Die DSGVO stellt insbesondere für Unternehmen außerhalb der EU, die personenbezogene Daten von EU-Bürgern verarbeiten oder Dienstleistungen in der EU anbieten, eine erhebliche Herausforderung dar. Beim Transfer personenbezogener Daten in Drittländer – wie etwa die Ukraine – müssen sie strenge Datenschutzanforderungen einhalten. Viele Unternehmen fragen sich, wie der Datentransfer zwischen EU und Ukraine rechtssicher gestaltet werden kann, welche Rolle Standardvertragsklauseln dabei spielen und was seit dem Schrems-II-Urteil zu beachten ist. Wir erklären, welche technischen und organisatorischen Maßnahmen notwendig sind, um personenbezogene Daten gemäß den Anforderungen der DSGVO zu schützen, wie Unternehmen mit aktuellen Vorschriften und möglichen Unsicherheiten umgehen und welche Lösungen insbesondere für kleine und mittlere Unternehmen ohne eigenen EU-Standort möglich sind. Zudem erfahren Sie, wie Sie als Nicht-EU-Unternehmen Datenschutzkonformität erreichen und Bußgelder vermeiden können.

Datentransfer EU–Ukraine: Rechtliche Rahmenbedingungen

Viele kleine und mittlere Unternehmen aus Nicht-EU-Staaten benötigen einen effizienten und zugleich rechtssicheren EU–Ukraine-Datentransfer – etwa im Rahmen der Zusammenarbeit mit ukrainischen Dienstleistern oder IT-Spezialisten. Da die Ukraine im Sinne der DSGVO nicht als „sicheres Drittland“ anerkannt ist, müssen für die Übermittlung personenbezogener Daten an Empfänger in der Ukraine besondere Maßnahmen ergriffen werden. Eine zentrale Rolle spielen dabei Standardvertragsklauseln (SCC): Sie stellen sicher, dass auch außerhalb der EU vergleichbare Datenschutzstandards eingehalten werden. Seit dem Schrems-II-Urteil sind Standardvertragsklauseln jedoch nicht immer ausreichend. Es ist notwendig, Risiken richtig einzuschätzen und zusätzliche Maßnahmen zu ergreifen, um sicherzustellen, dass personenbezogene Daten – z. B. von EU-Kunden – in Drittländern nicht rechtswidrig verarbeitet werden. Nur so kann gewährleistet werden, dass der EU–Ukraine-Datentransfer den Anforderungen der DSGVO entspricht.

Schrems II: Auswirkungen auf Datentransfers

Das Schrems-II-Urteil des Europäischen Gerichtshofs (EuGH) von Juli 2020 hat die Regeln für internationale Datentransfers grundlegend verändert. Der EuGH erklärte das Privacy Shield-Abkommen zwischen der EU und den USA für ungültig, was die Anforderungen auch für andere Drittländer wie die Ukraine verschärfte. Für Unternehmen bedeutet dies:

• Die Übermittlung personenbezogener Daten in Drittländer ist nur unter strengen Bedingungen zulässig.
• Standardvertragsklauseln sind weiterhin anwendbar, erfordern jedoch eine zusätzliche Risikoanalyse.
• Es muss sichergestellt sein, dass im Empfängerland ein angemessenes Datenschutzniveau besteht – andernfalls sind zusätzliche technische und organisatorische Maßnahmen erforderlich.

Besonders relevant ist diese Einschätzung beim EU–Ukraine-Datentransfer, da spezifische Risiken bestehen, zum Beispiel durch staatlichen Zugriff, unklare Rechtslage oder fehlende unabhängige Aufsichtsbehörden. Die DSGVO verpflichtet Unternehmen zudem, Betroffene transparent über Datentransfers und ihre Rechte (Auskunft, Berichtigung, Löschung, Widerspruch) zu informieren.

Das Schrems-II-Urteil verpflichtet Unternehmen, bei Anwendung von Standardvertragsklauseln eine sogenannte Transfer Impact Assessment (TIA) durchzuführen. Ziel ist die Bewertung individueller Risiken und die Einführung zusätzlicher Schutzmechanismen, wo nötig. Ohne diese Maßnahmen drohen hohe Bußgelder und Reputationsschäden. Datenschutz bleibt somit ein zentrales Element für jedes Unternehmen, das personenbezogene Daten von EU-Bürgern international verarbeitet.

