Grenzüberschreitende Datentransfers für globale Carrier und MVNOs

# Grenzüberschreitende Datentransfers für globale Carrier und MVNOs

Ein Kunde aus Nairobi landet am Frankfurter Flughafen, aktiviert Roaming und telefoniert. Innerhalb von Sekunden wird ein CDR (Call Detail Record: Metadaten dazu, wer wen wann wie lange und über welche Funkzelle angerufen hat), erzeugt im Netz von Safaricom, zur Abrechnungsklärung mit der Deutschen Telekom geteilt. Dieser einzelne Datensatz hat gerade eine juristische Bruchlinie überschritten, an die die meisten Telekom-Mitarbeiter nie denken: einen grenzüberschreitenden Transfer personenbezogener Daten, der gleichzeitig Pflichten nach dem kenianischen Data Protection Act und der EU-DSGVO (Datenschutz-Grundverordnung) ausgelöst haben kann.

Diese Lektion zeigt Ihnen, wie Sie Transfermechanismen, die juristisch tatsächlich wirken, von Papierkram unterscheiden, der vor allem der Optik dient.

Warum CDRs und Roaming-Daten personenbezogene Daten sind

Ein CDR sieht technisch aus, aber Aufsichtsbehörden behandeln ihn als personenbezogene Daten, weil ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → einen Kunden identifizieren und Standort, Kontakte und Verhaltensmuster offenlegen kann. Nach der DSGVO (Artikel 4) umfassen personenbezogene Daten alles, was sich einer identifizierten oder identifizierbaren Person zuordnen lässt, IMSI-Nummern und MSISDNs (die Rufnummernkennung des Kunden) eingeschlossen.

Das ist relevant, weil dieser CDR in dem Moment, in dem ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → Kenia verlässt und im Billing-System eines deutschen Betreibers landet, eine „Übermittlung personenbezogener Daten an ein Drittland“ nach DSGVO Kapitel V darstellt. Und Kenias eigener Data Protection Act (2019), durchgesetzt vom Office of the Data Protection Commissioner (ODPC), stellt eigene Bedingungen für grenzüberschreitende Transfers.

Die drei echten Mechanismen und was jeder tatsächlich verlangt

1. Angemessenheitsbeschlüsse. Die Europäische Kommission kann das Datenschutzniveau eines Landes als „angemessen“ einstufen. Dann kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Daten dorthin ohne zusätzliche Garantien fließen, so als wären sie noch innerhalb der EU/des EWR. Anfang 2026 deckt die Angemessenheit eine kurze Liste ab, darunter Japan, Südkorea, UK und Kanada (kommerzielle Organisationen); Kenia steht nicht darauf. Die aktuelle Liste finden Sie auf der Seite der Europäischen Kommission zu Angemessenheitsbeschlüssen.

Kein Angemessenheitsbeschluss für Kenia bedeutet: Der Datenfluss von Safaricom zur Deutschen Telekom braucht einen anderen Mechanismus.

2. Standardvertragsklauseln (SCCs). Das sind von der Europäischen Kommission vorab genehmigte Vertragsvorlagen, die beide Parteien unterzeichnen und die den Empfänger außerhalb der EU rechtlich auf ein DSGVO-äquivalentes Schutzniveau verpflichten. In unserem Roaming-Beispiel würden Safaricom und Deutsche Telekom SCCs in ihren Roaming-Vertrag einbetten (häufig über die Standard-IOT-Verträge der GSMA, Inter-Operator Tariff, die bereits Datenschutzanhänge referenzieren).

SCCs sind das eigentliche Arbeitstier der Datentransfers in der Telekommunikation. Roaming-Frameworks der GSMA (der Branchenverband der Mobilfunkbetreiber) wie AA.14 und BA.27 verankern Datenschutzklauseln standardmäßig in kommerziellen Roaming-Verträgen.

3. Localization-Ausnahmen. Manche Rechtsordnungen verlangen, dass bestimmte Datenkategorien im Land bleiben, Punkt, kein Transfermechanismus heilt das. Beispiele: Das russische Datenlokalisierungsgesetz verlangt, dass personenbezogene Daten russischer Staatsbürger zuerst auf Servern in Russland erfasst werden. Indiens Regeln für den Telekom- und Finanzsektor schreiben sektorspezifische Speicheranforderungen vor. Nigerias Data Protection Act (2023) und die Vorgaben der NDPC (Nigeria Data Protection Commission) verhindern, dass bestimmte staatliche und kritische Daten ohne Genehmigung das Land verlassen.

Solche Carve-outs überschreiben SCCs. Wenn ein Carve-out greift, macht keine Vertragsklausel den Transfer legal.

Wo Transfermechanismen Theater sind

Hier liegt die angewandte Kompetenz: erkennen, wann ein „Compliance“-Schritt echt und wann ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → dekorativ ist.

Theater-Beispiel 1: SCCs unterzeichnet, aber nie operationalisiert. Ein Carrier unterzeichnet SCCs mit einem Roaming-Partner, führt aber nie das erforderliche Transfer Impact Assessment (TIA) durch, also eine dokumentierte Prüfung, ob die Gesetze des Ziellandes (z. B. Überwachungszugriffe) die vertraglichen Zusagen untergraben. Nach dem *Schrems II*-Urteil (Gerichtshof der EU, 2020) reichen SCCs allein rechtlich nicht aus; Sie müssen prüfen und dokumentieren, dass das Zielland tatsächlich einen wirksamen Schutz bietet. Unterzeichnetes Papier ohne TIA ist ein Häkchen, kein Kontrollmechanismus.

