Nexvyra

Transfer Impact Assessment (TIA) – Datentransfer-Folgenabschätzung (Art. 46 DSGVO, VO 2016/679) nach Schrems II (C-311/18) In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-07-25 · letzte Prüfung: 2026-07-25 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Ein **Transfer Impact Assessment (TIA)** – deutsch **Datentransfer-Folgenabschätzung** – ist die verpflichtende **Einzelfallprüfung**, ob bei einer Übermittlung personenbezogener Daten in ein **Drittland** (Staat außerhalb EU/EWR ohne Angemessenheitsbeschluss) das Recht und die Praxis des Ziellandes ein **der EU im Wesentlichen gleichwertiges Schutzniveau** gewährleisten. Rechtlicher Auslöser ist das **Schrems-II-Urteil des EuGH vom 16. Juli 2020 (Rechtssache C-311/18, ECLI:EU:C:2020:559)**: Der Gerichtshof erklärte den **EU-US Privacy Shield für ungültig** und stellte klar, dass **Standardvertragsklauseln (SCC)** zwar gültig bleiben, der **Datenexporteur** aber **vor jeder Übermittlung** prüfen muss, ob der Importeur die Garantien im Drittland tatsächlich einhalten kann. Ist das nicht der Fall, sind **zusätzliche (ergänzende) Maßnahmen** zu ergreifen oder die Übermittlung ist **auszusetzen**. Das TIA ist damit die praktische Umsetzung von **Art. 46 DSGVO** (Übermittlung vorbehaltlich geeigneter Garantien) in Verbindung mit der **Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO**: Die Prüfung muss **dokumentiert** werden. Methodische Grundlage sind die **Empfehlungen 01/2020 des Europäischen Datenschutzausschusses (EDSA/EDPB)** – angenommen am **10. November 2020**, finale Fassung (Version 2.0) vom **18. Juni 2021** –, die einen **6-Schritte-Ansatz** vorgeben. Seit dem **EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023)** entfällt das TIA für Übermittlungen an **DPF-zertifizierte** US-Empfänger; für alle übrigen Drittländer und nicht zertifizierte US-Importeure bleibt es Pflicht. Wer ohne dokumentiertes TIA auf SCC-Basis in ein Drittland übermittelt, verstößt gegen **Kapitel V DSGVO** – das fällt in den **höheren Bußgeldrahmen des Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** (der höhere Wert gilt).

Kernfakten

PunktWert
WasEinzelfallprüfung des Schutzniveaus vor Drittlandübermittlung (Datentransfer-Folgenabschätzung)
RechtsgrundlageArt. 46 DSGVO i. V. m. Art. 44 (allgemeiner Grundsatz) und Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) [VO 2016/679]
Auslösendes UrteilEuGH, 16.07.2020, C-311/18 „Schrems II" (ECLI:EU:C:2020:559)
Kernaussage Schrems IIPrivacy Shield ungültig; SCC gültig, aber Einzelfallprüfung durch Exporteur nötig
MethodikEDSA/EDPB-Empfehlungen 01/2020, 6-Schritte-Ansatz
EDPB-Empfehlungen angenommen10. November 2020 (zur öffentlichen Konsultation)
EDPB-Empfehlungen final18. Juni 2021 (Version 2.0)
Wer muss prüfenDatenexporteur (Verantwortlicher oder Auftragsverarbeiter in der EU/EWR)
Wannvor der Übermittlung; danach regelmäßige Neubewertung
Verankerung in SCCKlausel 14 der SCC (Durchführungsbeschluss (EU) 2021/914) verlangt das TIA ausdrücklich
Dokumentationspflichtja – Nachweis gegenüber Aufsichtsbehörde (Art. 5 Abs. 2 DSGVO)
Ergänzende Maßnahmenz. B. starke Verschlüsselung, Pseudonymisierung, „Split/Multi-Party-Processing"
Ausnahme US-Transferkein TIA bei Übermittlung an DPF-zertifizierte US-Empfänger (Beschluss (EU) 2023/1795)
Ausnahmen (ohne Garantien)Art. 49 DSGVO (z. B. ausdrückliche Einwilligung, Vertragserfüllung) – nur eng, kein Dauerinstrument
Sanktionsrahmenbis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 DSGVO]
Beweislastbeim Exporteur (Rechenschaftspflicht)