Sicherstellung des Datenschutzes beim EU–Ukraine-Datentransfer

Unternehmen, die personenbezogene Daten von EU-Bürgern in die Ukraine übertragen möchten, müssen die Anforderungen der DSGVO erfüllen und einen rechtskonformen Datentransfer sicherstellen – unabhängig vom Unternehmensstandort. Folgende Lösungen kommen in Betracht:

1. Einsatz von Standardvertragsklauseln (SCC): Musterverträge der EU-Kommission verpflichten den Empfänger in der Ukraine, EU-Datenschutzstandards einzuhalten. Diese Klauseln müssen individuell angepasst und von beiden Parteien verbindlich unterzeichnet werden.
2. Durchführung einer Transfer Impact Assessment (TIA): Seit Schrems II ist vor jedem EU–Ukraine-Datentransfer eine Risikoanalyse notwendig. Diese umfasst:
   • Bewertung der Rechtslage im Empfängerland (Ukraine)
   • Prüfung möglicher Risiken für die Betroffenen
   • Dokumentation der Ergebnisse und ergriffenen Maßnahmen
3. Zusätzliche Garantien und technische Maßnahmen:Falls das Datenschutzniveau in der Ukraine nicht ausreicht, sollten weitere Maßnahmen getroffen werden, z. B.:
   • Ende-zu-Ende-Verschlüsselung sensibler Daten
   • Pseudonymisierung vor der Übertragung
   • Einschränkung des Zugriffs auf personenbezogene Daten beim Empfänger – Regelmäßige Datenschutzschulungen für ukrainische Partner
4. Transparente Information der Betroffenen: Nach der DSGVO müssen Datentransfers in Drittländer offengelegt werden. Die Betroffenen sind über Art, Umfang, Zweck der Übermittlung und ihre Rechte nach der DSGVO zu informieren.
5. Dokumentation und Nachweis: Alle umgesetzten Maßnahmen, insbesondere Standardvertragsklauseln, Bewertungen und technische Schutzmaßnahmen, müssen dokumentiert und auf Anfrage der Aufsichtsbehörde vorgelegt werden.
6. Bestellung eines erfahrenen EU-Vertreters: Zur Sicherstellung der Kommunikation mit Aufsichtsbehörden und Einhaltung der Vorgaben empfiehlt sich die Benennung eines EU-Vertreters gemäß Art. 27 DSGVO. Dieser unterstützt insbesondere bei der Organisation des EU–Ukraine-Datentransfers.

Praxisbeispiel

Ein Softwareunternehmen mit Sitz in den USA arbeitet mit ukrainischen Entwicklern zusammen und erhält Zugriff auf Daten von EU-Kunden. Um die Datenschutzkonformität sicherzustellen, schließt das Unternehmen Standardvertragsklauseln mit dem ukrainischen Partner ab, verschlüsselt alle Daten, führt eine detaillierte Transfer Impact Assessment durch und protokolliert sämtliche Maßnahmen. Die Kommunikation mit den Datenschutzbehörden übernimmt ein bestellter EU-Vertreter. Durch diese Maßnahmen erfüllt das Unternehmen die Anforderungen der DSGVO und des Schrems-II-Urteils für internationale Datentransfers zwischen der EU und der Ukraine – und minimiert so das Risiko von Datenschutzverstößen.

Fazit

Die Einhaltung der DSGVO beim EU–Ukraine-Datentransfer ist unerlässlich. Seit dem Schrems-II-Urteil reichen Standardvertragsklauseln allein häufig nicht mehr aus – ergänzende Risikoanalysen und technische Schutzmaßnahmen sind zwingend erforderlich. Nur so ist gewährleistet, dass personenbezogene Daten von EU-Bürgern auch in der Ukraine angemessen geschützt sind. Unternehmen außerhalb der EU müssen alle Prozesse dokumentieren, Betroffenenrechte sichern und einen EU-Vertreter benennen. Suchen Sie professionelle Beratung, um Datenschutzkonformität sicherzustellen und hohe Bußgelder zu vermeiden. Kontaktieren Sie uns für maßgeschneiderte Lösungen für internationale Datentransfers zwischen der EU und der Ukraine.