Compliance-Leitfaden

DSGVO und Outsourcing nach Kosovo

Kosovo hat ein modernes Datenschutzgesetz, das eng an die DSGVO angelehnt ist, aber keinen EU-Angemessenheitsbeschluss. Übermittlungen aus der EU, dem UK oder der Schweiz sind daher mit den richtigen Verträgen und Schutzmaßnahmen rechtmäßig. Dieser Leitfaden erklärt, welche das sind.

Fragen Sie nach unserem Datenschutzkonzept Zu den Schritten

Warum Kosovo Outsourcing-Risiken Kosovo-Faktenblatt Glossar

Dürfen EU-Unternehmen nach der DSGVO nach Kosovo auslagern?

Ja. Kosovos Gesetz Nr. 06/L-082 ist eng an die DSGVO angelehnt, Kosovo hat aber keinen EU-Angemessenheitsbeschluss, daher braucht die Übermittlung ein Übermittlungsinstrument. EU-Unternehmen schließen in der Regel einen Auftragsverarbeitungsvertrag und die Standardvertragsklauseln der Europäischen Kommission, dokumentieren eine Risikobewertung und behalten die Daten mit strengen Zugriffskontrollen in ihren eigenen Systemen.

Gesetz in Kosovo: Gesetz Nr. 06/L-082 über den Schutz personenbezogener Daten (2019)
Aufsichtsbehörde: Informations- und Datenschutzagentur (AIP)
EU-Angemessenheit: Keine; Standardvertragsklauseln nutzen
Außerdem nötig: Auftragsverarbeitungsvertrag, Risikobewertung der Übermittlung

Eine rechtmäßige Übermittlung Schritt für Schritt einrichten

Dies sind allgemeine Informationen, keine Rechtsberatung. Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung sollte die Lösung für Ihren Fall bestätigen.

Daten erfassen
Vor dem Vertrag
Listen Sie auf, welche personenbezogenen Daten das Team sieht, wessen Daten es sind, warum sie nötig sind und in welchen Systemen sie bleiben. Weniger Zugriff bedeutet weniger Risiko und einfachere Dokumentation.
Auftragsverarbeitungsvertrag schließen
Mit dem Vertrag
Artikel 28 DSGVO verlangt einen Vertrag, der Verarbeitung, Weisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter und die Unterstützung bei Betroffenenanfragen regelt.
Übermittlungsinstrument ergänzen
Mit dem Vertrag
Da Kosovo keinen Angemessenheitsbeschluss hat, nutzen Übermittlungen aus der EU in der Regel die Standardvertragsklauseln der Europäischen Kommission. Übermittlungen aus dem UK nutzen das UK-Addendum oder die eigene britische Übermittlungsvereinbarung.
Übermittlung bewerten
Vor dem Start
Dokumentieren Sie eine Risikobewertung der Übermittlung, die Recht und Praxis in Kosovo sowie die getroffenen Schutzmaßnahmen wie Zugriffskontrollen und Verschlüsselung betrachtet.
Technische Kontrollen umsetzen
Vor dem Start
Persönliche Konten mit Multi-Faktor-Authentifizierung, minimale Zugriffsrechte, verwaltete Geräte, Protokollierung und Daten, wo immer möglich, in Ihren eigenen Systemen.
Regelmäßig prüfen
Jährlich
Prüfen Sie Zugriffsrechte, Unterauftragsverarbeiter, Vorfälle und Rechtsänderungen erneut und aktualisieren Sie Verarbeitungsverzeichnis und Bewertung.

Was Verantwortliche prüfen sollten

Verträge machen eine Übermittlung rechtmäßig; tägliche Kontrollen machen sie sicher. Beides zählt.

Was regelt Kosovos Datenschutzgesetz?

Das Gesetz Nr. 06/L-082 regelt nach dem Vorbild der DSGVO Grundsätze, Rechtsgrundlagen, Betroffenenrechte, Sicherheitspflichten und den Umgang mit Datenpannen und gibt der Informations- und Datenschutzagentur Aufsichts- und Durchsetzungsbefugnisse. Ein Anbieter in Kosovo ist für seine eigene Verarbeitung daran gebunden, zusätzlich zum Vertrag mit Ihnen.

Was sollte der Auftragsverarbeitungsvertrag regeln?

Gegenstand, Dauer, Art und Zweck der Verarbeitung
Arten personenbezogener Daten und Kategorien betroffener Personen
Verarbeitung nur auf Ihre dokumentierte Weisung
Vertraulichkeit aller Personen mit Zugriff
Konkret beschriebene Sicherheitsmaßnahmen
Regeln für Unterauftragsverarbeiter und Ihr Widerspruchsrecht
Unterstützung bei Betroffenenanfragen, Datenpannen und Folgenabschätzungen
Rückgabe oder Löschung der Daten am Ende sowie Prüfrechte

Welche technischen Kontrollen sollten Sie erwarten?

