- oder Analyseanbieter verarbeitet personenbezogene Daten.
- Ein Anbieter behauptet DPF-Zertifizierung, aber Produkt, Konzernunternehmen, HR-Daten oder Subprozessoren sind unklar.
- Eine Aufsichtsbehörde fragt nach Drittlandtransfer, Schrems-II-Prüfung oder ergänzenden Maßnahmen.
- Ein AVV, DPA, SaaS-Vertrag oder Einkaufsvorgang braucht ein dokumentiertes Transfer Impact Assessment.
- Ein Altsystem berief sich früher auf Safe Harbor oder Privacy Shield und muss bereinigt werden.
Intake
Frage nur fehlende Punkte ab. Wenn Unterlagen vorliegen, zuerst aus den Dokumenten extrahieren.
| Punkt |
Konkret abfragen oder extrahieren |
| Exporteur |
Verantwortlicher/Auftragsverarbeiter, Sitz, zuständige Aufsichtsbehörde, Rolle im Transfer |
| Importeur |
US-Rechtsträger, Adresse, Mutter-/Tochtergesellschaft, DPF-Name, Produktname |
| Daten |
Kategorien personenbezogener Daten, besondere Kategorien Art. 9 DSGVO, Beschäftigtendaten, Mandantendaten |
| Zwecke |
Hosting, Support, Fernwartung, Analyse, KI-Training, Ticketing, CRM, Sicherheit, Abrechnung |
| Zugriff |
Speicherung USA, Remote Access, Subprozessoren, Support Level, Zugriff durch US-Personen |
| Transferpfad |
DPF, SCC Modul 1-4, BCR, Art. 49, Kombination |
| Unterlagen |
AVV/DPA, SCC, TOMs, Subprozessorliste, DPF-Auszug, Security Whitepaper, Datenschutzhinweise |
| Frist |
Behördenfrist, Vertragsdeadline, Go-live, Incident, Audit-Termin |
Prüf- und Arbeitsworkflow
1. Transferlandkarte
Erstelle zuerst eine Tabelle:
| Verarbeitung |
Datenexporteur |
Datenimporteur |
Land |
Datenarten |
Zweck |
Empfänger/Subprozessor |
Transferinstrument |
Status |
Markiere getrennt:
- Primärtransfer in die USA.
- Onward Transfers zu Subprozessoren.
- Reiner Zugriff aus den USA auf EU-gehostete Daten.
- Konzerninterne Transfers.
- Support-/Fernwartungssituationen.
2. DPF-Listing-Check
Prüfe und dokumentiere:
- Exakter Name des US-Rechtsträgers in der offiziellen DPF-Liste.
- Status aktiv/inaktiv, Zertifizierungsdatum und Re-Zertifizierungsdatum.
- Abdeckung EU-US DPF, nicht nur Swiss-US oder UK Extension.
- Abdeckung der relevanten Datenkategorien, insbesondere HR-Daten.
- Abdeckung des konkreten Produkts oder Dienstes, soweit aus DPF-Eintrag, Datenschutzerklärung und Vertrag ersichtlich.
- Beschwerdemechanismus, unabhängige Streitbeilegung und Kontaktstellen.
- Onward-Transfer-Regeln und Subprozessoren.
- Screenshot-/PDF-/Abrufnachweis mit Datum und Bearbeiter.
Bewertung:
DPF tragfähig: Exakter Importeur ist aktiv gelistet und der konkrete Transfer ist abgedeckt.DPF nur teilweise tragfähig: Konzernmutter gelistet, Produkt/Tochter/HR-Daten/Subprozessoren unklar.DPF nicht tragfähig: Kein aktiver Eintrag oder Transfer außerhalb der Abdeckung.
3. Schrems-Historie sauber einordnen
Für die Akte:
- EU-US Data Privacy Framework: aktueller Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023; nutzbar nur für teilnehmende US-Organisationen im sachlichen Umfang der Zertifizierung.
Formuliere nie, dass Safe Harbor oder Privacy Shield heute eine gültige Rechtsgrundlage seien.
4. Alternativpfad SCC/BCR/TIA
Wenn DPF nicht eindeutig trägt, prüfe:
- SCC Modul 1: Verantwortlicher an Verantwortlichen.
- SCC Modul 2: Verantwortlicher an Auftragsverarbeiter.
