Grenzüberschreitende Mandantendaten unter DSGVO, Branchenregeln und Mandantenverträgen

# Grenzüberschreitende Mandantendaten unter DSGVO, Branchenregeln und Mandantenverträgen

Ein Partner im Frankfurter Büro einer global tätigen Beratung mailt eine Tabelle mit Mitarbeiterdaten eines Mandanten an einen Kollegen im Delivery Centre in Mumbai, der sie braucht, um ein Workforce-Analytics-Deliverable fertigzustellen, das am nächsten Morgen in New York fällig ist. Drei Jurisdiktionen, eine Datei und mindestens vier sich überlagernde Regelwerke, die nun darauf anwendbar sind. Das ist der Alltag in Professional Services, und genau hier hört Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen → auf, theoretisch zu sein.

Diese Lektion geht diesen Stack durch: DSGVO, branchenspezifische Verschwiegenheitspflichten und die Vertragsklauseln, die Mandanten obendrauf verhandeln. Wir schauen, wo sie sich gegenseitig verstärken und wo sie sich stillschweigend widersprechen.

Das Mandat über drei Jurisdiktionen, aufgezeichnet

Stellen Sie sich ein realistisch geschnittenes Mandat vor: ein Mandant mit Hauptsitz in den USA, eine deutsche Tochtergesellschaft, die die Daten liefert, und ein indisches Delivery-Team, das die Analyse macht.

Ebene 1: DSGVO. Die Datenschutz-Grundverordnung (EU-Verordnung, in Kraft seit 2018) regelt personenbezogene Daten von Personen in der EU, unabhängig davon, wo die Verarbeitung stattfindet. Die HR-Daten der deutschen Tochter fallen klar darunter. Sie nach Indien zu bewegen, ist eine „internationale Datenübermittlung“ und braucht einen Rechtsmechanismus: Standardvertragsklauseln (SCCs, von der EU-Kommission genehmigte Vertragsmuster) oder einen Angemessenheitsbeschluss (eine Feststellung der Europäischen Kommission, dass die Gesetze eines Landes gleichwertigen Schutz bieten; für Indien gibt es derzeit keinen).

Ebene 2: branchenspezifische Verschwiegenheitspflichten. Professional-Services-Firmen tragen Pflichten, die unabhängig vom Datenschutzrecht bestehen. Wirtschaftsprüfer haben gesetzliche Verschwiegenheitspflichten nach nationalem Gesellschaftsrecht und Berufskodizes (z. B. dem IESBA Code of Ethics für Wirtschaftsprüfer, ifac.org). Anwaltskanzleien haben Attorney-Client Privilege und standesrechtliche Verschwiegenheit, die strenger als die DSGVO sein kann und nicht endet, wenn ein Mandat abgeschlossen ist. Managementberater stützen sich typischerweise allein auf vertragliche Vertraulichkeit, die schwächer ist als beides.

Ebene 3: Klauseln im Mandantenvertrag. Jenseits des Gesetzes fügt das Master Service Agreement (MSA) oft eigene Regeln hinzu: Anforderungen an die Data Residency („alle Daten müssen in der EU bleiben“), Zugriffslisten mit namentlich benannten Personen, Meldefristen für Datenschutzvorfälle, die kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ürzer sind als die der DSGVO, oder ein vollständiges Verbot der Weitergabe an Unterauftragnehmer in bestimmten Ländern.

Die drei Ebenen sagen selten dasselbe. Der Vertrag kann eine Verarbeitung in Indien komplett verbieten, obwohl die DSGVO sie mit SCCs erlauben würde.

Wo sich die Ebenen gegenseitig verstärken

Manche Anforderungen sind tatsächlich deckungsgleich, und Firmen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen eine Kontrolle bauen, die alle drei erfüllt.

