# Transfer Impact Assessment – Arbeitsvorlage

Herausgeber: T-NEX · Vorlagenversion: 10.09.2026 · Sprache: Deutsch

Diese Vorlage dokumentiert eine konkrete Transferprüfung. Sie enthält keine Bewertung eines Landes, Anbieters oder Projekts. Laden Sie die Markdown-Datei herunter, öffnen Sie sie in einem Texteditor und ersetzen Sie die Felder in eckigen Klammern. Fügen Sie für zusätzliche Datenflüsse, Beteiligte und Befunde eigene Zeilen beziehungsweise Abschnitte hinzu. Eine nicht zutreffende Frage wird begründet als „nicht zutreffend“ dokumentiert; eine unbekannte Angabe bleibt als offene Frage erkennbar.

Verwenden Sie für Nachweise eindeutige Kennungen wie Q-01 für Quellen und N-01 für technische Nachweise. Die verlinkten oder abgelegten Belege müssen den tatsächlich bewerteten Stand zeigen. Ein bloßer Haken oder ein allgemeines Anbieterversprechen ersetzt die Begründung nicht.

## 0. Dokument und Verantwortung

| Angabe | Eintrag |
|---|---|
| Organisation / Projekt / Dienst | [ausfüllen] |
| TIA-Kennung und Dokumentversion | [ausfüllen] |
| Datum der Sachverhaltserhebung / Rechtsstand | [ausfüllen] |
| Anlass: Einführung, Änderung, regelmäßige Überprüfung oder Vorfall | [ausfüllen] |
| Verantwortlicher Datenexporteur, Rechtsträger | [ausfüllen] |
| Koordination der Prüfung, Funktion und Kontakt | [ausfüllen] |
| Fachliche beziehungsweise rechtliche Bewertung, Funktion und Kontakt | [ausfüllen] |
| Technische Umsetzung und Nachweise, Funktion und Kontakt | [ausfüllen] |
| Beteiligter Importeur und Auskunftsperson | [ausfüllen] |
| Zuständige Stelle für die abschließende Entscheidung | [ausfüllen] |
| Verknüpfte Verarbeitungsverzeichnisse, Verträge, DSFA und Berechtigungskonzepte | [Kennung, Version, Ablageort] |
| Nächste vorgesehene Überprüfung / Anlass für dieses Intervall | [Datum und Begründung; ereignisbezogene Prüfung zusätzlich] |

**Arbeitsstand dieser ausgefüllten Fassung:** [noch zu bestimmen: in Erhebung / in Prüfung / Rückfragen offen / Entscheidung dokumentiert]. Dies ist kein Freigabestatus. Die Entscheidung wird ausschließlich in Abschnitt 7 mit Umfang und Begründung festgehalten.

**Gegenstand und Grenze der Prüfung:** [Beschreiben Sie in wenigen Sätzen, welche Leistung und welche Datenflüsse untersucht werden. Benennen Sie ausgeschlossene Abläufe und begründen Sie die Abgrenzung.]

## 1. Verarbeitung und Datenflüsse aufnehmen

Die folgenden Fragen sind je unterschiedlichem Datenfluss auszufüllen. Ein Produktname oder eine Cloudregion ersetzt nicht die Beschreibung der beteiligten Rechtsträger. Prüfen Sie auch Administration, Fernwartung, Tickets, Protokolle, Testkopien, Sicherungen, Zusammenarbeitssysteme sowie weitere Empfänger.

### Datenfluss [Kennung]

| Frage | Beschreibung und Nachweis |
|---|---|
| Was löst den Datenfluss aus, und wofür wird er benötigt? | [Zweck, Arbeitsschritt und fachliche Notwendigkeit] |
| Welche Quelle übermittelt welche Daten an welches Ziel? | [Systeme, Rechtsträger und Nachweiskennungen] |
| Welche Personen sind betroffen? | [Kategorien, etwa Kunden oder Beschäftigte; keine unnötigen Echtdaten in die Vorlage übernehmen] |
| Welche Datenkategorien und Identifikatoren gelangen zum Empfänger? | [Datenfelder; besondere Kategorien nach Art. 9 / Daten nach Art. 10 gegebenenfalls gesondert behandeln] |
| Welcher Umfang, welche Häufigkeit und welcher Zeitraum sind betroffen? | [Volumen, fortlaufend/einmalig, geplante Dauer] |
| Wo werden Daten gespeichert, eingesehen und weiterverarbeitet? | [Land pro Speicherung und tatsächlichem Zugriff; Support und Sicherungen einschließen] |
| Welche Rechte hat der Empfänger? | [Lesen, ändern, exportieren, administrieren, Schlüssel verwalten; tatsächliche Konfiguration belegen] |
| Welche weiteren Empfänger oder Unterauftragnehmer sind beteiligt? | [Rechtsträger, Länder, Zweck und Anschluss an weitere Datenflusskennungen] |
| Wie lange werden Daten vorgehalten, zurückgegeben und gelöscht? | [Systembezogene Fristen, Umsetzung und Nachweis] |
| Welche Rechtsgrundlage trägt die zugrunde liegende Verarbeitung? | [Art. 6 und gegebenenfalls Art. 9/10; Vertrag/Weisung; Verweis auf bestehende Prüfung] |
| Welche Informations-, Betroffenenrechte- und Sicherheitsanforderungen sind zu berücksichtigen? | [Verweis und offene Punkte; die TIA ersetzt diese Prüfungen nicht] |

