Übermittlung personenbezogener Daten ins Ausland: Standardvertragsklauseln und praktische Anforderungen

Die Übermittlung personenbezogener Daten ins Ausland ist nach dem türkischen Gesetz Nr. 6698 zum Schutz personenbezogener Daten („KVKK“) ein Regelungsbereich, der unabhängig von den Voraussetzungen für die Verarbeitung personenbezogener Daten zu beurteilen ist. Art. 9 KVKK, der im Jahr 2024 geändert wurde, sieht ein abgestuftes System vor, das auf Angemessenheitsbeschlüssen, geeigneten Garantien und gelegentlichen Datenübermittlungen beruht. Standardvertragsklauseln und von der türkischen Datenschutzbehörde, dem Ausschuss für den Schutz personenbezogener Daten („Ausschuss“), genehmigte verbindliche interne Datenschutzvorschriften sind dabei geeignete Garantien, auf die im Rahmen dieses Systems zurückgegriffen werden kann.

Zu den Anwendungsfällen dieser Vorschriften gehören die Weitergabe von Mitarbeiterdaten an ausländische Konzerngesellschaften, die Nutzung von Cloud-Diensten im Ausland und internationale Hinweisgebersysteme. Für Unternehmen besteht die zentrale Herausforderung nicht allein darin, Standardvertragsklauseln zu unterzeichnen, sondern auch die Rollen der Beteiligten, die Voraussetzungen der Datenübermittlung, die Meldefrist und die Informationspflicht gemeinsam zu beurteilen. Dieser Beitrag erläutert diese Verpflichtungen anhand praxisbezogener Beispiele.

Weitere Informationen zum allgemeinen Anwendungsbereich des KVKK und zu den grundlegenden Pflichten von Unternehmen finden Sie in unserem Leitfaden „Datenschutzrecht in der Türkei (KVKK)“.

Inhaltsübersicht

• Was ist eine Übermittlung personenbezogener Daten ins Ausland und welche Vorgänge umfasst sie?
• Unter welchen Voraussetzungen dürfen personenbezogene Daten nach dem KVKK ins Ausland übermittelt werden?
• Reicht eine ausdrückliche Einwilligung für die Datenübermittlung ins Ausland aus?
• Wie werden die Rollen des Verantwortlichen und des Auftragsverarbeiters bestimmt?
• Welche Standardvertragsklauseln sind für die Übermittlung personenbezogener Daten ins Ausland zu verwenden?
• Wie erfolgt die Meldung der Standardvertragsklauseln und welche Frist gilt dafür?
• Reicht die Einhaltung des EU-Datenschutzrechts bei Datenübermittlungen an Konzerngesellschaften aus?
• Wie sind anschließende Datenübermittlungen durch Vermittler und Unterauftragsverarbeiter zu beurteilen?
• Wie wird die Informationspflicht bei der Datenübermittlung ins Ausland erfüllt?
• Worin besteht der Unterschied zwischen Maskierung und Anonymisierung?
• Wie können Daten aus Hinweisgebermeldungen und internen Untersuchungen ins Ausland übermittelt werden?
• Wie können Unternehmen die Einhaltung der Vorschriften zur Datenübermittlung ins Ausland sicherstellen?
• Fazit

Was ist eine Übermittlung personenbezogener Daten ins Ausland und welche Vorgänge umfasst sie?

Eine Übermittlung personenbezogener Daten ins Ausland kann vorliegen, wenn ein dem KVKK unterliegender Verantwortlicher oder Auftragsverarbeiter personenbezogene Daten an einen anderen Verantwortlichen oder Auftragsverarbeiter im Ausland weitergibt oder diesem den Zugriff auf die Daten ermöglicht. Eine Übermittlung muss nicht zwingend durch den Versand einer E-Mail oder einer Datei erfolgen.

