Ist es DSGVO-konform, wenn ein Team in Indien in unseren Systemen arbeitet?
Es kann es sein, und der Mechanismus ist etabliert — es hängt aber von Tatsachen über Ihre Daten ab, die nur Sie kennen. Diese Seite erklärt deshalb, was zu prüfen ist, statt Ihnen Konformität zu bescheinigen.
Zuletzt manuell geprüft:
Ist der Zugriff aus Indien also zulässig?
Ja, mit den passenden Garantien — und zuerst ist zu klären, ob überhaupt eine Übermittlung stattfindet. Weder für Indien noch für die Vereinigten Arabischen Emirate besteht ein Angemessenheitsbeschluss der EU [2]. Wo aus einem dieser Länder auf personenbezogene Daten zugegriffen wird, braucht die Übermittlung daher Garantien nach Art. 46 DSGVO, zusätzlich zum Auftragsverarbeitungsvertrag nach Art. 28 [1].
- Ein Fernzugriff aus Indien auf Systeme mit personenbezogenen Daten ist eine Übermittlung, auch ohne Kopie einer Datei [3].
- Für Indien und die VAE besteht kein Angemessenheitsbeschluss; die Übermittlung stützt sich auf Garantien nach Art. 46.
- Zum Einsatz gehört ein Auftragsverarbeitungsvertrag, in dem der für Sie geltende Übermittlungsmechanismus festgehalten ist.
- Verbieten Ihre eigene Richtlinie oder Ihre Kunden eine Verarbeitung außerhalb der EU, ist Offshore-Zugriff die falsche Antwort — und nichts, was man wegformuliert.
Wie die Teile zusammenpassen
Drei Fragen in dieser Reihenfolge. Die meisten Prüfungen gehen schief, weil sie bei der dritten beginnen.
Sind überhaupt personenbezogene Daten betroffen?
Viele Einsätze berühren keine — Infrastrukturarbeit, Greenfield-Entwicklung, Systeme mit reinen Unternehmensdaten. Trifft das wirklich zu, verengt sich die Übermittlungsfrage deutlich. Klären Sie das zuerst, statt es in eine Richtung anzunehmen.
Wer ist Verantwortlicher, wer verarbeitet?
Verantwortlicher für Ihre Daten bleiben Sie. Die Verarbeitung in Ihrem Auftrag regelt der Auftragsverarbeitungsvertrag — das Dokument, das Ihre Datenschutzbeauftragte lesen sollte, nicht diese Seite.
Was die Übermittlung absichert
Ohne Angemessenheitsbeschluss für Indien und die VAE stützt sich die Übermittlung auf den Weg über Art. 46, praktisch also auf Standardvertragsklauseln [4] samt der technischen und organisatorischen Maßnahmen darum herum [5]. Fragen Sie uns nach dem Wortlaut, der für Ihren Einsatz gilt.
Was das für Ihre Prüfung bedeutet
Die Punkte, die Ihre Datenschutzbeauftragte vor dem Start geklärt haben möchte.
Den Datenumfang vorher bestimmen
Welche Systeme das Team braucht und ob dort personenbezogene Daten liegen, entscheidet den größten Teil der Bewertung. Das jetzt zu klären ist erheblich günstiger, als Zugriffe später wieder einzuschränken.
Zugriff von vornherein begrenzen
Minimale Rechte, pseudonymisierte oder synthetische Daten in Nicht-Produktivumgebungen und kein dauerhafter Produktivzugriff, wo er nicht nötig ist. Das verkleinert die Übermittlungsfrage, statt sie nachträglich zu beantworten.
Eigene Zusagen prüfen
Ihre Kundenverträge können strengere Vorgaben zum Verarbeitungsort enthalten als die DSGVO selbst. Diese binden Sie unabhängig davon, welche Garantien wir bieten können — lesen Sie sie vor dem Kick-off.
Die Bewertung dokumentieren
Halten Sie fest, warum Sie zu Ihrem Ergebnis kommen. Eine durchdachte und dokumentierte Übermittlung ist eine völlig andere Ausgangslage als eine, die niemand geprüft hat.
Was wir für die Prüfung bereitstellen
- Den Auftragsverarbeitungsvertrag zum Einsatz, einschließlich des Übermittlungsmechanismus, auf den er sich stützt.
- Eine Beschreibung des Zugriffsmodells: welche Systeme, welche Umgebungen und welche Kontrollen darum herum greifen.
- Ein Gespräch mit Ihrer Datenschutzbeauftragten, früh genug, dass sich der Umfang noch ändern lässt, wenn die Antwort es verlangt.
Weitere Fragen
Ist ein Fernzugriff eine Übermittlung, wenn nichts heruntergeladen wird?
Ja. Personenbezogene Daten jemandem in einem Drittland zugänglich zu machen, ist eine Übermittlung — unabhängig davon, ob eine Kopie entsteht [3]. Deshalb brauchen auch reine Zugriffsmodelle dieselben Garantien. Genau hier irren die meisten internen Prüfungen.