• Datenminimierung. Artikel 5 DSGVO verlangt, nur das zu erheben, was notwendig ist. Die meisten Mandanten-MSAs sagen dasselbe. Ein Workforce-Analytics-Projekt braucht keine Privatadressen; streichen Sie sie beim Intake.
• Zugriffsprotokollierung. Der Grundsatz der Rechenschaftspflicht der DSGVO (Artikel 5 Abs. 2) verlangt von Firmen, Compliance nachzuweisen. Mandantenverträge fordern immer häufiger Audit Trails, die genau zeigen, wer wann auf die Daten zugegriffen hat. Ein System zur Zugriffsprotokollierung bedient beide Anforderungen.
• Meldung von Datenschutzvorfällen. Die DSGVO gibt 72 Stunden, um die zuständige Datenschutzaufsichtsbehörde (DPA) zu benachrichtigen, nachdem ein Vorfall bekannt wurde (Artikel 33). Viele Verträge spiegeln das inzwischen oder gehen enger, also erfüllt ein Incident-Response-Prozess, der 72 Stunden kann, beide Hürden.

Wo sie kollidieren und wer gewinnt

Konflikte sind die eigentliche Governance-Arbeit. Drei wiederkehrende Muster:

1. Data Residency vs. Delivery-Modell. Ein Mandantenvertrag sagt „keine Verarbeitung außerhalb der EU“. Das globale Delivery-Modell der Firma leitet Analytics-Arbeit über Mumbai oder Manila. Die Lösung erfordert entweder eine vorab verhandelte vertragliche Ausnahme oder eine Umstrukturierung des Mandats, sodass personenbezogene EU-Daten bei EU-basierten Teams bleiben (üblich im Banking und im öffentlichen Sektor).

2. Aufbewahrungsfristen. Der Grundsatz der Speicherbegrenzung der DSGVO sagt, personenbezogene Daten nicht länger als nötig aufzubewahren. Aber die Berufsstandards eines Prüfers (z. B. unter dem PCAOB in den USA oder der entsprechenden EU-Abschlussprüferverordnung) kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen verlangen, Arbeitspapiere 7 bis 10 Jahre aufzubewahren. Anwaltskanzleien stehen vor ähnlicher Spannung: Die DSGVO sagt löschen, Berufshaftpflichtversicherer sagen, Unterlagen für die Verjährungsfrist von Haftungsansprüchen aufzubewahren (oft 6 Jahre in Großbritannien, länger bei verdeckten Mängeln). Branchenrecht setzt sich hier in der Regel gegenüber der Default-Regel der DSGVO durch, weil die DSGVO selbst eine Aufbewahrung erlaubt, wenn ein anderes Unions- oder mitgliedstaatliches Recht sie verlangt (Artikel 6 Abs. 1 lit. c).

3. Auskunftsersuchen vs. Privilege. Nach Artikel 15 DSGVO kann eine Person eine Kopie ihrer personenbezogenen Daten verlangen. Wenn diese Daten in der privilegierten Rechtsberatung einer Kanzlei liegen, kann Privilege rechtmäßig begrenzen, was offengelegt werden muss. Firmen brauchen dafür eine dokumentierte Policy, keine Ad-hoc-Entscheidung im Einzelfall, denn ein Fehler riskiert entweder einen Verzicht auf Privilege oder eine aufsichtsrechtliche Beschwerde.

Das Problem mit dem Übermittlungsmechanismus, konkret

Seit dem Urteil *Schrems II* (Gerichtshof der EU, 2020) sind SCCs allein nicht automatisch ausreichend. Firmen müssen ein Transfer Impact Assessment (TIA) durchführen: eine dokumentierte Prüfung, ob die Überwachungsgesetze des Ziellandes dessen Regierung trotz des Vertrags Zugriff auf die Daten ermöglichen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnten.

Eine vereinfachte Fassung dessen, was ein TIA tatsächlich prüft:

Transfer Impact Assessment — quick checklist
1. Destination country: does it have an EU adequacy decision? (Y/N)
2. If N, are SCCs (or Binding Corporate Rules) signed and current?
3. Does destination law allow government access without judicial oversight
   comparable to the EU standard? (review sources: country surveillance law)
4. Supplementary measures in place? (encryption at rest/in transit,
   pseudonymisation, split-key access)
5. Residual risk: document and get sign-off from DPO or legal

Für das Beispiel Indien-Deutschland-USA müsste der Datenschutzbeauftragte einer Firma (DPO, die Person, die nach Artikel 37 DSGVO für viele Verantwortliche und Auftragsverarbeiter erforderlich ist) dies vorliegen haben, bevor das Team in Mumbai die deutsche Datei anfasst, nicht danach.

