{"text_format":"1","workbook":"xlsx","n_sheets":17,"sheets":["Hinweise","Rechtliches","Einführung","Adm. Angaben","Geplante Verarbeitung","Relevante Gesetze im Drittland","Bew.Drittland-Ges.","Risiko,betr.-Person","Risiko,Behörd.-Zugriff","Risiko,Massenüberwachung","Bewertung","TOM","Begriffsbestimmungen","Abkürzungen","Links","Literatur","Hilfstexte"],"not_rendered":{"charts":0,"images":0,"macros":1,"external_links":0,"defined_names":0,"comments":0,"pivot_tables":0},"unopened":[],"bounds":{"document_bytes":16777216,"sheet_cells":100000,"rows_first":2000,"rows_last":500,"rows_between":2000,"halvings":0,"cell_chars":16384,"cell_head_chars":4096},"cells_cut":0,"cells_raw":0,"read":"whole","date_system":"1900"}

{"sheet":"Hinweise","index":0,"n_rows":17,"n_cols":2,"rows_kept":17,"cut":false,"hidden":false,"merged":[[0,0,0,1]]}
["Hinweise zum Umgang mit dieser Tabelle"]
[]
["Tabellenblatt \"Rechtliches\"","Die Informationen zum Haftungsausschluss sowie Copyright: Unbedingt zu beachten!"]
["Tabellenblatt \"Einführung\"","Dieses Tabellenblatt enthält eine kurze Einführung in die TIA-Thematik, wenn eine Verarbeitung personenbezogener Daten in einem Drittland erfolgen soll."]
["Tabellenblatt \"Adm. Angaben\"","Administrative Daten zur geplanten Verarbeitung in einem Drittland:\n• wer führt Daten aus welchem Land zu wem in welches Land aus\n• wer erstellte wann die TIA\n• usw."]
["Tabellenblatt \"Geplante Verarbeitung\"","Eine kurze Beschreibung, \n• um welche Verarbeitung es sich handelt\n• welche Personengruppen von der Verarbeitung betroffen sind\n• welche Datenkategorien verarbeitet werden sollen\n• usw."]
["Tabellenblatt \"Relevante Gesetze im Drittland\"","Hier werden die im Drittland für die Verarbeitung relevanten Gesetze kurz dargestellt. Insbesondere, welche Gesetze staatlichen Akteuren ggf. Zugriff auf die personenbezogenen Daten gewähren könnten."]
["Tabellenblatt \"Bew.Drittland-Ges.\"","Hier erfolgt eine Bewertung, ob die Gesetze im Drittland, die von der geplanten Drittlandverarbeitung betroffenen Daten bzw. die Rechte der von der Drittlandverarbeitung betroffenen Personen in gleicher Weise schützen, wie es bei einer Verarbeitung in der EU bzw. EWR der Fall wäre."]
["Tabellenblatt \"Risiko,betr.-Person\"","In diesem Tabellenblatt wird betrachtet, welches Risiko die geplante Verarbeitung im betrachteten Drittland grundsätzlich für eine betroffene Person darstellt."]
["Tabellenblatt \"Risiko,Behörd.-Zugriff\"","Basierend auf vorhandenen Erfahrungswerten des Datenimporteurs wird geschätzt, wie hoch die Wahrscheinlichkeit dafür ist, dass ein staatlicher Akteur Zugriff auf die personenbezogenen Daten bekommt."]
["Tabellenblatt \"Risiko,Massenüberwachung\"","Wird eine Transportverschlüsselung, die dem Stand der Technik entspricht, genutzt, wird dieses Tabellenblatt ausgeblendet, da die personenbezogenen Daten im Rahmen einer Massenüberwachung nicht unverschlüsselt abgefangen werden können, somit keine Gefahr einer unbefugten Kenntnisnahme der Daten besteht.\nSollte jedoch keine Transportverschlüsselung eingesetzt werden, so muss dieses Risiko betrachtet und bewertet werden.\nEin- bzw. Ausblenden erfolgt über die Antwort auf die Frage \"Wie erfolgt die Übertragung der Daten?\", Zeile 10 im Tabellenblatt \"Risiko,betr.-Person\"."]
["Tabellenblatt \"Bewertung\"","Aufgrund von Fragen und basierend auf der Risikobetrachtung erfolgt hier eine Einschätzung, ob eine Verarbeitung in einem Drittland den Vorgaben der DS-GVO sowie den aus den Schrems-Urteilen des EuGH resultierenden Anforderungen entspricht. D.h. kann die Verarbeitung im Drittland durchgeführt werden oder sollte man dies unterlassen."]
["Tabellenblatt \"Begriffsbestimmungen\"","Dieses Tabellenblatt wurde eingefügt, damit in den verschiedenen Tabellenblättern verwendete Begriffe wie beispielsweise „Datenexporteur“ nachgelesen werden können."]
["Tabellenblatt \"Abkürzungen\"","Darstellung, welche der genutzten Abkürzungen welche Bedeutung hat."]
["Tabellenblatt \"Links\"","In diesem Tabellenblatt sind ausgewählte Internetadressen zu finden, die für eine TIA relevant sein können. Hier sind z. B. die Internetadressen für die aktuellen SCC zu finden oder auch ein Link zum Schrems-II-Urteil."]
["Tabellenblatt \"Literatur\"","Literaturhinweise zum Thema Verarbeitung in Drittländern."]
["Tabellenblatt \"Hilfstexte\"","Dieses Tabellenblatt enthält die Ausfülltexte, die in einigen Tabellenblättern genutzt werden. Das Tabellenblatt ist standardmäßig ausgeblendet."]

{"sheet":"Rechtliches","index":1,"n_rows":22,"n_cols":1,"rows_kept":22,"cut":false,"hidden":false,"merged":[]}
["Haftungsausschluss"]
["Das vorliegende Werk ist nach bestem Wissen erstellt, der Inhalt wurde von den Autoren mit größter Sorgfalt zusammengestellt. Dennoch ist diese Ausarbeitung nur als Standpunkt der Autoren aufzufassen, eine Haftung für die Angaben übernehmen die Autoren nicht. Die in diesem Werk gegebenen Hinweise dürfen daher nicht direkt übernommen werden, sondern müssen vom Leser für die jeweilige Situation anhand der geltenden Vorschriften geprüft und angepasst werden."]
["Die Autoren sind bestrebt, in allen Publikationen die Urheberrechte der verwendeten Texte zu beachten, von ihnen selbst erstellte Texte zu nutzen oder auf lizenzfreie Texte zurückzugreifen."]
["Alle innerhalb dieses Dokumentes genannten und ggf. durch Dritte geschützten Marken- und Warenzeichen unterliegen uneingeschränkt den Bestimmungen des jeweils gültigen Kennzeichenrechts und den Besitzrechten der jeweiligen eingetragenen Eigentümer. Allein aufgrund der bloßen Nennung ist nicht der Schluss zu ziehen, dass Markenzeichen nicht durch Rechte Dritter geschützt sind!"]
[]
["Copyright"]
["Für in diesem Dokument veröffentlichte, von den Autoren selbst erstellte Objekte gilt hinsichtlich des Copyrights die folgende Regelung:"]
["Dieses Werk ist unter einer Creative Commons-Lizenz (4.0 Deutschland Lizenzvertrag) lizenziert. D. h. Sie dürfen:"]
["• Teilen: Das Material in jedwedem Format oder Medium vervielfältigen und weiterverbreiten"]
["• Bearbeiten: Das Material remixen, verändern und darauf aufbauen"]
["und zwar für beliebige Zwecke, sogar kommerziell. Der Lizenzgeber kann diese Freiheiten nicht widerrufen, solange Sie sich an die Lizenzbedingungen halten."]
["Die Nutzung ist unter den folgenden Bedingungen möglich:"]
["• Namensnennung: Sie müssen angemessene Urheber- und Rechteangaben machen, einen Link zur Lizenz beifügen und angeben, ob Änderungen vorgenommen wurden. Diese Angaben dürfen in jeder angemessenen Art und Weise gemacht werden, allerdings nicht so, dass der Eindruck entsteht, der Lizenzgeber unterstütze gerade Sie oder Ihre Nutzung besonders"]
["• Weitergabe unter gleichen Bedingungen: Wenn Sie das Material remixen, verändern oder anderweitig direkt darauf aufbauen, dürfen Sie Ihre Beiträge nur unter derselben Lizenz wie das Original verbreiten."]
["• Keine weiteren Einschränkungen: Sie dürfen keine zusätzlichen Klauseln oder technische Verfahren einsetzen, die anderen rechtlich irgendetwas untersagen, was die Lizenz erlaubt."]
["Im Weiteren gilt:"]
["• Jede der vorgenannten Bedingungen kann aufgehoben werden, sofern Sie die Einwilligung des Rechteinhabers dazu erhalten."]
["• Diese Lizenz lässt die Urheberpersönlichkeitsrechte unberührt."]
["Um sich die Lizenz anzusehen, gehen Sie bitte ins Internet auf die Webseite:"]
["https://creativecommons.org/licenses/by-sa/4.0/deed.de"]
["bzw. für den vollständigen Lizenztext"]
["https://creativecommons.org/licenses/by-sa/4.0/legalcode.de"]

