Transfer Impact Assessment — TIA

Aktualisiert am: 25.08.2026

Das Transfer Impact Assessment (TIA) ist ein Prüfverfahren zur Bewertung von Risiken bei der grenzüberschreitenden Übermittlung von personenbezogenen Daten in Länder mit möglicherweise unzureichendem Datenschutzniveau. Nach dem Schrems-III-Urteil ist es Pflicht für europäische Unternehmen, die Daten ins Ausland transferieren, um notwendige Zusatzmaßnahmen zu identifizieren.

Ablauf eines Transfer Impact Assessment

• Zielland identifizieren: In welches Land gehen die Daten, über welche Systeme und Dienste?
• Rechtssituation analysieren: Welche Gesetze gelten dort, gibt es Zugriffsbefugnisse von Behörden?
• Technische Schutzmaßnahmen prüfen: Reichen Verschlüsselung und Zugriffskontrolle aus?
• Zusatzmaßnahmen entscheiden: Sind technische Maßnahmen (Pseudonymisierung, weitere Verschlüsselung) erforderlich?
• Dokumentieren: Die Analyse und Entscheidung schriftlich festhalten

Unterschied zu früheren Regelungen

Vor Schrems III war die Praxis einfacher: Man brauchte einen Angemessenheitsbeschluss der Europäischen Kommission oder Standardvertragsklauseln. Diese sind immer noch relevant, aber seitdem Schrems III in Kraft ist, reichen sie allein nicht mehr aus. Jetzt muss jedes einzelne Unternehmen die konkreten Umstände beim Empfänger überprüfen. Das Urteil macht deutlich, dass Datenschutz bei grenzüberschreitenden Transfers individuell nachgewiesen werden muss.

Praktische Bedeutung für Unternehmen

Für viele Unternehmen bedeutet TIA zusätzliche Arbeit: Cloud-Services wie Microsoft 365 oder Google Workspace müssen überprüft werden, ebenso Transfers zu Dienstleistern oder Partnern in Drittländern. Eine TIA ist nicht einmalig, sondern muss erneuert werden, wenn sich die Umstände ändern oder neue Erkenntnisse über das Zielland verfügbar werden. Dokumentation ist essentiell — im Falle einer Behördenprüfung muss die TIA und ihre Ergebnisse nachgewiesen werden.

Häufige Frage

Brauche ich immer ein Transfer Impact Assessment?

Nicht für alle Datenübermittlungen. Nur dann, wenn Daten in ein Land gehen, für das es keinen Angemessenheitsbeschluss der EU gibt oder dieser infrage steht. Für viele europäische Länder ist TIA nicht erforderlich. Die Frage muss im Einzelfall geklärt werden.

Verwandte Begriffe

• Personenbezogene Daten — Das, was übermittelt wird und einer TIA bedarf.
• DSGVO Art. 6 — Rechtsgrundlage für die Übermittlung muss geklärt sein.
• Datenschutzmanagementsystem — TIA ist Teil der systematischen Datenschutzprüfung.