Was ist ein Transfer Impact Assessment (TIA)?

Hintergrund: Schrems II und das Data Privacy Framework

Das EuGH-Urteil „Schrems II" vom 16. Juli 2020 (Rechtssache C-311/18) hat zwei Aussagen getroffen:

• Das EU-US Privacy Shield ist ungültig. Maßgeblich waren die Zugriffsbefugnisse der US-Nachrichtendienste, insbesondere nach Section 702 FISA und Executive Order 12333, und fehlende Rechtsbehelfe für Betroffene aus der EU.
• Standardvertragsklauseln bleiben grundsätzlich gültig. Wer sie nutzt, muss aber im Einzelfall prüfen, ob das Schutzniveau im Drittland in der Praxis erreicht wird, und notfalls ergänzende Maßnahmen ergreifen.

Am 10. Juli 2023 hat die EU-Kommission den Angemessenheitsbeschluss zum EU-US Data Privacy Framework erlassen (Durchführungsbeschluss (EU) 2023/1795). Er gilt für US-Unternehmen, die sich unter dem Framework zertifiziert haben. Die Klage des französischen Abgeordneten Philippe Latombe dagegen hat das Gericht der EU am 3. September 2025 abgewiesen (T-553/23). Latombe hat am 31. Oktober 2025 Rechtsmittel beim EuGH eingelegt (C-703/25 P). Das Verfahren ist anhängig. Bis zu einer anderslautenden Entscheidung gilt der Beschluss.

Die EDSA-Empfehlungen 01/2020 in der Endfassung vom 18. Juni 2021 sind weiterhin die maßgebliche Methodik. Einen praktischen Leitfaden mit Prüfschema hat die französische Aufsichtsbehörde CNIL am 31. Januar 2025 in Endfassung veröffentlicht.

Die sechs Schritte nach EDSA-Empfehlungen 01/2020

Die EDSA-Empfehlungen 01/2020 gliedern die Prüfung in sechs Schritte:

1. Übermittlungen kennen: Welche Daten gehen an welchen Empfänger, in welches Land, zu welchem Zweck? Weiterübermittlungen gehören dazu, etwa wenn ein EU-Cloud-Anbieter selbst einen Unterauftragsverarbeiter in einem Drittland einsetzt.
2. Übermittlungsinstrument bestimmen: Angemessenheitsbeschluss (Art. 45 DSGVO), SCC (Art. 46 Abs. 2 lit. c), Binding Corporate Rules (Art. 47) oder eine Ausnahme nach Art. 49. Für Übermittlungen, die unter einen Angemessenheitsbeschluss fallen, sind laut EDSA keine weiteren Schritte nötig.
3. Wirksamkeit des Instruments beurteilen: Hindern Recht oder Praxis im Drittland den Empfänger daran, die Garantien einzuhalten? Maßstab für staatliche Zugriffe sind die „Europäischen Wesentlichen Garantien" (EDSA-Empfehlungen 02/2020).
4. Ergänzende Maßnahmen ergreifen, wenn das Instrument allein nicht ausreicht: technisch, vertraglich oder organisatorisch.
5. Verfahrensschritte, wenn wirksame ergänzende Maßnahmen gefunden wurden. Welche Schritte das sind, hängt vom verwendeten Instrument ab.
6. In angemessenen Abständen neu bewerten, insbesondere wenn sich Recht oder Praxis im Empfängerland ändern.

Wann ist eine TIA nötig?

Eine TIA ist nötig, wenn die Übermittlung auf einem Instrument nach Art. 46 DSGVO beruht, in der Praxis meist auf Standardvertragsklauseln. Für SCC schreibt Klausel 14 Buchstabe d vor, die Beurteilung „zu dokumentieren und sie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen".

