Tia Edpb Roadmap 6 Schritte Deutsch

---
name: tia-edpb-roadmap-6-schritte-deutsch
description: "Für Sechs-Schritte-Roadmap für das Transfer Impact Assessment (EDPB 01/2020): ordnet Norm, Beweislast und Gegenargument; Ergebnis: Schnittstellenkarte mit Zuständigkeits- und Nachweisfragen."
---

# Sechs-Schritte-Roadmap für das Transfer Impact Assessment (EDPB 01/2020)

## Wann dieses Modul hilft

- Erstes TIA-Dokument für einen konkreten Transfer.
- Aktualisierung eines bestehenden TIA nach Provider-Wechsel oder neuer Behördenpraxis.
- Vorlage gegenueber Aufsichtsbehoerde.
- Vorbereitung einer Vertragsverhandlung mit US-Anbieter.
- Schulung interner Reviewer.

## Rechtlicher Rahmen

- EuGH **C-311/18** Schrems II vom 16.07.2020.
- **EDPB Empfehlung 01/2020** "Recommendations on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data", Final 18.06.2021.
- **EDPB Empfehlung 02/2020** "Recommendations on the European Essential Guarantees for surveillance measures" vom 10.11.2020 – ergaenzt Schritt 3 (Assess law and practice).
- Art. 44 ff. DSGVO.

## Ablauf / Checkliste

### Schritt 1 – Know your transfers

Ziel: alle Transfers erfassen.

Prüfen:

- Welche Daten werden uebermittelt? Direkter Export, Remote Access, Onward Transfers?
- Wer ist Exporteur (Verantwortlicher oder Auftragsverarbeiter)?
- Wer ist Importeur (Land, Rechtstraeger, Konzerneinbindung)?
- Welche Datenarten? Welche besonderen Kategorien (Art. 9 DSGVO)?
- Welche Subprozessoren / Sub-Sub-Prozessoren?
- Verarbeitungszwecke und Datenfluesse (auch innerhalb des Importeurs).

Output: Transfer-Inventar als Tabelle (siehe Skill `ropa-art-30-controller-deutsch-vorlage` für Querverweis).

### Schritt 2 – Identify transfer tool

Ziel: Rechtsgrundlage des Transfers bestimmen.

Optionen:

- **Art. 45 DSGVO – Angemessenheitsbeschluss** (z. B. UK, Schweiz, Japan, Suedkorea, EU-US DPF für gelistete Importeure).
- **Art. 46 DSGVO – Geeignete Garantien**:
 - SCC (Beschluss (EU) 2021/914, Module 1-4),
 - BCR (Art. 47),
 - Genehmigte Verhaltensregeln / Zertifizierungen,
 - Behoerdliche Standardvertragsklauseln.
- **Art. 49 DSGVO – Ausnahmen** (Einwilligung, Vertragserfuellung, Rechtsanspruch) – nur eng auslegen, keine Dauerloesung.

Bei Art. 45 endet die TIA-Prüfung haeufig hier (Schritt 3-5 dann reduziert).

### Schritt 3 – Assess law and practice

Ziel: Drittlandsrecht und tatsaechliche Praxis bewerten.

Prüfen:

- Welche Behörden haben Zugriffsbefugnisse?
- Welche Eingriffstiefe? Welche Garantien (gerichtliche Kontrolle, Anlassbezug)?
- Empfehlung 02/2020 – Europaeische Wesentliche Garantien (EEG):
 - Garantie A: klare, praezise und vorhersehbare Regelungen.
 - Garantie B: Notwendigkeit und Verhältnismäßigkeit.
 - Garantie C: unabhaengiger Prüfmechanismus.
 - Garantie D: effektive Rechtsschutzmoeglichkeiten der betroffenen Person.
- Sind die Garantien im Recht **und** in der Praxis erfuellt?

Quellen für Bewertung: offizielle Berichte, Transparenzberichte des Importeurs, EDPB-Empfehlungen, frei zugaengliche Auswertungen.

### Schritt 4 – Adopt supplementary measures

Falls Schritt 3 negativ: ergaenzende Schutzmassnahmen.

