Startseite / EU-Verordnung
EU-Verordnung
DSGVO und internationaler Datenzugriff
Der Zugriff auf europäische personenbezogene Daten aus einem anderen Land muss vom bloßen Standort des Anbieters und von der Art des gelieferten Guts oder der erbrachten Dienstleistung unterschieden werden.
Auswirkung dieser Anforderung
Diese Regel ist nicht isoliert zu lesen.
- Übermittlungen
- Bilaterale Beziehung
- Länderquellen überprüft am
Annahmen, Grenzen und Quellen dieser Einschätzung
Lesepunkt
Ein Fernzugriff ist ein zu steuernder Datenfluss
Land, Rolle, Zweck, Personen und Systeme werden gemeinsam betrachtet.
- Rollen Verantwortlicher und Auftragsverarbeiter
- Zugangswege und Verarbeitungsorte
- Vertragliche und technische Maßnahmen
- Nachgelagerte Unterauftragnehmer und Löschung
Datenpfad
Den tatsächlichen Ablauf beobachten, statt die Beziehung auf ein Land zu reduzieren.
Daten und Zweck
Welche Daten werden benötigt, für welche Verarbeitung und unter wessen Verantwortung?
Personen und Systeme
Wer greift zu, von welchem Ort aus, mit welchen Mitteln und welchen Spuren?
Übermittlungsmechanismus
Angemessenheit, Klauseln, interne Vorschriften und ergänzende Maßnahmen werden unterschieden.
Ende des Zugangs
Austritt, Rollenwechsel, Rückgabe, Aufbewahrung und Löschung sind nachweisbar.
Entscheidungspfad
Den tatsächlichen Verlauf von Daten und Zugriffen nachvollziehen
Das Land des Dienstleisters allein genügt nicht: Die Einstufung hängt von den Rollen, Zwecken, Personen und tatsächlich zugänglichen Systemen ab.
01Rollen und Anweisungen
Den Verantwortlichen, die Auftragsverarbeiter, die zulässigen Zwecke und die Weisungen ermitteln, die jeden Zugriff regeln.
02Zugang und Übermittlung
Erfassen Sie, welche Daten eingesehen werden, wo sie gespeichert sind, aus welchen Ländern der Zugriff erfolgt und welche Vorgänge aus der Ferne durchgeführt werden.
03Geltende Garantien
Übertragungsmechanismus, Klauseln, ergänzende Maßnahmen und nachgelagerte Unterauftragsverarbeiter dem genauen Datenfluss zuordnen, den sie regeln sollen.
04Verarbeitungsende
Den Entzug von Zugängen, die Rückgabe, die Löschung und den Umgang mit temporären Kopien nachweisen, wenn der Zweck oder die Beziehung endet.
Kontrolle eines Zugriffs außerhalb der EU
Die Fragen, die den Datenfluss verständlich und vertretbar machen.
Zu behandelnde Fragen
- Wer auf europäische Daten zugreift, von wo aus und zu welchem Zweck
- Ihre Übermittlungsmechanismen und vertraglichen Garantien
- Ihre Kette nachgelagerter Unterauftragnehmer
- Ihre Lösch- und Rückgabefähigkeiten
Elemente, die die Antwort stützen
- Kartierung der Zugänge und Verarbeitungsorte
- Klauseln und technische Maßnahmen im Zusammenhang mit Übermittlungen
- Register der freigegebenen Subunternehmer
- Nachweise ausgeführter Löschungen und Exporte
Zu vermeidende Verwechslungen
- In Kategorien des „Serverstandorts“ denken und dabei Fernzugriffe ignorieren
- Dem Support ungeprotokollierten Zugriff auf die Produktion gewähren
- Einen weiteren Unterauftragnehmer während des Kundenaudits entdecken
- Die Löschung bei Vertragsende als Thema des letzten Monats behandeln
Assurance-Dossier, TD-034Demonstrationsbeispiel
DSGVO-VerpflichtungZugang zu EU-Daten begrenzt und protokolliertFeststellung
Vorgesehene Antwort„Zugang nur aus der EU“Feststellung
Tatsächlicher WegDer Level-2-Support greift aus einem Drittland zuFeststellung
Festgestellte AbweichungEin Zugangspfad widerspricht der ErklärungAbweichung
AuswirkungFalsche Antwort zu einem hochsensiblen ThemaAbweichung
MaßnahmeDen Kanal deklarieren, einrahmen und protokollieren — oder ihn schließenEntscheidung
Lesart der FarbenSachverhaltsfeststellungAbweichung oder RisikoEntscheidung oder Maßnahme
Demonstration
Die Übermittlung anhand der tatsächlich stattfindenden Zugriffe qualifizieren.
Der Fall verfolgt Daten, Personen, Länder und Systeme, um die Garantien an den genauen Fluss und nicht nur an den Sitz des Dienstleisters zu knüpfen.
Die Qualifizierung eines Nachweises verstehen →Diese Betrachtung anwenden
Datenfluss und Zugriffe kartieren, bevor die Übermittlung qualifiziert wird.
Datenkategorien, Speicherorte und Zugriffsländer erlauben es, den Datenweg nachzuvollziehen, bevor die passenden Garantien ausgewählt werden.