Persönliche Konten, Single Sign-on und Multi-Faktor-Authentifizierung
Zugriff nur auf die Warteschlangen und Felder, die eine Rolle braucht
Verwaltete, verschlüsselte Geräte und Einschränkungen für lokale Downloads
Protokollierung der Zugriffe und regelmäßige Zugriffsprüfungen
Klare Abläufe bei Austritten und für die Meldung von Vorfällen in vereinbarten Fristen

Was gilt für besondere Kategorien von Daten?

Gesundheits-, Finanz- oder andere sensible Daten verlangen einen genaueren Blick: eine Datenschutz-Folgenabschätzung, strengere Zugriffe und manchmal Pseudonymisierung oder Maskierung in den Tools des Teams. Manche regulierte Arbeit muss intern oder im Inland bleiben; entscheiden Sie das, bevor Sie das Team planen.

Datenschutz und Kosovo: häufige Fragen

Ist Kosovo DSGVO-konform?

Kosovo gehört nicht zur EU, die DSGVO gilt dort also nicht direkt. Kosovos eigenes Gesetz Nr. 06/L-082 über den Schutz personenbezogener Daten, in Kraft seit 2019, ist eng an die DSGVO angelehnt und wird von der Informations- und Datenschutzagentur durchgesetzt. EU-Unternehmen können Daten mit den richtigen Schutzmaßnahmen rechtmäßig nach Kosovo übermitteln.

Hat Kosovo einen EU-Angemessenheitsbeschluss?

Nein. Die Europäische Kommission hat für Kosovo keinen Angemessenheitsbeschluss erlassen. Übermittlungen aus der EU brauchen daher ein anderes Übermittlungsinstrument, meist die Standardvertragsklauseln, zusammen mit einer Risikobewertung der Übermittlung und geeigneten technischen und organisatorischen Maßnahmen.

Welche Standardvertragsklauseln gelten beim Outsourcing nach Kosovo?

Wenn ein EU-Unternehmen Verantwortlicher ist und der Anbieter in Kosovo Daten in seinem Auftrag verarbeitet, ist meist das Modul „Verantwortlicher an Auftragsverarbeiter“ der Standardvertragsklauseln der Europäischen Kommission von 2021 die übliche Wahl. Ihre Rechtsberatung sollte das Modul bestätigen und die Anhänge für Ihre Verarbeitung ausfüllen.

Können Unternehmen aus dem UK und der Schweiz nach Kosovo auslagern?

Ja. Britische Unternehmen nutzen in der Regel das International Data Transfer Agreement des UK oder das UK-Addendum zu den EU-Klauseln. Schweizer Unternehmen können sich auf die EU-Standardvertragsklauseln mit den nach dem Schweizer Datenschutzgesetz nötigen Anpassungen stützen. In beiden Fällen braucht es zusätzlich einen Auftragsverarbeitungsvertrag.

Müssen die Daten Ihre Systeme verlassen?

Meist nicht. In den meisten Outsourcing-Modellen melden sich Agents im eigenen Helpdesk, CRM oder ERP des Kunden an, sodass die Daten in den Systemen des Kunden bleiben und nur aus der Ferne eingesehen oder bearbeitet werden. Fernzugriff aus Kosovo ist nach der DSGVO dennoch eine Übermittlung, hält die Exposition aber gering.

Quellen

Rechtliche Verweise auf dieser Seite führen zu ihren offiziellen Quellen. Gesetze und Leitlinien ändern sich; prüfen Sie daher die aktuellen Fassungen.

Informations- und Datenschutzagentur (Gesetz Nr. 06/L-082), Republik Kosovo
Angemessenheitsbeschlüsse, Europäische Kommission
Standardvertragsklauseln für internationale Übermittlungen, Europäische Kommission
Empfehlungen 01/2020 zu ergänzenden Maßnahmen bei Übermittlungen, Europäischer Datenschutzausschuss
International Data Transfer Agreement und Addendum, Information Commissioner's Office, Vereinigtes Königreich

Brauchen Sie unsere Datenschutzunterlagen?

Fordern Sie unseren Auftragsverarbeitungsvertrag und eine Sicherheitsübersicht an. Ihr Datenschutzbeauftragter kann sie vor jeder Zusage prüfen.

Unterlagen anfordern Warum Kosovo