{"sheet":"Einführung","index":2,"n_rows":27,"n_cols":1,"rows_kept":27,"cut":false,"hidden":false,"merged":[]}
["Data Transfer Impact Assessment (TIA): Eine kurze Einführung"]
["In seinem Urteil vom 16. Juli 2020 in der Rechtssache C-311/18 („Schrems II“) stellte der EuGH Verschiedenes fest. Insbesondere gehört dazu:"]
["Rn. 104: Ein Drittland muss \"aufgrund seiner innerstaatlichen Rechtsvorschriften oder seiner internationalen Verpflichtungen tatsächlich ein Schutzniveau der Freiheiten und Grundrechte gewährleisten, das dem in der Union durch die DSGVO im Licht der Charta garantierten Niveau der Sache nach gleichwertig ist.\""]
["Dabei muss das Niveau nicht identisch zu dem der EU sein, gefordert ist aber die gleiche Schutzhöhe für betroffene Personen."]
["Rn. 87: Die etwaige Verarbeitung der betreffenden Daten durch ein Drittland für Zwecke der öffentlichen Sicherheit, der Landesverteidigung und der Sicherheit des Staates stellt die Anwendbarkeit der DS-GVO auf die fragliche Übermittlung nicht in Frage."]
["Antwort auf Vorlagefrage 1 (Rn. 89): \nEine Übermittlung personenbezogener Daten durch einen in einem Mitgliedstaat ansässigen Wirtschaftsteilnehmer an einen anderen, in einem Drittland ansässigen Wirtschaftsteilnehmer fällt in den Anwendungsbereich dieser Verordnung, wenn die Daten bei ihrer Übermittlung oder im Anschluss daran von den Behörden dieses Drittlands für Zwecke der öffentlichen Sicherheit, der Landesverteidigung und der Sicherheit des Staates verarbeitet werden können."]
["Bei der Beurteilung, ob das Schutzniveau im Drittland dem in der Union durch die DS-GVO im Licht der Charta garantierten Niveau der Sache nach gleichwertig ist, müssen vom Datenexporteur auch potentiell mögliche Zugriffe durch staatliche Behörden wie z.B. ein Geheimdienst oder Ermittlungsbehörden beachtet werden. Die alleinige Möglichkeit von staatlichen Zugriffen aufgrund der Gesetzlage im Drittland reicht aus, damit diese staatlichen Zugriffsmöglichkeiten im Drittland vom Datenexporteur bzgl. der Bewertung des Schutzniveaus im Drittland berücksichtigt und bewertet werden müssen."]
["Rn. 141 EuGH-Urteil Schrems II: „[…] und gemäß Artikel 47 der Charta einen wirksamen gerichtlichen Rechtsbehelf einzulegen, wenn sie sich in ihren Rechten gemäß dieser Verordnung verletzt sieht […]“"]
["Antwort auf Vorlagefragen 2,3 und 6 (Rn. 105):\nAussage 1:\nArt. 46 Abs. 1 und Art. 46 Abs. 2 Buchst. c der DS-GVO sind dahin auszulegen, dass die nach diesen Vorschriften erforderlichen geeigneten Garantien, durchsetzbaren Rechte und wirksamen Rechtsbehelfe gewährleisten müssen, dass die Rechte der Personen, deren personenbezogene Daten auf der Grundlage von Standarddatenschutzklauseln in ein Drittland übermittelt werden, ein Schutzniveau genießen, das dem in der Union durch die DS-GVO im Licht der Charta garantierten Niveau der Sache nach gleichwertig ist."]
["Rn. 57: „Nach alledem ist auf die Vorlagefragen zu antworten, dass Art. 77 Abs. 1, Art. 78 Abs. 1 und Art. 79 Abs. 1 der Verordnung 2016/679 in Verbindung mit Art. 47 der Charta dahin auszulegen sind […]“."]
["Hierzu findet sich in Art. 47 EU-Grundrechtecharta „Recht auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht“:"]
["Jede Person, deren durch das Recht der Union garantierte Rechte oder Freiheiten verletzt worden sind, hat das Recht, nach Maßgabe der in diesem Artikel vorgesehenen Bedingungen bei einem Gericht einen wirksamen Rechtsbehelf einzulegen."]
["Jede Person hat ein Recht darauf, dass ihre Sache von einem unabhängigen, unparteiischen und zuvor durch Gesetz errichteten Gericht in einem fairen Verfahren, öffentlich und innerhalb angemessener Frist verhandelt wird. Jede Person kann sich beraten, verteidigen und vertreten lassen."]
["Bei der Beurteilung hinsichtlich der einer betroffenen Person im Drittland zur Verfügung stehenden Rechtsmittel ist also insbesondere zu beachten:\n- Hat die Person die Möglichkeit, die Rechtsmittel bei einem zuvor durch Gesetz errichteten Gericht einzulegen?\n- Ist das darauf basierende Verfahren öffentlich, sodass die betroffene Person selbst an dem Verfahren teilnehmen kann?\n- Ist es insgesamt ein faires Verfahren, wozu insbesondere auch die Transparenz des Verfahrens bewertet werden muss?"]
["Antwort auf Vorlagefragen 2,3 und 6 (Rn. 105):\nAussage 2:\nBei der insoweit im Zusammenhang mit einer solchen Übermittlung vorzunehmenden Beurteilung sind insbesondere die vertraglichen Regelungen zu berücksichtigen, die zwischen dem in der Union ansässigen Verantwortlichen bzw. seinem dort ansässigen Auftragsverarbeiter und dem im betreffenden Drittland ansässigen Empfänger der Übermittlung vereinbart wurden, sowie, was einen etwaigen Zugriff der Behörden dieses Drittlands auf die übermittelten personenbezogenen Daten betrifft, die maßgeblichen Elemente der Rechtsordnung dieses Landes, insbesondere die in Art. 45 Abs. 2 der DS-GVO genannten Elemente."]
[]
["Basierend auf das Schrems II - Urteil veröffentliche EDSA im Juni 2021 \"Empfehlungen 01/2020 zu Maßnahmen zur Ergänzung von Übermittlungstools zur Gewährleistung des unionsrechtlichen Schutzniveaus für personenbezogene Daten\". Darin finden sich sechs grundlegende Empfehlungen zum Vorgehen bei geplanten Verarbeitungen personenbezogener Daten in einem Drittland:"]
["Schritt 1: Die Datenübermittlungen kennen\nAlle Verarbeitungen personenbezogener Daten wie beispielsweise Übermittlungen in ein Drittland sollen im Verzeichnis der Verarbeitungen dokumentiert sein; nach Art. 30 DS-GVO existiert i.d.R. ein entsprechendes Verzeichnis für alle Verarbeitungen.\nAls Verarbeitung/Übermittlung versteht der EDSA dabei jegliche Zugriffsmöglichkeit aus einem Drittland. Dies beinhaltet beispielsweise auch Zugriffe zu Wartungszwecken oder auch (Weiter-)Übermittlungen an Unterauftragnehmern in Drittländern."]
["Schritt 2: Auswahl der eingesetzten Übermittlungsinstrumente\nEntsprechend der geplanten Drittland-Verarbeitung soll der Datenexporteur das Übermittlungsinstrument nach Kapitel V der DS-GVO festlegen. In Frage kommen i.d.R.\n• Art. 45, d.h. Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses der EU-Kommission,\n• verbindlichen internen Datenschutzvorschriften (Binding Corporate Rules) gemäß Art. 47 DS-GVO,\n• von der Kommission erlassene Standarddatenschutzklauseln (von der EU-Kommission Standardvertragsklauseln, SCC, genannt) sowie\n• in einzelnen/besonderen Fällen die in Art. 49 DS-GVO enthaltenen Ausnahmeregelungen."]
["Schritt 3: Beurteilung der Wirksamkeit des ausgewählten Übermittlungsinstruments gemäß Artikel 46 DS-GVO im Hinblick auf die Gesamtumstände der Übermittlung\nSodann muss der Datenexporteur, ggf. mit Unterstützung des Datenimporteurs, die Rechtslage im Drittland beurteilt und die Effektivität der im Drittland vorgesehen Garantien bzgl. eines der EU entsprechendes gleichwertiges Schutzniveaus überprüft werden. Hierbei sind insbesondere auch die Zugriffsrechte staatlicher Stellen zu berücksichtigen."]
["Schritt 4: Zusätzliche Maßnahmen ergreifen\nKommt der Datenexporteur zu dem Ergebnis, dass das Datenschutzschutzniveau in dem Drittland nicht gleichwertig zu dem Schutzniveau der EU ist, muss er zusätzliche Maßnahmen ergreifen, welche ein entsprechendes Schutzniveau gewährleisten - oder die Verarbeitung im Drittland darf nicht erfolgen.\nAls Beispiele für zusätzliche technische Maßnahmen nennt der EDSA im Anhang seiner Empfehlung die Datenverschlüsselung oder Pseudonymisierung vor Übermittlung in das Drittland, sodass im Drittland kein Zugriff auf die personenbezogenen Daten möglich ist."]
["Schritt 5: Verfahrensschritte nach Ermittlung effektiver zusätzlicher Maßnahmen\nIn diesem Schritt muss der Datenexporteur alle förmlichen Verfahrensschritte einleiten, die für die zusätzlichen Maßnahmen erforderlich sind. Z.B. muss der Datenexporteur muss Vorkehrungen treffen, die sicherstellen, dass Datenübertragungen umgehend ausgesetzt oder beendet werden, wenn der Datenimporteuer die ihm auferlegten Pflichten verletzt oder die zusätzlich eingerichteten Maßnahmen in dem Drittland nicht mehr sicher sind."]
["Schritt 6: Neubewertung in angemessenen Abständen\nDer Datenexporteur ist verpflichtet, das Datenschutzniveau in dem Drittland, in das er personenbezogene Daten übermittelt, sowie die von ihm getroffenen Maßnahmen hinsichtlich der Gewährleistung des Schutzniveaus regelmäßig zu überprüfen."]
[]
["Im Schrems II-Urteil des EuGh heißt es in Rn. 142: \"Demzufolge sind der in der Union ansässige Verantwortliche und der Empfänger der Übermittlung personenbezogener Daten verpflichtet, vorab zu prüfen, ob im betreffenden Drittland das unionsrechtlich geforderte Schutzniveau eingehalten wird.\""]
["Letztlich muss, dem Urteil des EuGH folgend, also eine Bewertung durchgeführt werden, ob eine Verarbeitung in einem Drittland aus rechtlicher Sicht überhaupt erfolgen darf. Hierzu müssen insbesondere auch die Folgen einer Übertragung in ein Drittland auf betroffene Personen betrachtet werden, weswegen sich der Begriff \"Data Transfer Impact Assessment\" (oder kurz TIA) durchsetzte."]
["Basiert eine Verarbeitung personenbezogener Daten auf den von der EU-Kommission veröffentlichten SCC, so fordert auch Klausel 14 eine entsprechende TIA."]