**Einordnung der verwendeten Daten:** [personenbezogen / pseudonymisiert / anonymisiert / synthetisch; begründen und Nachweis angeben]. Pseudonymisierte Daten bleiben grundsätzlich personenbezogen. Bei behaupteter Anonymität muss die fehlende Identifizierbarkeit begründet sein; das Entfernen von Namen allein ist kein ausreichender Nachweis.

**Datenflussübersicht:** [Verknüpfen Sie die Datenflusskennungen in der tatsächlichen Reihenfolge. Zeigen Sie, welche Entscheidung auch welche Weiterübermittlung erfassen soll.]

**Unbekannte oder widersprüchliche Angaben:** [Frage, zuständige Person, angeforderter Nachweis, Termin und Auswirkung auf die weitere Prüfung].

## 2. Beteiligte, Rollen und Artikel-3-Konstellation prüfen

| Rechtsträger / Kennung | Rolle in diesem Datenfluss | Sitz und relevante Niederlassung | Tatsächliche Zugriffsländer | Vertrags-/Berechtigungsnachweis |
|---|---|---|---|---|
| [ausfüllen] | [Verantwortlicher / gemeinsam Verantwortlicher / Auftragsverarbeiter / Unterauftragsverarbeiter; begründen] | [ausfüllen] | [ausfüllen] | [ausfüllen] |

Für den Transferbegriff sind die drei Kriterien der EDSA-Leitlinien 05/2021 gemeinsam zu prüfen:

| Kriterium | Feststellung: ja / nein / offen | Begründung und Nachweis |
|---|---|---|
| Der Exporteur unterliegt für diese Verarbeitung der DSGVO. | [ausfüllen] | [Art. 3 Abs. 1/2/3, relevante Niederlassung oder anderer Anknüpfungspunkt] |
| Der Exporteur macht personenbezogene Daten einer anderen Stelle zugänglich. | [ausfüllen] | [Gesonderter Rechtsträger, Rolle und tatsächlich eingeräumter Zugriff] |
| Der Importeur befindet sich außerhalb des EWR oder ist eine internationale Organisation. | [ausfüllen] | [Rechtsträger/Land; nicht nur Serverregion] |

**Begründetes Ergebnis zum Transferbegriff:** [ausfüllen]. Ein Mitarbeiter derselben rechtlichen Organisation auf Geschäftsreise ist anders einzuordnen als ein eigenständiger Dienstleister oder eine andere Konzerngesellschaft. Auch wenn Kapitel V im konkreten Fall nicht greift, sind die Risiken der Verarbeitung und Art. 32 DSGVO weiter zu prüfen.

**Unterliegt der Importeur für genau diese Verarbeitung unmittelbar der DSGVO nach Art. 3?** [ja / nein / offen, konkrete Begründung, Quelle und fachliche Bewertung].

Diese Frage ist von der Existenz eines Transfers getrennt. Eine unmittelbare DSGVO-Anwendung auf den Importeur beseitigt einen Drittlandtransfer nicht automatisch. Gleichzeitig sind die Transfer-SCC 2021/914 nach Artikel 1 auf Importeure zugeschnitten, deren betreffende Verarbeitung nicht der DSGVO unterliegt. Bei einer anderen Konstellation muss das anwendbare Instrument gesondert geklärt werden; die bloße Unterschrift unter 2021/914 beantwortet die Anwendungsfrage nicht.

