Was ist ein Transfer Impact Assessment (TIA)?

Hintergrund: Schrems II und die Folgen

Das EuGH-Urteil "Schrems II" vom 16. Juli 2020 (Rechtssache C-311/18) hat zwei zentrale Aussagen getroffen:

• Das EU-US Privacy Shield ist ungültig — die USA bieten kein dem EU-Recht gleichwertiges Schutzniveau für Datenübermittlungen, primär wegen US-Geheimdienstgesetze (FISA 702, EO 12333).
• Standard-Vertragsklauseln (SCC) bleiben grundsätzlich gültig, der Verantwortliche muss aber im Einzelfall prüfen, ob das Schutzniveau im Drittland in der Praxis erreicht wird. Falls nicht, sind ergänzende Maßnahmen erforderlich.

Im Juli 2023 hat die EU-Kommission den EU-US Data Privacy Framework als Nachfolger des Privacy Shield erlassen (Angemessenheitsbeschluss für die USA, soweit US-Unternehmen am Framework teilnehmen). Trotz Angemessenheitsbeschluss bleibt eine Restprüfung empfohlen — das Framework wird voraussichtlich erneut beklagt (Schrems-III-Verfahren erwartet).

Die EDSA hat im Juni 2021 die Empfehlungen 01/2020 zu ergänzenden Maßnahmen veröffentlicht — Stand 2026-05-16 weiterhin die zentrale Methodik-Quelle.

Die sechs Schritte des TIA

Die EDSA-Empfehlungen 01/2020 strukturieren die TIA in sechs Schritte:

1. Kenntnis der Übermittlungen: Welche Übermittlungen finden statt — welche Daten, welcher Empfänger, welches Drittland, welche Zwecke? Auch Sub-Verarbeitungen müssen erfasst werden (etwa wenn ein EU-Cloud-Anbieter selbst eine US-Sub-Verarbeitung nutzt).
2. Übermittlungsinstrument identifizieren: Angemessenheitsbeschluss (Art. 45 DSGVO), SCC (Art. 46 Abs. 2 lit. c), BCR (Art. 47), Ausnahmen (Art. 49)? Bei Angemessenheitsbeschluss endet die TIA-Pflicht weitgehend.
3. Schutzniveau im Drittland bewerten: Bewertung der Rechtslage und Praxis im Empfängerland — insbesondere Zugriffs- und Überwachungsbefugnisse der dortigen Behörden, Rechtsmittel der betroffenen Personen, unabhängige Aufsicht.
4. Ergänzende Maßnahmen (Supplementary Measures): falls das Schutzniveau nicht erreicht wird — technische Maßnahmen (Verschlüsselung, Pseudonymisierung), vertragliche Maßnahmen (zusätzliche Klauseln), organisatorische Maßnahmen (Berechtigungskonzept, Logging).
5. Verfahrensschritte und Dokumentation: Konsultation der Datenschutzaufsicht in Sonderfällen, schriftliche Dokumentation des TIA-Ergebnisses.
6. Re-Evaluierung: in regelmäßigen Abständen, spätestens bei wesentlichen Änderungen im Empfängerland (z.B. Gesetzesänderung).

Wann ist eine TIA Pflicht?

TIA ist Pflicht bei Drittland-Übermittlungen, die nicht auf einen Angemessenheitsbeschluss gestützt werden können. Konkret:

• USA: nach EU-US Data Privacy Framework bei zertifizierten Empfängern teilweise entlastet — bei nicht-zertifizierten Empfängern volle TIA-Pflicht.
• Großbritannien, Schweiz, Israel, Japan, Südkorea, Kanada, Argentinien, Uruguay, Neuseeland, Andorra, Färöer, Guernsey, Isle of Man, Jersey: Angemessenheitsbeschluss vorhanden — TIA reduziert auf grundsätzliche Konformitätsprüfung.

Detail

• China, Indien, Russland, alle anderen Drittstaaten ohne Angemessenheitsbeschluss: volle TIA-Pflicht bei jeder Übermittlung.

Übermittlungen innerhalb der EU und in den EWR (Norwegen, Island, Liechtenstein) erfordern keine TIA — sie sind keine Drittland-Übermittlungen.

Ergänzende Maßnahmen — was hilft, was nicht

Die EDSA listet in Annex 2 der Empfehlungen 01/2020 konkrete Maßnahmen. Auswahl der wichtigsten:

Technische Maßnahmen (häufig wirksam):

• Ende-zu-Ende-Verschlüsselung mit Schlüsselhalter ausschließlich im EU-Raum.
• Pseudonymisierung mit Schlüssel-Trennung — der Empfänger erhält nur pseudonymisierte Daten, die Re-Identifizierung ist im EU-Raum technisch ausgeschlossen.
• Geteilte Verarbeitung: nur ein nicht-personenbezogener Teil wird übermittelt.

Vertragliche Maßnahmen (eingeschränkt wirksam):

• Hinweispflichten des Empfängers bei Behörden-Auskunftsverlangen.
• Pflicht zur Rechtsmittel-Einlegung gegen unverhältnismäßige Auskunftsverlangen.
• Transparenzberichte über erhaltene Auskunftsverlangen.

Organisatorische Maßnahmen:

• Berechtigungskonzept mit Need-to-Know-Prinzip.
• Logging-Pflichten beim Empfänger.
• Schulung des Empfänger-Personals.