{"sheet":"Adm. Angaben","index":3,"n_rows":24,"n_cols":3,"rows_kept":24,"cut":false,"hidden":false,"merged":[[0,0,0,1],[16,0,16,1]]}
["Angaben zu den Vertragspartnern"]
["Datenexporteur:"]
["Land des Datenexporteurs:"]
["Welcher in Kap. V DS-GVO genannter Mechanismus wird hinsichtlich der Verarbeitung in einem Drittland verwendet?",null,{"$f":"IF(B4=\"Angemessenheitsbeschluss (Art. 45)\",\"Wenn ein Angemessenheitsbeschluss der EU-Kommission für das Drittland vorliegt, ist eine TIA sinnvoll, aber nicht zwingend erforderlich.\",\"\")","v":""}]
["Datenschutzrechtlicher Status Datenexporteur:"]
["Datenimporteur:"]
["Datenschutzrechtlicher Status Datenimporteur:"]
["Land des Datenimporteurs:"]
["Wirtschaftszweig des Datenimporteurs:"]
["Zugriff durch staatliche Behörden aufgrund im Drittland existierender Gesetze möglich:"]
["Länder der Behörden, denen aufgrund Gesetze im Drittland ggf. Zugriff auf personenbezogene Daten  gewährt werden muss:"]
["Weiterübermittlungen personenbezogener Daten durch einen Datenimporteur an eine andere Partei in einem Drittland (Sub-Unternehmen/Unterauftragsverarbeiter, staatliche Behörden usw.):",null,{"$f":"IF(B12=\"• Keine Weitergabe an Dritte, auch eine Weitergabe an staatliche Behörden ist 100%ig ausgeschlossen.\",\"\",\"Wenn Daten des Exporteurs für Dritte (z. B. Unterauftragnehmer oder staatliche Behörden) zugreifbar sein könnten, muss für jeden dieser Dritten eine eigene TIA durchgeführt werden.\")","v":"Wenn Daten des Exporteurs für Dritte (z. B. Unterauftragnehmer oder staatliche Behörden) zugreifbar sein könnten, muss für jeden dieser Dritten eine eigene TIA durchgeführt werden."}]
["Länder der Empfänger der Weiterübermittlung(en):"]
["Dauer der Geltung dieser TIA"]
[]
[]
["Freigabe TIA"]
["Datum Erstellung:"]
["An der Erstellung haben mitgewirkt:"]
["Datenschutzbeauftragter Datenexporteur:"]
["Datenschutzbeauftragter Datenimporteur:"]
["Rechtsberatung (wenn vorhanden):"]
["Datum Freigabe:"]
["Freigabe durch:\n(Zeichnungsberechtigte Person beim Verantwortlichen)"]

{"sheet":"Geplante Verarbeitung","index":4,"n_rows":20,"n_cols":4,"rows_kept":20,"cut":false,"hidden":false,"merged":[[19,0,19,1],[6,0,6,1],[5,0,5,1],[9,0,9,1],[16,0,16,1],[17,0,17,1],[18,0,18,1],[13,0,13,1],[14,0,14,1],[15,0,15,1],[0,0,0,2],[1,0,1,1],[2,0,2,1],[3,0,3,1],[4,0,4,1]]}
["Beschreiben Sie die geplante Verarbeitung in einem Drittland"]
["Kontext und Zweck der Übermittlung:"]
["Verarbeitung erfolgt auch im Drittland ausschließlich im selben Konzern;"]
["Betroffene Personengruppen:"]
["Kategorien der übermittelten personenbezogenen Daten:"]
["Sensible personenbezogene Daten:"]
["Was ist die Rechtsgrundlage der Verarbeitung?"]
["Allgemeine Daten:","Art. 6"]
["Sensible Daten:","Art. 9"]
["Art der Verarbeitung durch Datenimporteur:"]
["Variante 1",null,"• Die personenbezogene Daten werden von dem Datenexporteur innerhalb der EU/EWR gespeichert.\n• Der Datenimporteur hat keinerlei Möglichkeiten, sich Kopien der personenbezogenen Daten zu beschaffen, z.B. durch Herunterzuladen.\n• Der Datenimporteur hat die Möglichkeit, auf die personenbezogenen Daten aus einem Drittland per Fernzugriff zuzugreifen."]
["Variante 2",null,"• Die personenbezogene Daten werden von dem Datenexporteur innerhalb der EU/EWR gespeichert.\n• Der Datenimporteur hat die Möglichkeit, auf die personenbezogenen Daten aus einem Drittland per Fernzugriff zuzugreifen und sich Kopien der personenbezogenen Daten zu beschaffen, z.B. durch Herunterzuladen."]
["Variante 3",null,"• Die personenbezogene Daten werden von dem Datenexporteur in einem Drittland gespeichert."]
["Warum ist eine Verarbeitung in einem Drittland erforderlich?"]
["Wurden die Vorgaben aus Art. 5 DS-GVO berücksichtigt, insbesondere die Anforderung bzgl. Datenminimierung?",null,"Nein",{"$f":"IF(C15=\"Nein\",\"Wenn Art. 5 DS-GVO nicht gewährleistet wird, ist eine Verarbeitung rechtwidrig.\",(IF(C15=\"Ja\",\"Bitte unbedingt die in Art. 5 Abs. 2 DS-GVO geforderte Nachweispflicht beachten.\",\"\")))","v":"Wenn Art. 5 DS-GVO nicht gewährleistet wird, ist eine Verarbeitung rechtwidrig."}]
["Wie wird die Angemessenheit aus Art. 5 Abs. 1 lit. c DS-GVO gewährleistet?"]
["Datum des Beginns der Drittlandverarbeitung:"]
["Voraussichtliche Dauer oder geplantes Enddatum:"]
["Beschreibung der Zugriffsmöglichkeit des Datenimporteurs:"]
["Technische und organisatorische Maßnahmen zur Gewährleistung eines dem EU-Recht entsprechenden Schutzniveaus:"]

{"sheet":"Relevante Gesetze im Drittland","index":5,"n_rows":1,"n_cols":3,"rows_kept":1,"cut":false,"hidden":false,"merged":[]}
["Gesetz","Bedeutung für die geplante Drittlandverarbeitung","URL zum ausländischen Gesetz\n(wenn bekannt)"]

{"sheet":"Bew.Drittland-Ges.","index":6,"n_rows":14,"n_cols":3,"rows_kept":14,"cut":false,"hidden":false,"merged":[]}
["Schutz der Rechte und Freiheiten der betroffenen Person durch Gesetze im Drittland","Antwort","Begründung"]
["Verfügt das Drittland bzw. die Region des Drittlandes über gesetzliche Regelungen, welche dem Datenschutz dienen?"]
["Gibt es eine unabhängige Behörde, welche gesetzlich beauftragt ist, über die Einhaltung der Regelungen zu wachen und die auch über Befugnisse verfügt, Verstöße zu ahnden?"]
["Gibt es Belege dafür, dass diese gesetzlichen Regelungen in der Praxis angewendet und Verstöße auch entsprechend geahndet werden?"]
["Gelten die Regelungen gleichermaßen für Bürger oder Einwohner des Drittlandes wie auch für Personen, welche keine Bürger oder Einwohner des Drittlandes sind?"]
["Unterliegt der Datenimporteur diesen Gesetzen?"]
["Schützen diese Regelungen auch die von der Drittlanverarbeitung betroffenen Daten des Datenexporteurs?"]
["Gewähren diese Regelungen den von der Drittland-Verarbeitung betroffenen Personen durchsetzbaren Rechte und wirksamen Rechtsbehelfe, sodass im Drittland ein Schutzniveau vorhanden, welches dem in der Union durch die DS-GVO im Licht der Charta garantierten Niveau der Sache nach gleichwertig ist?"]
["Existieren im Drittland Gesetze oder Praktiken, welche den Datenimporteur zwingen können, Dritten wie Behörden Zugang zu den Daten gewähren zu müssen?"]
["Muss der Datenimporteur, sofern es ihm technisch möglich ist, bei entsprechenden Voraussetzungen (z.B. Anordnung einer Behörde oder eines Richters des Drittlandes) Behörden auch Zugang zu Daten des Datenexporteurs gewähren, die auf Servern in der EU/EWR gespeichert sind?"]
["Betreiben die nationalen Nachrichten- oder Sicherheitsdienste des Empfängerdrittlandes Überwachungsprogramme?"]
["Können Behörden des Drittlandes wie beispielsweise Nachrichtendienste oder Strafverfolgungsbehörden auf personenbezogene Daten des Datenimporteurs zugreifen oder deren Herausgabe erzwingen?"]
["Können Behörden des Drittlandes wie beispielsweise Nachrichtendienste oder Strafverfolgungsbehörden beim Zugriff auf Daten des Datenimporteurs verhindern, dass Datenexporteur oder betroffene Personen informiert werden?"]
["Können Einzelpersonen, welche keine Bürger oder Einwohner des Drittlandes sind, vor einem Gericht des Drittlandes den Zugang zu ihren personenbezogenen Daten durch öffentliche Behörden anfechten, auch für Überwachungsmaßnahmen?"]