## 3. Transfergrundlage, Module und Vertragsanlagen bestimmen

| Mögliche Grundlage | Konkrete Prüfung | Ergebnis, Begründung und Nachweis |
|---|---|---|
| Art. 45 DSGVO: Angemessenheitsbeschluss | Welcher aktuelle Beschluss? Erfasst er das Gebiet, den Sektor, den Empfänger und die Verarbeitung? Bei empfängerbezogenen Voraussetzungen: aktueller Status und Umfang? | [ausfüllen] |
| Art. 46 DSGVO: geeignete Garantien | Welches Instrument und welcher genaue Anwendungsbereich? Sind erforderliche Verträge, Genehmigungen und Garantien wirksam? | [ausfüllen] |
| Art. 49 DSGVO: Ausnahme für bestimmte Fälle | Welche konkrete Ausnahme und welche Voraussetzungen werden geltend gemacht? Umfang und Grenzen fachlich begründen; keine pauschale Ersatzroute für einen nicht tragfähigen Standardtransfer. | [ausfüllen] |

**Gewählte Grundlage je Datenfluss:** [Instrument, Rechtsfundstelle, Fassung, Parteien, Nachweis und Begründung].

**Ist für diese Konstellation eine TIA erforderlich, und welchen Umfang hat sie?** [ausfüllen]. Die CNIL ordnet die TIA der Prüfung von Art.-46-Instrumenten zu. Bei einschlägigem Art. 45 oder einem wirksamen Art.-49-Ausnahmetatbestand ist die jeweilige Einordnung zu dokumentieren; deren Voraussetzungen und die übrigen DSGVO-Pflichten bleiben zu prüfen. Nicht benötigte Folgeabschnitte begründet kennzeichnen.

### Bei Verwendung der SCC 2021/914

| Konstellation | Modul | Gewählt / Zuordnung zum Datenfluss |
|---|---|---|
| Verantwortlicher an Verantwortlichen | 1 | [ausfüllen] |
| Verantwortlicher an Auftragsverarbeiter | 2 | [ausfüllen] |
| Auftragsverarbeiter an Auftragsverarbeiter / Unterauftragsverarbeiter | 3 | [ausfüllen] |
| Auftragsverarbeiter an Verantwortlichen | 4 | [ausfüllen] |

**Anwendungsbereich und Auswahl begründen:** [Bezug zur Rollenprüfung, Art.-3-Konstellation und zum tatsächlichen Vertrag]. Für Modul 4 enthält Klausel 14 eine besondere Bedingung: Der EU-Auftragsverarbeiter verbindet die vom Drittland-Verantwortlichen erhaltenen Daten mit vom Auftragsverarbeiter in der EU erhobenen personenbezogenen Daten. Halten Sie fest, ob diese Bedingung für den betrachteten Fluss vorliegt und welche Klauseln tatsächlich gelten.

**Vertragsunterlagen prüfen:**

- SCC-Fassung, vereinbarte Module/Optionen, Unterzeichnung und Verhältnis zu weiteren Vertragsklauseln: [Fundstelle und Bewertung].
- Anhang I: Parteien, Transferbeschreibung und zuständige Aufsichtsbehörde: [Version, Vollständigkeit und Übereinstimmung mit Abschnitt 1/2].
- Anhang II: konkrete technische und organisatorische Maßnahmen: [Version und Zuordnung zu den Nachweisen in Abschnitt 5].
- Unterauftragsverarbeitung nach Klausel 9: [gesonderte oder allgemeine Genehmigung, Beteiligte, Informationsweg und Widerspruchsmöglichkeit]. Anhang III ist bei gesonderter Genehmigung auszufüllen; bei allgemeiner Genehmigung das einschlägige Listen-/Änderungsverfahren dokumentieren.
- Für Module 2/3: Abdeckung der Anforderungen aus Art. 28 Abs. 3/4 und passende Weisungen: [Fundstelle und Bewertung]. Die Klauseln 2021/915 betreffen Auftragsverarbeitung, sind aber für sich kein Drittlandtransferinstrument.
- Weiterübermittlungen: [passende Regelung für jeden weiteren Empfänger, Datenfluss-ID und Nachweis].

## 4. Rechtslage und Praxis im relevanten Drittland bewerten

Für jedes relevante Land und jeden betroffenen Importeur ist nachvollziehbar zu untersuchen, welche Vorschriften und Praktiken auf die konkrete Verarbeitung wirken. Die Bewertung muss insbesondere behördliche Zugriffe und die Wirksamkeit des gewählten Instruments behandeln. Ein allgemeines Länderprofil genügt nicht.

