Drittstaaten / Drittländer

Die Datenschutzgrundverordnung (DSGVO) findet nur für EU-Mitgliedstaaten Anwendung. Diese regelt den Datenschutz für personenbezogene Daten innerhalb der EU und außerhalb der EU. Die Übertragung von personenbezogenen Daten außerhalb der EU in ein Drittland ist äußerst relevant in der aktuellen Zeit. 

Damit eine solche Übertragung nach der DSGVO rechtmäßig erfolgen kann, müssen zunächst einmal die in Art. 44 – 50 DSGVO normierten Voraussetzungen vorliegen. Das Vorliegen dieser Voraussetzungen gewährleistet den Schutz der Daten bei Übertragung außerhalb der EU, in ein Drittland. In der Realität erfolgt die Vermittlung der personenbezogenen Daten in einem Drittland, durch bestimmte Bearbeitungsstufen. Neben den DSGVO-Voraussetzungen, muss auch das System, mit dem der Verantwortliche die Daten in einem Drittstaat weitervermittelt, den DSGVO-Voraussetzungen entsprechen. Das heißt bei der Vermittlung der Daten in ein Drittland, ist das System, welches dazu benötigt wird, auch sehr ausschlaggebend und erfordert ebenso eine Prüfung. Primär ist aber wichtig, ob die Weitervermittlung der jeweiligen Daten in das Drittland überhaupt erlaubt ist. Für diese Entscheidung, muss differenziert werden, ob das jeweilige Drittland ein Land mit sicherem Datenschutz ist. Dies kann nur durch eine Prüfung der EU-Kommission bejaht werden. 

Zu bejahen ist ein sicherer Datenschutz, wenn die Voraussetzungen für ein angemessenes Datenschutzniveau gem. Art. 45 Abs. 2 DSGVO für das jeweilige Drittland durch die EU-Kommission festgestellt wird. So ergeht ein sogenannter Angemessenheitsbeschluss für dieses Drittland, welches dann als ein Drittland mit angemessenem Datenschutz eingestuft wird.

Nach der DSGVO sind alle EU-Mitgliedstaaten ein sicheres Datenexport-Land für personenbezogene Daten sowie folgende Drittländer: Andorra, Argentinien, Kanada, Färöer, Guernsey, Israel, Isle of Man, Jersey, Neuseeland, Schweiz, Uruguay, Japan, das Vereinigte Königreich und Südkorea sind als datenschutzkonforme eingestuft worden, sodass dorthin der Datenexport von personenbezogenen Daten erlaubt ist. 

Ein Transfer von personenbezogenen Daten in ein Drittland, wo die Voraussetzungen für das angemessene Datenschutzniveau durch die EU-Kommission verneint wird (also die Voraussetzungen für den Datenexport nach Art. 45 DSGVO nicht erfüllt sind), scheint problematischer zu sein. Bei Vorliegen eines Drittlandes mit unsicherem Datenschutz sind die Voraussetzungen des Art. 46 DSGVO zu prüfen, ob eventuell ein Datentransfer nach dieser Vorschrift möglich wäre. Dafür müsste das jeweilige Drittland für den Datenexport, über die in Art. 46 DSGVO genannten Garantien verfügen. Eine andere Möglichkeit bei Nichtvorliegen der Voraussetzungen des Art. 45 DSGVO für den Datenexport, besteht auch nach Art. 49 DSGVO. Im Umkehrschuss heißt es, wenn der Datenexport von personenbezogenen Daten in ein Drittland nicht schon nach Art. 45 DSGVO erfolgen kann, kann dieser nach Art. 46 DSGVO oder nach Art. 49 DSGVO erfolgen. Liegen die Voraussetzungen des Art. 45 DSGVO vor, liegt ein Drittland mit sicherem Datenschutz vor. Erfolgt der Datenexport nach Art. 46 oder 49 DSGVO, liegt ein Drittland mit unsicherem Datenschutz vor, wobei in beiden Fällen der Datenexport möglich wäre.