Was Übermittlungen in Drittländer bedeuten
Lädt deine Seite etwas von einem Anbieter außerhalb von EU und EWR, geht die IP-Adresse des Besuchers in ein Drittland. Dafür braucht es eine Grundlage, und vor der Einwilligung sollte das nur passieren, wenn es wirklich nötig ist.
So funktioniert es
Die DSGVO gilt in der EU und im EWR, also zusätzlich in Island, Liechtenstein und Norwegen. Jedes andere Land ist ein Drittland. Personenbezogene Daten dürfen nach Art. 44 ff. DSGVO nur dorthin, wenn eine dieser Grundlagen besteht:
- Ein Angemessenheitsbeschluss der EU-Kommission (Art. 45), der dem Land ein vergleichbares Schutzniveau bescheinigt. Solche Beschlüsse gibt es etwa für die Schweiz, das Vereinigte Königreich und Japan. Für die USA gilt seit Juli 2023 das EU-US Data Privacy Framework, aber nur für Unternehmen, die sich darunter zertifiziert haben.
- Geeignete Garantien (Art. 46), meist die Standardvertragsklauseln der EU-Kommission, dazu eine Prüfung, ob sie im Zielland eingehalten werden können.
Schon das Laden einer Schrift, eines Videos oder eines Skripts schickt die IP-Adresse an den Anbieter. Sitzt er in einem Drittland, ist das eine Übermittlung.
bytereport nennt jeden bekannten Anbieter mit Sitz außerhalb von EU und EWR, von dem vor der Einwilligung etwas lädt. Das Consent-Tool selbst zählt nicht mit, ebenso wenig, was für den Betrieb nötig ist, etwa für eine Zahlung.
Worauf es ankommt
- Der Hinweis ist eine Prüfaufgabe. bytereport nennt auch Anbieter aus Ländern mit Angemessenheitsbeschluss. Ob die Übermittlung zulässig ist, hängt von der Grundlage ab, nicht vom Land allein.
- Muss es vor der Einwilligung laden? Für vieles gibt es keinen Grund: Schriften kannst du selbst ausliefern, Videos und Karten per Klick laden (siehe externe Inhalte).
- Zertifizierung prüfen. Ob ein US-Anbieter unter dem Data Privacy Framework zertifiziert ist, steht in der öffentlichen Liste unter dataprivacyframework.gov.
- Vertragspartner und Datenfluss. Schließt du den Vertrag mit einer EU-Niederlassung, können Daten trotzdem an die Muttergesellschaft gehen. Das steht im Auftragsverarbeitungsvertrag oder in den Datenschutzhinweisen des Anbieters.
- Transparenz. Jede Übermittlung in ein Drittland gehört mit ihrer Grundlage in die Datenschutzerklärung.
So richtest du es ein
Geh die Liste im Report Dienst für Dienst durch. Was vor der Einwilligung nicht laden muss, stellst du im Consent-Tool oder im Tag Manager so ein, dass es erst danach lädt; bei Bedarf ersetzt du den Dienst durch einen Anbieter in der EU. Für die verbleibenden Dienste klärt, wer bei dir den Datenschutz verantwortet, die Grundlage der Übermittlung und den Vertrag mit dem Anbieter.
Das ist keine Rechtsberatung; den Einzelfall beurteilen dein Datenschutzbeauftragter oder eine Anwältin.