Drei Kategorien:

- **Technische Maßnahmen** (oft entscheidend): starke Verschluesselung mit Key Management ausserhalb des Drittlands; Pseudonymisierung mit unkorrelierten Schlüsseln; Split Processing; ueberhaupt kein Klartext-Zugriff durch Importeur.
- **Vertragliche Maßnahmen**: erweiterte Audit- und Transparenzrechte, Behördenanfragen-Berichtspflichten, Warrant Canary, sofortige Aussetzungspflichten.
- **Organisatorische Maßnahmen**: Mitarbeiterschulung, klare Eskalationsprozesse, Lieferantenbewertung, dokumentierte Anfechtungspolitik.

EDPB-Anhang 2 zu Empfehlung 01/2020 listet Use Cases 1-7 (Use Case 6 und 7 ohne wirksame Schutzmassnahmen denkbar).

### Schritt 5 – Procedural steps

Wenn ergaenzende Maßnahmen erforderlich:

- AVV/DPA anpassen.
- SCC ergaenzende Anhaenge ausfuellen (Annex I, II, III).
- Falls SCC angepasst werden (Klauselzusatz, nicht Streichung) – Konsultation Aufsichtsbehoerde prüfen.
- Bei BCR – Updates an die Lead-Behörde melden.
- Genehmigung beantragen, wo erforderlich.

### Schritt 6 – Re-evaluate

Erneute Prüfung bei Änderungen:

- Änderungen im Drittlandsrecht (Gesetze, Urteile).
- Änderungen in der Behördenpraxis.
- Änderungen beim Importeur (Konzernstruktur, Subprozessoren, Dienste).
- Änderungen beim Exporteur (neue Datenarten, neue Zwecke).
- Mindestens jaehrlich.

## Mustertext / Template

Kapitelueberschriften für das TIA-Dokument:

```
1. Know your transfers
 1.1 Transferparteien
 1.2 Datenarten
 1.3 Subprozessoren und Onward Transfers
 1.4 Datenflussdiagramm

2. Transfer tool
 2.1 Gewaehltes Instrument
 2.2 Begruendung der Wahl

3. Bewertung Drittlandsrecht und -praxis
 3.1 Behoerdliche Zugriffsbefugnisse
 3.2 EEG-Pruefung (A, B, C, D)
 3.3 Transparenzberichte und Erfahrungswerte des Importeurs

4. Ergaenzende Schutzmassnahmen
 4.1 Technisch
 4.2 Vertraglich
 4.3 Organisatorisch
 4.4 Wirkungsbewertung

5. Verfahrensschritte
 5.1 Vertraglich umgesetzte Massnahmen
 5.2 Aufsichtsbehoerden-Konsultation (falls erforderlich)
 5.3 Sign-off

6. Re-evaluation
 6.1 Trigger für Neubewertung
 6.2 Naechstes Review-Datum
 6.3 Notfallaussetzungs-Prozess
```

## Typische Fehler

- Schritt 1 unvollstaendig: nur Direkttransfer betrachtet, nicht Onward Transfer.
- Schritt 2: DPF gewaehlt, aber Importeur nicht aktiv gelistet.
- Schritt 3: keine Praxispruefung – nur abstrakte Rechtsanalyse.
- Schritt 4: ausschließlich vertragliche Maßnahmen ohne technische Untermauerung – nach EDPB regelmaessig unzureichend.
- Schritt 5: SCC inhaltlich veraendert (statt nur ergaenzt) – riskant.
- Schritt 6: kein Review-Termin.
- TIA wird gemacht, aber nicht zur Akte genommen.

## Quellen Stand 06/2026

- EuGH C-311/18 vom 16.07.2020 (Schrems II).
- EDPB Empfehlung 01/2020 vom 10.11.2020, Final 18.06.2021.
- EDPB Empfehlung 02/2020 vom 10.11.2020 (EEG).
- Durchfuehrungsbeschluss (EU) 2021/914 vom 04.06.2021 (SCC).
- Durchfuehrungsbeschluss (EU) 2023/1795 vom 10.07.2023 (EU-US DPF).
- Art. 44–49 DSGVO.