VIII - Internationaler Datentransfer

gilt für jede Niederlassung eines Verantwortlichen oder Auftragsverarbeiters in der EU

gilt wenn Datenverarbeitung im Zusammenhang mit betroffenen Personen in der EU steht -> Waren oder Dienstleistungen für sie anbieten

gilt wenn Verhalten betroffener Personen in der EU beobachtet wird

räumlicher Anwendungsbereich ist erweitert auf Mitgliedsstaaten des EWR (EU + Island, Lichtenstein, Norwegen)

Werbe/Verkaufsmaßnahmen sind gezielt auf Personen in der EU

• EU-Währung, Top-Level Domain, Hinweis auf Versand in EU

Sprache eines EU-Landes, Abrufbarkeit einer Website alleine unzureichend

muss benannt werden wenn räumlicher Anwendungsbereich für Verantwortlichen oder Auftragsverarbeiter geöffnet ist

in schriftform und ausdrückliche Benennung

muss in Mitgliedsstaat niedergelassen sein

Ansprechpartner für Aufsichtbehörden und betroffenen Personen im Zusammenhang mit der Verarbeitung

Gelegentliche oder nicht umfangreiche Verarbeitung von pbD und besonderer Kategorien pbD

Verarbeitung führt nicht zu Risiko für Rechte und Freiheiten natürlicher Personen

keine Pflicht für Behörden und öffentliche Stellen

erfordert bei Datenübermittlung an Drittländer oder internationale Organisaitonen

Verantwortlichre oder Auftragsverarbeiter im räumlichen Anwendungsbereich der DSGVO

Verantwortlicher oder Auftragsverarbeiter im Drittland (außerhalb EWR)

Ausdrückliche informierte Einwilligung der betroffenen Person

Übermittlung muss für Erfüllung eines Vertrages zwischen betroffener Person und Verantwortlichen erforderlich sein

vertragliche Leistung bedingt Datenübermittlung ins Drittland (z.B. Hotelbuchung)

verbindliche Datenschutzvorschriften

Angemessenheitsbeschluss der europäischen Kommission

Standardvertragsklauseln (SCC)

allgemeine datenschutzanforderung müssen eingehalten werden

soweit erforlich ist ein Auftragsverarbeitungsvertrag abzuschließen

• für Länder: Andorra, Argentinien, Kanada, Färöer, Südkorea, Schweiz, Uruguay, Vereinigtes Königreich, USA

Mustervertragswerk von EU bereitgestellt

SCC ersetzen AVV

müssen zur Wirksamkeit unverändert bleiben

SCC erhalten Pflichten der Vertragsparteien

• Pflicht zu Durchführung einer Risikoanalyse

ist eine Risikoanalyse zur Gefahr der Offenbarung der pbD insbesondere durch Nachrichtendienste

Datenimporteur versichert dass Gesetze im Zielland ihn nicht daran hindern seine Datenschutzpflichten einzuhalten

Beide Parteien überprüfen dass

• welche Daten werden übermittelt

• wer ist an der Verarbeitung beteiligt

• wo werden Gesetze gespeichert

• Welche Gesetze gelten im Zielland

Datenimporteur stellt Datenexporteur relevante Informationen zur Verfügung

Risikobewertung wird schriftlich festgehalten