Theater-Beispiel 2: Angemessenheit unterstellt, nicht geprüft. Teams gehen manchmal davon aus: „UK ist unproblematisch, das ist im Grunde noch Europa.“ Der Angemessenheitsstatus des UK nach dem Brexit existiert wirklich, war aber befristet und einer Verlängerungsprüfung unterworfen; ihn ohne Monitoring als dauerhaft zu behandeln, ist eine Governance-Lücke.

Theater-Beispiel 3: Anonymisierungsbehauptungen, die keine sind. Manche MVNOs (Mobile Virtual Network Operators, Unternehmen, die Netzkapazität eines MNO, Mobile Network Operator, weiterverkaufen, ohne eigene Infrastruktur zu besitzen) behaupten, für Analytics geteilte CDR-Daten seien „anonymisiert“ und damit komplett außerhalb der DSGVO. Behält der Datensatz die Granularität auf Funkzellenebene und Zeitstempel, ist eine Re-Identifikation oft trivial (ein bekanntes Ergebnis aus der Mobilitätsdatenforschung, z. B. Studien, auf die sich die MIT-Arbeit zur Unicity menschlicher Mobilitätsspuren bezieht). Etwas als anonymisiert zu bezeichnen, wenn es lediglich pseudonymisiert ist, ist ein echtes Compliance-Risiko, kein gelöstes Problem.

Ein echter, nicht theatralischer Fall: 2021 führte die Prüfung von SIM-Registrierungsdaten durch das kenianische ODPC und die Telekom-Aufsicht dazu, dass Safaricom die Weitergabe von Kundendaten an Dritte verschärfte. Das zeigt: Lokale Durchsetzung hat Zähne, auch ohne Bußgelder in EU-Höhe.

Eine praxistaugliche Audit-Checkliste

Wenn Sie einen Roaming- oder Interconnect-Datenfluss übernehmen, führen Sie diese Prüfungen durch, bevor Sie einen Mechanismus als valide voraussetzen:

Transfer Audit Checklist (data flow: Origin MNO -> Destination Partner)

1. Data mapping
   - What fields are in the CDR/record? (IMSI, location, call content?)
   - Is it personal data under both origin and destination law?

2. Mechanism check
   - Is there an adequacy decision covering destination? (Y/N, cite source)
   - If no: are SCCs signed AND is there a documented Transfer Impact Assessment?
   - Does any localization law apply to this data category? (carve-out check)

3. Operational verification
   - Encryption in transit? (yes/no, protocol)
   - Retention period matches contract terms?
   - Sub-processors (e.g., billing clearinghouses like BICS or Syniverse) covered
     by the same SCCs, or is there a gap?

4. Governance sign-off
   - DPO (Data Protection Officer) reviewed and dated?
   - Renewal/monitoring trigger set (e.g., adequacy status review date)?

Beachten Sie die Erwähnung von Clearinghouses in Schritt 3: Roaming-Daten gehen häufig nicht direkt von Carrier zu Carrier. Intermediäre wie Syniverse oder BICS übernehmen CDR-Austausch und Settlement. Ihre Transferkette hat also mehr Hops, und mehr potenzielle Lücken, als der Zweiparteienvertrag nahelegt.

Wie gute Governance in der Praxis aussieht

Reife Telekom-Konzerne behandeln Compliance bei grenzüberschreitenden Transfers als laufenden operativen Prozess, nicht als einmalige juristische Freigabe:

• Datenfluss-Inventare, die aktualisiert werden, wenn neue Roaming-Partner oder MVNO-Verträge onboardet werden, nicht nur beim initialen Launch.
• Dauerhaftes juristisches Monitoring von Änderungen bei Angemessenheitsbeschlüssen (die EU prüft periodisch und kann die Angemessenheit widerrufen, wie 2020 bei Teilen des US-Privacy-Shield-Frameworks, das später 2023 durch das EU-US Data Privacy Framework ersetzt wurde).
• Gemeinsame Audits mit Clearinghouses, da CDR-Daten typischerweise über Settlement-Plattformen Dritter laufen, außerhalb der direkten Beziehung zwischen den MNOs.
• Abstimmung mit Sektorregulierern: Telekom-Aufsichtsbehörden (Kenias Communications Authority, Deutschlands Bundesnetzagentur) haben oft eigene Regeln, die über dem allgemeinen Datenschutzrecht liegen. Telekomspezifische Lizenzbedingungen müssen daher parallel zur DSGVO/DPA-Analyse geprüft werden.

🎬 [VIDEO: "GDPR International Data Transfers Explained" - youtube.com/results?search_query=GDPR+international+data+transfers+explained - ein Durchgang durch Angemessenheit, SCCs und Schrems II von einem Datenschutz-Trainingskanal]

Die wichtigsten Punkte

• Ein Roaming-CDR, der Grenzen überschreitet, ist gleichzeitig nach DSGVO und vielen nationalen Gesetzen ein Transfer personenbezogener Daten; behandeln Sie ihn als rechtliches Ereignis, nicht nur als technische Übergabe.
• Drei Mechanismen zählen: Angemessenheitsbeschlüsse (pauschale Freigabe für bestimmte Länder), SCCs (vertraglicher Fallback, das Arbeitstier der Telekombranche) und Localization-Carve-outs (die alles andere überschreiben, wenn sie greifen).
• SCCs ohne dokumentiertes Transfer Impact Assessment sind nach Schrems II Compliance-Theater; der Papierkram muss durch eine echte Prüfung des Rechts im Zielland unterlegt sein.
• Anonymisierungsbehauptungen zu Mobilitäts- und CDR-Daten verdienen Prüfung: hochgranulare Standort- und Zeitstempeldaten sind häufig re-identifizierbar, kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen also weiterhin personenbezogene Daten sein.
• Echte Audits müssen die gesamte Kette nachvollziehen, inklusive Clearinghouses wie Syniverse oder BICS, nicht nur die zwei im Roaming-Vertrag genannten Parteien.