{"sheet":"Risiko,betr.-Person","index":7,"n_rows":23,"n_cols":3,"rows_kept":23,"cut":false,"hidden":false,"merged":[]}
["Frage","Antwort","Bewertung"]
["Wurden alle betroffenen Personen von der Verarbeitung im Drittland informiert?",null,{"$f":"IF(B2=\"Nein\",\"Nach Art. 13 Abs. 1 lit. f bzw. Art. 14 Abs. 1 lt. f. DS-GVO müssen betroffene Personen informiert werden\",IF(B2=\"Ja\",\"Informationspflicht erfüllt\",\"Bitte Frage beantworten, ansonsten ist die Rechtmäßigkeit nicht beurteilbar.\"))","v":"Bitte Frage beantworten, ansonsten ist die Rechtmäßigkeit nicht beurteilbar."}]
["Werden ausschließlich personenbezogene Daten verarbeitet, die öffentlich verfügbar sind?",null,{"$f":"IF(B3=\"Ja\",\"Niedrig\",(IF(B3=\"Nein\",\"Normal\",\"Nicht bewertbar\")))","v":"Nicht bewertbar"}]
["Sind Daten von Kindern von der Verarbeitung im Drittland betroffen?",null,{"$f":"IF(B4=\"Ja\",\"Hoch\",(IF(B4=\"Nein\",\"Normal\",\"Nicht bewertbar\")))","v":"Nicht bewertbar"}]
["Sind Daten von schutzbedürftigen Erwachsenen von der Verarbeitung im Drittland betroffen?",null,{"$f":"IF(B5=\"Ja\",\"Hoch\",(IF(B5=\"Nein\",\"Normal\",\"Nicht bewertbar\")))","v":"Nicht bewertbar"}]
["Sind in Art. 9 Abs. 1 DS-GVO genannte Daten von der Verarbeitung betroffen?",null,{"$f":"IF(B6=\"Ja\",\"Hoch\",(IF(B6=\"Nein\",\"Normal\",\"Nicht bewertbar\")))","v":"Nicht bewertbar"}]
["Sind besonders geschützte Daten wie beispielsweise § 203 StGB unterliegende Daten von der Verarbeitung betroffen?",null,{"$f":"IF(B7=\"Ja\",\"Hoch\",(IF(B7=\"Nein\",\"Normal\",\"Nicht bewertbar\")))","v":"Nicht bewertbar"}]
["Erhöht sich durch die Übermittlung das Risiko einer Verletzung der Rechte der Betroffenen im Drittland erheblich?",null,"Nicht bewertbar"]
["Wie werden die Daten im Drittland verarbeitet?",null,{"$f":"IF(B9=\"Ausschließlich verschlüsselt\",\"Normal\",(IF(B9=\"Nur Pseudonymisiert\",\"Normal\",IF(B9=\"(Auch) Klartext\",\"Hoch\",\"Nicht bewertbar\")))\n)","v":"Nicht bewertbar"}]
["Wie erfolgt die Übertragung der Daten? (Stichwort: \"Data-in-Transfer\")","Auch unverschlüsselt",{"$f":"IF(B10=\"Auch unverschlüsselt\",\"Tabellenblatt 'Risiko,Massenüberwachung' ausfüllen !\",(IF(B10=\"Ausschließlich verschlüsselt\",\"Dem Stand der Technik entsprechende Transportverschlüsselung erlaubt zwar das Abfabgen der Daten im Rahmen einer Massenüberwachung, jedoch ist das Risiko einer unbefugten Offenbaruzng nahe 0\",\"\")))","v":"Tabellenblatt 'Risiko,Massenüberwachung' ausfüllen !"}]
["Werden Daten im Ruhezustand (gespeicherter Zustand) dem Stand der Technik entsprechend verschlüsselt?\n(Stichwort: \"Data-at-Rest\")",null,{"$f":"IF(B11=\"Ja\",\"Normal\",(IF(B11=\"Nein\",\"Hoch\",\"Nicht bewertbar\")))","v":"Nicht bewertbar"}]
["Werden Daten während der Nutzung durch Verschlüsselung gegenüber dem Datenimporteur geschützt? (Stichwort: \"Data-in-Use\")",null,{"$f":"IF(B12=\"Ja\",\"Normal\",(IF(B12=\"Nein\",\"Hoch\",\"Nicht bewertbar\")))","v":"Nicht bewertbar"}]
["Sind Sie als Datenexporteur davon überzeugt, dass sowohl Sie als auch die Personen, um die es bei der Übermittlung geht, in der Lage sein werden, Ihre aus der DS-GVO sowie der Grundrechte-Charta basierenden Rechte im Land des Datenexporteurs durchzusetzen?",null,{"$f":"IF(B13=\"Ja\",\"Normal\",(IF(B13=\"Nein\",\"Hoch\",\"Nicht bewertbar\")))","v":"Nicht bewertbar"}]
["Sind Sie als Datenexporteur davon überzeugt, dass sowohl Sie als auch die Personen, um die es bei der Übermittlung geht, in der Lage sein werden,  ihre aus der DS-GVO sowie der Grundrechte-Charta basierenden Rechte im Land des Datenimporteurs durchzusetzen, wenn dies erforderlich wird?",null,{"$f":"IF(B14=\"Ja\",\"Normal\",(IF(B14=\"Nein\",\"Hoch\",\"Nicht bewertbar\")))","v":"Nicht bewertbar"}]
["Wie oft ist eine Verarbeitung im Drittland vorgesehen bzw. möglich?",null,{"$f":"IF(B15=\"Einmalig\",\"Normal\",(IF(B15=\"Unregelmäßig etwa 2mal im Jahr\",\"Normal\",IF(B15=\"Regelmäßig\",\"Hoch\",\"Nicht bewertbar\")))\n)","v":"Nicht bewertbar"}]
["Wie lange wird die Kooperation mit dem Datenimporteur andauern, sodass der Datenimporteur oder möglicherweise auch staatliche Akteure Zugriff auf Daten besitzt?",null,{"$f":"IF(B16=\"Tage\",\"Normal\",(IF(B16=\"Monate\",\"Normal\",IF(B16=\"Jahre\",\"Hoch\",\"Nicht bewertbar\")))\n)","v":"Nicht bewertbar"}]
[]
[]
["Zwischenbewertung"]
["Sind  ausschließlich Daten mit einem normalem Risiko für die jeweilige betroffene Person von der geplanten Verarbeitung betroffen?"]
["Sind  ausschließlich Daten mit einem normalem Risiko für die jeweilige betroffene Person  von der geplanten Verarbeitung betroffen, aber innerhalb der Verarbeitung (Verschlüsselung, Dauer usw.) besteht ein erhöhtes Risiko?"]
["Besteht für die betroffen Person mindestens ein hohes Risko, welches nicht in der Art der Verarbeitung (Verschlüsselung, Dauer, usw.) liegt?"]
["Risiko für betroffene Person:",{"$f":"IF(B22=\"Ja\",\"Hoch\",(IF(B21=\"Ja\",\"Erhöhtes Risiko\",IF(B20=\"Ja\",\"Normales Risiko\",\"Bitte Fragen vollständig ausfüllen!\"))))","v":"Bitte Fragen vollständig ausfüllen!"}]

{"sheet":"Risiko,Behörd.-Zugriff","index":8,"n_rows":16,"n_cols":3,"rows_kept":16,"cut":false,"hidden":false,"merged":[]}
["Wahrscheinlichkeit, dass eine ausländische Behörde einen Herausgabeanspruch gegen den Providerimporteur durchsetzen will","Wahrscheinlichkeit pro Fall","Fälle pro Jahr"]
["Gesamtzahl von der geplanten Verarbeitung vergleichbaren  Fälle, die beim Datenimporteur verarbeitet werden","Nicht ausfüllen"]
["Anzahl der Fälle pro Jahr, in welchen eine Behörde im Land im Betrachtungszeitraum schätzungsweise versuchen wird, auf dem Rechtsweg an relevante Daten zu gelangen;\nSchätzung basiert auf einer Auswertung der beim Datenimporteur angefallenen Fälle der letzten 5 Jahre","Nicht ausfüllen"]
["Anteil der Fälle, in welchen die Herausgabe der Verfolgung von Fällen dient, die im betreffenden Drittland einen Herausgabebefehl grundsätzlich auch gegenüber dem Datenimporteur erlauben;\nSchätzung basiert auf einer Auswertung der beim Datenimporteur angefallenen Fälle der letzten 5 Jahre",null,{"$f":"IF(B4=0%,C3,C3*B4)","v":0}]
["Wahrscheinlichkeit, dass es in den verbleibenden Fällen gelingt, die Behörde nach dem im Drittland geltenden Recht von ihrem Vorhaben, Zugriff auf die personenbezogenen Daten zu erhalten, abzubringen;\nSchätzung basiert auf einer Auswertung der beim Datenimporteur angefallenen Fälle der letzten 5 Jahre",null,{"$f":"IF(B5=0%,C4,C4*B5)","v":0}]
[]
[]
["Wahrscheinlichkeit, dass eine ausländische Behörde einen Herausgabeanspruch gegen den Providerimporteur erfolgreich durchsetzt","Wahrscheinlichkeit pro Fall","Fälle pro Jahr"]
["Wahrscheinlichkeit, dass der Datenimporteur oder von diesem eingesetzte Unterauftragnehmer sich im Zuständigkeitsbereich der anfragenden Behörde befindet. ",null,{"$f":"IF(B9=0%,C5,C5*B9)","v":0}]
["Wahrscheinlichkeit, dass die Behörde um den eingesetzten Datenimporteur und die bei diesem vorliegenden Daten weiß.",null,{"$f":"IF(B10=0%,C9,C9*B10)","v":0}]
["Wahrscheinlichkeit, dass Beschäftigte des Datenimporteurs oder Beschäftigte von Unterauftragnehmern des Datenimporteurs Zugriff auf Daten bekommen (z.B. im Rahmen eines Supportfalles).",null,{"$f":"IF(B11=0%,C10,C10*B11)","v":0}]
["Wahrscheinlichkeit, dass die Behörde trotz der getroffenen technischen und organisatorischen Gegenmaßnahmen dem Datenimporteur oder einem von diesen eingesetzten Unterauftragnehmer befehlen darf, sich Zugang zu den Daten zu verschaffen und der Behörde die Daten herauszugeben.",null,0]
["Wahrscheinlichkeit, dass der Datenimporteur oder ein von diesem eingesetzter Unterauftragnehmer erfolgreich den Anweisungen der Behörde im Drittland nachkommen kann.",null,0]
[]
[]
["Wahrscheinlichkeit für den Zugriff auf die von der Verarbeitung betroffenen Daten eines Falles",{"$f":"IF(C2=0,\"Bitte Zelle C2 ausfüllen\",C13/C2)","v":"Bitte Zelle C2 ausfüllen"}]