Geltungsbereich

Ein TIA ist erforderlich, wenn personenbezogene Daten aus der EU/EWR in ein Drittland übermittelt werden und die Übermittlung auf geeignete Garantien nach Art. 46 DSGVO gestützt wird – typischerweise Standardvertragsklauseln (SCC) oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR).

Kein TIA ist nötig, wenn

Wichtig: Eine Übermittlung liegt bereits vor, wenn Daten für einen Dienstleister im Drittland zugänglich sind (Fernzugriff, Support, Cloud-Speicherung) – nicht erst beim physischen „Versenden". Auch Unterauftragsverarbeiter in Drittländern lösen die Prüfpflicht aus.

Detail: Der 6-Schritte-Ansatz des EDSA (Empfehlungen 01/2020)

Der Europäische Datenschutzausschuss gibt für das TIA sechs Schritte vor:

  1. Kenntnis der eigenen Übermittlungen – Daten-Mapping: Welche Daten gehen an wen, wohin, in welchem Umfang?
  2. Übermittlungsinstrument bestimmen – Angemessenheitsbeschluss (Art. 45), geeignete Garantie (Art. 46, meist SCC/BCR) oder Ausnahme (Art. 49).
  3. Rechtslage und Praxis im Drittland bewerten – bietet das Recht des Ziellandes ein im Wesentlichen gleichwertiges Schutzniveau, insbesondere mit Blick auf Zugriffsrechte von Behörden/Nachrichtendiensten und effektiven Rechtsschutz?
  4. Ergänzende Maßnahmen identifizieren – falls das Schutzniveau nicht ausreicht: technische (z. B. Verschlüsselung mit ausschließlich EU-seitigem Schlüssel), vertragliche und organisatorische Maßnahmen.
  5. Maßnahmen umsetzen – ggf. formale Verfahrensschritte (bei BCR/SCC-Anpassungen).
  6. Regelmäßige Neubewertung – das Schutzniveau im Drittland fortlaufend überwachen und das TIA aktualisieren.

Kommt die Prüfung zu dem Ergebnis, dass auch mit ergänzenden Maßnahmen kein gleichwertiges Schutzniveau erreichbar ist, muss die Übermittlung unterbleiben oder ausgesetzt werden.

Detail: Verhältnis zu SCC, DPF und Art. 49-Ausnahmen

Das TIA ersetzt die geeignete Garantie nicht, sondern ergänzt sie. Klausel 14 der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) verpflichtet beide Parteien ausdrücklich, vor der Übermittlung zu prüfen und zu dokumentieren, ob die Klauseln im Drittland eingehalten werden können.

Für die USA hat der Angemessenheitsbeschluss (EU) 2023/1795 die Lage vereinfacht: Übermittlungen an DPF-zertifizierte Empfänger gelten als angemessen und benötigen kein TIA und keine SCC. Für nicht zertifizierte US-Empfänger sowie alle anderen Drittländer ohne Angemessenheitsbeschluss bleibt das TIA verpflichtend.

Die Ausnahmen des Art. 49 DSGVO (z. B. ausdrückliche Einwilligung, Erforderlichkeit zur Vertragserfüllung) erlauben Übermittlungen ohne geeignete Garantien – aber nur einzelfallbezogen, gelegentlich und eng ausgelegt; sie taugen nach Auffassung des EDSA nicht als Grundlage für regelmäßige, dauerhafte Datenflüsse.

Häufige Fehler

Änderungsverlauf

Stand

Quellen

Letzte Änderung:
2026-07-25
Letzte Prüfung:
2026-07-25
In Kraft seit:
2020-07-16
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.