### Quellenregister

| Quellen-ID | Herausgeber / Titel / Rechtsfundstelle | Fassung und Geltungsstand | URL / gesicherte Ablage | Abrufdatum und geprüfte Aussage |
|---|---|---|---|---|
| [ausfüllen] | [amtliche Primärquelle bevorzugen; weitere Auskünfte kennzeichnen] | [ausfüllen] | [ausfüllen] | [ausfüllen] |

### Befund [Kennung] für Land [ausfüllen] und Datenfluss [ausfüllen]

| Prüfpunkt | Konkreter Befund mit Quellen-ID und Begründung |
|---|---|
| Welche Vorschrift oder Praxis erfasst den Importeur und weshalb? | [Sektor, Tätigkeit, Zuständigkeit, Dienstleistungsart oder sonstiger Anknüpfungspunkt] |
| Welche Daten können angefordert oder direkt zugänglich gemacht werden? | [Kategorien, Umfang, betroffene Systeme, Klartext/Zugangsdaten] |
| Welche Voraussetzungen, Begrenzungen und Verfahrensregeln gelten? | [Bestimmtheit, Anlass, Umfang, Notwendigkeit und Verhältnismäßigkeit; konkrete Fundstellen] |
| Welche unabhängige Kontrolle und welcher wirksame Rechtsschutz stehen zur Verfügung? | [Zuständigkeit, Zugang und praktische Grenzen für betroffene Personen] |
| Gibt es Geheimhaltungs-, Herausgabe- oder Schlüsselzugriffspflichten? | [Auswirkungen auf Information, Widerspruch und Schutzmaßnahmen] |
| Was ist über die tatsächliche Anwendung bekannt? | [Aktuelle belastbare Quellen; Auskünfte des Importeurs gesondert als solche kennzeichnen] |
| Welche Angaben fehlen oder widersprechen sich? | [Offene Rechtsfrage, Gegenquelle, Klärungsweg und Auswirkung] |
| Welche Verpflichtung des Transferinstruments könnte dadurch beeinträchtigt werden? | [Konkrete Klausel/Garantie und Verbindung zum Datenfluss] |

**Auskünfte des Importeurs zur bisherigen Praxis:** [Art und Zahl relevanter Anfragen, Zeitraum, erfasste Dienste, Umgang mit Anfragen und verfügbare Belege]. Eine Aussage „keine Anfrage erhalten“ trägt die Bewertung nicht allein. Bei Berücksichtigung praktischer Erfahrungen sind die Anforderungen von Klausel 14 und Fußnote 12 der SCC zu beachten und objektive Nachweise einzubeziehen.

**Zusammengeführte rechtliche/fachliche Bewertung:** [Welche Schlussfolgerung folgt aus welchen Tatsachen? Welche verbleibende Unsicherheit ist entscheidungserheblich? Welche zusätzliche Auskunft oder Expertise wird benötigt?]

## 5. Ergänzende Maßnahmen und tatsächliche Schutzwirkung

Ordnen Sie jede Maßnahme einem konkreten Befund aus Abschnitt 4 zu. Trennen Sie beabsichtigte Maßnahmen von eingerichteten und überprüften Maßnahmen. Organisatorische oder vertragliche Zusagen dürfen nicht ohne Prüfung als Lösung eines technischen oder rechtlichen Zugriffsproblems gewertet werden.

| Maßnahme / Kennung | Adressierter Befund und Datenfluss | Konkrete Ausgestaltung / Verantwortlicher | Umsetzungsstand / Nachweis | Bewertete Wirkung und verbleibende Grenze |
|---|---|---|---|---|
| [ausfüllen] | [ausfüllen] | [ausfüllen] | [geplant / eingerichtet / überprüft; Datum und Nachweis] | [begründet ausfüllen] |

### Schlüssel- und Klartextzugriff gesondert ausfüllen

- Wo werden Daten verschlüsselt, entschlüsselt und im Klartext verarbeitet? [Systeme und Arbeitsschritte].
- Wer besitzt, verwaltet oder kann Schlüssel beziehungsweise Entschlüsselungsrechte erlangen? [Rechtsträger, Länder, Administratoren, Notfallzugriff und Nachweise].
- Kann der Importeur oder ein weiterer Empfänger die Daten für seine Aufgabe lesen? [Konkrete technische Prüfung].
- Welche rechtlichen Zugriffsbefugnisse aus Abschnitt 4 könnten Daten oder Schlüssel erreichen? [Befund-ID und Bewertung].
- Bei Pseudonymisierung: Wer hält Zusatzinformationen, und welche Wiederzuordnung bleibt mit verfügbaren Mitteln möglich? [Konzept, Test und Bewertung].
- Bei Datenminimierung/anonymen oder synthetischen Testdaten: Welche Felder und Nebenkanäle bleiben personenbezogen? [Prüfung von Tickets, Logs und Screenshots einschließen].
- Welche Funktionsgrenzen oder Änderungen am Ablauf sind nötig, damit die Maßnahme tatsächlich wirkt? [Konkrete Einschränkung, Verantwortlicher und Nachweis].