{"sheet":"Risiko,Massenüberwachung","index":9,"n_rows":8,"n_cols":3,"rows_kept":8,"cut":false,"hidden":false,"merged":[]}
["Wahrscheinlichkeit, dass eine ausländische Behörde Daten durch Massenüberwachung erhält","Wahrscheinlichkeit","Begründung"]
["Wahrscheinlichkeit, dass die personenbezogenen Daten während der Übermittlung an den Datenimporteur im Drittland im Rahmen einer Überwachung der Internet-Backbones im Klartext eingesehen werden können."]
["Wahrscheinlichkeit, dass der Datenimporteur aufgrund eines Gesetzes im Drittland verpflichtet werden kann, eine Suche Selektoren in den Daten Datenexporteurs durchzuführen."]
["Wahrscheinlichkeit, dass der Datenimporteur technisch in der Lage ist, die Daten im Klartext ohne Genehmigung des Kunden/Datenexporteur laufend nach Selektoren im Rahmen einer Downstream-Überwachung von Online-Kommunikation zu durchsuchen."]
["Wahrscheinlichkeit, dass die übermittelten Daten Inhalte umfassen, die von den Selektoren erfasst werden."]
["Wahrscheinlichkeit, dass die Daten Inhalte umfassen, die Gegenstand von nachrichtendienstlichen Suchaufträgen aus dem betreffenden Drittland sind."]
[]
["Wahrscheinlichkeit, dass personenbezogene Daten im Rahmen einer Massenüberwachung unbefugt offenbart werden:",{"$f":"IF((B2*B5)+(B3*B4*B6)-((B2*B5)*(B3*B4*B6))>1, 1,(B2*B5)+(B3*B4*B6)-((B2*B5)*(B3*B4*B6)))","v":0}]

{"sheet":"Bewertung","index":10,"n_rows":24,"n_cols":4,"rows_kept":24,"cut":false,"hidden":false,"merged":[[22,0,22,1],[23,0,23,1],[20,0,20,1],[17,0,17,1],[9,0,9,1],[10,0,10,1],[15,0,15,1],[16,0,16,1],[19,0,19,1]]}
["Frage","Antwort","Bemerkung","Ggf. Begründung"]
["Existiert ein Erlaubnistatbestand zur Verarbeitung der personenbezogenen Daten?",null,{"$f":"IF(B2=\"Nein\",\"Die Verarbeitung, egal ob im Drittland oder Europa, muss unterbleiben\",\"\")","v":""}]
["Wäre es für den Datenexporteur machbar, die betreffenden personenbezogenen Daten statt in einem Drittland innerhalb von Europa zu verarbeiten?",null,{"$f":"IF(B3=\"Ja\",\"Beschreiben Sie, warum Sie dies dann nicht nutzen\",\"\")","v":""}]
["Wenn eine Verarbeitung in Europa nicht möglich ist: \nWäre es für den Datenexporteur machbar, die betreffenden personenbezogenen Daten in einem Drittland mit Angemessenheitsbeschluss der EU-Kommission zu verarbeiten?",null,{"$f":"IF(B4=\"Ja\",\"Beschreiben Sie, warum Sie dies dann nicht nutzen\",\"\")","v":""}]
["Fällt die Übermittlung der personenbezogenen Daten unter eine der Ausnahmeregelungen von Art. 49 DS-GVO?",null,{"$f":"IF(B5=\"Ja\",\"Beschreiben Sie, warum aus Ihrer Sicht die Vorgaben von Art. 49 DS-GVO wie bspw. Ausnahmetatbestand erfüllt sind\",\"\")","v":""}]
["Sind die betreffenden personenbezogenen Daten durch einen nach dem geltenden Datenschutzrecht genehmigten Transfermechanismus geschützt?",null,{"$f":"IF(B6=\"Nein\",IF(B5=\"Nein\",\"Es muss ein Erlaubnistatbestand nach Kap. V DS-GVO vorliegen, sonst ist eine Verarbeitung im Drittland verboten\",\"\"),\"\")","v":""}]
["Wenn eine Weiterübermittlung durch den Datenimporteur erfolgt: Steht diese Weiterübermittlung im Einklang mit den Vorgaben der DS-GVO?",null,{"$f":"IF(B7=\"Nein\",\"In diesem Fall dürfen die personenbezogenen Daten dem Datenimporteur nicht zugänglich sein, die Verarbeitung im Drittland mit diesem Partner ggf. unterbunden werden\",\"\")","v":""}]
[]
[]
["Wahrscheinlichkeit, dass ein Zugriff durch Behörden erfolgt:",null,{"$f":"IF('Risiko,Behörd.-Zugriff'!B16=\"Bitte Zelle C2 ausfüllen\",\"Bitte Tabellenblatt 'Risikobetrachtung' ausfüllen\",'Risiko,Behörd.-Zugriff'!B16)","v":"Bitte Tabellenblatt 'Risikobetrachtung' ausfüllen"}]
[{"$f":"IF(C10=\"Bitte Tabellenblatt 'Risikobetrachtung' ausfüllen\",\"\",\"Schrems II Urteil des EuGH: Bei einem möglichen Zugriff durch Behörden eines Drittstaats muss das ein dem EU-Recht entsprechendes Schutzniveau gewährleistet werden.\")","v":""}]
[{"$f":"IF(A11=\"\",\"\",\"Existieren durchsetzbaren Rechte und wirksamen Rechtsbehelfe i.S.v. Art. 47 der Charta der Grundrechte der EU?\")","v":""},{"$f":"IF((OR('Bew.Drittland-Ges.'!B5=\"Nein\",'Bew.Drittland-Ges.'!B8=\"Nein\",'Bew.Drittland-Ges.'!B14=\"Nein\")),\"Nein\",(IF(AND('Bew.Drittland-Ges.'!B2=\"Ja\",'Bew.Drittland-Ges.'!B4=\"Ja\",'Bew.Drittland-Ges.'!B5=\"Ja\",'Bew.Drittland-Ges.'!B6=\"Ja\",'Bew.Drittland-Ges.'!B8=\"Ja\",'Bew.Drittland-Ges.'!B14=\"Ja\"),\"Ja\",\"Bitte die Fragen in Tabellenblatt 'Bew.Drittland-Ges.' beantworten\")))","v":"Bitte die Fragen in Tabellenblatt 'Bew.Drittland-Ges.' beantworten"}]
[{"$f":"IF(A11=\"\",\"\",\"Werden die in Kap. III DS-GVO beschriebenen Rechte von betroffenen Personen gewährleistet?\")","v":""},"Ja",{"$f":"IF(B13=\"Nein\",\"Die Verarbeitung, egal ob im Drittland oder Europa, muss unterbleiben\",(IF('Risiko,betr.-Person'!B2=\"Nein\",\"Informationspflicht nicht erfüllt, damit sind auch Betroffenenrechte nicht erfüllt\",\" \")))","v":" "}]
[{"$f":"IF(A11=\"\",\"\",\"Insbesondere: Wird die jeweils betroffene Person über den behördlichen Zugriff informiert, sodass sie Rechtsbehelfe wahrnehmen kann?\")","v":""},"Nein",{"$f":"IF(B14=\"Nein\",\"Die Verarbeitung muss unterbleiben\",IF(AND(B14=\"JA\",'Bew.Drittland-Ges.'!B13=\"Ja\"),\"Widerspruch: Im Tabellenblatt 'Bew.Drittland-Ges.' wurde angegeben, dass Behörden eine Infomation verbieten können\",\"\"))","v":"Die Verarbeitung muss unterbleiben"}]
[]
["Risiko für die betroffenen Personen:",null,{"$f":"'Risiko,betr.-Person'!B23","v":"Bitte Fragen vollständig ausfüllen!"}]
["Wahrscheinlichkeit, dass personenbezogene Daten im Rahmen einer Massenüberwachung unbefugt offenbart werden:",null,{"$f":"IF('Risiko,betr.-Person'!B10=\"Ausschließlich verschlüsselt\",0%,'Risiko,Massenüberwachung'!B8)","v":0}]
["Ausgehend von den oben gegebenen Antworten ist die Verarbeitung in einem Drittland:",null,{"$f":"IF('Risiko,betr.-Person'!B2=\"Nein\",\"Betr. Person nicht informiert, daher Verarbeitung im Drittland rechtswidrig.\",IF('Risiko,Behörd.-Zugriff'!B16=\"Bitte Zelle C2 ausfüllen\",\"Bitte Tabellenblatt 'Risikobetrachtung' ausfüllen\",(IF(B2=\"Nein\",\"Verboten\",(IF(AND(B6=\"Nein\",B5=\"Nein\"),\"Verboten\",(IF(B7=\"Nein\",\"Verboten\",(IF(B12=\"Nein\",\"Verboten\",(IF(B13=\"Nein\",\"Verboten\",(IF(B14=\"Nein\",\"Verboten\",\"Wahrscheinlich erlaubt.\"))))))))))))))","v":"Bitte Tabellenblatt 'Risikobetrachtung' ausfüllen"},{"$f":"IF(C18=\"Verboten\",Hilfstexte!C2,(IF(C18=\"Wahrscheinlich erlaubt.\",Hilfstexte!C3,\"\")))","v":""}]
[null,null,"Zu beachten:",{"$f":"IF(C16=\"Hoch\",Hilfstexte!C4,IF(C16=\"Erhöhtes Risiko\",Hilfstexte!C5,IF(C16=\"Normales Risiko\",Hilfstexte!C6,\"\")))","v":""}]
["Bewertung der getroffenen/vereinbarten technischen Maßnahmen:",null,{"$f":"IF(TOM!B17=\"Bitte Felder A2 bis A16 beantworten\",\"Bitte 'Technische Maßnahmen' im Tabellenblatt TOM ausfüllen\",TOM!B17)","v":"Bitte 'Technische Maßnahmen' im Tabellenblatt TOM ausfüllen"}]
["Bewertung der getroffenen/vereinbarten organisatorischen Maßnahmen:",null,{"$f":"IF(TOM!B28=\"Bitte Felder A22 bis A26 ausfüllen\",\"Bitte 'Organisatorische Maßnahmen' im Tabellenblatt TOM ausfüllen\",TOM!B28)","v":"Bitte 'Organisatorische Maßnahmen' im Tabellenblatt TOM ausfüllen"}]
[]
["Entscheidung des Datenimporteurs (zeichnungsberechtigte Person): \nFreigabe zur Drittlandverarbeitung wird",null,null,"Begründung:"]
["Freigebender:",null,{"$f":"IF('Adm. Angaben'!B24=\"\",\"Bitte Angaben inZeile B23 inTabellenblatt 'Adm. Angaben' ausfüllen\",'Adm. Angaben'!B24)","v":"Bitte Angaben inZeile B23 inTabellenblatt 'Adm. Angaben' ausfüllen"}]