Kann das Team ausschließlich mit Nicht-Produktivdaten arbeiten?
Häufig ja, und dafür lohnt es sich zu planen. Pseudonymisierte oder synthetische Daten in Entwicklungs- und Testumgebungen nehmen der Frage viel von ihrem Gewicht. Wo Produktivzugriff wirklich nötig ist, sollte er eng gefasst und zeitlich begrenzt statt standardmäßig erteilt werden.
Unsere Kunden verlangen Verarbeitung nur in der EU. Was dann?
Dann kommt ein Offshore-Zugriff auf diese Daten nicht in Frage, und wir sagen Ihnen das. Möglicherweise passt ein Offshore-Team trotzdem zu anderen Teilen Ihrer Landschaft — Infrastruktur, Tooling, Systeme ohne Personenbezug. An einer Zusage vorbeizuargumentieren, die Sie Ihren Kunden gegeben haben, werden wir aber nicht.
Ändert die Gesellschaft in Dubai die Bewertung?
Sie fügt ein zweites Drittland hinzu, statt eines zu entfernen: Auch für die VAE besteht kein Angemessenheitsbeschluss. Ihr Vertrag läuft mit der Gesellschaft in Dubai, die Arbeit findet in Indien statt — beides muss abgedeckt sein, und genau das regelt der Auftragsverarbeitungsvertrag.
Haben Sie einen AV-Vertrag, oder senden wir unseren?
Wir haben einen, und wir arbeiten ebenso mit Ihrem, wenn Ihre Rechtsabteilung ihr eigenes Papier bevorzugt. In beiden Fällen sollte er vor der Zugriffserteilung stehen und nicht parallel zum ersten Sprint.
Quellen
Alle Quellen abgerufen und an den zitierten Stellen geprüft am 06.08.2026.
- [1] Verordnung (EU) 2016/679 (DSGVO), Art. 28 und Art. 44 ff. — amtlicher Text, EUR-Lex — https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu Art. 44 S. 1: Jede Drittlandübermittlung ist nur zulässig, wenn die Bedingungen des Kapitels V eingehalten werden (sinngemäß); Art. 46 Abs. 1: geeignete Garantien; Art. 28: Auftragsverarbeitung.
- [2] Europäische Kommission — Angemessenheitsbeschlüsse für Drittländer (weder Indien noch die VAE stehen auf der Liste) — https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en Führt die anerkannten Drittländer auf; weder Indien noch die VAE stehen auf der Liste (geprüft am 06.08.2026).
- [3] EDPB-Leitlinien 05/2021 zum Zusammenspiel von Art. 3 und Kapitel V DSGVO — Fernzugriff aus einem Drittland ist eine Übermittlung. Fassung 2.0, angenommen am 14.02.2023, Europäischer Datenschutzausschuss (PDF) — https://www.edpb.europa.eu/system/files/documents/2023-02/edpb_guidelines_05-2021_interplay_between_the_application_of_art3-chapter_v_of_the_gdpr_v2_en_0.pdf Rn. 16 (S. 8): „remote access from a third country (even if it takes place only by means of displaying personal data on a screen …) … is also considered to be a transfer“ — auch der bloße Bildschirmzugriff aus dem Drittland ist eine Übermittlung, sofern die drei Kriterien der Rn. 9 (S. 7) erfüllt sind (Übersetzung von uns).
- [4] Durchführungsbeschluss (EU) 2021/914 — Standardvertragsklauseln für Drittlandübermittlungen. EUR-Lex — https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj/deu Art. 1 Abs. 1: „Die im Anhang aufgeführten Standardvertragsklauseln gelten als geeignete Garantien im Sinne des Artikels 46 Absatz 1 und des Artikels 46 Absatz 2 Buchstabe c der Verordnung (EU) 2016/679 …“
- [5] EuGH, Urteil vom 16.07.2020, C-311/18 (Schrems II), ECLI:EU:C:2020:559 — Volltext, EUR-Lex — https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62018CJ0311 Zusammenfassung, kein Wortlautzitat: Das Urteil erklärte den Privacy-Shield-Angemessenheitsbeschluss für ungültig und verlangt für SCC-gestützte Übermittlungen ein der Sache nach gleichwertiges Schutzniveau, nötigenfalls mit zusätzlichen Maßnahmen.
Diese Seite beschreibt, wie unsere Einsätze aufgebaut sind und wie wir die Regeln auf diesen Aufbau verstehen. Sie ist allgemeine Information und keine Rechtsberatung — lassen Sie Ihre konkrete Situation von Ihrer eigenen Datenschutzberatung prüfen, bevor Sie sich darauf stützen.
Holen Sie Ihre Datenschutzbeauftragte früh dazu
Umfang, Zugriffsmodell und Auftragsverarbeitungsvertrag lassen sich vor einem Einsatz leichter klären als während eines Einsatzes neu verhandeln.