DSGVO und Offshore-Auslagerung: Praxisleitfaden für Unternehmen

An Marokko, Tunesien oder Madagaskar auslagern und dabei DSGVO-konform bleiben: Das ist möglich, erfordert jedoch eine sorgfältige Vorbereitung. Die EU-Datenschutzgrundverordnung findet uneingeschränkt auf Verarbeitungen außerhalb der EU Anwendung, die für einen in Europa ansässigen Verantwortlichen durchgeführt werden. Hier sind die Säulen, die vor der Unterzeichnung eines Auslagerungsvertrags geprüft werden müssen.

Der Grundsatz ist klar: Die Verlagerung der Verarbeitung entbindet niemals von den DSGVO-Pflichten. Der Verantwortliche bleibt für die Daten seiner Kunden verantwortlich, unabhängig davon, wo sie verarbeitet werden. Die gute Nachricht: Mit einem strukturierten Partner, passenden Garantien und sorgfältiger Dokumentation ist das Offshore-Outsourcing mit der Verordnung vereinbar.

1. Der rechtliche Rahmen: Angemessenheitsbeschluss oder nicht?

Die Übermittlung personenbezogener Daten in ein Drittland (außerhalb der EU) ist nur in zwei Fällen zulässig, die durch Kapitel V der DSGVO (Artikel 44 bis 49) geregelt sind. Entweder hat die Europäische Kommission einen Angemessenheitsbeschluss erlassen, der anerkennt, dass das Land ein im Wesentlichen gleichwertiges Schutzniveau bietet – beispielsweise Japan, die Schweiz oder Neuseeland. Oder, falls nicht, muss die Übermittlung auf geeigneten Garantienberuhen.

Marokko, Tunesien und Madagaskar verfügen über keinen Angemessenheitsbeschluss. Jede Übermittlung in diese Ziele muss daher auf Standardvertragsklauseln (SCC), verbindlichen internen Datenschutzvorschriften (BCR) oder in bestimmten Fällen auf Verhaltensregeln und Zertifizierungen beruhen. Für jedes Projekt, das wir organisieren, verlangen wir die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), die nach dem Schrems-II-Urteil des EuGH angenommen wurden: Sie werden in den Vertrag mit dem ausgewählten Center aufgenommen und durch eine Übermittlungs-Folgenabschätzung (TIA) ergänzt, sofern die lokale Situation dies erfordert.

2. Der Auftragsverarbeitungsvertrag (Artikel 28)

Artikel 28 der DSGVO verpflichtet den Auftragsverarbeiter, personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Verantwortlichen zu verarbeiten. In der Praxis geschieht dies durch einen Auftragsverarbeitungsvertrag (AVV), der Folgendes formalisiert: Gegenstand, Dauer, Art und Zweck der Verarbeitung; die Art der personenbezogenen Daten und die Kategorien betroffener Personen; sowie die Pflichten in Bezug auf Sicherheit, Vertraulichkeit und Zusammenarbeit mit der Aufsichtsbehörde.

Dieser Vertrag muss auch die Bedingungen für die Einschaltung eines weiteren Unterauftragsverarbeiters (mit vorheriger Genehmigung) regeln, die Unterstützung bei Anfragen betroffener Personen und die Löschung oder Rückgabe der Daten am Vertragsende. Ohne einen korrekt ausgehandelten Artikel 28 ist ein Outsourcing-Projekt juristisch fragil.

3. Sicherheit, Pseudonymisierung und Artikel 32

Artikel 32 der DSGVO verlangt dem Risiko angemessene technische und organisatorische Maßnahmen. In einem Offshore-Center setzt sich dies aus mehreren sich ergänzenden Kontrollen zusammen. Kundendaten werden über verschlüsselte Verbindungen (VPN, TLS) übertragen. Intern werden die Daten so früh wie möglich pseudonymisiert: Die Mitarbeiter sehen eine Kunden-ID, nicht den vollständigen Namen. Die Zugriffsrechte werden rollenbasiert (RBAC) nach dem Need-to-know-Prinzip kontrolliert, und jeder Datenzugriff wird in einem unveränderlichen Prüfprotokoll erfasst.