Beispielsweise können die Übermittlungsvorschriften einschlägig sein, wenn eine ausländische Konzerngesellschaft auf Mitarbeiterunterlagen eines Unternehmens in der Türkei zugreift oder ein ausländischer Dienstleister diese Unterlagen zu technischen Supportzwecken einsehen kann, selbst wenn keine Dateien heruntergeladen werden. Auch die Speicherung personenbezogener Daten in einem Cloud-System eines ausländischen Dienstleisters ist in diesem Zusammenhang zu beurteilen. Daher ist nicht nur das Land zu berücksichtigen, in dem sich der Server befindet, sondern auch, welche Parteien Zugriff auf die Daten haben.

Unter welchen Voraussetzungen dürfen personenbezogene Daten nach dem KVKK ins Ausland übermittelt werden?

Das KVKK sieht für Datenübermittlungen ins Ausland ein abgestuftes System vor. Zunächst ist zu prüfen, ob ein Angemessenheitsbeschluss des Ausschusses für das Empfängerland, einen Sektor innerhalb dieses Landes oder eine internationale Organisation vorliegt. Liegt kein Angemessenheitsbeschluss vor, kann auf geeignete Garantien wie Standardvertragsklauseln oder vom Ausschuss genehmigte verbindliche interne Datenschutzvorschriften zurückgegriffen werden. Können auch diese Voraussetzungen nicht erfüllt werden, ist eine Übermittlung nur unter den im KVKK vorgesehenen Ausnahmevoraussetzungen und lediglich gelegentlich zulässig.

Bei Übermittlungen auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien muss außerdem eine der Verarbeitungsvoraussetzungen nach Art. 5 oder 6 KVKK vorliegen. Bei Übermittlungen auf Grundlage geeigneter Garantien wird zusätzlich verlangt, dass die betroffene Person ihre Rechte im Ausland ausüben und wirksame Rechtsbehelfe in Anspruch nehmen kann. Dementsprechend ist die Übermittlung von Daten ins Ausland gesondert zu prüfen, selbst wenn diese Daten in der Türkei rechtmäßig verarbeitet werden.

Reicht eine ausdrückliche Einwilligung für die Datenübermittlung ins Ausland aus?

Liegen weder ein Angemessenheitsbeschluss noch geeignete Garantien vor, stellt die ausdrückliche Einwilligung nach Aufklärung über die möglichen Risiken einen Ausnahmeweg dar, der ausschließlich bei gelegentlichen Datenübermittlungen genutzt werden kann. Kontinuierliche, regelmäßige oder zum gewöhnlichen Geschäftsbetrieb eines Unternehmens gehörende Übermittlungen fallen nicht darunter.

Beispielsweise kann die monatliche Übertragung von Mitarbeiterdaten in ein ausländisches Personalverwaltungssystem nicht allein auf die ausdrückliche Einwilligung der Mitarbeiter und diese Ausnahme gestützt werden. Entscheidend ist nicht, ob jede Übermittlung einzeln vorgenommen wird, sondern ob der gesamte Übermittlungsvorgang eine regelmäßige und kontinuierliche Tätigkeit darstellt.

Wie werden die Rollen des Verantwortlichen und des Auftragsverarbeiters bestimmt?

Der Verantwortliche ist die Partei, die festlegt, zu welchen Zwecken und mit welchen grundlegenden Mitteln personenbezogene Daten verarbeitet werden. Der Auftragsverarbeiter handelt dagegen im Auftrag des Verantwortlichen und im Rahmen seiner Weisungen. Bei der Bestimmung der Rollen der Parteien kommt es weniger auf ihre Bezeichnung im Vertrag als auf die tatsächlichen Entscheidungs- und Weisungsverhältnisse bei der konkreten Datenverarbeitung an.

Ein Dienstleister, der ausschließlich nach den Vorgaben des Unternehmens Gehaltsabrechnungen erstellt, ist beispielsweise nicht in derselben Rolle tätig wie eine Organisation, die Mitarbeiterdaten für eigenständig festgelegte, gesonderte Zwecke verwendet. Ebenso wird eine ausländische Gesellschaft nicht allein deshalb bei jeder Verarbeitung zum Verantwortlichen oder Auftragsverarbeiter, weil sie die Konzernzentrale ist.