{"sheet":"TOM","index":11,"n_rows":28,"n_cols":3,"rows_kept":28,"cut":false,"hidden":false,"merged":[]}
["Technische Maßnahmen","Anforderung erfüllt"]
["Datenimporteur arbeitet nur auf Systemen des Datenexporteurs unter direkter Aufsicht des Datenimporteurs, dabei kann der Zugriff des Datenimporteurs jederzeit vom Datenexporteur beendet werden."]
["Der Datenimporteur hat nur Zugriff auf pseudonymisierte Daten:"]
["Die Pseudonymisierung erfolgt im Quellsystem, sodass der Datenimporteur zu keinem Zeitpunkt Klartext-Daten auch nur möglicherweise im Zugriff hat."]
["Das eingesetzte Pseudonymisierungsverfahren berücksichtigt auch Freitextfelder, Kommentarfelder, Anlagen, etc. im Hinblick auf die Ersetzung von personenbezogenen Daten, sodass keine Möglichkeit besteht, dass über diese Informationen eine Re-Identifikation erfolgen kann."]
["Es ist gewährleistet, dass der Aufwand zur De-Pseudonymisierung für jedermann (inkl. dem Datenimporteur) unverhältnismäßig hoch (d. h. faktisch ausgeschlossen) ist,"]
["Beim eingesetzten Pseudonymisierungsprozess ist sichergestellt, dass mittels der verfügbaren Datenfelder eine Rückführbarkeit nur auf Gruppen mit mindestens 5 Personen möglich ist."]
["Einsatz von Verschlüsselung:"]
["Die Erzeugung des Schlüssels bzw. Schlüsselmaterials ist ein sicherer Prozess und erfolgt unter alleiniger Kontrolle des Datenexporteurs."]
["Die die Vertraulichkeit des Schlüssels bzw. des Schlüsselmaterials ist während des vollständigen Lebenszyklus der verarbeiteten personenbezogenen Daten gewährleistet, d. h. der Datenimporteur hat zu keinem Zeitpunkt eine Möglichkeit, darauf zuzugreifen."]
["Jede eingesetzte Verschlüsselungstechnik entspricht dem Stand der Technik, erfüllt mindestens die Empfehlungen des BSI."]
["Ende-zu-Ende-Verschlüsselung wird eingesetzt."]
["Alle Daten werden auf seitens des Datenimporteurs nur verschlüsselt gespeichert, auf die für die Entschlüsselung notwendigen Informationen hat ausschließlich der Datenimporteur die Verfügungsgewalt."]
["Es wird zur Absicherung eine Trusted Execution Environment (TEE) eingesetzt. Für die TEE wird ein unter Kontrolle des Datenexporteurs befindlicher Token/Prozessor eingesetzt, sodass nur der Datenexporteur einen Zugriff auf Daten ermöglichen kann."]
["Die Einhaltung aller vereinbarten Maßnahmen werden vom Datenexporteur regelmäßig (mindestens jährlich, ergänzend bei Vorfällen) überprüft, Überprüfung und Ergebnisse der Überprüfung werden dokumentiert."]
["Werden vereinbarte Maßnahmen nicht eingehalten, beendet der Datenexporteur unverzüglich sämtliche Zugriffsmöglichkeiten und veranlasst die Löschung aller Daten beim Datenimporteur."]
["Bewertung vereinbarte/ergriffene technische Maßnahmen:",{"$f":"IF(AND(B15=\"Ja\",B16=\"Ja\",(OR(B3=\"Ja\",B8=\"Ja\"))),\"Technische Maßnahmen sehen gut aus\",IF(OR(AND(B3=\"Nein\",B8=\"Nein\"),B15=\"Nein\",B16=\"Nein\"),\"Technische Maßnahmen wahrscheinlich unzureichend\",\"Bitte Felder A2 bis A16 beantworten\"))","v":"Bitte Felder A2 bis A16 beantworten"},{"$f":"IF(OR(B3=\"\",B8=\"\",B15=\"\",B16=\"\"),\"Bitte Felder A2 bis A16 beantworten\",\"\")","v":"Bitte Felder A2 bis A16 beantworten"}]
["Organisatorische Maßnahmen","Anforderung erfüllt"]
["Es existiert eine verbindliche vertragliche Zusicherung, dass der Datenimporteur keinen Pflichten, seien es gesetzlicher oder anderer Art, unterliegt, welche die Bereitstellung von Hintertüren oder eine andere Form des Zugriffs (auch) auf Daten des Datenexporteurs beinhalten."]
["Der Datenimporteur sichert zu, den Datenimporteur durch eine Warrant-Canary-Erklärung zu informieren, wenn behördliche Anfragen den Datenimporteur verbieten, den Erhalt dieser Anfragen bekannt zu geben."]
["Es existieren verbindliche vertragliche Klauseln, wie der Datenimporteur mit behördlichen Anfragen bzgl. Zugriff auf Daten des Datenexporteurs umzugehen hat:"]
["Datenimporteur sichert zu, dass er keinen gesetzlichen Bestimmungen unterliegt, die eine Information des Datenexporteurs über behördliche Anfragen verhindern."]
["Datenimporteur sichert zu, dass jede behördliche Anfrage von für das jeweilige Recht spezialisierten Rechtsanwälten geprüft werden. Insbesondere ist zu prüfen:\n• Beruht die behördliche Anfrage auf für den Daten Importeur geltendem und gültigen Recht?\n• Ist die behördliche Anfrage zu weit gefasst? D. h. werden zu viele Daten für den genannten Zweck verlangt?"]
["Datenimporteur sichert zu, dass er den Datenexporteur sofort über behördliche Anfragen informiert und unverzüglich die Bewertung der Rechtsanwälte an den Datenexporteur übermittelt."]
["Datenimporteur sichert zu, dass er jegliche vorhandene Maßnahme ergreift, um einen Zugriff auf die Daten des Datenexporteurs zu verhindern. Dies beinhaltet die verbindliche vertraglich vereinbarte Pflicht zur Ergreifung von Rechtsmitteln gegen behördliche Anfragen zur Offenlegung der Daten des Datenexporteurs."]
["Jegliche behördliche Anfrage wird dokumentiert. Zur Dokumentation gehört insbesondere\n• ergriffene Maßnahmen des Datenimporteurs,\n• Erfolg der behördlichen Anfrage (Zugriff erfolgt oder nicht), \n• Zeitpunkt der Information des Datenexporteurs bzw. Begründung, warum keine Information des Datenexporteurs erfolgte.\nDer Datenexporteur prüft die Dokumentation bei jedem Audit."]
["Transparenzberichte des Datenimporteurs werden vom Datenexporteur ausgewertet und bewertet. \nVertragliche Vereinbarung hierzu: Bestehen aus Sicht des Datenexporteurs Fragen bzgl. staatlicher Zugriffe im Transparenzbericht, klärt der Datenimporteur jegliche Fragen bzgl. Zugriffe auf Daten des Datenexporteurs zur Zufriedenheit des Datenexporteurs auf."]
["Bewertung vereinbarte/ergriffene organisatorische Maßnahmen:",{"$f":"IF(OR(B19=\"Nein\",B20=\"Nein\",B21=\"Nein\"),\"Organisatorische Maßnahmen wahrscheinlich unzureichend\",IF(AND(B19=\"Ja\",B20=\"Ja\",B21=\"Ja\"),\"Organisatorische Maßnahmen sehen gut aus\",\"Bitte Felder A22 bis A26 ausfüllen\"))","v":"Bitte Felder A22 bis A26 ausfüllen"}]

