Warum der Speicherort wichtig ist
Die DSGVO stellt strenge Anforderungen an die Übermittlung personenbezogener Daten in Länder außerhalb der EU. Wenn Sie Software nutzen, die Daten auf Servern in den USA, Indien oder einem anderen Nicht-EU-Land speichert, gelten zusätzliche Regeln.
Das bedeutet nicht, dass Sie diese Tools nicht nutzen dürfen. Aber Sie müssen wissen, wo die Daten gespeichert sind, und dokumentieren, welche Garantien bestehen.
Wie finden Sie heraus, wo Ihre Daten sind?
Die meisten Softwareanbieter veröffentlichen ihren Speicherort. Hier können Sie nachschauen:
1. Der Auftragsverarbeitungsvertrag (AVV)
Wenn Sie einen AVV mit dem Anbieter haben, steht dort fast immer, in welcher Region die Daten verarbeitet werden. Große Anbieter wie Google, Microsoft und Amazon veröffentlichen ihren AVV auf ihrer Website.
2. Die Datenschutzerklärung des Anbieters
Unter Überschriften wie “Datenübermittlung” oder “Internationale Datentransfers” finden Sie in der Regel, ob Daten die EU verlassen und welche Garantien gelten.
3. Direkter Kontakt
Wenn Sie die Information nicht finden, schreiben Sie dem Anbieter eine E-Mail: “Werden die personenbezogenen Daten, die wir über Ihren Dienst verarbeiten, auf Servern innerhalb der EU gespeichert?” Die meisten Anbieter sind verpflichtet, Ihnen eine klare Antwort zu geben.
Was, wenn Daten außerhalb der EU gespeichert sind?
Das ist kein Problem, solange geeignete Garantien bestehen. Die gängigste Garantie sind die Standardvertragsklauseln (SCC), ein Satz von Standardvertragsbestimmungen, die von der Europäischen Kommission genehmigt wurden. Große Cloud-Anbieter haben diese bereits in ihre Bedingungen integriert.
Darüber hinaus gibt es Länder, für die ein Angemessenheitsbeschluss gilt. Die Europäische Kommission hat festgestellt, dass diese Länder ein vergleichbares Schutzniveau bieten. Datentransfers in diese Länder sind ohne zusätzliche Garantien erlaubt.
In GDPRWise dokumentieren
In Ihrem Drittanbieter-Dossier können Sie pro Anbieter angeben:
- Ob die Daten innerhalb oder außerhalb der EU gespeichert werden
- In welchem Land die Server stehen
- Welche Garantie gilt (SCC, Angemessenheitsbeschluss oder andere)
GDPRWise warnt Sie, wenn Sie einen Anbieter ohne Speicherort hinzufügen, damit Sie diese Information nicht vergessen.
Praktische Faustregeln
- Europäische Anbieter speichern Daten in der Regel in der EU, aber prüfen Sie es zur Sicherheit
- Amerikanische Anbieter verarbeiten Daten oft (auch) in den USA, bieten aber in der Regel SCC an
- Unsicher? Dokumentieren Sie Ihre Unsicherheit und kontaktieren Sie den Anbieter. Ehrlichkeit in Ihrem Dossier ist immer besser als eine Annahme
GDPRWise hilft Ihnen, pro Anbieter zu dokumentieren, welche Daten Sie teilen, wo sie gespeichert werden und welche Garantien gelten.