Keine TIA ist nötig, wenn ein Angemessenheitsbeschluss greift. Übermittlungen dorthin werden laut EU-Kommission wie Übermittlungen innerhalb der EU behandelt, ohne weitere Garantien. Stand 18.09.2026 hat die Kommission Angemessenheit festgestellt für:

• Andorra, Argentinien, Brasilien, die Färöer, Guernsey, Israel, die Isle of Man, Japan, Jersey, Neuseeland, die Republik Korea, die Schweiz und Uruguay,
• Kanada (nur für kommerzielle Organisationen),
• das Vereinigte Königreich: Die Beschlüsse wurden am 19. Dezember 2025 erneuert und laufen bis 27. Dezember 2031,
• die USA, aber nur für Unternehmen, die am EU-US Data Privacy Framework teilnehmen,
• die Europäische Patentorganisation.

Für alle anderen Drittländer, etwa China, Indien oder Russland, und für nicht zertifizierte US-Empfänger braucht es ein Instrument nach Art. 46 und damit eine TIA. Ausgenommen sind nur Übermittlungen, die sich auf eine der eng auszulegenden Ausnahmen nach Art. 49 DSGVO stützen lassen; für sie verlangen die EDSA-Empfehlungen keine Beurteilung nach Schritt 3. Übermittlungen innerhalb des EWR (EU plus Norwegen, Island, Liechtenstein) sind keine Drittlandübermittlungen.

Recht und Praxis im Drittland: was geprüft wird

Klausel 14 Buchstabe b der SCC nennt drei Aspekte, die die Parteien „gebührend berücksichtigt" haben müssen:

• die besonderen Umstände der Übermittlung: Länge der Verarbeitungskette, Zahl der Beteiligten, Übertragungskanäle, Weiterübermittlungen, Art des Empfängers, Zweck, Kategorien und Format der Daten, Wirtschaftszweig, Speicherort,
• Rechtsvorschriften und Gepflogenheiten des Drittlands, die angesichts dieser Umstände relevant sind, einschließlich solcher, die Behörden den Zugang zu den Daten gestatten, sowie die dort geltenden Beschränkungen und Garantien,
• vertragliche, technische oder organisatorische Garantien, die ergänzend eingerichtet wurden.

Für den zweiten Punkt verweist der EDSA auf seine Empfehlungen 02/2020 zu den Europäischen Wesentlichen Garantien (10. November 2020). Geprüft wird unter anderem, ob staatliche Zugriffe auf klaren, präzisen und zugänglichen Regeln beruhen, ob sie notwendig und verhältnismäßig sind, ob es eine unabhängige Aufsicht gibt und ob Betroffenen wirksame Rechtsbehelfe offenstehen.

Sonderfall USA ohne Zertifizierung: Mit dem Data Privacy Framework haben die USA die Executive Order 14086 und ein Rechtsbehelfsverfahren samt Data Protection Review Court eingeführt. Laut EDSA gelten diese Garantien für alle Daten, die in die USA übermittelt werden, unabhängig vom Übermittlungsinstrument. Sie fließen damit auch in eine TIA für SCC-Übermittlungen an nicht zertifizierte US-Empfänger ein.

Ergänzende Maßnahmen: was hilft, was nicht

Anhang 2 der EDSA-Empfehlungen 01/2020 enthält eine nicht abschließende Liste von Beispielen. Eine Auswahl:

Technische Maßnahmen

• Verschlüsselung, bei der die Schlüssel ausschließlich im EWR verbleiben, etwa für Backups, auf die der Empfänger nicht im Klartext zugreifen muss (Anwendungsfall 1).
• Pseudonymisierung, bei der die Zuordnungsinformationen im EWR bleiben (Anwendungsfall 2).
• Aufgeteilte Verarbeitung durch mehrere Stellen, von denen keine allein die Daten zuordnen kann (Anwendungsfall 5).

Vertragliche Maßnahmen

• verstärkte Transparenzpflichten des Empfängers, etwa ein regelmäßig veröffentlichter „Warrant Canary",
• die Pflicht des Empfängers, behördliche Offenlegungsanordnungen auf ihre Rechtmäßigkeit zu prüfen und sie anzufechten, wenn das Recht des Empfängerlands dafür Gründe bietet.

Organisatorische Maßnahmen

• interne Richtlinien mit klarer Zuständigkeit für Übermittlungen, Meldewegen und Abläufen für Zugriffsersuchen von Behörden,
• Datenminimierung: nur übermitteln, was für den Zweck erforderlich ist.

TIA-Dokumentation: Was gehört hinein?