Die Rollenanalyse darf daher nicht durch eine pauschale Zuordnung der Organisationen erfolgen, sondern muss für jede Datenverarbeitungstätigkeit gesondert vorgenommen werden. Auch die vertragliche Aufgabenverteilung muss diese tatsächlichen Verhältnisse widerspiegeln.

Welche Standardvertragsklauseln sind für die Übermittlung personenbezogener Daten ins Ausland zu verwenden?

Die Art der zu verwendenden Standardvertragsklauseln richtet sich danach, ob der Datenexporteur und der Datenimporteur jeweils als Verantwortlicher oder Auftragsverarbeiter handeln. Der Ausschuss hat vier unterschiedliche Standardvertragsmuster veröffentlicht:

• Standardvertragsklauseln für Übermittlungen von einem Verantwortlichen an einen Verantwortlichen: Sie werden verwendet, wenn sowohl der Datenexporteur als auch der Datenimporteur als Verantwortliche handeln.
• Standardvertragsklauseln für Übermittlungen von einem Verantwortlichen an einen Auftragsverarbeiter: Sie werden verwendet, wenn der als Verantwortlicher handelnde Datenexporteur personenbezogene Daten an einen Auftragsverarbeiter im Ausland übermittelt.
• Standardvertragsklauseln für Übermittlungen von einem Auftragsverarbeiter an einen Auftragsverarbeiter: Sie werden verwendet, wenn sowohl der Datenexporteur als auch der Datenimporteur als Auftragsverarbeiter handeln.
• Standardvertragsklauseln für Übermittlungen von einem Auftragsverarbeiter an einen Verantwortlichen: Sie werden verwendet, wenn der als Auftragsverarbeiter handelnde Datenexporteur personenbezogene Daten an einen Verantwortlichen im Ausland übermittelt.

Für die Auswahl des richtigen Vertrags muss nicht nur die Rolle des ausländischen Empfängers, sondern auch die des Datenexporteurs bestimmt werden. Sind mehrere Unternehmen oder Dienstleister an demselben Datenfluss beteiligt, kann es erforderlich sein, jede Beziehung gesondert zu beurteilen. Ausgangspunkt der Vertragsauswahl ist nicht die Verantwortung, welche die Parteien übernehmen möchten, sondern ihre tatsächliche Rolle bei der betreffenden Übermittlung.

Für eine Übermittlung auf Grundlage von Standardvertragsklauseln ist keine vorherige Genehmigung des Ausschusses erforderlich. Allerdings muss der geeignete Vertrag wirksam unterzeichnet, seine Anlagen entsprechend dem konkreten Datenfluss ausgefüllt und die Meldepflicht erfüllt werden.

Wie erfolgt die Meldung der Standardvertragsklauseln und welche Frist gilt dafür?

Die Standardvertragsklauseln müssen innerhalb von fünf Arbeitstagen nach Abschluss sämtlicher Unterschriften der türkischen Datenschutzbehörde, der Behörde für den Schutz personenbezogener Daten („Behörde“), gemeldet werden. Die Meldung kann in Papierform, über qualifizierte elektronische Post (KEP) oder über das Standardvertrags-Meldeportal der Behörde erfolgen.

Der Vertrag muss von den an der Übermittlung beteiligten Parteien oder von Personen unterzeichnet werden, die zu deren Vertretung und zur Unterzeichnung berechtigt sind. Die Nachweise der Zeichnungsberechtigung sind ebenfalls bei der Meldung einzureichen. Die Unterzeichnungsdaten beider Parteien müssen eindeutig angegeben werden. Die für die Meldung zuständige Partei und die Vorbereitung der Unterlagen sollten bereits vor der Unterzeichnung festgelegt werden. Wird der Vertrag auch in einer Fremdsprache erstellt, muss die türkische Fassung von beiden Parteien unterzeichnet werden. Die jeweils anwendbaren Anforderungen an Apostillen, Beglaubigungen und notariell beglaubigte türkische Übersetzungen ausländischer amtlicher Dokumente sind gesondert zu prüfen.

