DSGVO und Offshore-Auslagerung: Praxisleitfaden für Unternehmen

An Marokko, Tunesien oder Madagaskar auslagern und dabei DSGVO-konform bleiben: Das ist möglich, erfordert jedoch eine sorgfältige Vorbereitung. Die EU-Datenschutzgrundverordnung findet uneingeschränkt auf Verarbeitungen außerhalb der EU Anwendung, die für einen in Europa ansässigen Verantwortlichen durchgeführt werden. Hier sind die Säulen, die vor der Unterzeichnung eines Auslagerungsvertrags geprüft werden müssen.

Der Grundsatz ist klar: Die Verlagerung der Verarbeitung entbindet niemals von den DSGVO-Pflichten. Der Verantwortliche bleibt für die Daten seiner Kunden verantwortlich, unabhängig davon, wo sie verarbeitet werden. Die gute Nachricht: Mit einem strukturierten Partner, passenden Garantien und sorgfältiger Dokumentation ist das Offshore-Outsourcing mit der Verordnung vereinbar.

1. Der rechtliche Rahmen: Angemessenheitsbeschluss oder nicht?

Die Übermittlung personenbezogener Daten in ein Drittland (außerhalb der EU) ist nur in zwei Fällen zulässig, die durch Kapitel V der DSGVO (Artikel 44 bis 49) geregelt sind. Entweder hat die Europäische Kommission einen Angemessenheitsbeschluss erlassen, der anerkennt, dass das Land ein im Wesentlichen gleichwertiges Schutzniveau bietet – beispielsweise Japan, die Schweiz oder Neuseeland. Oder, falls nicht, muss die Übermittlung auf geeigneten Garantienberuhen.

Marokko, Tunesien und Madagaskar verfügen über keinen Angemessenheitsbeschluss. Jede Übermittlung in diese Ziele muss daher auf Standardvertragsklauseln (SCC), verbindlichen internen Datenschutzvorschriften (BCR) oder in bestimmten Fällen auf Verhaltensregeln und Zertifizierungen beruhen. Bei Altavista360 verwenden wir die Standardvertragsklauseln der Europäischen Kommission (SCC 2021), die nach dem Schrems-II-Urteil des EuGH aktualisiert wurden. Diese Klauseln sind in jeden Dienstleistungsvertrag integriert und werden durch eine Übermittlungs-Folgenabschätzung (TIA) ergänzt, sofern die lokale Situation dies erfordert.

2. Der Auftragsverarbeitungsvertrag (Artikel 28)

Artikel 28 der DSGVO verpflichtet den Auftragsverarbeiter, personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Verantwortlichen zu verarbeiten. In der Praxis geschieht dies durch einen Auftragsverarbeitungsvertrag (AVV), der Folgendes formalisiert: Gegenstand, Dauer, Art und Zweck der Verarbeitung; die Art der personenbezogenen Daten und die Kategorien betroffener Personen; sowie die Pflichten in Bezug auf Sicherheit, Vertraulichkeit und Zusammenarbeit mit der Aufsichtsbehörde.

Dieser Vertrag muss auch die Bedingungen für die Einschaltung eines weiteren Unterauftragsverarbeiters (mit vorheriger Genehmigung) regeln, die Unterstützung bei Anfragen betroffener Personen und die Löschung oder Rückgabe der Daten am Vertragsende. Ohne einen korrekt ausgehandelten Artikel 28 ist ein Outsourcing-Projekt juristisch fragil.

3. Sicherheit, Pseudonymisierung und Artikel 32

Artikel 32 der DSGVO verlangt dem Risiko angemessene technische und organisatorische Maßnahmen. In einem Offshore-Center setzt sich dies aus mehreren sich ergänzenden Kontrollen zusammen. Kundendaten werden über verschlüsselte Verbindungen (VPN, TLS) übertragen. Intern werden die Daten so früh wie möglich pseudonymisiert: Die Mitarbeiter sehen eine Kunden-ID, nicht den vollständigen Namen. Die Zugriffsrechte werden rollenbasiert (RBAC) nach dem Need-to-know-Prinzip kontrolliert, und jeder Datenzugriff wird in einem unveränderlichen Prüfprotokoll erfasst.

