Schon das erste Bußgeld wegen eines fehlenden Transfer Impact Assessments (TIA)?

Die norwegische Datenschutzbehörde hat ein Bußgeld in Höhe von knapp EUR 500.000 für eine fehlende Risikoanalyse verhängt. Nicht erst seit Schrems-II müssen Unternehmen Risikoanalysen (Art. 32 Abs. 2 DSGVO) für Datenverarbeitungen und insbesondere für Datentransfers in unsichere Drittländer durchführen und dokumentieren. Da das norwegische Unternehmen gegenüber der Datenschutzbehörde diese Risikoanalyse erst für die Zeit ab Oktober 2019 vorlegen konnte, sah die Behörde hier ein Verstoß gegen Art. 32 DSGVO und verhängte ein Bußgeld.

Da ein TIA wie auch eine Risikoanalyse nach Art. 32 DSGVO vor einer Datenverarbeitung durchgeführt werden muss, drohen hohe Bußgelder für Unternehmen. Ein nachträgliches TIA kann diesen Verstoß nicht heilen.
Daher: Alle Datentransfers in unsichere Drittländer mittels TIA überprüfen und diese Überprüfung verschriftlichen. Es drohen hohe Bußgelder.

Autor: Daniel Schlemann, LL.M.