{"sheet":"Begriffsbestimmungen","index":12,"n_rows":16,"n_cols":2,"rows_kept":16,"cut":false,"hidden":false,"merged":[[7,0,9,0],[4,0,6,0]]}
["Begriff","Definition"]
["Anonymisierung","Art. 2 Ziff. 7 Richtlinie (EU) 2019/1024:  Prozess, in dessen Verlauf Dokumente in anonyme Dokumente umgewandelt werden, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten so anonym gemacht werden, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann"]
["Auftragsverarbeiter","Art. 4 Ziff. 8 DS-GVO: eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet"]
["BSI","Bundesamt für Sicherheit in der Informationstechnik"]
["Datenexporteur","Art. 1 SCC: Übermittlung von gemäß dieser Verordnung verarbeiteten personenbezogenen Daten durch einen Verantwortlichen oder einen Auftragsverarbeiter (Datenexporteur)"]
[null,"Klausel 1 lit b(i) SCC: die in Anhang I.A aufgeführte(n) natürliche(n) oder juristische(n) Person(en), Behörde(n), Agentur(en) oder sonstige(n) Stelle(n) (im Folgenden „Einrichtung(en)“), die die personenbezogenen Daten übermittelt/n"]
[null,"D.h., der Datenexporteur ist diejenige Partei, die der DS-GVO unterliegt und personenbezogene Daten in ein Drittland exportiert. Dabei kann der Datenexporteur\n- Verantwortlicher oder\n- Auftragsverarbeiter sein."]
["Datenimporteur","Art. 1 SCC: Verantwortlichen oder einen (Unter-)Auftragsverarbeiter, dessen Verarbeitung der Daten nicht dieser Verordnung unterliegt (Datenimporteur)."]
[null,"Klausel 1 lit b(ii) SCC: die in Anhang I.A aufgeführte(n) Einrichtung(en) in einem Drittland, die die personenbezogenen Daten direkt oder indirekt über eine andere Einrichtung, die ebenfalls Partei dieser Klauseln ist,"]
[null,"D.h., der Datenimporteur ist die in dem Drittland befindliche Partei, welche die personenbezogene Daten von dem Datenexporteur erhält. Dabei kann der Datenexporteur\n- Verantwortlicher oder\n- Auftragsverarbeiter sein"]
["Drittstaatsangehöriger","Art. 3 SIS II VO:  jede Person, die nicht\ni) Bürger der Europäischen Union im Sinne des Artikels 17 Absatz 1 des Vertrags,\noder\nii) Angehöriger eines Drittstaats, der aufgrund von Übereinkommen zwischen der Gemeinschaft und ihren Mitgliedstaaten einerseits und den betreffenden Drittstaaten andererseits eine der Freizügigkeit der Bürger der Europäischen Union gleichwertige Freizügigkeit genießt, ist;"]
["Drittland","auch Drittstaat: alle Staaten, die nicht zur EU/EWR gehören"]
["Fernzugriff","Möglichkeit eines sich an einem anderen Ort befindenden Anwenders einen anderen, räumlich entfernten Computer zugreifen zu können, unabhängig davon, ob nur die Ansicht des räumlich entfernten Computer-Bildschirms ersichtlich ist, auch aus und Tastatur des räumlich entfernten Rechners durch den Fernzugriff gesteuert werden können oder auch eine direkte oder indirekte Kommunikation mit einer Person in der Nähe des räumlich entfernten Computers möglich ist."]
["Selektoren","Suchbegriffe wie beispielsweise Empfänger/Sender oder bestimmte begrifflichkeiten, welche von staatlichen Behörden (i.d.R. Nachrichtendienste/Geheimdienste) zur Überwachung/Abhörung von elektronischer Kommunikation genutzt werden"]
["Verantwortlicher","Art. 4 Ziff. 7 DS-GVO: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;"]
["Warrant-Canary-Erklärung","Warrant Canary ist eine Methode, mit der ein Dienstleister seine Kunden darüber informiert, dass dem Dienstleister eine staatliche Anordnung zugestellt wurde, obwohl es gesetzlich verboten ist, die Existenz der Vorladung preiszugeben. \nDer Warrant Canary informiert die Kunden darüber, dass zu einem bestimmten Datum noch keine gerichtliche Anordnung vorlag. Wird der Warrant Canary während des vom Dienstleister angegebenen Zeitraums nicht aktualisiert oder wird die Warnung entfernt, können die Kunden annehmen, dass dem Dienbstleister eine entsprechende Anordnung zugestellt wurde.\nDie Absicht ist also, dass ein Dienstleister seine Kunden passiv vor dem Vorliegen einer solchen Anordnung warnt, obgleich er damit gegen den Geist einer solchen Anordnung verstößt, dies nicht zu tun, während er den Wortlaut der Anordnung nicht verletzt.\nJedoch gibt es einige Länder, bei denen der Einsatz von Warrant Canary problematisch sein kann, z.B.\n• Im September 2014 schrieb die US-amerikanische Sicherheitsforscherin Moxie Marlinspike, dass \"jeder Anwalt, mit dem ich gesprochen habe, darauf hingewiesen hat, dass ein 'Canary', den man entfernt oder nicht aktualisiert, wahrscheinlich die gleichen rechtlichen Konsequenzen hätte wie das einfache Posten von Informationen, die ausdrücklich besagen, dass man etwas erhalten hat (siehe https://web.archive.org/web/20141027143819/https://github.com/WhisperSystems/whispersystems.org/issues/34). Daher bieten einige amerikanische Unternehmen keinen Warrant Canary mehr an.\n• Im März 2015 wurde berichtet, dass Australien die Verwendung einer bestimmten Art von Warrant Canary verboten hat, indem es die \"Offenlegung von Informationen über das Vorhandensein oder Nichtvorhandensein\" eines im Rahmen der  Gesetze zur obligatorischen Vorratsdatenspeicherung ausgestellten  Information Warrant illegal machte. (siehe https://boingboing.net/2015/03/26/australia-outlaws-warrant-cana.html) "]

{"sheet":"Abkürzungen","index":13,"n_rows":18,"n_cols":2,"rows_kept":18,"cut":false,"hidden":false,"merged":[]}
["Abkürzung","Bedeutung"]
["Abs.","Absatz"]
["Art.","Artikel"]
["DS-GVO","Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)"]
["DSK","Datenschutzkonferenz"]
["EDSA","Europäische Datenschutzausschuss"]
["ErwGr.","Erwägungsgrund / Erwägungsgründe"]
["EU","Europäische Union"]
["EuGH","Europäische Gerichtshof / Gerichtshof der Europäischen Union"]
["EWR","Europäischer Wirtschaftsraum (umfasst Mitgliedstaaten der Europäischen Union sowie Island, Norwegen und Liechtenstein)"]
["ICO","Information Commissioner's Office"]
["i. S. v.","im Sinne von"]
["lit.","littera (lat. „Buchstabe“)"]
["Rn.","Randnummer"]
["SCC","Standardvertragsklauseln (standard contractual clauses) für die Übermittlung personenbezogener Daten an Drittländer"]
["SIS II","Schengener Informationssystem der zweiten Generation (SIS II), Verordnung (EG) Nr. 1987/2006"]
["URL","Uniform Resource Locator (z. B. die Adresse einer Webseite)"]
["Urt.","Urteil"]

{"sheet":"Links","index":14,"n_rows":9,"n_cols":2,"rows_kept":9,"cut":false,"hidden":false,"merged":[]}
["Text","URL"]
["EU-Kommission, Liste der Angemessenheitsbeschlüsse","https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en"]
["EU-Kommission, SCC","https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?locale=de&uri=CELEX%3A32021D0914"]
["Datenschutz-Grundverordnung","https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679"]
["EuGH, Urt. v. 2012-10-06, Az. C‑362/14 (\"Schrems I\")","https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX%3A62014CJ0362"]
["EuGH, Urt. v. 2020-07-20, AZ C-311/18\n(\"Schrems II\")","https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62018CJ0311"]
["Verordnung (EG) Nr. 1987/2006 (SIS II)","https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32006R1987"]
["EDSA Empfehlungen 01/2020","https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_de"]
["Charta der Grundrechte der Europäischen Union (Grundrechtecharta)","https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:12012P/TXT&from=DE"]

