Drittlandtransfer
Ein Drittlandtransfer liegt vor, wenn Angaben über Personen an eine Stelle gelangen, die weder in der EU noch in Norwegen, Island oder Liechtenstein sitzt; die DSGVO erlaubt das nur, wenn der Betrieb dafür einen der im fünften Kapitel der Verordnung vorgesehenen Wege nachweisen kann.
Sobald eine KI-Automation ein Modell bei einem Anbieter mit Sitz außerhalb der EU nutzt, kommt zur Auftragsverarbeitung eine zweite Rechtsfrage hinzu, der Drittlandtransfer; mit einem lokalen Sprachmodell entsteht sie nicht.
In einfachen Worten
Der Datenschutz in Europa beruht darauf, dass in allen Mitgliedstaaten dieselben Regeln gelten. Deshalb darf ein Betrieb einen Auftragsverarbeiter in Frankreich oder Österreich beauftragen, ohne mehr zu klären als den Vertrag mit ihm. Sitzt der Empfänger dagegen in einem Land ohne diese gemeinsamen Regeln, fehlt die Gewähr, dass die Daten dort ebenso geschützt sind, und die DSGVO verlangt einen Ersatz dafür. Drei Wege stehen offen. Beim ersten hat die Europäische Kommission dem Zielland in einem Beschluss bescheinigt, dass sein Recht einen gleichwertigen Schutz bietet; ein solcher Angemessenheitsbeschluss kann auch nur für Unternehmen gelten, die sich in dem Land einem bestimmten Zertifizierungsverfahren unterworfen haben. Beim zweiten schließt der Betrieb mit dem Empfänger die Vertragsmuster der Kommission ab, die Standardvertragsklauseln, in denen sich der Empfänger zum europäischen Schutzniveau verpflichtet. Seit einer Entscheidung des höchsten EU-Gerichts im Jahr 2020 reicht die Unterschrift allein nicht: Der Betrieb muss außerdem festhalten, ob das Recht des Ziellands, etwa Zugriffsbefugnisse von Behörden, diese Verpflichtung aushöhlt, und gegebenenfalls zusätzliche Vorkehrungen treffen. Der dritte Weg besteht aus wenigen Ausnahmen für einzelne Situationen, etwa einer ausdrücklichen Einwilligung der betroffenen Person für einen konkreten Fall; für einen Ablauf, der täglich läuft, taugt er nicht. Eine verbreitete Fehleinschätzung betrifft den Serverstandort: Ein Rechenzentrum in Europa hilft nicht, wenn die Muttergesellschaft des Anbieters außerhalb sitzt und nach ihrem Heimatrecht auf die Daten zugreifen kann; dann liegt die Frage trotz des Standorts auf dem Tisch. Für eine KI-Automation folgt daraus: Beim Modell eines Anbieters außerhalb der EU gehört der Nachweis eines der drei Wege in den Vertrag zur Auftragsverarbeitung. Ein lokales Sprachmodell oder ein Anbieter, der ausschließlich in Europa verarbeitet, lässt die Frage gar nicht erst entstehen.
Wozu brauche ich das?
Betroffen ist jeder Dienst, den ein Betrieb bei einem Anbieter außerhalb Europas nutzt, vom Modellanbieter über Analysewerkzeuge bis zum Cloud-Speicher und zum Kundendienstsystem. Bei einer KI-Automation ist die Frage Teil der Entscheidung, wo das Modell läuft. Datenminimierung und Pseudonymisierung im Harness verkleinern, was übermittelt wird; den Nachweis eines Weges brauchen sie trotzdem, solange auch nur eine Angabe über eine Person durchgehen kann.
Beispiel aus der Praxis
Ein Ersatzteilhändler plant eine Automation, die Serviceanfragen zusammenfasst und Ersatzteile vorschlägt, und vergleicht drei Anordnungen. Erste Anordnung: ein Modellanbieter, der in Europa rechnet, aber einer Muttergesellschaft außerhalb der EU gehört. Hier müsste der Betrieb die Vertragsmuster der Kommission abschließen und schriftlich festhalten, ob Behörden im Sitzland der Mutter auf die Daten zugreifen können, oder sich auf einen gültigen Beschluss der Kommission für genau diesen Anbieter stützen. Zweite Anordnung: ein Anbieter mit Sitz und Verarbeitung ausschließlich in der EU; hier genügt der Vertrag zur Auftragsverarbeitung. Dritte Anordnung: ein lokales Modell auf einem Server im eigenen Haus; hier entfällt beides. Der Betrieb wählt den EU-Anbieter, weil das lokale Modell im Test bei langen Serviceberichten lückenhaft blieb, und vermerkt im Verzeichnis der Verarbeitungstätigkeiten, dass keine Daten Europa verlassen. Die Rechtsberatung prüft den Vertrag vor der Unterschrift.