Was die EDSA als nicht ausreichend einstuft: rein vertragliche Zusicherungen, die das Drittlandsrecht effektiv umgehen würden — vor allem Klauseln, die dem Empfänger verbieten, einer rechtmäßigen Behörden-Anordnung zu folgen, sind in der Praxis wertlos, weil sie das Drittlandsrecht nicht aushebeln.

Drittland-Risiko-Bewertung — was prüft man?

Schritt 3 der EDSA-Methode ist der inhaltlich schwierigste — die Bewertung der Rechtslage im Empfängerland. Sechs Bewertungskriterien:

• Rechtsgrundlagen für staatlichen Zugriff: Welche Gesetze geben Behörden im Empfängerland Zugriffsrechte auf personenbezogene Daten?
• Reichweite der Zugriffsbefugnisse: Sind sie eng definiert oder generisch? Bestehen Massenüberwachungsbefugnisse?

Detail

• Verhältnismäßigkeitsanforderungen: Verlangt das Recht eine Verhältnismäßigkeitsprüfung im Einzelfall?
• Unabhängige Aufsicht: Gibt es eine unabhängige Aufsicht über die Behörden — Richter, Datenschutzaufsicht?
• Rechtsmittel für betroffene Personen: Kann ein Betroffener gegen einen Zugriff klagen?
• Internationale Verpflichtungen: Ist das Land Vertragspartner von Datenschutz-Abkommen wie der Konvention 108 des Europarats?

Für die USA hat die EDSA in 01/2020 negativ bewertet: FISA 702 und EO 12333 bieten keine Verhältnismäßigkeit im EU-Sinn, Rechtsmittel für EU-Bürger sind eingeschränkt, unabhängige Aufsicht ist unvollständig. Das Data Privacy Framework hat diese Lücken durch ein neues Beschwerdeverfahren und ein "Data Protection Review Court" geschlossen — Stand 2026-05-16 ist die Wirksamkeit dieser Mechanismen umstritten.

TIA-Dokumentation: Was gehört rein?

Eine TIA ist ein schriftliches Dokument mit folgenden Mindestinhalten:

• Beschreibung der Übermittlung (Daten, Empfänger, Zwecke, Volumen, Sensibilität).
• Übermittlungsinstrument (Angemessenheitsbeschluss, SCC, BCR, Ausnahme).

Detail

• Bewertung der Rechtslage im Empfängerland — mit Quellen-Verweisen.
• Beurteilung des Schutzniveaus — gleichwertig ja/nein, mit Begründung.
• Bei nicht gleichwertigem Schutzniveau: ergänzende Maßnahmen mit Wirksamkeits-Begründung.
• Verantwortlicher Akteur und Datum der Bewertung.
• Wiedervorlage-Datum.

Die TIA muss der Aufsicht auf Anfrage vorgelegt werden können. Ihre Erstellung ist Teil der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

Praxis: Wie KMU eine TIA effizient durchführen

Vollständige Vorgehensweise:

1. Inventar: alle Drittland-Übermittlungen erfassen (oft 20-40 Tools pro KMU).
2. Priorisierung: nach Datenvolumen und Sensibilität — Gesundheitsdaten und besondere Kategorien zuerst.
3. Pro Übermittlung: sechs EDSA-Schritte durchlaufen, Ergebnis schriftlich dokumentieren.
4. Risikoreiche Übermittlungen: ergänzende Maßnahmen umsetzen oder Anbieter wechseln.
5. Re-Evaluation: jährlich oder bei wesentlichen Änderungen.
6. Schulung: Mitarbeiter, die neue Tools einführen, kennen den TIA-Prozess als Stop-Gate.

FAQ

Reicht eine TIA pro Anbieter oder pro Übermittlung?

Idealerweise pro Übermittlung — also pro Tool und Datenkategorie. In der Praxis können ähnliche Übermittlungen an denselben Anbieter zusammengefasst werden (etwa "alle Mitarbeiter-E-Mails über Microsoft 365" als eine Übermittlung). Wichtig ist, dass alle wesentlichen Übermittlungen erfasst und bewertet sind.

Was passiert, wenn ich keine TIA habe?

Verstoß gegen Art. 46 i.V.m. Art. 5 Abs. 2 DSGVO. Bußgelder können bis zu 20 Mio. € oder 4 % Konzernumsatz gehen (Art. 83 Abs. 5 DSGVO). In der deutschen Bußgeldpraxis hat die BfDI und Landesaufsichten in 2023-2025 mehrfach Bußgelder für unzureichende Drittlandprüfungen verhängt — typisch fünfstellig bis sechsstellig.

Können wir die TIA an einen externen Dienstleister auslagern?

Ja, die inhaltliche Bewertung kann durch externe Berater erfolgen. Die Verantwortung bleibt aber beim Verantwortlichen — die TIA muss vom Verantwortlichen geprüft und freigegeben werden. Pure Outsourcing-Lösungen "Anbieter X bestätigt TIA" sind nicht ausreichend.

Gibt es ein TIA-Template?

Ja. Die EDSA hat in den Empfehlungen 01/2020 Beispiele und Vorlagen veröffentlicht. Die deutschen Aufsichtsbehörden — koordiniert über die DSK — haben zusätzliche Praxis-Hilfen erstellt. ComplyCheck bietet ein vorlagebasiertes TIA-Tool, das den EDSA-Prozess strukturiert.