Die Standardvertragsklauseln dürfen nicht wie ein gewöhnlicher Handelsvertrag frei geändert werden. Nach den Erläuterungen der Behörde dürfen lediglich bei Bestimmungen mit Wahl- oder Alternativmöglichkeiten die erforderlichen Auswahlen und Anpassungen vorgenommen werden. Darüber hinaus darf der Vertrag nicht mit einem rückwirkenden Inkrafttretensdatum versehen werden, wenn sämtliche Unterschriften erst zu einem späteren Zeitpunkt geleistet wurden.

Reicht die Einhaltung des EU-Datenschutzrechts bei Datenübermittlungen an Konzerngesellschaften aus?

Die Zugehörigkeit von Unternehmen zu demselben internationalen Konzern oder die Tatsache, dass der ausländische Empfänger der Datenschutz-Grundverordnung der Europäischen Union („DSGVO“) unterliegt, reicht für eine Übermittlung aus der Türkei allein nicht aus. Verträge und Konzernrichtlinien, die im Rahmen der DSGVO erstellt wurden, ersetzen nicht automatisch die nach türkischem Recht vorgesehenen Übermittlungsinstrumente.

Für konzerninterne Datenübermittlungen können neben Standardvertragsklauseln auch verbindliche interne Datenschutzvorschriften in Betracht gezogen werden. Dabei ist jedoch zwischen einer vom Konzern selbst eingeführten Datenschutzrichtlinie und verbindlichen internen Datenschutzvorschriften zu unterscheiden, die nach dem KVKK vom Ausschuss genehmigt wurden. Die Übermittlungsregelungen mit Bezug zur Türkei müssen innerhalb des globalen Datenschutzprogramms des Konzerns gesondert berücksichtigt werden.

Wie sind anschließende Datenübermittlungen durch Vermittler und Unterauftragsverarbeiter zu beurteilen?

Dass Daten zunächst an einen Berater, Dienstleister oder eine Konzerngesellschaft übermittelt werden, bedeutet nicht automatisch, dass diese Partei die Daten rechtmäßig an einen weiteren Empfänger weitergeben darf. Neben der ursprünglichen Übermittlung müssen auch spätere Weitergaben durch den ausländischen Empfänger den Bedingungen der jeweiligen Standardvertragsklauseln entsprechen.

Werden beispielsweise aus der Türkei an eine ausländische Gesellschaft übermittelte Daten an eine andere Gesellschaft im selben Land weitergegeben, können ebenfalls die Bestimmungen über anschließende Datenübermittlungen zur Anwendung kommen. Dass die Daten bei der zweiten Weitergabe keine weitere Staatsgrenze überschreiten, ist daher für sich genommen nicht entscheidend.

Allerdings lässt sich auch nicht sagen, dass für jede anschließende Weitergabe zwingend ein gesonderter Standardvertrag erforderlich ist. Wird beispielsweise im Rahmen von Standardvertragsklauseln für die Übermittlung von einem Verantwortlichen an einen Auftragsverarbeiter ein Unterauftragsverarbeiter eingesetzt, sind das erforderliche Genehmigungsverfahren und ein schriftlicher Unterauftragsverarbeitungsvertrag, der die Garantien der Standardvertragsklauseln enthält, von Bedeutung. Das anzuwendende Rechtsinstrument richtet sich nach der Rolle des nachfolgenden Empfängers und den Bestimmungen des bestehenden Vertrags.

Wie wird die Informationspflicht bei der Datenübermittlung ins Ausland erfüllt?

