Transfer Impact Assessment (TIA)
Ein Transfer-Impact-Assessment ist eine dokumentierte Risikoanalyse, die Unternehmen vor Datentransfers in Drittstaaten durchführen müssen, die sie auf Garantien nach Artikel 46 DSGVO wie Standardvertragsklauseln stützen. Die Prüfung bewertet, ob das Datenschutzniveau im Zielland dem der EU entspricht und welche zusätzlichen Schutzmaßnahmen nötig sind. Seit dem Schrems-II-Urteil 2020 ist diese Einzelfallprüfung immer dann verpflichtend, wenn du den Transfer auf Standardvertragsklauseln oder andere Garantien nach Artikel 46 DSGVO stützt. Greift für das Zielland ein Angemessenheitsbeschluss der EU-Kommission, entfällt sie.
Das Transfer-Impact-Assessment unterscheidet sich von der allgemeinen DSGVO-Datenschutz-Folgenabschätzung durch seinen spezifischen Fokus auf grenzüberschreitende Datenflüsse. Während die Datenschutz-Folgenabschätzung Risiken für Betroffene bei neuen Verarbeitungsvorgängen prüft, analysiert das TIA ausschließlich die rechtlichen und faktischen Gegebenheiten im Empfängerland. Du bewertest konkret, ob Geheimdienste oder Behörden dort Zugriff auf deine Daten nehmen können und ob lokale Gesetze dem europäischen Datenschutz widersprechen. Für Länder mit einem Angemessenheitsbeschluss der EU-Kommission, etwa das Vereinigte Königreich oder die Schweiz, brauchst du kein TIA. Nötig wird die Prüfung dort, wo du den Transfer auf Standardvertragsklauseln stützt, und sie fällt je nach Zielland unterschiedlich aus, selbst wenn derselbe Cloud-Anbieter genutzt wird.
Im B2B-Marketing-Alltag betrifft das TIA praktisch jeden Einsatz von US-Plattformen. Ob Tools wie Google Analytics, HubSpot, Mailchimp, Salesforce oder AWS ein eigenes Assessment brauchen, hängt davon ab, worauf du den Transfer stützt: Bei Anbietern, die unter dem EU-US Data Privacy Framework zertifiziert sind, trägt der Angemessenheitsbeschluss, bei allen anderen brauchst du die Einzelfallprüfung. Wenn du Marketing Automation mit n8n betreibst und Daten an Drittanbieter außerhalb der EU sendest, brauchst du die Prüfung für jeden Empfänger, den kein Angemessenheitsbeschluss abdeckt. Das bedeutet: Du dokumentierst, welche personenbezogenen Daten fließen, ob der Empfänger sie verschlüsselt speichert, welche Zugriffsmöglichkeiten dessen Regierung hat und welche zusätzlichen Maßnahmen du triffst. Ein TIA für Google Ads unterscheidet sich inhaltlich von einem für AWS, weil die Datenverarbeitung und Zugriffsmöglichkeiten unterschiedlich sind.
Die Praxis zeigt drei Hauptprobleme. Erstens kostet ein sauber dokumentiertes TIA je nach Komplexität der Datenflüsse erheblich Arbeitszeit. Rechne es an deinem eigenen Stack durch: Zahl der Tools mit Drittlandtransfer mal Aufwand pro Prüfung. Zweitens ändern sich rechtliche Rahmenbedingungen laufend, das EU-US Data Privacy Framework von 2023 vereinfacht Transfers in die USA, kann aber jederzeit wieder gekippt werden. Drittens gibt es keine Garantie: Selbst ein perfekt durchgeführtes TIA schützt nicht vor Bußgeldern, wenn eine Aufsichtsbehörde die Risikoeinschätzung anders bewertet. Viele Unternehmen unterschätzen zudem, dass auch interne Transfers zwischen Konzerngesellschaften in Drittstaaten ein TIA erfordern.
Bei der Umsetzung zählt die Dokumentationstiefe mehr als die Länge. Du brauchst eine nachvollziehbare Begründung, warum du trotz identifizierter Risiken den Transfer durchführst und welche technischen oder organisatorischen Maßnahmen du ergriffen hast. Verschlüsselung, Pseudonymisierung oder vertragliche Zusicherungen müssen konkret benannt werden. Für wiederkehrende Transfers mit ähnlichen Risikoprofilen kannst du Template-Assessments nutzen, musst aber die spezifischen Parameter jedes Mal anpassen. Entscheidend ist, dass du das TIA vor dem ersten Datentransfer abschließt und bei wesentlichen Änderungen aktualisierst. Ein nachträglich erstelltes Assessment ist wertlos, wenn die Aufsichtsbehörde prüft.
Verwandte Begriffe
So sieht diese Technologie im Einsatz aus.
Sieh dir an, wie wir Technologien wie diese für Unternehmen einsetzen, oder sprich direkt mit uns.