Eine feste Vorlage schreibt weder die DSGVO noch der EDSA vor. Aus Klausel 14 der SCC und den Schritten der EDSA-Empfehlungen ergibt sich aber ein Mindestinhalt:

• Beschreibung der Übermittlung: Daten, Empfänger, Zweck, Speicherort, Weiterübermittlungen (Klausel 14 b i),
• das verwendete Übermittlungsinstrument und SCC-Modul,
• die Bewertung von Recht und Praxis im Empfängerland mit Quellenangaben (Klausel 14 b ii),
• die ergänzenden Maßnahmen und warum sie wirksam sind (Klausel 14 b iii),
• das Ergebnis mit Begründung, die verantwortliche Stelle, Datum und Wiedervorlage.

Die TIA muss der Aufsichtsbehörde auf Anfrage vorgelegt werden können (Klausel 14 d). Sie ist zugleich Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Praxis: Vorgehen für KMU

1. Inventar: alle Drittland-Empfänger erfassen, auch Unterauftragsverarbeiter von EU-Anbietern. Das Verfahrensverzeichnis ist dafür der natürliche Ausgangspunkt.
2. Sortieren: Angemessenheitsbeschluss oder DPF-Zertifizierung vorhanden? Dann keine TIA.
3. Priorisieren: übrige Übermittlungen nach Sensibilität und Umfang ordnen, besondere Kategorien nach Art. 9 DSGVO zuerst.
4. Prüfen und dokumentieren: je Übermittlung die Punkte aus Klausel 14 b durchgehen, den Empfänger um Auskunft zu Recht und Praxis bitten und das Ergebnis festhalten.
5. Umsetzen: ergänzende Maßnahmen einführen oder, wenn keine wirksam ist, den Anbieter wechseln.
6. Wiedervorlage: bei Änderungen im Empfängerland neu bewerten, etwa bei einer Entscheidung des EuGH im Verfahren C-703/25 P.

Die Drittland-Angaben zu Unterauftragsverarbeitern lassen sich direkt im AVV-Generator erfassen.

FAQ

Brauche ich für einen DPF-zertifizierten US-Anbieter eine TIA?

Nein, solange der Anbieter aktiv zertifiziert ist und die Zertifizierung die übermittelten Daten umfasst. Laut EDSA können solche Übermittlungen auf den Angemessenheitsbeschluss gestützt werden, ohne ein Instrument nach Art. 46 DSGVO. Damit greift auch Klausel 14 der SCC nicht. Hebt der EuGH den Beschluss im Verfahren C-703/25 P auf, bräuchten diese Übermittlungen wieder SCC und damit eine TIA.

Reicht eine TIA pro Anbieter oder pro Übermittlung?

Klausel 14 b stellt auf die „besonderen Umstände der Übermittlung" ab, also auf Daten, Zweck und Verarbeitungskette. Gleichartige Übermittlungen an denselben Empfänger lassen sich in einer Beurteilung zusammenfassen, wenn diese Umstände übereinstimmen.

Was passiert, wenn keine TIA vorliegt?

Beruht eine Übermittlung auf SCC, fehlt ohne die Beurteilung nach Klausel 14 eine Voraussetzung des Vertrags. Verstöße gegen die Übermittlungsregeln der Art. 44 bis 49 DSGVO können nach Art. 83 Abs. 5 lit. c DSGVO mit Geldbußen bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

Kann die TIA ausgelagert werden?

Die inhaltliche Bewertung kann durch externe Berater erfolgen, und nach Klausel 14 c muss der Datenimporteur den Exporteur dabei mit relevanten Informationen unterstützen. Die Verantwortung für die Beurteilung bleibt aber bei den Vertragsparteien.

Gibt es eine offizielle TIA-Vorlage?

Eine verbindliche Vorlage gibt es nicht. Die EDSA-Empfehlungen 01/2020 beschreiben die Methodik und enthalten in Anhang 2 Beispiele für ergänzende Maßnahmen. Die CNIL hat mit ihrem Leitfaden vom 31. Januar 2025 ein ausführliches Prüfschema veröffentlicht, das sich als Gliederung eignet.