- SCC Modul 3: Auftragsverarbeiter an Auftragsverarbeiter.
- SCC Modul 4: Auftragsverarbeiter an Verantwortlichen.
- BCR, wenn konzerninterne genehmigte Regeln nachweislich passen.
- Art. 49 DSGVO nur eng und ausnahmsweise; nicht als Dauerlösung.
Verweise für die konkrete SCC-Ausarbeitung auf standardvertragsklauseln-scc-paket.
5. Transfer Impact Assessment
Dokumentiere entlang dieser Struktur:
| Kapitel |
Inhalt |
| A. Transferbeschreibung |
Wer übermittelt was, wohin, zu welchem Zweck, wie oft und über welche Infrastruktur? |
| B. Transferinstrument |
DPF, SCC/BCR oder Ausnahme; Begründung und Nachweise |
| C. Drittlandsrecht und Praxis |
Relevante Zugriffsbefugnisse, Importeurangaben, Transparenzberichte, Warrant-Canary/Policy, tatsächliche Zugriffserfahrung |
| D. Risiko für Betroffene |
Datenart, Sensibilität, Menge, Identifizierbarkeit, Schutzbedarf, mögliche Schäden |
| E. Ergänzende Maßnahmen |
Verschlüsselung, Key Management in EU/EWR, Pseudonymisierung, Zugriffsbeschränkung, Logging, Challenge Policy, Transparenz |
| F. Restrestrisiko |
Ampel, Begründung, offene Punkte, Entscheidungsträger |
| G. Wiedervorlage |
Trigger: Zertifizierungsablauf, neue Subprozessoren, Produktänderung, Behördenpraxis, EuGH/EDSA-Update |
6. Ergebnislogik
Gib immer ein klares Ergebnis aus:
- Freigabe möglich: Transferinstrument trägt, Dokumente vollständig, Restrestrisiko vertretbar.
- Freigabe mit Auflagen: Nachbesserungen nötig, z. B. SCC-Anlagen, Key Management, Subprozessor-Auskunft, DPF-Nachweis.
- Stop bis Klärung: Importeur nicht identifizierbar, DPF nicht tragfähig, keine SCC, hohes ungemindertes Risiko.
- Legacy-Bereinigung: Alte Safe-Harbor-/Privacy-Shield-Dokumentation ablösen, neue Grundlage festlegen.
Output-Paket
Erzeuge auf Wunsch ein zusammenhängendes Paket:
- Kurzvermerk für Geschäftsführung oder Mandant mit Entscheidung und Restfragen.
- Transferregister-Auszug nach Verarbeitungstätigkeit.
- DPF-Prüfvermerk mit Abrufdatum, Treffer, Scope und Lücken.
- TIA-Vollvermerk mit Maßnahmenmatrix.
- SCC/BCR-Verweisblatt mit Modulwahl und Anlagenstatus.
- TOM- und Supplementary-Measures-Anlage.
- Antwortbaustein für Aufsichtsbehörde.
- Wiedervorlage- und Monitoringplan.
Quellen und Aktualität
- Stand: 05/2026.
- DSGVO Art. 44-49.
- EU-Kommission: EU-US Data Privacy Framework, Angemessenheitsbeschluss vom 10.07.2023.
- Offizielle DPF-Liste: Data Privacy Framework Program, Participant Search.
- EU-Kommission: Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914.
- EDSA: Recommendations 01/2020 zu ergänzenden Maßnahmen, Final Version 18.06.2021.
Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.
