Wo Ihre Daten liegen und wer sie tatsächlich sehen kann
Es gibt eine Frage, die in Gesprächen mit deutschen Herstellern fast nie gestellt wird. Nicht, weil sie unwichtig wäre, sondern weil sie unhöflich klingt: Ihr entwickelt in Indien. Was passiert dort mit unseren Daten?
Weil sie nicht gestellt wird, wird sie auch nicht beantwortet. Sie wandert stattdessen in die Bewertung. Und dort entscheidet sie mit, ohne dass jemand darüber gesprochen hat.
Wir beantworten sie deshalb ungefragt. Die Antwort beginnt mit dem Teil, den kein Anbieter gern zuerst sagt.
Für Indien gibt es keinen Angemessenheitsbeschluss
Nach Art. 45 DSGVO dürfen personenbezogene Daten frei in ein Drittland übermittelt werden, wenn die Kommission dessen Schutzniveau als angemessen festgestellt hat. Für Indien liegt eine solche Feststellung nicht vor.
Damit greift Art. 46. Jede Übermittlung personenbezogener Daten aus dem EWR nach Indien braucht geeignete Garantien. In der Praxis heißt das: Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, ergänzt um eine Prüfung, ob diese Klauseln im konkreten Fall auch tatsächlich wirken das Transfer Impact Assessment, das seit Schrems II verlangt wird.
Für die typische Konstellation Sie sind Verantwortlicher, wir sind Auftragsverarbeiter ist regelmäßig Modul 2 einschlägig. Übermitteln wir personenbezogene Daten anschließend an einen Unterauftragsverarbeiter in einem Drittland, kommt regelmäßig Modul 3 zum Einsatz. Die Klauseln enthalten in den einschlägigen Modulen zugleich die Anforderungen des Art. 28 DSGVO. Damit können Übermittlungsgrundlage und wesentliche Anforderungen an die Auftragsverarbeitung in einem Vertragswerk abgebildet werden.
Das ist kein Sonderfall und kein Makel. Es ist der normale rechtliche Rahmen für die Zusammenarbeit mit jedem Dienstleister außerhalb des EWR ohne Angemessenheitsbeschluss. Verhandeln lässt er sich nicht. Sauber abarbeiten schon.
Für Indien gibt es derzeit keine allgemeine und keine sektorale Angemessenheitsentscheidung der Europäischen Kommission. Wer Ihnen sagt, das sei geregelt" hat die Frage nicht verstanden oder beantwortet sie nicht.
Fernzugriff ist eine Übermittlung
"Ihre Daten liegen in Frankfurt." Das ist häufig wahr und beantwortet die Frage trotzdem nicht — denn es sagt nichts darüber, wer von wo aus daraufschaut.
Eine Übermittlung im Sinne des Kapitels V setzt nicht voraus, dass Daten kopiert oder verschoben werden. Es genügt, dass jemand aus einem Drittland darauf zugreifen kann. Ein Entwickler, der von Pune aus eine Sitzung auf einem Server in Frankfurt öffnet, ist damit grundsätzlich als Drittlandübermittlung im Sinne des Kapitels V DSGVO zu behandeln.
Deshalb ist die Aussage „wir hosten in Deutschland" allein kein Argument. Sie ist der erste von zwei Teilen. Der zweite lautet: und der Zugriff aus Indien ist so gestaltet, dass er entweder gar keine personenbezogenen Daten erreicht oder unter den vereinbarten Garantien stattfindet, nachvollziehbar protokolliert.
Wenn Ihnen ein Anbieter den ersten Teil nennt und beim zweiten unscharf wird, haben Sie die eigentliche Antwort bereits bekommen.
Hosting in Deutschland beantwortet die Frage nach dem Ort. Es beantwortet nicht die Frage nach dem Zugriff. Die zweite ist die, die Ihr Datenschutzbeauftragter stellen wird.
Die Fragen, die Ihre Rechtsabteilung ohnehin stellen wird
Das Transfer Impact Assessment ist Ihre Pflicht als Verantwortlicher, nicht unsere. Wir können es Ihnen nicht abnehmen. Wir können dafür sorgen, dass Sie es nicht mit Vermutungen ausfüllen müssen
Welche Kategorien personenbezogener Daten erreichen das Drittland überhaupt?
Bei Fertigungssystemen ist die ehrliche Antwort oft: erstaunlich wenige. Stücklisten, Geometrien, Preislogik und Maschinendaten sind in aller Regel keine personenbezogenen Daten. Personenbezug entsteht an den Rändern Benutzerkonten, Bearbeitervermerke, Ansprechpartner in Angeboten, Zeitstempel. Wer diese Ränder benennen kann, verkleinert die Prüfung erheblich.