Die Unterzeichnung der Standardvertragsklauseln entbindet nicht von der Informationspflicht. Die betroffenen Personen müssen über die Identität des Verantwortlichen, die Verarbeitungszwecke, die Zwecke der Datenübermittlung und die Empfängerkategorien, die Methode der Datenerhebung, die Rechtsgrundlage und ihre Rechte informiert werden. Die Erfüllung der Informationspflicht hängt nicht von einer entsprechenden Anfrage der betroffenen Person ab.

Zwischen der Angabe der Empfängerkategorien im Rahmen der allgemeinen Datenschutzinformation und besonderen Informationspflichten aus den gewählten Standardvertragsklauseln ist zu unterscheiden. Beispielsweise sieht Klausel 7.4 der Standardvertragsklauseln für Übermittlungen von einem Verantwortlichen an einen Verantwortlichen vor, dass die betroffenen Personen unmittelbar oder über den Datenexporteur über die Identität und die Kontaktdaten des ausländischen Datenimporteurs informiert werden. Die bloße Angabe einer allgemeinen Empfängerkategorie bedeutet daher nicht, dass sämtliche vertraglichen Informationspflichten erfüllt sind.

Darüber hinaus haben betroffene Personen nach Art. 11 KVKK das Recht zu erfahren, an welche Dritten ihre Daten im In- oder Ausland übermittelt wurden. Unternehmen sollten ihre allgemeinen Datenschutzhinweise, ergänzenden vertraglich vorgesehenen Informationen und Antworten auf Anfragen betroffener Personen aufeinander abstimmen.

Worin besteht der Unterschied zwischen Maskierung und Anonymisierung?

Die Entfernung des Namens einer Person aus einem Datensatz bedeutet nicht immer, dass die Daten anonymisiert wurden. Kann die Person anhand ihrer Berufsbezeichnung, ihrer Abteilung, des Datums eines Ereignisses oder durch Abgleich mit anderen Aufzeichnungen identifiziert werden, bleiben die Informationen personenbezogene Daten.

Wird beispielsweise in einem Bericht, aus dem der Name entfernt wurde, auf den einzigen Leiter einer bestimmten Abteilung Bezug genommen, kann die Identität der betreffenden Person weiterhin erkennbar sein. Ebenso unterscheidet sich die Verwendung eines Codes anstelle eines Namens, der mithilfe einer Zuordnungstabelle wieder aufgelöst werden kann, von einer tatsächlichen Anonymisierung. Eine Maskierung kann eine risikomindernde Maßnahme sein, beseitigt aber für sich genommen nicht die Pflichten im Zusammenhang mit Datenübermittlungen ins Ausland. Bei der Beurteilung einer Anonymisierung muss sichergestellt sein, dass die Daten auch durch die Verknüpfung mit anderen Informationen keiner Person mehr zugeordnet werden können.

Wie können Daten aus Hinweisgebermeldungen und internen Untersuchungen ins Ausland übermittelt werden?

Bei der Beurteilung von Hinweisgeber- und internen Untersuchungsverfahren müssen nicht nur die Daten der hinweisgebenden Person, sondern auch die Daten der gemeldeten Personen, der Zeugen und anderer in den Unterlagen genannter Personen berücksichtigt werden. Die Tatsache, dass eine Meldung anonym erfolgt ist, bedeutet nicht, dass sämtliche darin enthaltenen Informationen anonym sind.

In solchen Verfahren können auch besondere Kategorien personenbezogener Daten enthalten sein, etwa Gesundheitsdaten oder Angaben zur Gewerkschaftszugehörigkeit. In diesem Fall müssen die geeigneten Verarbeitungsvoraussetzungen nach Art. 6 KVKK und die vom Ausschuss festgelegten ausreichenden Schutzmaßnahmen gesondert geprüft werden. Die Tatsache, dass eine Akte mit einer Untersuchung zusammenhängt, rechtfertigt nicht die uneingeschränkte Verarbeitung sämtlicher darin enthaltener Daten.