1---2name: us-transfer-tia-dokumentation3description: Für US-Transfer-TIA-Dokumentation: ordnet Akte, Belege und Lücken; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt.4---56# US-Transfer-TIA-Dokumentation78## Zweck910Erstellt ein belastbares Dokumentationspaket für personenbezogene Datenübermittlungen in die USA. Er ist für Kanzleien, Datenschutzbeauftragte und Rechtsabteilungen gedacht, die gegenüber einer deutschen Aufsichtsbehörde zeigen müssen: Transfer identifiziert, Rechtsgrundlage gewählt, DPF-Listing geprüft, Alternativpfad SCC/BCR/TIA sauber dokumentiert, technische und organisatorische Maßnahmen bewertet, Wiedervorlage gesetzt.1112**Wichtige Grundregel:** Safe Harbor und EU-US Privacy Shield sind keine aktuelle Transfergrundlage. Sie werden nur als historische Einordnung oder Altlastenprüfung dokumentiert. Aktuelle Pfade sind insbesondere Art. 45 DSGVO über den EU-US Data Privacy Framework-Angemessenheitsbeschluss bei teilnehmenden US-Organisationen, Art. 46 DSGVO mit Standardvertragsklauseln/BCR plus TIA oder im Ausnahmefall Art. 49 DSGVO.1314## Wann verwenden?1516- Ein US-SaaS-, Cloud-, KI-, Support- oder Analyseanbieter verarbeitet personenbezogene Daten.17- Ein Anbieter behauptet DPF-Zertifizierung, aber Produkt, Konzernunternehmen, HR-Daten oder Subprozessoren sind unklar.18- Eine Aufsichtsbehörde fragt nach Drittlandtransfer, Schrems-II-Prüfung oder ergänzenden Maßnahmen.19- Ein AVV, DPA, SaaS-Vertrag oder Einkaufsvorgang braucht ein dokumentiertes Transfer Impact Assessment.20- Ein Altsystem berief sich früher auf Safe Harbor oder Privacy Shield und muss bereinigt werden.2122## Intake2324Frage nur fehlende Punkte ab. Wenn Unterlagen vorliegen, zuerst aus den Dokumenten extrahieren.2526| Punkt | Konkret abfragen oder extrahieren |27|---|---|28| Exporteur | Verantwortlicher/Auftragsverarbeiter, Sitz, zuständige Aufsichtsbehörde, Rolle im Transfer |29| Importeur | US-Rechtsträger, Adresse, Mutter-/Tochtergesellschaft, DPF-Name, Produktname |30| Daten | Kategorien personenbezogener Daten, besondere Kategorien Art. 9 DSGVO, Beschäftigtendaten, Mandantendaten |31| Zwecke | Hosting, Support, Fernwartung, Analyse, KI-Training, Ticketing, CRM, Sicherheit, Abrechnung |32| Zugriff | Speicherung USA, Remote Access, Subprozessoren, Support Level, Zugriff durch US-Personen |33| Transferpfad | DPF, SCC Modul 1-4, BCR, Art. 49, Kombination |34| Unterlagen | AVV/DPA, SCC, TOMs, Subprozessorliste, DPF-Auszug, Security Whitepaper, Datenschutzhinweise |35| Frist | Behördenfrist, Vertragsdeadline, Go-live, Incident, Audit-Termin |3637## Prüf- und Arbeitsworkflow3839### 1. Transferlandkarte4041Erstelle zuerst eine Tabelle:4243| Verarbeitung | Datenexporteur | Datenimporteur | Land | Datenarten | Zweck | Empfänger/Subprozessor | Transferinstrument | Status |44|---|---|---|---|---|---|---|---|---|4546Markiere getrennt:4748- Primärtransfer in die USA.49- Onward Transfers zu Subprozessoren.50- Reiner Zugriff aus den USA auf EU-gehostete Daten.51- Konzerninterne Transfers.52- Support-/Fernwartungssituationen.5354### 2. DPF-Listing-Check5556Prüfe und dokumentiere:57581. Exakter Name des US-Rechtsträgers in der offiziellen DPF-Liste.592. Status aktiv/inaktiv, Zertifizierungsdatum und Re-Zertifizierungsdatum.603. Abdeckung EU-US DPF, nicht nur Swiss-US oder UK Extension.614. Abdeckung der relevanten Datenkategorien, insbesondere HR-Daten.625. Abdeckung des konkreten Produkts oder Dienstes, soweit aus DPF-Eintrag, Datenschutzerklärung und Vertrag ersichtlich.636. Beschwerdemechanismus, unabhängige Streitbeilegung und Kontaktstellen.647. Onward-Transfer-Regeln und Subprozessoren.658. Screenshot-/PDF-/Abrufnachweis mit Datum und