Die Stufe 2 der Zulässigkeit für eine Datenübermittlung in ein Drittland ist erfüllt, wenn der Verantwortliche oder Auftragsverarbeiter geeignete Garantien zur Gewährleistung eines angemessenen Schutzniveaus vorgesehen hat.

Folgende Garantien kommen in Betracht:

• verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) (Art. 46 Abs. 2 lit. b, Art. 47 DS-GVO)
• Standarddatenschutzklauseln der EU-Kommission oder einer Aufsichtsbehörde (Art. 46 Abs. 2 lit. c bzw. d DS-GVO)
• genehmigte Verhaltensregeln oder ein genehmigter Zertifizierungsmechanismus (Art. 46 Abs. 2 lit. e und f DS-GVO)
• einzeln ausgehandelte Vertragsklauseln (Art. 46 Abs. 3 DS-GVO)

Gemäß Art. 46 Abs. 1 a. E. DS-GVO ist es bei allen in Betracht kommenden geeigneten Garantien im Sinne von Art. 46 zusätzlich erforderlich, den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe einzuräumen.