Werden Daten nicht unmittelbar bei der betroffenen Person erhoben, ist auch der Zeitpunkt der Informationserteilung von Bedeutung. Vorbehaltlich anwendbarer gesetzlicher Ausnahmen muss die Information spätestens zum Zeitpunkt der ersten Datenübermittlung erteilt werden, sofern die Daten übermittelt werden sollen. Die Notwendigkeit, die Vertraulichkeit der Untersuchung zu wahren, darf für sich genommen nicht als allgemeine Ausnahme von der Informationspflicht betrachtet werden.

Wie können Unternehmen die Einhaltung der Vorschriften zur Datenübermittlung ins Ausland sicherstellen?

Ausgangspunkt der Compliance-Prüfung sollte nicht die Liste der verwendeten Verträge, sondern der tatsächliche Datenfluss sein. Für jeden Prozess empfiehlt es sich, eine Bewertungsmatrix zu erstellen, in der die Datenkategorien, Zwecke, Empfänger, Rollen der Beteiligten und Übermittlungswege gemeinsam dargestellt werden.

Auch die Anlagen des Vertrags sollten auf Grundlage dieser Prüfung ausgefüllt werden. Anstatt den Umfang der Übermittlung mit allgemeinen Formulierungen zu umschreiben, sollte konkret festgelegt werden, welche Daten zu welchen Zwecken übermittelt werden und welche Garantien zur Anwendung kommen. Auch das Standardvertragssystem des Ausschusses beruht darauf, die Einzelheiten der Übermittlung sowie die technischen und organisatorischen Maßnahmen zu bestimmen.

Die Umsetzung der Verträge sollte durch Zugriffsberechtigungen, sichere Kommunikationswege, klar festgelegte Aufgaben der Mitarbeiter und Kontrollverfahren unterstützt werden. Die Auslagerung einer Datenverarbeitungstätigkeit an einen externen Dienstleister entbindet den Verantwortlichen nicht von seiner Verantwortung für die Datensicherheit. Werden personenbezogene Daten im Auftrag des Verantwortlichen durch eine andere Person verarbeitet, sind der Verantwortliche und der Auftragsverarbeiter gemeinsam dafür verantwortlich, dass die erforderlichen Sicherheitsmaßnahmen getroffen werden.

Schließlich müssen die Unterlagen erneut geprüft werden, wenn sich Empfänger oder Unterauftragsverarbeiter ändern, ein neues System eingesetzt wird oder der Umfang der Datenübermittlung erweitert wird. Auch die in den Standardvertragsklauseln vorgesehenen Pflichten zur Aktualisierung der Anlagen und zur Meldung von Änderungen sollten Bestandteil des Änderungsmanagements sein.

Fazit

Die Übermittlung personenbezogener Daten ins Ausland ist kein Vorgang, der bereits mit der Unterzeichnung eines Vertrags abgeschlossen ist. Vielmehr handelt es sich um einen Compliance-Bereich, der eine rechtliche Einordnung, Information, Datensicherheit und fortlaufende Kontrolle erfordert. Für Unternehmen besteht das wesentliche Ziel darin, die in den Standardvertragsklauseln übernommenen Verpflichtungen mit den tatsächlichen täglichen Abläufen in Einklang zu bringen.

GEMS Schindhelm berät Mandanten bei der Bewertung von Prozessen zur Übermittlung personenbezogener Daten ins Ausland, der Bestimmung der Rollen von Verantwortlichen und Auftragsverarbeitern, der Auswahl geeigneter Übermittlungsinstrumente, der Erstellung von Standardvertragsklauseln und ergänzenden Dokumenten, der Ausgestaltung von Informationsverfahren sowie der Durchführung von Meldungen bei der Behörde. Für individuelle Beratung zum Thema nehmen Sie gerne direkt Kontakt mit unserer Anwaltskanzlei auf.