{"sheet":"Literatur","index":15,"n_rows":41,"n_cols":1,"rows_kept":41,"cut":false,"hidden":false,"merged":[]}
["Zeitschriftenbeiträge"]
["Baumgartner U, Hansch G, Roth H. (2021) Die neuen Standardvertragsklauseln der EU-Kommission für Datenübermittlungen in Drittstaaten. ZD: 608-614"]
["Bergt M. (2022) Datenschutzrechtliche Anforderungen an den Einsatz von US-Cloud-Anbietern - nicht nur in Vergabeverfahren. CR: 629-635"]
["Dehmel S, Ossmann-Magiera L. (2023) Drittstaatentransfers nach Schrems II. Wie können Daten international übermittelt werden und gleichzeitig ein angemessenes Datenschutzniveau gewährleisten? MMR: 17-22"]
["Determann L, Lutz H, Nebel M. (2022) International Data Transfer and Trade Restraints. Cri: 140-146"]
["Determann L, Lutz H, Nebel M. (2022) Internationale Datenübermittlungen. IWRZ: 204-208"]
["Diercks N, Roth HM. (2021) Datenübermittlung in unsichere Drittstaaten. ZdiW: 313 - 320"]
["Drechsler L. (2022) Defining personal data transfers for the context of the General Data Protection Regulation. A critical perspective on the Guidelines 5/2021 of the European Data Protection Board. PinG: 24-29"]
["Eichmann N, Nowak JN. (2021) Zum Rechtsrahmen für den transatlantischen Datenverkehr. RDV: 194-199"]
["Eisenmenger F. (2023) Durchführung von Transfer Impact Assessments am Beispiel der VR China. ZD: 204-209"]
["Glocker F. (2023) EU-US Data Privacy Framework: Update des Privacy Shield mit Augenmass. Entwurf des Angemessenheitsbeschlusses der EU-Kommission und seine Erfolgsaussichten vor dem EuGH. ZD: 189-194"]
["Kremer S. (2021) Arbeitsteilige Verarbeitungen: Wer übermittelt die Daten ans Drittland? CR: 719-730"]
["Lejeune M. (2021) Datenaustausch mit Drittländern auf der Grundlage der neuen EU-Standardvertragsklauseln. ITRB: 293-299"]
["Lejeune M. (2022) Datentransfer mit den USA auf der Grundlage der Executive Order von Präsident Biden vom 7.10.2022 Wann ist der Datenschutz in Drittstaaten wie den USA adäquat? CR: 775-785"]
["RoßnagelA. (2022) Internationaler Datentransfer. Stand und Perspektiven. DuD: 545-549"]
["Sandfuchs B. (2021) The Future of Data Transfers to Third Countries in Light of the CJEU’s Judgment C-311/18 – Schrems II. GRUR Int.: 245-249"]
["Schmitz B, Spies A. (2022) DSK: US-Gutachten zur Risikoeinschätzung bei Datentransfers (DTIA) veröffentlicht. ZD-Aktuell: 01051"]
["Voigt P. (2021)  Neue Standardvertragsklauseln für internationale Datentransfers. Überblick und Praxistauglichkeit. CR: 458-465"]
["Zanon NB, Petersen E. (2021)  Neue Perspektive für Drittlandsübermittlungen? Änderungen und Neuerungen durch die neuen Standarddatenschutzklauseln der EU-Kommission. ITRB: 189-193"]
[]
["Bücher"]
[" Kröpfl, Maximilian. Praxiskommentar zu den SCC 2021. EU Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer. Jan Sramek Verlag KG, 2021. ISBN  978-3-7097-0285-7 "]
["Seak, Sabrina. Grenzen der Datenübermittlungen aus der EU in Drittstaaten – anhand des Beispiels der USA. Verlag Duncker & Humblot GmbH, 2022. ISBN 978-3-428-18505-4"]
["Wittershagen, Leonie. The Transfer of Personal Data from the European Union to the United Kingdom post-Brexit. Walter de Gruyter GmbH,2023. ISBN 978-3-11-099933-4"]
[]
["Internet"]
["bitkom (2022) Verarbeitung personenbezogener Daten in Drittländern. Version 1.3, Auf Basis der EU-Datenschutz-Grundverordnung post Schrems II. Online, verfügbar unter https://www.bitkom.org/Bitkom/Publikationen/Verarbeitung-personenbezogener-Daten-Drittlaender"]
["DSK (2022-11-15) Kurzgutachten zur datenschutzrechtlichen Konformität des Betriebs von Facebook‐Fanpages. Online, verfügbar unter https://www.datenschutzkonferenz-online.de/media/weitere_dokumente/Kurzgutachten_Facebook-Fanpages_V1_1_clean.pdf"]
["EDSA (2021) Empfehlungen 01/2020 zu Maßnahmen zur Ergänzung von Übermittlungstools zur Gewährleistung des unionsrechtlichen Schutzniveaus für personenbezogene Daten.  Version 2.0. Online verfügbar unter https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_de"]
["ICO (2022) Data protection impact assessments. Online, zitiert am 2023-04-09; verfügbar unter https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/accountability-and-governance/data-protection-impact-assessments/"]
["ICO (2018) Sample DPIA template. Online, zitiert am 2023-04-09; verfügbar unter https://ico.org.uk/media/for-organisations/documents/2553993/dpia-template.docx"]
["ICO (2022) International data transfer agreement and guidance. Online verfügbar unter https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/"]
["ICO (2022) Transfer risk assessments. Online verfügbar unter https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/transfer-risk-assessments/"]
["International Association of Privacy Professionals (IAPP, 2021) Online, zitiert am 2023-04-09; verfügbar unter https://iapp.org/resources/article/transfer-impact-assessment-templates/"]
["Microsoft (2023) Data Protection Impact Assessment for the GDPR. Online, zitiert am 2023-04-09; verfügbar unter https://learn.microsoft.com/en-us/compliance/regulatory/gdpr-data-protection-impact-assessments"]
["Österreichische Datenschutzbehörde (2021) Teilbescheid D155.027, 2021-0.586.257: Einsatz von Google Analytics auf der Basis von Standarddatenschutzklauseln unzulässig. Online verfügbar unter https://www.dsb.gv.at/dam/jcr:c1eb937b-7527-450c-8771-74523b01223c/D155.027%20GA.pdf"]
[]
["Gutachten zur Rechtslage in Drittstaaten"]
["DSK (2022-01-25) Gutachten zum aktuellen Stand des US-Überwachungsrechts und der Überwachungsbefugnisse (Deutsch). Online, verfügbar unter https://www.datenschutzkonferenz-online.de/media/weitere_dokumente/Vladek_Rechtsgutachten_DSK_de.pdf"]
["DSK (2022-01-25) Wesentliche Befunde des Gutachtens von Stephen I. Vladeck vom 15.11.2021 zur Rechtslage in den USA. Online, verfügbar unter https://www.datenschutzkonferenz-online.de/media/weitere_dokumente/20220125_dsk_vladek.pdf"]
["EDSA (2021-11-08) Legal study on Government access to data in third countries. (China, India, Russia) Online, verfügbar unter https://edpb.europa.eu/our-work-tools/our-documents/legal-study-external-provider/legal-study-government-access-data-third_en"]

{"sheet":"Hilfstexte","index":16,"n_rows":16,"n_cols":4,"rows_kept":16,"cut":false,"hidden":true,"merged":[]}
["Art. 6 DS-GVO","Art. 9 DS-GVO","Hinweistexte für Tabellenblatt 'Bewertung'","Hinweistexte für Tabellenblatt 'Adm. Angaben'"]
["Einwilligung (Art. 6 Abs. 1 lit. a)","Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a)","Verboten i.S.v. \"Verarbeitung im Drittland nicht möglich\", wenn der Zugriff auf die personenbezogenen Daten nicht wirksam verhindert wird, wie beispielsweise durch eine dem Stand der Technik entsprechende Verschlüsselung, wobei die Schlüssel dann ausschließlich in der Verfügungsgewalt des Datenexporteurs liegen müssen.","• Keine Weitergabe an Dritte, auch eine Weitergabe an staatliche Behörden ist 100%ig ausgeschlossen."]
["Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist (Art. 6 Abs. 1 lit. b)","Ausübung aus dem Arbeitsrecht/Sozialrecht resultierende Rechte des Verantwortlichen (Art. 9 Abs. 2 lit. b)","Wahrscheinlich erlaubt i.S.v. \"Verarbeitung im Drittland möglich\", wenn die Rahmenbedingungen ein dem EU-Recht angemessenes Schutzniveau garantieren.","• Es werden keine Unter-Auftragnehmer/Unter-Auftragsverarbeiter eingesetzt.\n• Eine Weitergabe der Daten des Datenexporteurs an staatliche Behörden kann aufgrund der gesetzlichen Anforderungen, denen der Datenimporteur unterliegt, jedoch nicht 100%ig ausgeschlossen werden."]
["Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen (Art. 6 Abs. 1 lit. b)","Schutz lebenswichtiger Interessen der betroffenen Person (Art. 9 Abs. 2 lit. c)","Für die betroffenen Personen liegt bei der Verarbeitung ein hohes Risiko vor. Daher müssen entsprechend hohe Schutzmaßnahmen die Sicherheit der Verarbeitung gewährleisten. Dies betrifft insbesondere Schutzmaßnahmen, die eine aus Sicht des EU-Rechts unbefugte Kenntnisnahme sicher verhindert.","• Es werden Unter-Auftragnehmer/Unter-Auftragsverarbeiter eingesetzt, die nachfolgend genannt werden.\n• Eine Weitergabe der Daten des Datenexporteurs an staatliche Behörden ist 100%ig ausgeschlossen."]
["Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt (Art. 6 Abs. 1 lit. c)","Schutz lebenswichtiger Interessen einer anderen natürlichen Person (Art. 9 Abs. 2 lit. c)","Für die betroffenen Personen liegt bei der Verarbeitung ein erhöhtes Risiko vor. Die technischen und organisatorischen Maßnahmen reichen vermutlich nicht aus, um ein dem EU-Recht entsprechendes Schutzniveau zu gewährleisten. Die TIA sollte wiederholt und die ergriffenen Maßnahmen sorgfältig überarbeitet werden.","• Es werden Unter-Auftragnehmer/Unter-Auftragsverarbeiter eingesetzt, die nachfolgend genannt werden.\n• Eine Weitergabe der Daten des Datenexporteurs an staatliche Behörden kann aufgrund der gesetzlichen Anforderungen, denen der Datenimporteur unterliegt, jedoch nicht 100%ig ausgeschlossen werden."]
["Schutz lebenswichtiger Interessen der betroffenen Person (Art. 6 Abs. 1 lit. d)","Verarbeitung durch politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht (Art. 9 Abs. 2 lit. d)","Für die betroffenen Personen liegt bei der Verarbeitung ein normales Risiko vor, d.h. ein Risiko des täglichen Lebens. Dennoch ist zu beachten, dass die technischen und organisatorischen Maßnahmen eine aus Sicht des EU-Rechts unbefugte Kenntnisnahme sicher verhindern müssen."]
["Schutz lebenswichtiger Interessen einer anderen natürlichen Person (Art. 6 Abs. 1 lit. d)","Verarbeitung von Daten, welche die Person öffentlich verfügbar machte (Art. 9 Abs. 2 lit. e)"]
["Wahrnehmung einer Aufgabe im öffentlichen Interesse (Art. 6 Abs. 1 lit. e)","Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 9 Abs. 2 lit. f)"]
["Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde (Art. 6 Abs. 1 lit. e)","Handlungen der Gerichte im Rahmen einer justiziellen Tätigkeit (Art. 9 Abs. 2 lit. f)"]
["Berechtigten Interessen und Interessen der betr. Person überwiegen nicht (Art. 6 Abs. 1 lit. f)","Aus Gründen eines erheblichen öffentlichen Interesses (Art. 9 Abs. 2 lit. g)"]
[null,"Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich (Art. 9 Abs. 2 lit. h)"]
[null,"Für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich (Art. 9 Abs. 2 lit. h)"]
[null,"Aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (Art. 9 Abs. 2 lit. i)"]
[null,"Für im öffentlichen Interesse liegende Archivzwecke (Art. 9 Abs. 2 lit. j)"]
[null,"Für wissenschaftliche oder historische Forschungszwecke (Art. 9 Abs. 2 lit. j)"]
[null,"Für statistische Zwecke (Art. 9 Abs. 2 lit. j)"]