Transferfolgenabschätzungen gemäß Schrems II | Stand: 2026-03-27 | Version 6.0
Eine Transfer Impact Assessment (TIA) dokumentiert die Bewertung von Datenübermittlungen in Drittländer außerhalb des EWR. Sie beantwortet die Frage: "Können die Rechte der betroffenen Personen bei dieser Übermittlung wirksam geschützt werden?"
Diese Bewertung ist erforderlich für Übermittlungen auf Basis von Standardvertragsklauseln (SCCs) gemäß der Schrems II-Entscheidung des EuGH (C-311/18).
Die Übermittlungen erfolgen im Rahmen von Unterauftragsverarbeitungen gemäß Art. 28 Abs. 4 DSGVO. Die Verarbeitungskette ist:
Alle nachfolgenden Übermittlungen nutzen daher SCC Modul 3 (Processor → Processor).
Diese Anbieter verarbeiten Daten ausschließlich in der EU; eine vertiefte Schrems-II-Risikoprüfung ist daher nicht erforderlich, wird jedoch im Rahmen des allgemeinen Risikomanagements berücksichtigt.
Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)
Es werden ausschließlich die für den jeweiligen Zweck erforderlichen Daten übermittelt. Personenbezogene Daten werden nur in dem Umfang verarbeitet, der für die Erbringung der jeweiligen Dienstleistung notwendig ist.
Kundenwahlmöglichkeit
Kunden können bestimmte Drittanbieter-Integrationen (z.B. KI-Funktionen) deaktivieren und so die Übermittlung personenbezogener Daten an diese Anbieter vermeiden. Die entsprechenden Einstellungen sind im Dashboard verfügbar.
Verschlüsselungskontrolle
Verschlüsselungsschlüssel für die Datenbank werden nicht durch US-Behörden kontrolliert und liegen außerhalb des direkten Zugriffs der Dienstanbieter. Die Entschlüsselung erfolgt ausschließlich im Rahmen der autorisierten Datenverarbeitung.
| Datenexporteur | Datenimporteur | Land | Rechtsmechanismus |
|---|---|---|---|
| Hebelki (Auftragsverarbeiter) | Twilio | USA | SCCs (Modul 3: Processor → Processor, Art. 28 Abs. 4 DSGVO) |
| Hebelki (Auftragsverarbeiter) | Meta Platforms Ireland Ltd | EU (Dublin, Irland) / USA | Data Privacy Framework + SCCs (Modul 3: Processor → Processor) |
| Hebelki (Auftragsverarbeiter) | Clerk | USA | Data Privacy Framework + SCCs |
| Hebelki (Auftragsverarbeiter) | Stripe | USA | Data Privacy Framework + SCCs |
Hinweis: Es werden standardmäßig keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO übermittelt.
Ja. US-Anbieter unterliegen potenziell FISA Section 702 und EO 12333. Diese Gesetze ermöglichen US-Behörden unter bestimmten Umständen den Zugriff auf Daten für Zwecke der nationalen Sicherheit.
Die verarbeiteten Daten unterliegen einer geringen Wahrscheinlichkeit für behördlichen Zugriff, basierend auf folgenden objektiven Kriterien:
Unter Anwendung der EDPB-Empfehlungen 01/2020 zur ergänzenden Maßnahmen für Übermittlungen kommen wir zu folgendem Ergebnis:
"Ein behördlicher Zugriff wäre selbst im Fall einer Anordnung nur unter erheblichem rechtlichem und technischem Aufwand möglich und stünde außer Verhältnis zum verfolgten Zweck. Die Art der verarbeiteten Daten (geschäftliche Buchungsdaten, Kontaktinformationen) weist keinen erkennbaren nachrichtendienstlichen Wert auf. Die implementierten technischen Maßnahmen (Verschlüsselung, Zugriffskontrollen, Zero Data Retention) reduzieren das Risiko weiter."
WhatsApp- und SMS-Messaging-Dienste
Datenkategorien
Schutzmaßnahmen
WhatsApp Cloud API — Nachrichtenübermittlung
Datenkategorien
Schutzmaßnahmen
Zusätzliche Hinweise
Meta verarbeitet Nachrichteninhalte nicht zum Training von KI-Modellen.
Die europäische Niederlassung (Meta Platforms Ireland Ltd) ist primärer Vertragspartner für EU-Kunden.
Authentifizierung und Session-Management
Datenkategorien
Schutzmaßnahmen
Zahlungsabwicklung und Abonnement-Verwaltung
Datenkategorien
Schutzmaßnahmen
Unter Berücksichtigung der Art der Daten (primär geschäftliche Buchungsdaten und Kontaktinformationen), des Zwecks der Verarbeitung (Bereitstellung von SaaS-Infrastrukturdiensten), des rechtlichen Rahmens im Zielland (USA mit FISA 702/EO 12333, jedoch ohne systematischen Fokus auf diese Datenkategorien), der Notwendigkeit und Verhältnismäßigkeit eines hypothetischen behördlichen Zugriffs (hoher Aufwand bei geringem nachrichtendienstlichem Wert), und der implementierten technischen und organisatorischen Schutzmaßnahmen (Verschlüsselung, Zugriffskontrollen, vertragliche Bindungen, Zero Data Retention) kommt der Datenexporteur zu dem Schluss, dass die Übermittlungen das durch EU-Recht garantierte Schutzniveau nicht untergraben und die Rechte der betroffenen Personen weiterhin wirksam geschützt sind.
Erstellt von
Hebelki Compliance
Datum
2026-03-27
Nächste Überprüfung
Februar 2027
Diese TIA wird bei wesentlichen Änderungen der Infrastruktur, nach Sicherheitsvorfällen, bei neuen regulatorischen Anforderungen oder bei Änderungen der Rechtslage in Drittländern aktualisiert.
Version 6.0 | Stand: 2026-03-27
Bei Fragen wenden Sie sich an privacy@hebelki.de