--- title: Transfer Impact Assessment (TIA) – Datentransfer-Folgenabschätzung (Art. 46 DSGVO, VO 2016/679) nach Schrems II (C-311/18) seo_title: Transfer Impact Assessment… slug: transfer-impact-assessment-tia-schrems-ii topic: datenschutz legal_status: in_force authority_level: A valid_from: 2020-07-16 valid_to: null last_reviewed: 2026-07-25 status: aktuell license: CC-BY-4.0 url: https://nexvyra.de/fakten/transfer-impact-assessment-tia-schrems-ii.md wikidata_subjects: [Q1172506, Q60520997] factcheck_status: ok --- # Transfer Impact Assessment (TIA) – Datentransfer-Folgenabschätzung (Art. 46 DSGVO, VO 2016/679) nach Schrems II (C-311/18) ## Kurzantwort Ein **Transfer Impact Assessment (TIA)** – deutsch **Datentransfer-Folgenabschätzung** – ist die verpflichtende **Einzelfallprüfung**, ob bei einer Übermittlung personenbezogener Daten in ein **Drittland** (Staat außerhalb EU/EWR ohne Angemessenheitsbeschluss) das Recht und die Praxis des Ziellandes ein **der EU im Wesentlichen gleichwertiges Schutzniveau** gewährleisten. Rechtlicher Auslöser ist das **Schrems-II-Urteil des EuGH vom 16. Juli 2020 (Rechtssache C-311/18, ECLI:EU:C:2020:559)**: Der Gerichtshof erklärte den **EU-US Privacy Shield für ungültig** und stellte klar, dass **Standardvertragsklauseln (SCC)** zwar gültig bleiben, der **Datenexporteur** aber **vor jeder Übermittlung** prüfen muss, ob der Importeur die Garantien im Drittland tatsächlich einhalten kann. Ist das nicht der Fall, sind **zusätzliche (ergänzende) Maßnahmen** zu ergreifen oder die Übermittlung ist **auszusetzen**. Das TIA ist damit die praktische Umsetzung von **Art. 46 DSGVO** (Übermittlung vorbehaltlich geeigneter Garantien) in Verbindung mit der **Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO**: Die Prüfung muss **dokumentiert** werden. Methodische Grundlage sind die **Empfehlungen 01/2020 des Europäischen Datenschutzausschusses (EDSA/EDPB)** – angenommen am **10. November 2020**, finale Fassung (Version 2.0) vom **18. Juni 2021** –, die einen **6-Schritte-Ansatz** vorgeben. Seit dem **EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023)** entfällt das TIA für Übermittlungen an **DPF-zertifizierte** US-Empfänger; für alle übrigen Drittländer und nicht zertifizierte US-Importeure bleibt es Pflicht. Wer ohne dokumentiertes TIA auf SCC-Basis in ein Drittland übermittelt, verstößt gegen **Kapitel V DSGVO** – das fällt in den **höheren Bußgeldrahmen des Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** (der höhere Wert gilt). ## Kernfakten | Punkt | Wert | |---|---| | Was | Einzelfallprüfung des Schutzniveaus vor Drittlandübermittlung (Datentransfer-Folgenabschätzung) | | Rechtsgrundlage | **Art. 46 DSGVO** i. V. m. **Art. 44** (allgemeiner Grundsatz) und **Art. 5 Abs. 2 DSGVO** (Rechenschaftspflicht) [VO 2016/679] | | Auslösendes Urteil | **EuGH, 16.07.2020, C-311/18 „Schrems II"** (ECLI:EU:C:2020:559) | | Kernaussage Schrems II | Privacy Shield **ungültig**; SCC **gültig**, aber **Einzelfallprüfung** durch Exporteur nötig | | Methodik | **EDSA/EDPB-Empfehlungen 01/2020**, 6-Schritte-Ansatz | | EDPB-Empfehlungen angenommen | **10. November 2020** (zur öffentlichen Konsultation) | | EDPB-Empfehlungen final | **18. Juni 2021** (Version 2.0) | | Wer muss prüfen | **Datenexporteur** (Verantwortlicher oder Auftragsverarbeiter in der EU/EWR) | | Wann | **vor** der Übermittlung; danach **regelmäßige Neubewertung** | | Verankerung in SCC | **Klausel 14** der SCC (Durchführungsbeschluss (EU) 2021/914) verlangt das TIA ausdrücklich | | Dokumentationspflicht | ja – Nachweis gegenüber Aufsichtsbehörde (Art. 5 Abs. 2 DSGVO) | | Ergänzende Maßnahmen | z. B. **starke Verschlüsselung**, Pseudonymisierung, „Split/Multi-Party-Processing" | | Ausnahme