Externe und konzerninterne Service Provider in den VAE – ein datenschutzrechtlicher Stresstest

Datentransfers in Drittländer sind Teil des Geschäftsalltages nicht nur vieler international agierenderKonzerne mit Unternehmensstandorten außerhalb der Europäischen Union (EU), sondern auch kleinerer und mittlerer Unternehmen, die sich externer Dienstleister (bspw. Cloud-Dienstleistungen oder 24/7-Securitysupport) im außereuropäischen Ausland bedienen. Die Zulässigkeit von Datentransfers in Drittländer bestimmt sich maßgeblich nach den Art. 44ff. DSGVO. Datentransfers in Staaten außerhalb des Europäischen Wirtschaftsraums – EWR, bezüglich derer die zuständige EU-Kommission keinen sog. Angemessenheitsbeschluss erlassen hat (sog. unsichere Drittländer), müssen regelmäßig mit geeigneten Garantien abgesichert werden, um zu gewährleisten, dass der Datenempfänger im unsicheren Drittland zum Schutz Betroffener ein angemessenes Datenschutzniveau einhält. In Ausnahmefällen ist eine Übertragung nach den Ausnahmetatbeständen des Art. 49 DSGVO zulässig. Der nachfolgende Beitrag beleuchtet typische Anwendungsfälle in der Unternehmenspraxis, vermittelt einen Überblick über den Rechtsrahmen für die Übermittlung personenbezogener Daten in unsichere Drittländer und schließt mit einer praxisnahen Darstellung von Risiken und Compliance-Strategien. Dabei wird besonderer Fokus auf Fragen der Zulässigkeit der Verarbeitung personenbezogener Daten durch externe und konzerninterne Service Provider in den Vereinigten Arabischen Emiraten (VAE) gelegt. In den VAE sind insbesondere im Emirat Dubai eine Vielzahl ausländischer, u.a. deutscher, Unternehmen ansässig, die persönliche Daten von Europäern erheben und verarbeiten.