Standardvertragsklauseln (SCC) sind 2026 für Mittelständler mit US-Cloud-Tools Pflicht: ChatGPT, HubSpot, Mailchimp, Slack — alle brauchen SCC + TIA + EU-US Data Privacy Framework als Drittlands-Transfer-Grundlage. Wer das versäumt, riskiert Bußgelder bis 4 % Jahresumsatz. Dieser Guide liefert die Mittelstand-Anleitung mit TIA-Vorlage. Für strukturiertes Management lohnt der Blick auf Hugo DSB mit Drittlands-Transfer-Management.
SCC-Pflicht
Bei jedem US-Cloud-Tool und anderen Drittländer.
TIA
Transfer Impact Assessment pro Tool und Datenkategorie.
DPF
EU-US Data Privacy Framework seit Juli 2023.
Subprozessoren
Liste plus Aktualisierungs-Workflow Pflicht.
Was SCC und TIA 2026 für Mittelstand bedeuten
- SCC = vorgegebene Vertragsklauseln der EU-Kommission, von EuGH genehmigt
- TIA = Transfer Impact Assessment, Risiko-Analyse pro Drittlands-Transfer
- DPF = EU-US Data Privacy Framework, ergänzt SCC für US-Transfers
- Subprozessoren-Liste = Drittländer-Verarbeiter pro Cloud-Tool dokumentiert
TIA-Vorlage für Mittelstand 2026
| Punkt | Inhalt |
|---|---|
| 1. Drittlands-Tool | z.B. ChatGPT, HubSpot, Mailchimp |
| 2. Datenkategorien | Welche personenbezogenen Daten übertragen werden |
| 3. Rechtssystem Drittland | USA + DPF / andere Länder ohne DPF |
| 4. Zugriffs-Risiken | Behörden-Zugriff im Drittland (z.B. FISA in USA) |
| 5. Schutzmaßnahmen | Verschlüsselung, Pseudonymisierung, Zugriffs-Beschränkungen |
| 6. Restrisiko | Bewertung niedrig / mittel / hoch |
| 7. Entscheidung | Drittlands-Transfer zulässig / nicht zulässig / mit Bedingungen |
Wichtig: TIA ist KEIN Einmal-Dokument. Bei Änderungen im Drittland-Rechtssystem oder bei Subprozessor-Änderungen muss TIA aktualisiert werden. Plattform-basierte Verwaltung 2026 Standard.
„SCC und TIA sind 2026 für Mittelstand die meistunterschätzte DSGVO-Pflicht. Viele KMU haben Cloud-Tools wie HubSpot oder ChatGPT im Einsatz ohne dokumentierten Drittlands-Transfer. Bei HmbBfDI-Anhörung schwer zu rechtfertigen. Strukturiertes Management mit Plattform spart 2026 strukturell Compliance-Risiko.“
— Nils Oehmichen, Geschäftsführer der frag.hugo Informationssicherheit GmbH
FAQ — SCC für Mittelstand
Brauche ich SCC mit Microsoft, AWS, Google?
Mit EU-Region und DPF-Anbindung ja, plus TIA. Microsoft EU Data Boundary erleichtert es.
Wie oft TIA aktualisieren?
Bei Änderungen im Drittland-Rechtssystem, bei Subprozessor-Änderungen, mindestens jährlich.
Was kostet professionelles SCC-Management?
Setup 3-8 k €, laufende Plattform-Lizenz 79-499 €/Monat. Refinanziert sich durch reduzierte Bußgeld-Risiken.
Wer schließt SCC ab — wir oder der Cloud-Anbieter?
Cloud-Anbieter stellt SCC bereit (DPA), Sie als Kunde akzeptieren. TIA-Erstellung ist Kunden-Aufgabe.
Sind alle US-Anbieter DPF-zertifiziert?
Nur diejenigen, die sich aktiv beim US-Department of Commerce zertifiziert haben. Liste auf dataprivacyframework.gov prüfen.
Was passiert bei DPF-Ende?
EuGH könnte DPF wie früher Privacy Shield als unzureichend befinden. Plan B: SCC + TIA bleiben bei verschärftem TIA gültig.
Fazit: SCC für Mittelstand 2026 ist strukturierte Compliance-Aufgabe
SCC + TIA + DPF sind 2026 für jedes deutsche KMU mit US-Cloud-Tools Pflicht. Plattform-basierte Verwaltung effizient. Lohnt der Blick auf Hugo DSB mit Drittlands-Transfer-Management.