Wirtschaftlicher Nutzen
Bei KI-Vorhaben wird diese Frage am häufigsten übersehen, weil ein Rechenzentrum in Europa Sicherheit suggeriert. Wer sie vor der Anbieterwahl klärt, erspart sich Nachverhandlungen, Umbauten und die Erklärung gegenüber der Aufsicht, warum Kundendaten ohne Grundlage in ein anderes Rechtsgebiet gingen. Die Klärung kostet eine Anfrage beim Anbieter und eine Prüfung mit der Rechtsberatung, und sie entscheidet oft darüber, ob ein Anbieter überhaupt in Betracht kommt. In der Gesamtrechnung kann ein lokales Modell oder ein europäischer Anbieter günstiger sein als einer, für den der Nachweis laufend geführt und bei jeder Änderung der Rechtslage neu geprüft werden muss.
Typische Fehler
- Ein Rechenzentrum in Europa als Beleg dafür nehmen, dass keine Daten die EU verlassen, obwohl die Muttergesellschaft des Anbieters außerhalb sitzt.
- Die Vertragsmuster der Kommission unterschreiben lassen und die Prüfung auslassen, ob Behörden im Zielland die Zusagen aushebeln können.
- Sich auf einen Beschluss der Kommission berufen, ohne nachzusehen, ob der konkrete Anbieter darunter fällt und ob der Beschluss noch in Kraft ist.
- Eine der Einzelfall-Ausnahmen als Dauergrundlage für einen täglichen Ablauf verwenden.
- Die Übermittlung weder im Verzeichnis der Verarbeitungstätigkeiten noch in den Datenschutzhinweisen erwähnen.
Worauf achten?
- Vor der Anbieterwahl schriftlich klären, in welchem Land verarbeitet wird, wer Zugriff hat und wem der Anbieter gehört.
- Den gewählten Weg benennen: Beschluss der Kommission, Vertragsmuster mit dokumentierter Prüfung oder gar keine Übermittlung.
- Die Prüfung schriftlich festhalten und wiederholen, wenn sich die Rechtslage im Zielland oder ein Beschluss ändert.
- Die übermittelte Menge über Datenminimierung und Pseudonymisierung im Harness so klein wie möglich halten.
- Die rechtliche Bewertung der Rechtsberatung überlassen und den Stand der Beschlüsse regelmäßig prüfen lassen.
Häufig gestellte Fragen
Was ist ein Drittlandtransfer?
Der Vorgang, bei dem Angaben über Personen zu einer Stelle gelangen, die außerhalb der EU und der drei Länder sitzt, die deren Datenschutzrecht übernommen haben. Die DSGVO lässt das nur zu, wenn ein Beschluss der Kommission, ein abgeschlossenes Vertragsmuster mit Prüfung oder eine der wenigen Einzelfall-Ausnahmen vorliegt.
Reicht ein Serverstandort in der EU, um einen Drittlandtransfer auszuschließen?
Nein. Es kommt darauf an, wer die Daten lesen kann. Gehört der Anbieter einer Muttergesellschaft außerhalb Europas, kann deren Heimatrecht einen Zugriff erlauben; dann braucht die Übermittlung trotz des Standorts einen der drei Wege.
Was sind Standardvertragsklauseln?
Vertragsmuster, die die Europäische Kommission veröffentlicht hat und mit denen sich ein Empfänger außerhalb Europas zu einem gleichwertigen Schutz verpflichtet. Seit 2020 muss der Betrieb zusätzlich festhalten, ob das Recht des Ziellands diese Verpflichtung aushöhlt, und bei Bedarf weitere Vorkehrungen treffen.
Wie vermeidet eine KI-Automation den Drittlandtransfer?
Mit einem lokalen Sprachmodell auf eigener Hardware oder mit einem Anbieter, der ausschließlich in Europa verarbeitet und keiner Muttergesellschaft außerhalb gehört. Datenminimierung und Pseudonymisierung verkleinern die übermittelte Menge, machen den Nachweis eines Weges aber nicht entbehrlich.