US-Transfer | **kein TIA** bei Übermittlung an **DPF-zertifizierte** US-Empfänger (Beschluss (EU) 2023/1795) | | Ausnahmen (ohne Garantien) | Art. 49 DSGVO (z. B. ausdrückliche Einwilligung, Vertragserfüllung) – nur eng, kein Dauerinstrument | | Sanktionsrahmen | **bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** [Art. 83 Abs. 5 DSGVO] | | Beweislast | beim **Exporteur** (Rechenschaftspflicht) | ## Geltungsbereich Ein TIA ist erforderlich, wenn personenbezogene Daten aus der **EU/EWR** in ein **Drittland** übermittelt werden und die Übermittlung auf **geeignete Garantien nach Art. 46 DSGVO** gestützt wird – typischerweise **Standardvertragsklauseln (SCC)** oder **verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR)**. Kein TIA ist nötig, wenn - das Zielland über einen **Angemessenheitsbeschluss** der EU-Kommission nach **Art. 45 DSGVO** verfügt (z. B. Schweiz, Vereinigtes Königreich, Japan, Kanada – kommerzieller Bereich) oder - der US-Empfänger nach dem **EU-US Data Privacy Framework** (Beschluss (EU) 2023/1795) **zertifiziert** ist; dann gilt für diese Übermittlung ein Angemessenheitsniveau. Wichtig: Eine Übermittlung liegt bereits vor, wenn Daten für einen Dienstleister im Drittland **zugänglich** sind (Fernzugriff, Support, Cloud-Speicherung) – nicht erst beim physischen „Versenden". Auch **Unterauftragsverarbeiter** in Drittländern lösen die Prüfpflicht aus. ## Detail: Der 6-Schritte-Ansatz des EDSA (Empfehlungen 01/2020) Der Europäische Datenschutzausschuss gibt für das TIA sechs Schritte vor: 1. **Kenntnis der eigenen Übermittlungen** – Daten-Mapping: Welche Daten gehen an wen, wohin, in welchem Umfang? 2. **Übermittlungsinstrument bestimmen** – Angemessenheitsbeschluss (Art. 45), geeignete Garantie (Art. 46, meist SCC/BCR) oder Ausnahme (Art. 49). 3. **Rechtslage und Praxis im Drittland bewerten** – bietet das Recht des Ziellandes ein **im Wesentlichen gleichwertiges** Schutzniveau, insbesondere mit Blick auf **Zugriffsrechte von Behörden/Nachrichtendiensten** und effektiven Rechtsschutz? 4. **Ergänzende Maßnahmen identifizieren** – falls das Schutzniveau nicht ausreicht: technische (z. B. Verschlüsselung mit ausschließlich EU-seitigem Schlüssel), vertragliche und organisatorische Maßnahmen. 5. **Maßnahmen umsetzen** – ggf. formale Verfahrensschritte (bei BCR/SCC-Anpassungen). 6. **Regelmäßige Neubewertung** – das Schutzniveau im Drittland fortlaufend überwachen und das TIA aktualisieren. Kommt die Prüfung zu dem Ergebnis, dass auch mit ergänzenden Maßnahmen **kein gleichwertiges Schutzniveau** erreichbar ist, muss die Übermittlung **unterbleiben oder ausgesetzt** werden. ## Detail: Verhältnis zu SCC, DPF und Art. 49-Ausnahmen Das TIA ersetzt die geeignete Garantie nicht, sondern ergänzt sie. **Klausel 14 der Standardvertragsklauseln** (Durchführungsbeschluss (EU) 2021/914) verpflichtet beide Parteien ausdrücklich, vor der Übermittlung zu prüfen und zu dokumentieren, ob die Klauseln im Drittland eingehalten werden können. Für die **USA** hat der Angemessenheitsbeschluss **(EU) 2023/1795** die Lage vereinfacht: Übermittlungen an **DPF-zertifizierte** Empfänger gelten als angemessen und benötigen **kein TIA** und keine SCC. Für **nicht zertifizierte** US-Empfänger sowie **alle anderen Drittländer ohne Angemessenheitsbeschluss** bleibt das TIA verpflichtend. Die **Ausnahmen des Art. 49 DSGVO** (z. B. ausdrückliche Einwilligung, Erforderlichkeit zur Vertragserfüllung) erlauben Übermittlungen ohne geeignete Garantien – aber nur **einzelfallbezogen, gelegentlich und eng ausgelegt**; sie taugen nach Auffassung des EDSA **nicht** als Grundlage für **regelmäßige, dauerhafte** Datenflüsse. ## Häufige Fehler - **„SCC unterschreiben reicht."