Data Importer
Definition: Ein Data Importer ist die natürliche oder juristische Person, die personenbezogene Daten im Auftrag eines Data Exporters empfängt und verarbeitet. Diese Rollendefinition ist zentral für grenzüberschreitende Datentransfers und bildet die Grundlage für vertragliche Pflichten, Haftungsfragen und die Einhaltung der DSGVO.
Rollendefinition und rechtliche Einordnung
Der Begriff Data Importer bezeichnet die Stelle, die personenbezogene Daten von einem Data Exporter empfängt. Diese Rolle ist nicht identisch mit dem Auftragsverarbeiter. Ein Data Importer kann sowohl ein Verantwortlicher als auch ein Auftragsverarbeiter sein – entscheidend ist allein die Richtung des Datenflusses.
Die DSGVO selbst verwendet den Begriff nicht als Legaldefinition. Er stammt aus der Vertragspraxis, insbesondere aus den Standardvertragsklauseln (SCCs) der Europäischen Kommission. Dort wird der Data Importer als derjenige definiert, der personenbezogene Daten aus der EU oder dem EWR in ein Drittland empfängt. Diese Unterscheidung ist für die Compliance-Praxis unverzichtbar.
Die Rollenverteilung zwischen Data Exporter und Data Importer bestimmt, welche vertraglichen Schutzmechanismen greifen müssen – und wer im Schadensfall haftet.
Pflichten und Verantwortlichkeiten
Ein Data Importer trägt umfangreiche Pflichten. Er muss die übermittelten Daten ausschließlich für die vertraglich festgelegten Zwecke verarbeiten. Darüber hinaus ist er verpflichtet, angemessene technische und organisatorische Maßnahmen umzusetzen. Die Weisungsgebundenheit gegenüber dem Data Exporter ist ein zentrales Element.
Bei Sub-Processing muss der Data Importer eine vorherige Genehmigung einholen. Er haftet für die Einhaltung der Datenschutzstandards durch seine eigenen Unterauftragnehmer. Die Dokumentation aller Verarbeitungstätigkeiten ist ebenso verpflichtend wie die Unterstützung bei Betroffenenanfragen.
| Pflichtbereich | Konkrete Anforderung | Sanktion bei Verstoß |
|---|---|---|
| Vertragskonformität | Einhaltung der SCCs oder anderer Transfermechanismen | Vertragsstrafe, Kündigung |
| Datensicherheit | Verschlüsselung, Zugriffskontrollen, Pseudonymisierung | Bußgelder bis 20 Mio. Euro |
| Transparenz | Meldung von Datenpässen, Audit-Rechte gewähren | Schadensersatzforderungen |
| Sub-Processing | Vorherige schriftliche Genehmigung | Unwirksamkeit der Verarbeitung |
Abgrenzung zu verwandten Begriffen
Der Data Importer wird häufig mit dem Auftragsverarbeiter verwechselt. Diese Gleichsetzung ist jedoch unzulässig. Ein Auftragsverarbeiter handelt ausschließlich auf Weisung. Ein Data Importer kann jedoch auch eigenständig über Zwecke und Mittel der Verarbeitung entscheiden – dann agiert er als Verantwortlicher.
Im Kontext der Datenübermittlung in Drittländer ist die Abgrenzung zur Datenverarbeitung innerhalb der EU relevant. Innerhalb des EWR greifen die allgemeinen DSGVO-Regelungen. Bei Transfers in Drittländer kommen zusätzliche Mechanismen wie SCCs, Angemessenheitsbeschlüsse oder Binding Corporate Rules zum Einsatz.
Die Rolle des Data Importers ist kontextabhängig: Im EU-Binnenmarkt gelten andere Anforderungen als bei Transfers in die USA oder nach Asien.
Praxisrelevanz und Vertragsgestaltung
In der unternehmerischen Praxis ist die sorgfältige Identifikation der Importer-Rolle entscheidend. Cloud-Dienste, SaaS-Anbieter und globale Konzerne müssen ihre Datenflüsse präzise kartieren. Fehleinschätzungen führen zu erheblichen rechtlichen Risiken.
Die Vertragsgestaltung muss die spezifischen Risiken des Empfängerlands berücksichtigen. Dazu gehören Zugriffsrechte ausländischer Behörden, lokale Datenschutzgesetze und Durchsetzungsmechanismen. Ein wirksames Vertragswerk enthält klare Regelungen zu Haftung, Audit-Rechten und Kündigungsfolgen.
Die Datenschutz-Folgenabschätzung (DSFA) ist bei risikoreichen Transfers verpflichtend. Sie muss die Rechtsordnung des Empfängerlands einbeziehen und die Wirksamkeit der vorgesehenen Garantien bewerten. Diese Analyse ist kein einmaliger Akt, sondern ein kontinuierlicher Prozess.
« Back to Glossary Index