{
    "slug": "transfer-impact-assessment-tia-schrems-ii",
    "titre": "Transfer Impact Assessment (TIA) – Datentransfer-Folgenabschätzung (Art. 46 DSGVO, VO 2016/679) nach Schrems II (C-311/18)",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Ein Transfer Impact Assessment (TIA) – deutsch Datentransfer-Folgenabschätzung – ist die verpflichtende Einzelfallprüfung, ob bei einer Übermittlung…",
    "resume_court": "Ein **Transfer Impact Assessment (TIA)** – deutsch **Datentransfer-Folgenabschätzung** – ist die verpflichtende **Einzelfallprüfung**, ob bei einer Übermittlung personenbezogener Daten in ein **Drittland** (Staat außerhalb EU/EWR ohne Angemessenheitsbeschluss) das Recht und die Praxis des Ziellandes ein **der EU im Wesentlichen gleichwertiges Schutzniveau** gewährleisten. Rechtlicher Auslöser ist das **Schrems-II-Urteil des EuGH vom 16. Juli 2020 (Rechtssache C-311/18, ECLI:EU:C:2020:559)**: Der Gerichtshof erklärte den **EU-US Privacy Shield für ungültig** und stellte klar, dass **Standardvertragsklauseln (SCC)** zwar gültig bleiben, der **Datenexporteur** aber **vor jeder Übermittlung** prüfen muss, ob der Importeur die Garantien im Drittland tatsächlich einhalten kann. Ist das nicht der Fall, sind **zusätzliche (ergänzende) Maßnahmen** zu ergreifen oder die Übermittlung ist **auszusetzen**.\n\nDas TIA ist damit die praktische Umsetzung von **Art. 46 DSGVO** (Übermittlung vorbehaltlich geeigneter Garantien) in Verbindung mit der **Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO**: Die Prüfung muss **dokumentiert** werden. Methodische Grundlage sind die **Empfehlungen 01/2020 des Europäischen Datenschutzausschusses (EDSA/EDPB)** – angenommen am **10. November 2020**, finale Fassung (Version 2.0) vom **18. Juni 2021** –, die einen **6-Schritte-Ansatz** vorgeben. Seit dem **EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023)** entfällt das TIA für Übermittlungen an **DPF-zertifizierte** US-Empfänger; für alle übrigen Drittländer und nicht zertifizierte US-Importeure bleibt es Pflicht. Das EuG hat die Nichtigkeitsklage Latombe gegen den DPF-Beschluss am 3. September 2025 abgewiesen (T-553/23); die Berufung ist beim EuGH anhängig (C-703/25 P), der Beschluss gilt weiter.\n\nWer ohne dokumentiertes TIA auf SCC-Basis in ein Drittland übermittelt, verstößt gegen **Kapitel V DSGVO** – das fällt in den **höheren Bußgeldrahmen des Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** (der höhere Wert gilt).",
    "faits": [
        {
            "point": "Was",
            "valeur": "Einzelfallprüfung des Schutzniveaus vor Drittlandübermittlung (Datentransfer-Folgenabschätzung)",
            "autorite": "A"
        },
        {
            "point": "Rechtsgrundlage",
            "valeur": "Art. 46 DSGVO i. V. m. Art. 44 (allgemeiner Grundsatz) und Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) [VO 2016/679]",
            "autorite": "A"
        },
        {
            "point": "Auslösendes Urteil",
            "valeur": "EuGH, 16.07.2020, C-311/18 „Schrems II\u0022 (ECLI:EU:C:2020:559)",
            "autorite": "A"
        },
        {
            "point": "Kernaussage Schrems II",
            "valeur": "Privacy Shield ungültig; SCC gültig, aber Einzelfallprüfung durch Exporteur nötig",
            "autorite": "A"
        },
        {
            "point": "Methodik",
            "valeur": "EDSA/EDPB-Empfehlungen 01/2020, 6-Schritte-Ansatz",
            "autorite": "A"
        },
        {
            "point": "EDPB-Empfehlungen angenommen",
            "valeur": "10. November 2020 (zur öffentlichen Konsultation)",
            "autorite": "A"
        },
        {
            "point": "EDPB-Empfehlungen final",
            "valeur": "18. Juni 2021 (Version 2.0)",
            "autorite": "A"
        },
        {
            "point": "Wer muss prüfen",
            "valeur": "Datenexporteur (Verantwortlicher oder Auftragsverarbeiter in der EU/EWR)",
            "autorite": "A"
        },
        {
            "point": "Wann",
            "valeur": "vor der Übermittlung; danach regelmäßige Neubewertung",
            "autorite": "A"
        },
        {
            "point": "Verankerung in SCC",
            "valeur": "Klausel 14 der SCC (Durchführungsbeschluss (EU) 2021/914) verlangt das TIA ausdrücklich",
            "autorite": "A"
        },
        {
            "point": "Dokumentationspflicht",
            "valeur": "ja – Nachweis gegenüber Aufsichtsbehörde (Art. 5 Abs. 2 DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Ergänzende Maßnahmen",
            "valeur": "z. B. starke Verschlüsselung, Pseudonymisierung, „Split/Multi-Party-Processing\u0022",
