FAQ · Cloud-Einsatz bei Versicherern und Banken
Welche Fehler passieren bei Cloud-Anbietern aus den Vereinigten Staaten?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Die Übermittlung personenbezogener Daten in ein Drittland ist nur zulässig, wenn Verantwortlicher und Auftragsverarbeiter die Bedingungen des Kapitels über Drittlandübermittlungen einhalten.
Der Anbieter steht nicht auf der Liste. Folge: Der Angemessenheitsbeschluss gilt für Organisationen, die in der Data Privacy Framework List aufgeführt sind. Gegenmaßnahme: den Listeneintrag des Anbieters prüfen und mit Datum ablegen (Praxisempfehlung der Qvestcon).
Der Beschluss gilt als dauerhaft gesichert. Folge: Die Kommission kann den Beschluss aussetzen, ändern oder widerrufen, wenn ein angemessenes Schutzniveau nicht länger gewährleistet ist. Das Gericht der Europäischen Union hat die Klage dagegen am 3. September 2025 abgewiesen, am 31. Oktober 2025 wurde Rechtsmittel eingelegt. Gegenmaßnahme: für jede Übermittlung einen zweiten Weg vorbereiten (Praxisempfehlung der Qvestcon).
Der zweite Weg fehlt. Liegt kein Beschluss vor, übermittelt ein Verantwortlicher nur dann, wenn er geeignete Garantien vorgesehen hat und den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Gegenmaßnahme: Die geeigneten Garantien je Anbieter stehen vor der ersten Übermittlung im Vertrag (Praxisempfehlung der Qvestcon).
Belege
- DSGVO Art. 44 Satz 1
- Durchführungsbeschluss (EU) 2023/1795, Art. 1
- Durchführungsbeschluss (EU) 2023/1795, Art. 3 Abs. 5 Satz 1
- Durchführungsbeschluss (EU) 2023/1795, Art. 3 Abs. 5 Satz 2
- EuG T-553/23, Tenor
- EuG T-553/23, Verkündung
- Rechtsmittel C-703/25 P, Bekanntmachung ABl. C/2025/6610
- DSGVO Art. 46 Abs. 1