Übermittlung personenbezogener Daten ins Drittland nach DS-GVO

Frage des GDD-Erfa-Kreises Würzburg zur Übermittlung personenbezogener Daten ins Drittland:

Unternehmen A (z. B. Produktion) ist Teil eines Konzerns und sitzt in einem Nicht-EU-Land, z. B. China. Das Unternehmen B des Konzerns (Hauptverwaltung) mit Sitz in Bayern
ist für die weltweite Personalverwaltung zuständig. Muss man Art. 3 DS-GVO dahin interpretieren, dass A als Auftraggeber mit B als Auftragnehmer (!) einen Auftragsverarbeitungsvertrag bzw. EU-Standardvertragsklauseln abschließen muss oder richtet sich die Übertragung der personenbezogenen Daten der Beschäftigten von A ausschließlich nach dem Datenschutzrecht des Landes von A, hier China?

Antwort BayLDA:

Es ist zu prüfen, welche Funktion B hier hat. „Zuständigkeit für die weltweite Personalverwaltung“ könnte bedeuten, dass B Teile der Arbeitgeberfunktionen (auch) des Unternehmens A
übertragen bekommen hat – dann wäre B insoweit Verantwortlicher. Es könnte aber auch bedeuten, dass B lediglich Auftragsverarbeiter für A ist, soweit es um Daten von Beschäftigten von A geht. D.h. es muss anhand der praktischen Gegebenheiten geklärt werden, ob B Auftragsverarbeiter oder Verantwortlicher ist.

Wenn B Verantwortlicher ist, muss B natürlich als Verantwortlicher die DS-GVO gemäß Artikel 3 Abs. 1 DS-GVO einhalten, auch bezüglich der Daten, die von Beschäftigten des A stammen.
Dies bedeutet unter anderem auch, dass für die (Rück-)Übermittlung der Daten dieser Beschäftigten von B an A nach China ein Standardvertrag abzuschließen ist (einschlägig ist ein Standardertrag für Übermittlungen von Verantwortlichem an Verantwortlichen, d.h. „Controller-to-Controller“).

Wenn B Auftragsverarbeiter ist, gelten für B nur die Pflichten eines Auftragsverarbeiters, wie sie in der DS-GVO definiert sind, also z.B. die Pflicht zur Implementierung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DS-GVO. Allerdings zählt dazu auch die Pflicht, als Auftragsverarbeiter mit A einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3  DS-GVO abzuschließen, da auch dies (nach Ansicht der Datenschutzbehörden) eine Pflicht (auch) des Auftragsverarbeiters ist. Wenn B lediglich Auftragsverarbeiter ist, muss B mit A für  die (Rück-)Übermittlung der Daten der chinesischen Beschäftigten keinen Standardvertrag abschließen, da diese Konstellation nach unserer Auffassung keine „Übermittlung in ein Drittland“ im Sinne der Artikel 44 bis 49 DS-GVO darstellt.