            "autorite": "A"
        },
        {
            "point": "Ausnahme US-Transfer",
            "valeur": "kein TIA bei Übermittlung an DPF-zertifizierte US-Empfänger (Beschluss (EU) 2023/1795)",
            "autorite": "A"
        },
        {
            "point": "Ausnahmen (ohne Garantien)",
            "valeur": "Art. 49 DSGVO (z. B. ausdrückliche Einwilligung, Vertragserfüllung) – nur eng, kein Dauerinstrument",
            "autorite": "A"
        },
        {
            "point": "Sanktionsrahmen",
            "valeur": "bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Beweislast",
            "valeur": "beim Exporteur (Rechenschaftspflicht)",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO) – Art. 44–49 (Kapitel V: Übermittlungen an Drittländer), Volltext (EUR-Lex)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679#d1e4691-1-1",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil v. 16.07.2020, C-311/18 „Schrems II\u0022 (Ungültigkeit Privacy Shield, Prüfpflicht bei SCC) – amtlicher Volltext (EUR-Lex, CELEX:62018CJ0311)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62018CJ0311",
            "autorite": "A"
        },
        {
            "titre": "EuGH, 16.07.2020, C-311/18 (Schrems II) – Rechtsprechungsnachweis (dejure.org)",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=16.07.2020\u0026Aktenzeichen=C-311%2F18",
            "autorite": "A"
        },
        {
            "titre": "Europäischer Datenschutzausschuss (EDSA/EDPB) – Empfehlungen 01/2020 zu Maßnahmen, die Übermittlungswerkzeuge ergänzen (6-Schritte-Ansatz)",
            "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_de",
            "autorite": "A"
        },
        {
            "titre": "Durchführungsbeschluss (EU) 2021/914 (Standardvertragsklauseln, Klausel 14 = TIA), Volltext (EUR-Lex, CELEX:32021D0914)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0914",
            "autorite": "A"
        },
        {
            "titre": "Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 (EU-US Data Privacy Framework), Volltext (EUR-Lex, CELEX:32023D1795)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795",
            "autorite": "A"
        },
        {
            "titre": "Europäische Kommission – Internationale Datenübermittlungen (Angemessenheit, SCC, DPF)",
            "url": "https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection_de",
            "autorite": "A"
        },
        {
            "titre": "BfDI – Internationaler Datenverkehr / Drittlandsübermittlung (Grundlagen)",
            "url": "https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Europa-Internationales/Internationaler_Datentransfer.html",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt Transfer Impact Assessment (TIA) – Datentransfer-Folgenabschätzung (Art. 46 DSGVO, VO 2016/679) nach Schrems II (C-311/18)?",
            "reponse": "Ein Transfer Impact Assessment (TIA) – deutsch Datentransfer-Folgenabschätzung – ist die verpflichtende Einzelfallprüfung, ob bei einer Übermittlung personenbezogener Daten in ein Drittland (Staat außerhalb EU/EWR ohne Angemessenheitsbeschluss) das Recht und die Praxis des Ziellandes ein der EU im Wesentlichen gleichwertiges Schutzniveau gewährleisten. Rechtlicher Auslöser ist das Schrems-II-Urteil des EuGH vom 16."
        },
        {
            "question": "Für wen gilt Transfer Impact Assessment (TIA)?",
            "reponse": "Ein TIA ist erforderlich, wenn personenbezogene Daten aus der EU/EWR in ein Drittland übermittelt werden und die Übermittlung auf geeignete Garantien nach Art. 46 DSGVO gestützt wird – typischerweise Standardvertragsklauseln (SCC) oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR). Kein TIA ist nötig, wenn das Zielland über einen Angemessenheitsbeschluss der EU-Kommission nach Art."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei Transfer Impact Assessment (TIA)?",
            "reponse": "„SCC unterschreiben reicht.\u0022 Nein – nach Schrems II und Klausel 14 der SCC ist zusätzlich ein dokumentiertes TIA nötig. Ohne diese Prüfung ist die Drittlandübermittlung rechtswidrig. „Für US-Dienste brauche ich immer ein TIA.\u0022 Nicht mehr, wenn der Anbieter DPF-zertifiziert ist (Beschluss (EU) 2023/1795)."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q60520997"
    ],
    "valid_from": "2020-07-16",
    "valid_to": null,
    "derniere_revision": "2026-10-24",
    "derniere_verification": "2026-10-24",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/transfer-impact-assessment-tia-schrems-ii"
}