Bearbeiter.6667**Bewertung:**6869- `DPF tragfähig`: Exakter Importeur ist aktiv gelistet und der konkrete Transfer ist abgedeckt.70- `DPF nur teilweise tragfähig`: Konzernmutter gelistet, Produkt/Tochter/HR-Daten/Subprozessoren unklar.71- `DPF nicht tragfähig`: Kein aktiver Eintrag oder Transfer außerhalb der Abdeckung.7273### 3. Schrems-Historie sauber einordnen7475Für die Akte:7677- EU-US Data Privacy Framework: aktueller Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023; nutzbar nur für teilnehmende US-Organisationen im sachlichen Umfang der Zertifizierung.7879Formuliere nie, dass Safe Harbor oder Privacy Shield heute eine gültige Rechtsgrundlage seien.8081### 4. Alternativpfad SCC/BCR/TIA8283Wenn DPF nicht eindeutig trägt, prüfe:8485- SCC Modul 1: Verantwortlicher an Verantwortlichen.86- SCC Modul 2: Verantwortlicher an Auftragsverarbeiter.87- SCC Modul 3: Auftragsverarbeiter an Auftragsverarbeiter.88- SCC Modul 4: Auftragsverarbeiter an Verantwortlichen.89- BCR, wenn konzerninterne genehmigte Regeln nachweislich passen.90- Art. 49 DSGVO nur eng und ausnahmsweise; nicht als Dauerlösung.9192Verweise für die konkrete SCC-Ausarbeitung auf `standardvertragsklauseln-scc-paket`.9394### 5. Transfer Impact Assessment9596Dokumentiere entlang dieser Struktur:9798| Kapitel | Inhalt |99|---|---|100| A. Transferbeschreibung | Wer übermittelt was, wohin, zu welchem Zweck, wie oft und über welche Infrastruktur? |101| B. Transferinstrument | DPF, SCC/BCR oder Ausnahme; Begründung und Nachweise |102| C. Drittlandsrecht und Praxis | Relevante Zugriffsbefugnisse, Importeurangaben, Transparenzberichte, Warrant-Canary/Policy, tatsächliche Zugriffserfahrung |103| D. Risiko für Betroffene | Datenart, Sensibilität, Menge, Identifizierbarkeit, Schutzbedarf, mögliche Schäden |104| E. Ergänzende Maßnahmen | Verschlüsselung, Key Management in EU/EWR, Pseudonymisierung, Zugriffsbeschränkung, Logging, Challenge Policy, Transparenz |105| F. Restrestrisiko | Ampel, Begründung, offene Punkte, Entscheidungsträger |106| G. Wiedervorlage | Trigger: Zertifizierungsablauf, neue Subprozessoren, Produktänderung, Behördenpraxis, EuGH/EDSA-Update |107108### 6. Ergebnislogik109110Gib immer ein klares Ergebnis aus:111112- **Freigabe möglich:** Transferinstrument trägt, Dokumente vollständig, Restrestrisiko vertretbar.113- **Freigabe mit Auflagen:** Nachbesserungen nötig, z. B. SCC-Anlagen, Key Management, Subprozessor-Auskunft, DPF-Nachweis.114- **Stop bis Klärung:** Importeur nicht identifizierbar, DPF nicht tragfähig, keine SCC, hohes ungemindertes Risiko.115- **Legacy-Bereinigung:** Alte Safe-Harbor-/Privacy-Shield-Dokumentation ablösen, neue Grundlage festlegen.116117## Output-Paket118119Erzeuge auf Wunsch ein zusammenhängendes Paket:1201211. **Kurzvermerk für Geschäftsführung oder Mandant** mit Entscheidung und Restfragen.1222. **Transferregister-Auszug** nach Verarbeitungstätigkeit.1233. **DPF-Prüfvermerk** mit Abrufdatum, Treffer, Scope und Lücken.1244. **TIA-Vollvermerk** mit Maßnahmenmatrix.1255. **SCC/BCR-Verweisblatt** mit Modulwahl und Anlagenstatus.1266. **TOM- und Supplementary-Measures-Anlage**.1277. **Antwortbaustein für Aufsichtsbehörde**.1288. **Wiedervorlage- und Monitoringplan**.129130## Quellen und Aktualität131132- Stand: 05/2026.133- DSGVO Art. 44-49.134- EU-Kommission: EU-US Data Privacy Framework, Angemessenheitsbeschluss vom 10.07.2023.135- Offizielle DPF-Liste: Data Privacy Framework Program, Participant Search.136- EU-Kommission: Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914.137- EDSA: Recommendations 01/2020 zu ergänzenden Maßnahmen, Final Version 18.06.2021.138139> Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.
Klotzkette