# Transfer Impact Assessment fuer baufi24.de Transfer Impact Assessment fuer baufi24.de: 33 Anbieter, 2 hohes Transfer-Risiko, 31 unklare Region(en), 3 offene Betreiber-Nachweise. > Automatisch aus oeffentlicher SaferPage-Evidenz abgeleitete TIA-Arbeitsakte. Rechtliche Bewertung, Vertragsunterlagen, SCC/TIA, TOMs und Restrisikoentscheidung muss der Betreiber fachlich ergaenzen. ## Transfermatrix - **Google AdSense** (pagead2.googlesyndication.com): Risiko hoch, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: IP-Adresse, Nutzungsdaten, Cookie-/Gerätekennungen, Seitenkontext - **Google Tag Manager** (googletagmanager.com): Risiko hoch, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: IP-Adresse, Nutzungsdaten, Cookie-/Gerätekennungen, Seitenkontext - **js.hs-analytics.net** (js.hs-analytics.net): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: IP-Adresse, Nutzungsdaten, Cookie-/Gerätekennungen, Seitenkontext - **baufi24prod-hs-files.imgix.net** (baufi24prod-hs-files.imgix.net): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **web.cmp.usercentrics.eu** (web.cmp.usercentrics.eu): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **widget.trustpilot.com** (widget.trustpilot.com): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **v1.api.service.cmp.usercentrics.eu** (v1.api.service.cmp.usercentrics.eu): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **20086767.fs1.hubspotusercontent-na1.net** (20086767.fs1.hubspotusercontent-na1.net): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **app.hubspot.com** (app.hubspot.com): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **attendant.baufi24.de** (attendant.baufi24.de): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **static.hsappstatic.net** (static.hsappstatic.net): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **uct.service.usercentrics.eu** (uct.service.usercentrics.eu): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **api.ipstack.com** (api.ipstack.com): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **app.usercentrics.eu** (app.usercentrics.eu): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **bilthouse-functions-prod.functions.konzepthaus.dev** (bilthouse-functions-prod.functions.konzepthaus.dev): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **consent-api.service.consent.usercentrics.eu** (consent-api.service.consent.usercentrics.eu): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **cta-service-cms2.hubspot.com** (cta-service-cms2.hubspot.com): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **forms.hscollectedforms.net** (forms.hscollectedforms.net): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **js.hs-banner.com** (js.hs-banner.com): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **js.hscollectedforms.net** (js.hscollectedforms.net): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **js.hubspot.com** (js.hubspot.com): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **perf-na1.hsforms.com** (perf-na1.hsforms.com): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 45** (Anbieter 45): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 46** (Anbieter 46): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 47** (Anbieter 47): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 48** (Anbieter 48): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 49** (Anbieter 49): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 50** (Anbieter 50): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 51** (Anbieter 51): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 52** (Anbieter 52): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 53** (Anbieter 53): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 54** (Anbieter 54): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten - **Anbieter 55** (Anbieter 55): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten ## Zusatzmassnahmen - [ ] Datenminimierung (IT/Marketing): Nur notwendige Tags laden, Parameter kuerzen und sensible Pfade nicht an Drittanbieter uebergeben. - [ ] Consent-Blocking (Marketing/IT): Marketing, Analytics, Maps, Videos und aehnliche Dienste bis zur Einwilligung blockieren. - [ ] IP-/Identifier-Schutz (IT): IP-Kuerzung, serverseitige Pseudonymisierung, kurze Cookie-Laufzeiten und datensparsame Konfiguration pruefen. - [ ] Verschluesselung und Zugriff (Security): Transport-/Speicherverschluesselung, Zugriffsbeschraenkung, Logging und Kundenschluessel bewerten. - [ ] EU-/EWR-Alternative (Procurement): Bei hohem Restrisiko EU-gehostete oder selbst gehostete Alternativen bewerten. - [ ] Subprozessor-Monitoring (Legal/Vendor Owner): Subprozessor-Aenderungen, Regionen und TOM-Updates als Review-Trigger aufnehmen. ## Assessment-Fragen - [ ] Welche Website-Funktion, Seite, Datenklasse und betroffene Personengruppe loest den Transfer aus? Owner: Datenschutz/IT - [ ] Wer ist Datenimporteur, welche Rolle hat er und in welchem Land werden Daten verarbeitet oder zugreifbar? Owner: Legal/Vendor Owner - [ ] Welche Transfergrundlage gilt: Angemessenheit, DPF, SCC-Modul, Binding Rules oder Ausnahme? Owner: Legal - [ ] Welche Zugriffsbefugnisse und Rechtsbehelfe im Zielland sind fuer die Daten realistisch relevant? Owner: Datenschutzbeauftragte/Legal - [ ] Welche technischen, vertraglichen und organisatorischen Zusatzmassnahmen senken das Risiko konkret? Owner: IT/Security/Legal - [ ] Gibt es eine gleichwertige EU-/EWR-Alternative oder eine Konfiguration mit weniger Daten? Owner: Procurement/IT - [ ] Ist der Transfer in Datenschutzhinweis, Cookie-Auswahl und Consent-Log nachvollziehbar erklaert? Owner: Content/Marketing - [ ] Wer akzeptiert welches Restrisiko, bis wann wird erneut geprueft und welcher Re-Scan belegt die Umsetzung? Owner: Management/Datenschutz ## Nachweise - Transfer Map: Anbieter, Dienst, Zweck, Datenklasse, Land, Subprozessor, Datenfluss, betroffene Seiten. - AVV/DPA und SCC/DPF-Nachweis: Vertrag, TOM-Anlage, SCC-Modul, DPF-/Angemessenheitsbezug oder Ausnahme. - TIA-Arbeitsakte: Landesrisiko, Zugriffsbefugnisse, TOMs, Zusatzmassnahmen, Restrisikoentscheidung. - Technische Konfiguration: Consent-Blocking, IP-Kuerzung, Cookie-Laufzeiten, Tag-Regeln, serverseitige Filter. - Notice-/Consent-Sync: Datenschutzhinweis, Cookie-Erklaerung, CMP-Servicebeschreibung, Widerrufsweg. - Review- und Re-Scan-Beleg: Freigabedatum, Owner, naechster Review, SaferPage-Re-Scan und Aenderungsmonitoring.