Weisen Sie jeden grenzüberschreitenden Transfer nach — Empfänger für Empfänger
Ein nicht dokumentierter Transfer ist das Risiko, das Sie nicht belegen können
Wenn eine Aufsichtsbehörde fragt, wie Personendaten den EWR verlassen, brauchen Sie eine Antwort pro Empfänger — keine Vermutung. Doch Transfers häufen sich über Anbieter, verbundene Unternehmen und Unterauftragsverarbeiter, und die dahinterstehenden Garantien liegen verstreut in Verträgen und Postfächern.
Standardvertragsklauseln laufen ab. Angemessenheitsbeschlüsse ändern sich. Ein neuer Unterauftragsverarbeiter taucht drei Stufen tief in einer Kette auf, die niemand abgebildet hat. Ohne ein zentrales Verzeichnis wird der Abgleich, welcher Mechanismus welchen Datenfluss abdeckt, zu einer mühsamen Handarbeit — genau dann, wenn Sie sich das am wenigsten leisten können.
Das Risiko ist selten eine fehlende Garantie. Es ist eine nicht dokumentierte — ein Transfer, den Sie nach den Artikeln 44–49 nicht belegen können.
Was Sie mit dem Transferverzeichnis tun können
- Erfassen Sie jeden externen Empfänger und Anbieter mit dokumentierter Rolle, dokumentiertem Rechtsraum und Verarbeitungszweck.
- Erfassen Sie den Transfermechanismus pro Empfänger — Standardvertragsklauseln, Angemessenheitsbeschluss, verbindliche interne Datenschutzvorschriften oder eine Ausnahme nach Artikel 49.
- Kennzeichnen Sie Transfers in Länder ohne Angemessenheitsbeschluss und hinterlegen Sie die ergänzenden Massnahmen, die sie absichern.
- Klassifizieren Sie jeden Empfänger als Auftragsverarbeiter, gemeinsam Verantwortlichen, dritten Verantwortlichen oder verbundenes Unternehmen.
- Bilden Sie Beziehungen zu Unterauftragsverarbeitern und verschachtelte Transfers ab, nicht nur Empfänger der ersten Stufe.
- Verknüpfen Sie Empfänger im Stapel mit mehreren Verarbeitungstätigkeiten auf einmal.
Was es Ihrem Programm bringt
- Beantworten Sie Fragen zu Kapitel V jederzeit — jeder Transfer trägt seinen Mechanismus und Rechtsraum, bereit zur Vorlage.
- Kein hektischer Abgleich, wenn sich ein Angemessenheitsbeschluss ändert oder eine Reihe von Standardvertragsklauseln abläuft — betroffene Empfänger erscheinen an einem Ort.
- Belastbare Aufsicht über Unterauftragsverarbeiter — verschachtelte Ketten sind dokumentiert, nicht angenommen.
- Eine einzige verlässliche Quelle für Transfers, aus der Ihr Verarbeitungsverzeichnis, Ihre Anbieterdaten und Ihre Auswertungen nach Rechtsraum schöpfen.
Für Compliance gebaut
Das Verzeichnis ordnet die Elemente, die Sie für die grenzüberschreitende Verarbeitung belegen müssen, den Pflichten zu, die sie erfüllen.
| Was das DPMS leistet | Erfüllt | Wie |
|---|---|---|
| Dokumentiert die Garantie für jeden grenzüberschreitenden Transfer | DSGVO Art. 46 | Erfassung pro Empfänger von Standardvertragsklauseln, verbindlichen internen Datenschutzvorschriften und ergänzenden Massnahmen |
| Erfasst die Berufung auf einen Angemessenheitsbeschluss | DSGVO Art. 45 | Zielrechtsraum pro Empfänger gekennzeichnet |
| Dokumentiert Transfers, die unter einer Ausnahme erfolgen | DSGVO Art. 49 | Ausnahme erfasst beim jeweiligen Empfänger und Zweck |
| Verfolgt Drittparteien in der IKT-Lieferkette | DORA Art. 28 | Empfängerklassifizierung und verschachtelte Ketten von Unterauftragsverarbeitern |
Warum Priverion
Anders als allgemeine GRC-Werkzeuge lebt das Transferverzeichnis in einer einheitlichen Plattform für Datenschutz und Informationssicherheit. Ein auf Empfängerebene erfasster Transfermechanismus wird in jeden verknüpften Verarbeitungsverzeichnis-Eintrag übernommen — aktualisieren Sie eine Standardvertragsklausel einmal, und die Änderung erreicht die Verarbeitungstätigkeiten, die davon abhängen, ohne erneute Eingabe. Das Verzeichnis verfolgt Ketten von Unterauftragsverarbeitern zudem über die erste Stufe hinaus, sodass die Beziehungen, die die meisten Teams übersehen, dokumentiert bleiben.
Fragen, die Datenschutzbeauftragte und CISOs vor einer Demo stellen
Wird eine Verbindung zu meinen Verarbeitungsverzeichnis-Einträgen hergestellt?
Werden auch Unterauftragsverarbeiter abgebildet, nicht nur direkte Anbieter?
Wie behandeln Sie Transfers in Länder ohne Angemessenheitsbeschluss?
Kann ich nach Zielrechtsraum auswerten?
Verwandte Funktionen entdecken
Bereit, Ihre Transfers nach Kapitel V in den Griff zu bekommen?