Der Europäische Datenschutzausschuss veröffentlicht Leitlinien zu TIAs und internationalen Übermittlungen, die derzeit der Referenzpunkt sind.

Praktische Prüfungen und Audits

Governance zählt nur, wenn sie getestet wird. Vier Prüfungen, die sich bei jedem grenzüberschreitenden Professional-Services-Mandat lohnen:

Data Flow Mapping. Bevor die Arbeit beginnt, zeichnen Sie auf, wohin die Daten physisch gehen: Intake, Speicherung, Verarbeitungsort, Output, Löschung. Die meisten Firmen entdecken, dass ihr tatsächlicher Datenfluss nicht dem entspricht, was der Vertrag beschreibt. Das ist der Auditschritt mit dem höchsten Wert und dauert wenige Stunden, nicht Wochen.

Klauselabgleich. Stellen Sie die Datenklauseln des MSA den DSGVO-Anforderungen und den Branchenregeln in einer Tabelle gegenüber. Markieren Sie Konflikte explizit, statt anzunehmen, die strengste setze sich stillschweigend durch. Legal und der Engagement Partner sollten die Lösung schriftlich abzeichnen.

Zugriffskontroll-Audit. Ziehen Sie die tatsächliche Liste derjenigen, die Systemzugriff auf eine Mandantendatei haben, und vergleichen Sie sie mit denen, die vertraglich autorisiert sind. Überprovisionierter Zugriff (ein häufiger Fund: Junior-Mitarbeiter oder Offshore-Teams, die nach dem Wechsel aus einem Mandat weiterhin Zugriff behalten) ist die häufigste Lücke in der Praxis.

Prüfung von Vendors und Subprozessoren. Wenn die Firma Cloud-Tools nutzt (Microsoft 365, Salesforce, ein KI-gestütztes Drafting-Tool), ist jedes davon ein Subprozessor unter der DSGVO und braucht seinen eigenen Auftragsverarbeitungsvertrag (DPA) und, wenn außerhalb der EU, seinen eigenen Übermittlungsmechanismus. Firmen, die 2026 generative KI-Tools ausrollen, stellen fest, dass sich hier Governance-Lücken am schnellsten zeigen, da die Datenverarbeitungsbedingungen von KI-Anbietern stark variieren und sich häufig ändern.

Key Takeaways

• Grenzüberschreitende Professional-Services-Mandate liegen gleichzeitig unter mindestens drei Regelebenen: DSGVO, branchenspezifische Verschwiegenheitspflichten (Prüfung, Attorney-Client Privilege, Berufskodizes) und Klauseln im Mandantenvertrag. Sie kollidieren häufig, und Firmen brauchen eine dokumentierte Lösung, keine Annahme.
• Internationale Übermittlungen personenbezogener EU-Daten erfordern einen Rechtsmechanismus (SCCs oder einen Angemessenheitsbeschluss) sowie, seit *Schrems II* (2020), ein Transfer Impact Assessment, das das reale Überwachungsrisiko im Zielland dokumentiert.
• Konflikte bei der Aufbewahrung sind häufig und lösen sich meist zugunsten des Branchenrechts: Die DSGVO selbst erlaubt längere Aufbewahrung, wo ein anderes Gesetz (Prüfung, Berufshaftpflicht) sie verlangt.
• Führen Sie bei jedem multinationalen Mandat Data FlowData FlowAn automated sequence of steps that moves data from source to destination: ingestion, transformation, validation, and loading, so it arrives clean and ready to use.Vollständige Definition ansehen → Mapping, Klauselabgleich, Zugriffsaudits und DPA-Prüfungen für Subprozessoren/Vendors durch, idealerweise bevor die Arbeit beginnt, nicht nachdem ein Mandant fragt.
• KI-Tools und Cloud-Anbieter sind Subprozessoren unter der DSGVO. Jedes zusätzliche Element in einem Delivery-Workflow braucht seinen eigenen DPA und eine Übermittlungsprüfung, eine schnell wachsende Governance-Lücke in Mandaten 2026.