Verschlüsselung während Transport oder Speicherung schützt nicht automatisch gegen einen Zugriff auf Klartext beim Importeur. Die EDSA-Empfehlungen 01/2020 behandeln insbesondere Fälle, in denen der Importeur Klartext benötigt und problematische behördliche Zugriffsregeln gelten. Prüfen Sie die tatsächlich passende Konstellation und begründen Sie die Wirksamkeit; setzen Sie „verschlüsselt“ nicht mit „ausreichend geschützt“ gleich.

**Ergebnis nach Maßnahmen:** [Ist der erforderliche Schutz im beschriebenen Umfang mit den tatsächlich umgesetzten Maßnahmen gewährleistet? Begründung und Nachweis; bei Unklarheit konkret benennen, was vor einer Entscheidung fehlt.]

## 6. Umsetzung, Kontrollen und offene Punkte

| Punkt / Kennung | Erforderliche Handlung und Abnahmekriterium | Verantwortlicher / Termin | Nachweis / Ergebnis | Auswirkung bei Nichterledigung |
|---|---|---|---|---|
| [ausfüllen] | [ausfüllen] | [ausfüllen] | [ausfüllen] | [betroffener Datenfluss, Zugriff oder Entscheidung] |

Prüfen Sie mindestens, soweit für den Datenfluss relevant:

- [ ] Vertragsanlagen und technische Berechtigungen beschreiben denselben Stand. Nachweis: [ausfüllen].
- [ ] Vereinbarte Zugriffsbeschränkungen und Schlüsselzuständigkeiten wurden praktisch geprüft. Nachweis: [ausfüllen].
- [ ] Weiterempfänger, Genehmigungen und Änderungsinformationen sind in den Ablauf eingebunden. Nachweis: [ausfüllen].
- [ ] Anfragen von Behörden erreichen die richtigen Stellen; die einschlägigen Mitteilungs-/Prüfpflichten sind umsetzbar. Nachweis: [ausfüllen].
- [ ] Aussetzung, Entzug von Zugriffen, Rückgabe und Löschung können für den betroffenen Fluss umgesetzt werden. Nachweis: [ausfüllen].

Ein angekreuzter Punkt dokumentiert hier nur eine tatsächlich vorgenommene und belegte Kontrolle. Nicht zutreffende Punkte mit Begründung ersetzen; offene Kontrollen nicht als bestanden markieren.

## 7. Entscheidung, Eskalation und gegebenenfalls Stopp

Die Entscheidung muss auf dieselbe Datenfluss-, Vertrags- und Konfigurationsfassung wie die Prüfung Bezug nehmen. Ein hoher wirtschaftlicher Nutzen ersetzt den erforderlichen Schutz nicht. Eine lediglich geplante Maßnahme darf die Begründung für einen bereits begonnenen Transfer nicht tragen.

| Entscheidungsfeld | Eintrag |
|---|---|
| Betrachtete Datenflüsse und Fassungen | [ausfüllen] |
| Gewählte Grundlage und deren geprüfter Anwendungsbereich | [ausfüllen] |
| Tragende Quellen, Maßnahmen und Nachweise | [Kennungen und konkrete Schlussfolgerung] |
| Begründetes Ergebnis | [ausfüllen; keine voreingestellte positive Bewertung] |
| Nicht abgedeckte Datenflüsse / verbleibende Einschränkungen | [ausfüllen] |
| Entscheidungsbefugte Stelle, Name/Funktion und Datum | [ausfüllen] |
| Beteiligte fachliche/rechtliche und technische Prüfer, tatsächlicher Prüfbeitrag und Datum | [ausfüllen; keine Prüfung behaupten, die nicht stattgefunden hat] |

**Gewählte Handlung mit Begründung:** [einen passenden Sachverhalt beschreiben: Prüfung des Art.-45-/Art.-49-Falls abgeschlossen; beschriebener Art.-46-Transfer mit nachgewiesenen Garantien möglich; Transfer noch nicht beginnen, weil Voraussetzungen offen; laufenden Transfer aussetzen; Transfer beenden oder Architektur ändern]. Keine Option ist vorausgewählt.

