Was ist eine Drittlandübermittlung?

Eine Drittlandübermittlung liegt vor, wenn personenbezogene Daten aus der EU/EWR in ein Land außerhalb, ein sogenanntes "Drittland", übertragen werden. Das Wort klingt nach Umzug, umfasst aber viel mehr: Wenn ein Supportmitarbeiter in den USA auf ein System mit europäischen Daten zugreift, zählt das genauso dazu wie eine KI-Anwendung mit Servern in den USA, die eine Frage mit einem Personennamen bearbeitet.

Die DSGVO verbietet solche Übermittlungen nicht, verlangt aber eine rechtliche Grundlage: einen Beschluss der EU-Kommission, dass das Land ein angemessenes Schutzniveau bietet (wie das EU-US Data Privacy Framework für teilnehmende US-Unternehmen), Standardvertragsklauseln oder andere Schutzmechanismen. Die praktische Herausforderung besteht oft darin, überhaupt zu wissen, dass eine Übermittlung stattfindet, sie versteckt sich in den Unterauftragsverarbeitern der Unterauftragsverarbeiter.

Der einfachste Weg, das Problem zu vermeiden, ist, dass es gar nicht erst aufkommt. Bei EuroWork erfolgt die Verarbeitung standardmäßig innerhalb der EU, sodass keine Drittlandübermittlung stattfindet. Der einzige Weg in die USA besteht, wenn ein Nutzer aktiv ChatGPT oder Claude für eine einzelne, harmlose Nachricht auswählt, eine Option, die eure Verwaltung komplett deaktivieren kann. Genau das steht in unserer Richtlinie, inklusive einer Liste aller Unterauftragsverarbeiter.