Die Stufe 2 der Zulässigkeit für eine Datenübermittlung in ein Drittland ist erfüllt, wenn ein Angemessenheitsbeschluss vorliegt oder der Verantwortliche oder Auftragsverarbeiter geeignete Garantien zur Gewährleistung eines angemessenen Schutzniveaus vorgesehen hat.

Folgende Garantien kommen in Betracht:

• verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) (Art. 46 Abs. 2 lit. b, Art. 47 DS-GVO),
• Standarddatenschutzklauseln der EU-Kommission oder einer Aufsichtsbehörde (Art. 46 Abs. 2 lit. c bzw. d DS-GVO),
• genehmigte Verhaltensregeln oder ein genehmigter Zertifizierungsmechanismus (Art. 46 Abs. 2 lit. e und f DS-GVO),
• einzeln ausgehandelte Vertragsklauseln (Art. 46 Abs. 3 DS-GVO).

In seinem Schrems-II-Urteil hat der Europäische Gerichtshof zudem festgestellt, dass bei allen Garantien nach Art. 46 DS-GVO Datenexporteure zusätzliche Prüfungen anstellen und bei Bedarf zusätzliche Maßnahmen treffen müssen, um Rechtsschutzlücken zu schließen und die Einhaltung des unionsrechtlichen Schutzniveaus zu gewährleisten (vgl. Art. 44 S. 2 DS-GVO). Der Europäische Datenschutzausschuss (EDSA) gibt hierzu Empfehlungen (Empfehlungen 01/2020 zu Maßnahmen zur Ergänzung von Übermittlungstools zur Gewährleistung des unionsrechtlichen Schutzniveaus für personenbezogene Daten, Version 2.0, angenommen am 18. Juni 2021).

Gemäß Art. 46 Abs. 1 a. E. DS-GVO ist es bei allen in Betracht kommenden geeigneten Garantien im Sinne von Art. 46 zusätzlich erforderlich, den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe einzuräumen.