**Falls offen oder Schutz nicht gewährleistet:**

- Betroffener Datenfluss und sofort umsetzbare Zugriffsbeschränkung: [ausfüllen].
- Technisch verantwortliche Person und Zeitpunkt: [ausfüllen].
- Zu informierende Vertrags-/Datenschutzstellen und einschlägige Mitteilungspflichten: [ausfüllen].
- Erforderliche Nachweise vor Wiederaufnahme und entscheidungsbefugte Stelle: [ausfüllen].
- Falls Beendigung: Rückgabe/Löschung, Kopien, Nachweise und weitere Pflichten nach anwendbarem Instrument: [ausfüllen].

Für SCC 2021/914 sind insbesondere Klauseln 14 bis 16 in ihrer für das gewählte Modul geltenden Ausgestaltung zu beachten. Kann der erforderliche Schutz nicht gewährleistet werden, darf der betroffene Transfer nicht begonnen beziehungsweise muss er ausgesetzt werden.

## 8. Überwachung und erneute Bewertung

| Auslöser | Wie wird er erkannt? | Zuständigkeit / Meldung | Erforderliche Prüfung vor Änderung oder Fortsetzung |
|---|---|---|---|
| Neuer Empfänger oder Unterauftragnehmer | [ausfüllen] | [ausfüllen] | [ausfüllen] |
| Neues Speicher- oder Zugriffsland | [ausfüllen] | [ausfüllen] | [ausfüllen] |
| Geänderte Datenkategorie, Nutzung oder Umfang | [ausfüllen] | [ausfüllen] | [ausfüllen] |
| Andere Schlüsselkontrolle, Berechtigungen oder Systemarchitektur | [ausfüllen] | [ausfüllen] | [ausfüllen] |
| Änderung einschlägiger Gesetze, Rechtsprechung, Praxis oder des Transferinstruments | [ausfüllen] | [ausfüllen] | [ausfüllen] |
| Behördenanfrage, Sicherheitsereignis oder Hinweis auf fehlende Einhaltbarkeit | [ausfüllen] | [ausfüllen] | [ausfüllen] |
| Erreichen des festgelegten Überprüfungstermins | [ausfüllen] | [ausfüllen] | [ausfüllen] |

**Änderungsverlauf:**

| Datum / Version | Anlass und veränderte Tatsachen | Neu geprüfte Quellen/Maßnahmen | Ergebnis / Entscheidung / nächste Prüfung |
|---|---|---|---|
| [ausfüllen] | [ausfüllen] | [ausfüllen] | [ausfüllen] |

## 9. Quellen und weiterführende Arbeitsmaterialien

Die Vorlage ist eine eigenständige T-NEX-Arbeitsstruktur. Die folgenden Primärquellen wurden für die Vorlagenfassung am 10.09.2026 geprüft. Für den konkreten Fall sind die aktuellen Fassungen und länderspezifischen Quellen zusätzlich einzutragen.

- [DSGVO – insbesondere Art. 3, 6, 9, 28, 32, 35 und 44–49](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679).
- [SCC 2021/914 – Artikel 1, Module, Klauseln 14–16 und Anlagen](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32021D0914).
- [Klauseln 2021/915 für Verantwortliche/Auftragsverarbeiter – insbesondere Klausel 1(f)](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32021D0915).
- [EU-Kommission: aktuelle Angemessenheitsbeschlüsse](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en).
- [EU-Kommission: SCC-Übersicht und Anwendungsbereich](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en).
- [EDSA-Leitlinien 05/2021, Version 2.0 – Artikel 3 und Transferbegriff](https://www.edpb.europa.eu/system/files/2023-02/edpb_guidelines_05-2021_interplay_between_the_application_of_art3-chapter_v_of_the_gdpr_v2_en_0.pdf).
- [EDSA-Empfehlungen 01/2020, Version 2.0 – zusätzliche Maßnahmen](https://www.edpb.europa.eu/system/files/documents/2021-06/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_en.pdf).
- [CNIL: finaler TIA-Leitfaden und externe ODS-Vorlage, veröffentlicht 09.07.2025](https://www.cnil.fr/en/transfer-impact-assessment-tia-cnil-publishes-final-version-its-guide).
- [CNIL: Practical Guide, finale Fassung Januar 2025](https://www.cnil.fr/sites/default/files/2025-07/guide_tia.pdf).