# Drittlandtransfer-Baustein (Art. 44 ff. DSGVO) — TIA-Gerüst

> **v0.4 (2026-07-25) - intern mehrstufig rechtsgeprüft (zwei 10-Linsen-Audits 07/2026). Muster zur anwaltlichen Einzelfall-Anpassung, ohne Gewähr, ersetzt keine Rechtsberatung. Die externe anwaltliche Freigabe steht aus.**

**Grundsatz.** „EU-Region" ist kein Transfermechanismus: Bei US-beherrschten
Anbietern (Microsoft, Google) besteht CLOUD-Act-Exposition unabhängig vom
Serverstandort; der Angemessenheits-Anker EU-US-DPF ist rechtlich umstritten.
Deshalb weist Gosign den Transfer-Status **je Bezugsweg** aus.
CLOUD-Act-freie Wege sind vorgesehen; den aktuellen Status je Bezugsweg
weist die Subprozessoren-Übersicht (`subprozessoren.md`) aus.

**Transfer-Impact-Assessment (je Bezugsweg auszufüllen):**

| Prüfpunkt | Azure (GPT) | Google (Gemini/Claude-Std.) | AKI | T-Systems/OTC |
|---|---|---|---|---|
| Anbieter-Herkunft / CLOUD-Act-Exposition | US / ja | US / ja | EU / nein | EU (DE) / nein |
| US-Zugriffsrechtslage (FISA 702 / EO 12333; EDPB Empfehlungen 01/2020) | prüfen und dokumentieren | prüfen und dokumentieren | entfällt | entfällt |
| Verarbeitungsregion | EU Data Zone | EU-Endpunkt | EU/DE | DE |
| Rechtsgrundlage Transfer | SCC + DPF-Status prüfen (SCC nach Art. 46 Abs. 2 lit. c DSGVO, Modul je Konstellation) | SCC + DPF-Status prüfen (SCC nach Art. 46 Abs. 2 lit. c DSGVO, Modul je Konstellation) | entfällt | entfällt |
| Ergänzende Maßnahmen | Pseudonymisierung via Gosign-Gateway, Zero-Retention, kein Human-Review (Eligibility) | Pseudonymisierung via Gosign-Gateway, Zero-Retention, genehmigte Logging-Exception | Vertrags-/EU-Kette | Vertrags-/DE-Kette |
| Rest-Risiko-Einordnung | dokumentieren | dokumentieren | niedrig (nach Vertragszeichnung) | niedrig |

AKI-Spalte: Konditionen werden nach Vertragszeichnung ergänzt.

**Hinweis für Berufsgeheimnisträger:** Unabhängig von der DSGVO-Ebene ist die
**berufsrechtliche Auslandsschranke** zu prüfen (§ 43e Abs. 4 BRAO, § 62a
Abs. 4 StBerG, § 50a Abs. 4 WPO - vergleichbarer Geheimnisschutz im
Ausland). Die Norm knüpft tatbestandlich an jede im Ausland erbrachte
Dienstleistung an, nicht erst an ein Drittland: Für die oben als „entfällt"
markierten EU-Anbieter gilt das nur für die DSGVO-Kap.-V-Transferebene - die
Auslandsschranke ist gesondert zu prüfen, sofern deren Verarbeitung
außerhalb Deutschlands stattfindet. Für US-Wege empfiehlt sich die
Kombination aus Gateway-Pseudonymisierung und - soweit einschlägig -
Mandanteneinwilligung (Muster im Baustein
`retention-matrix-einwilligung-transparenz.md`).