Organisatorisch kommen zugangskontrollierte Räume, ein Verbot privater Handys und USB-Sticks, eine Clean-Desk-Richtlinie sowie ein formalisiertes Verfahren zur Meldung von Datenschutzverletzungen (Artikel 33) an den Verantwortlichen hinzu. Die ISO/IEC 27001-Zertifizierung des Centers ist der Referenzstandard: Sie stellt sicher, dass ein Information-Security-Management-System besteht und auditiert wird.

4. Verantwortlichkeit: Wer wofür einsteht

In einem Outsourcing-Projekt, das wir organisieren, agiert Altavista360 als Auftragsverarbeiter im Sinne der DSGVO und das ausgewählte Center als vom Auftraggeber genehmigter Unterauftragsverarbeiter. Der Auftraggeber bleibt der Verantwortliche für die Verarbeitung und trägt die Hauptverantwortung gegenüber den Betroffenen und der Aufsichtsbehörde. Diese Unterscheidung muss im Vertrag geregelt werden: Der Auftragsverarbeiter entscheidet weder über die Zwecke noch über die wesentlichen Mittel der Verarbeitung und handelt nach den dokumentierten Weisungen des Auftraggebers.

Diese Aufteilung entbindet den Auftragsverarbeiter jedoch nicht: Er muss seine Compliance nachweisen können (Grundsatz der Rechenschaftspflicht, Artikel 5 Absatz 2), ein Verzeichnis von Verarbeitungstätigkeiten (Artikel 30) führen und mit dem Verantwortlichen zusammenarbeiten. Die operative Nachverfolgung dieser Pflichten unterscheidet einen ernsthaften Partner von einem gewöhnlichen Dienstleister.

5. Die Rechte betroffener Personen

Die Kunden Ihrer Kunden behalten dieselben DSGVO-Rechte, unabhängig davon, in welchem Land die Verarbeitung stattfindet: Auskunftsrecht, Recht auf Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Artikel 15 bis 22). Der Vertrag muss daher ein Verfahren vorsehen, um diese Anfragen innerhalb der gesetzlichen Frist (in der Regel ein Monat) weiterzuleiten und zu bearbeiten, auch für Daten, die in Marokko oder Tunesien verarbeitet werden: Das Offshore-Center ist in den Workflow für Betroffenenrechte eingebunden, mit einem benannten Ansprechpartner und einer vertraglichen Übermittlungsfrist. Das ist eine der Bedingungen, die wir vor jedem Start festlegen.

Branchen mit erhöhtem Klärbedarf

Nicht alle Branchen sind beim Offshore-DSGVO gleich. Zwei verdienen besondere Aufmerksamkeit. Banken und Fintech verarbeiten sensible Finanzdaten und unterliegen überlappenden Pflichten (DSGVO, Bankgeheimnis, PSD2, PCI-DSS), die verstärkte Schutzmaßnahmen erfordern. Gesundheit und Krankenkassen verarbeiten Gesundheitsdaten, die als besondere Datenkategorie (Artikel 9 DSGVO) gelten und zusätzliche Garantien sowie meist eine Datenschutz-Folgenabschätzung (Artikel 35) verlangen.

In diesen Kontexten ist eine Datenschutz-Folgenabschätzung (DSFA) in der Regel vor dem Go-live erforderlich. Sie dokumentiert die Risiken für die Rechte und Freiheiten betroffener Personen und die ergriffenen Maßnahmen zur Risikominderung. Wir können diese Übung mit dem Datenschutzbeauftragten (DPO) des Kunden vorbereiten.

Compliance-Audits

Unsere Methode sieht vor jeder Inbetriebnahme ein Audit des ausgewählten Centers anhand eines Rasters von DSGVO-Kriterien vor: physische und logische Sicherheit, Schulung der Mitarbeiter, Verwaltung der Zugriffsrechte, Verfahren zur Verletzungsmitteilung, Umgang mit Betroffenenrechten, Aufbewahrungsfristen und das Verzeichnis von Verarbeitungstätigkeiten. Der Prüfbericht wird dem Auftraggeber vor dem Start übergeben; danach werden diese Kontrollen regelmäßig wiederholt, denn Compliance ist ein fortlaufender Prozess und kein einmaliger Zustand. Für den weiteren Kontext des Outsourcings nach Marokko beschreibt unser Artikel zur Destination Marokko den regulatorischen Rahmen und die verfügbaren Zertifizierungen. Um auch Ihre administrativen Prozesse abzusichern, siehe unseren Leitfaden zum Back-Office-Outsourcing.