Organisatorisch kommen zugangskontrollierte Räume, ein Verbot privater Handys und USB-Sticks, eine Clean-Desk-Richtlinie sowie ein formalisiertes Verfahren zur Meldung von Datenschutzverletzungen (Artikel 33) an den Verantwortlichen hinzu. Die ISO/IEC 27001-Zertifizierung des Centers ist der Referenzstandard: Sie stellt sicher, dass ein Information-Security-Management-System besteht und auditiert wird.

4. Verantwortlichkeit: Wer wofür einsteht

Im Rahmen der Auslagerung agiert Altavista360 als Auftragsverarbeiter im Sinne der DSGVO. Der Auftraggeber bleibt der Verantwortliche für die Verarbeitung und trägt die Hauptverantwortung gegenüber den Betroffenen und der Aufsichtsbehörde. Diese Unterscheidung ist im Vertrag klar geregelt: Wir treffen keine Entscheidungen über die Zwecke und Mittel der Verarbeitung, sondern handeln ausschließlich nach den dokumentierten Weisungen des Auftraggebers.

Diese Aufteilung entbindet den Auftragsverarbeiter jedoch nicht: Er muss seine Compliance nachweisen können (Grundsatz der Rechenschaftspflicht, Artikel 5 Absatz 2), ein Verzeichnis von Verarbeitungstätigkeiten (Artikel 30) führen und mit dem Verantwortlichen zusammenarbeiten. Die operative Nachverfolgung dieser Pflichten unterscheidet einen ernsthaften Partner von einem gewöhnlichen Dienstleister.

5. Die Rechte betroffener Personen

Die Kunden Ihrer Kunden behalten dieselben DSGVO-Rechte, unabhängig davon, in welchem Land die Verarbeitung stattfindet: Auskunftsrecht, Recht auf Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Artikel 15 bis 22). Wir haben daher Verfahren eingerichtet, um diese Anfragen innerhalb der gesetzlichen Frist (in der Regel ein Monat) weiterzuleiten und zu bearbeiten, auch für Daten, die in Marokko oder Tunesien gespeichert sind. Das Offshore-Center ist in den Workflow zur Bearbeitung Betroffenenrechte integriert, mit einem benannten Ansprechpartner und einer vertraglichen Übermittlungsfrist.

Branchen mit erhöhtem Klärbedarf

Nicht alle Branchen sind beim Offshore-DSGVO gleich. Zwei verdienen besondere Aufmerksamkeit. Banken und Fintech verarbeiten sensible Finanzdaten und unterliegen überlappenden Pflichten (DSGVO, Bankgeheimnis, PSD2, PCI-DSS), die verstärkte Schutzmaßnahmen erfordern. Gesundheit und Krankenkassen verarbeiten Gesundheitsdaten, die als besondere Datenkategorie (Artikel 9 DSGVO) gelten und zusätzliche Garantien sowie meist eine Datenschutz-Folgenabschätzung (Artikel 35) verlangen.

In diesen Kontexten ist eine Datenschutz-Folgenabschätzung (DSFA) in der Regel vor dem Go-live erforderlich. Sie dokumentiert die Risiken für die Rechte und Freiheiten betroffener Personen und die ergriffenen Maßnahmen zur Risikominderung. Wir führen diese Übung routinemäßig in Zusammenarbeit mit dem Datenschutzbeauftragten (DPO) des Kunden durch.

Compliance-Audits

Vor jeder Inbetriebnahme prüfen wir das Partnercenter anhand eines Rasters von DSGVO-Kriterien: physische und logische Sicherheit, Schulung der Mitarbeiter, Verwaltung der Zugriffsrechte, Verfahren zur Verletzungsmitteilung, Umgang mit Betroffenenrechten, Aufbewahrungsfristen und das Verzeichnis von Verarbeitungstätigkeiten. Ein Prüfbericht wird dem Auftraggeber übergeben. Diese Kontrollen werden anschließend regelmäßig wiederholt, denn Compliance ist ein fortlaufender Prozess und kein einmaliger Zustand. Für den weiteren Kontext des Outsourcings nach Marokko beschreibt unser Artikel zur Destination Marokko den regulatorischen Rahmen und die verfügbaren Zertifizierungen. Um auch Ihre administrativen Prozesse abzusichern, siehe unseren Leitfaden zum Back-Office-Outsourcing.