** Nein – nach Schrems II und Klausel 14 der SCC ist zusätzlich ein **dokumentiertes TIA** nötig. Ohne diese Prüfung ist die Drittlandübermittlung rechtswidrig. - **„Für US-Dienste brauche ich immer ein TIA."** Nicht mehr, wenn der Anbieter **DPF-zertifiziert** ist (Beschluss (EU) 2023/1795). Prüfen Sie die Zertifizierung auf der offiziellen DPF-Liste; für nicht zertifizierte Empfänger bleibt das TIA Pflicht. - **„Ein TIA macht man einmal."** Nein – Art. 46 DSGVO und der EDSA verlangen eine **regelmäßige Neubewertung**, da sich Rechtslage und Praxis im Drittland ändern können. - **„Die Einwilligung nach Art. 49 löst alles."** Nein – Art. 49 ist eine **eng begrenzte Ausnahme** für Einzelfälle, kein Ersatz für Garantien bei laufenden Datenflüssen. - **„Cloud-Speicherung in der EU = kein Drittlandbezug."** Nicht zwingend – wenn ein außereuropäischer Mutterkonzern oder Support-Team **Zugriff** hat, liegt bereits eine Übermittlung vor. ## Quellen - Verordnung (EU) 2016/679 (DSGVO) – Art. 44–49 (Kapitel V: Übermittlungen an Drittländer), Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679#d1e4691-1-1 - EuGH, Urteil v. 16.07.2020, C-311/18 „Schrems II" (Ungültigkeit Privacy Shield, Prüfpflicht bei SCC) – amtlicher Volltext (EUR-Lex, CELEX:62018CJ0311): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62018CJ0311 - EuGH, 16.07.2020, C-311/18 (Schrems II) – Rechtsprechungsnachweis (dejure.org): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=16.07.2020&Aktenzeichen=C-311%2F18 - Europäischer Datenschutzausschuss (EDSA/EDPB) – Empfehlungen 01/2020 zu Maßnahmen, die Übermittlungswerkzeuge ergänzen (6-Schritte-Ansatz): https://www.edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_de - Durchführungsbeschluss (EU) 2021/914 (Standardvertragsklauseln, Klausel 14 = TIA), Volltext (EUR-Lex, CELEX:32021D0914): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0914 - Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 (EU-US Data Privacy Framework), Volltext (EUR-Lex, CELEX:32023D1795): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795 - Europäische Kommission – Internationale Datenübermittlungen (Angemessenheit, SCC, DPF): https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection_de - BfDI – Internationaler Datenverkehr / Drittlandsübermittlung (Grundlagen): https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Europa-Internationales/Internationaler_Datentransfer.html ## Änderungsverlauf - 2026-07-25: Erstveröffentlichung der Faktenseite. Transfer Impact Assessment (TIA/Datentransfer-Folgenabschätzung) als Einzelfall-Prüfpflicht nach Art. 46 i. V. m. Art. 5 Abs. 2 und Art. 44 DSGVO (VO 2016/679) dargestellt; rechtlicher Auslöser EuGH C-311/18 „Schrems II" (16.07.2020, ECLI:EU:C:2020:559, Privacy Shield ungültig, SCC gültig mit Einzelfallprüfung) über EUR-Lex (CELEX:62018CJ0311) und dejure.org-Permalink verankert; 6-Schritte-Methodik der EDSA/EDPB-Empfehlungen 01/2020 (angenommen 10.11.2020, finale Version 2.0 vom 18.06.2021) aufgenommen; Verhältnis zu SCC-Klausel 14 (Durchführungsbeschluss (EU) 2021/914) und EU-US Data Privacy Framework (Beschluss (EU) 2023/1795) sowie Art. 49-Ausnahmen erläutert; Bußgeldrahmen Art. 83 Abs. 5 DSGVO (bis 20 Mio. € / 4 %). factcheck_status=review_needed, da TIA auf interpretativer EDSA-Leitlinie beruht und keine einheitliche gesetzliche Frist trägt. | change_type=initial_publication reviewed_by="Andreas Warkentin" field="topic_lifecycle" new="published" ## Stand - Stand: 2026-07-25 - Gültig ab: 2020-07-16 (EuGH-Urteil C-311/18 „Schrems II") - Status: aktuell - Quellenautorität: A (EUR-Lex, EuGH, EU-Kommission, EDSA/EDPB, BfDI) - Lizenz: CC BY 4.0