Wenn es weder einen Angemessenheitsbeschluss noch geeignete Garantien gibt, ist eine Datenübermittlung nur in den Ausnahmefällen zulässig, die Art. 49 DS-GVO regelt.
Einschränkungen für bestimmte Kategorien
Zunächst muss nach Art. 49 Abs. 5 DS-GVO – für den Fall, dass kein Angemessenheitsbeschluss existiert – geprüft werden, ob im Unionsrecht oder im Recht der Mitgliedstaaten Beschränkungen für Übermittlungen bestimmter Kategorien von personenbezogenen Daten an Drittländer aus wichtigen Gründen des öffentlichen Interesses vorgesehen sind. Existieren solche Beschränkungen, dürfen die betroffenen Kategorien an personenbezogenen Daten auch nicht unter den Voraussetzungen des Art. 49 DS-GVO an Drittländer übermittelt werden.
Zum Beispiel ist für Sozialdaten eine Beschränkung in § 77 Abs. 3 Zehntes Buch Sozialgesetzbuch geregelt.
Ausnahmen
Die Übermittlung ist unter einer der folgenden Bedingungen zulässig (Art. 49 Abs. 1 DS-GVO). Eine behördliche Genehmigung oder Unterrichtung ist dafür nicht erforderlich. Diese Bedingungen sind allerdings restriktiv auszulegende Sonderregeln.
a) Einwilligung
Die betroffene Person hat in die vorgeschlagene Datenübermittlung ausdrücklich eingewilligt, nachdem sie über die für sie bestehenden möglichen Risiken derartiger Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien unterrichtet wurde. Dabei reichen die Informationen zur Einwilligung auf der 1. Stufe nicht aus.
b) Vertrag mit der betroffenen Person
Die Übermittlung ist für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen oder zur Durchführung von vorvertraglichen Maßnahmen auf Antrag der betroffenen Person erforderlich.
c) Vertrag im Interesse der betroffenen Person
Die Übermittlung ist zum Abschluss oder zur Erfüllung eines im Interesse der betroffenen Person von dem Verantwortlichen mit einer anderen natürlichen oder juristischen Person geschlossenen Vertrags erforderlich.
d) Wichtige Gründe des öffentlichen Interesses
Die Übermittlung ist aus wichtigen Gründen des öffentlichen Interesses notwendig.
e) Rechtsansprüche
Die Übermittlung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich.
f) Lebenswichtige Interessen
Die Übermittlung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder anderer Personen erforderlich, sofern die betroffene Person aus physischen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.
g) Register
Die Übermittlung erfolgt aus einem Register, das gemäß dem Recht der Union oder der Mitgliedstaaten zur Information der Öffentlichkeit bestimmt ist und entweder der gesamten Öffentlichkeit oder allen Personen, die ein berechtigtes Interesse nachweisen können, zur Einsichtnahme offensteht, aber nur soweit die im Recht der Union oder der Mitgliedstaaten festgelegten Voraussetzungen für die Einsichtnahme im Einzelfall gegeben sind.
Einzelfall
Sollten auch die Voraussetzungen des Art. 49 Abs. 1 Buchstabe a bis g nicht erfüllt sein, darf eine Übermittlung nach Art. 49 Abs. 1 Unterabsatz 2 DS-GVO nur dann erfolgen, wenn die Übermittlung
- nicht wiederholt erfolgt,
- nur eine begrenzte Zahl von betroffenen Personen betrifft,
- für die Wahrung der zwingenden berechtigten Interessen des Verantwortlichen erforderlich ist,
- sofern die Interessen oder die Rechte und Freiheiten der betroffenen Person nicht überwiegen, und
- der Verantwortliche alle Umstände der Datenübermittlung beurteilt und auf der Grundlage dieser Beurteilung angemessene Garantien in Bezug auf den Schutz personenbezogener Daten vorgesehen hat
Diese Punkte müssen alle zugleich erfüllt sein. Die Beurteilung sowie die angemessenen Garantien müssen in das Verzeichnis von Verarbeitungstätigkeiten aufgenommen werden (Art. 49 Abs. 6 DS-GVO). Zudem muss der Verantwortliche die Aufsichtsbehörde von der Übermittlung in Kenntnis setzen und die betroffenen Personen über die Übermittlung und seine zwingenden berechtigten Interessen unterrichten.
Auslegung
Die Tatbestände des Art. 49 Abs. 1 DS-GVO sind restriktiv auszulegen. Sie dürfen nicht zu einer Aushöhlung des Persönlichkeitsrechtsschutzes bei Datenübermittlungen ins Ausland führen.
Weitere Ausführungen zu den Ausnahmetatbeständen enthalten die Leitlinien 2/2018 des Europäischen Datenschutzausschusses.