Drittlandtransfer

Drittlandtransfer ist die Übermittlung personenbezogener Daten in ein Land außerhalb der EU beziehungsweise des EWR — nach Art. 44 ff. DSGVO nur erlaubt, wenn eine von drei Grundlagen greift: ein Angemessenheitsbeschluss der EU-Kommission, Standardvertragsklauseln mit dokumentierter Prüfung oder eng begrenzte Ausnahmen.

Für die USA ist die Grundlage seit Juli 2023 das EU-US Data Privacy Framework (DPF), ein Angemessenheitsbeschluss nach Art. 45 DSGVO. Fehlt eine solche „Brücke“ oder ist der Anbieter nicht zertifiziert, bleiben Standardvertragsklauseln (SCC) — dann verlangt die DSGVO zusätzlich ein Transfer Impact Assessment (TIA): eine dokumentierte Prüfung, ob die Daten beim Empfänger auch vor Behördenzugriff sicher sind. Jeder Prompt an einen US-KI-Dienst ist eine solche Übermittlung.

Was aktuell am DPF wackelt und wann ein TIA Pflicht ist, ordnet der Beitrag Drittlandtransfer bei KI ein. Strukturell vermeiden lässt sich die Frage durch lokale Verarbeitung: Was das Haus nicht verlässt, muss keine Grenze überqueren.