Welche Zugriffsrechte bestehen für Behörden im Drittland?
Das ist der Teil, an dem die Prüfung ernst wird, und der Teil, den kein Anbieter durch eine Zusicherung ersetzen kann. Maßgeblich sind die Rechtslage und die tatsächliche Praxis im Drittland, nicht die Absicht des Dienstleisters. Ihre Rechtsberatung wird das bewerten wollen; unsere Aufgabe ist, die dafür nötigen Angaben vollständig zu liefern.
Welche zusätzlichen Maßnahmen greifen, wenn die Klauseln allein nicht ausreichen?
Technische Maßnahmen können hier eine entscheidende Rolle spielen Verschlüsselung, Pseudonymisierung, und vor allem die Frage, ob personenbezogene Daten das Drittland überhaupt erreichen müssen. Vertragliche und organisatorische Maßnahmen ergänzen sie. Welche Kombination erforderlich ist, hängt von der konkreten Übermittlung und der Bewertung der Rechtslage im Drittland ab.
Der beste Umgang mit einer Drittlandübermittlung ist, sie zu vermeiden
Nicht jede Zusammenarbeit über Ländergrenzen erfordert, dass Produktivdaten die Grenze mitüberqueren. In den meisten unserer Projekte tut sie das nicht.
Produktivsystem im EWR
Betrieb auf Servern in Deutschland oder wahlweise in Ihrem eigenen Rechenzentrum. Bei On-Premise-Betrieb verlässt der Datenbestand Ihr Haus überhaupt nicht.
Zugriff auf Produktivdaten nur benannt, befristet und protokolliert
Kein pauschaler Zugang für ein Entwicklungsteam, sondern namentlich benannte Personen, zeitlich begrenzt, für einen dokumentierten Anlass, mit Protokoll. Keine unkontrollierten lokalen Kopien.
Entwicklung und Test auf pseudonymisierten oder synthetischen Daten
Ein Konfigurator lässt sich an erfundenen Kundennamen genauso gut entwickeln wie an echten. Wo möglich, verwenden wir synthetische Testdaten. Wo reale Daten für einen konkreten Testfall erforderlich sind, werden sie vor der Bereitstellung pseudonymisiert und auf das erforderliche Maß reduziert. Pseudonymisierte Daten bleiben personenbezogene Daten sie verkleinern das Risiko, sie beenden die Prüfung nicht.
Unterauftragsverarbeiter offengelegt, bevor Sie danach fragen
Liste mit Name, Sitz, Zweck und den jeweils einschlägigen datenschutzrechtlichen Grundlagen. Änderungen werden angekündigt, nicht nachträglich mitgeteilt.
Je weniger personenbezogene Daten das Drittland erreichen, desto kürzer wird Ihre Prüfung. Das ist keine juristische Konstruktion, sondern eine Frage der Systemarchitektur und die wird am Anfang entschieden, nicht am Ende.
Unterlagen, bevor Sie danach fragen müssen
Vor Projektbeginn stellen wir die für Ihre Prüfung erforderlichen Unterlagen bereit, ohne dass Sie danach fragen müssen: Auftragsverarbeitungsvertrag und Standardvertragsklauseln im einschlägigen Modul, Liste der Unterauftragsverarbeiter, Beschreibung der technischen und organisatorischen Maßnahmen, Angaben zum Datenstandort, Feldliste mit den personenbezogenen Feldern des Systems, Lösch- und Aufbewahrungskonzept, Zugriffs- und Rollenkonzept sowie die Angaben, die Sie für Ihr Transfer Impact Assessment brauchen.
Dazu, unabhängig vom Datenschutz, die Frage nach der Fortführung: der Quellcode liegt im Escrow. Wenn uns etwas zustößt, arbeiten Ihre Systeme weiter und jemand anderes kann sie übernehmen.
Und eine Referenz. Sie sprechen mit einem europäischen Kunden, der diesen Prozess bereits durchlaufen hat, bevor Sie sich festlegen.
Vertrauen lässt sich nicht behaupten. Es lässt sich nachprüfbar machen und genau darauf ist dieses Unternehmen aufgebaut, weil wir es uns nicht leisten können, es vorauszusetzen.
Dreißig Minuten, ein echter Vorgang.
Bringen Sie eine reale Anfrage mit. Wir zeigen Ihnen den Weg von der Anfrage bis zum Angebot und welche Felder dabei entstehen, welche davon personenbezogen sind und wo sie liegen.
Sie führen die Fabrik. Die Software überlassen Sie uns.