# Transfer Impact Assessment fuer kinderaerzte-im-netz.de

Transfer Impact Assessment fuer kinderaerzte-im-netz.de: 12 Anbieter, 1 hohes Transfer-Risiko, 11 unklare Region(en), 3 offene Betreiber-Nachweise.

> Automatisch aus oeffentlicher SaferPage-Evidenz abgeleitete TIA-Arbeitsakte. Rechtliche Bewertung, Vertragsunterlagen, SCC/TIA, TOMs und Restrisikoentscheidung muss der Betreiber fachlich ergaenzen.

## Transfermatrix
- **Matomo** (matomo.kinderaerzte-im-netz.de): Risiko hoch, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: IP-Adresse, Nutzungsdaten, Cookie-/Gerätekennungen, Seitenkontext
- **Anbieter 10** (Anbieter 10): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten
- **Anbieter 11** (Anbieter 11): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten
- **Anbieter 12** (Anbieter 12): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten
- **Anbieter 13** (Anbieter 13): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten
- **Anbieter 3** (Anbieter 3): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten
- **Anbieter 4** (Anbieter 4): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten
- **Anbieter 5** (Anbieter 5): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten
- **Anbieter 6** (Anbieter 6): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten
- **Anbieter 7** (Anbieter 7): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten
- **Anbieter 8** (Anbieter 8): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten
- **Anbieter 9** (Anbieter 9): Risiko unklar, Mechanismus: SCC, DPF/Angemessenheit oder Transferausnahme belegen, Daten: technische Requestdaten

## Zusatzmassnahmen
- [ ] Datenminimierung (IT/Marketing): Nur notwendige Tags laden, Parameter kuerzen und sensible Pfade nicht an Drittanbieter uebergeben.
- [ ] Consent-Blocking (Marketing/IT): Marketing, Analytics, Maps, Videos und aehnliche Dienste bis zur Einwilligung blockieren.
- [ ] IP-/Identifier-Schutz (IT): IP-Kuerzung, serverseitige Pseudonymisierung, kurze Cookie-Laufzeiten und datensparsame Konfiguration pruefen.
- [ ] Verschluesselung und Zugriff (Security): Transport-/Speicherverschluesselung, Zugriffsbeschraenkung, Logging und Kundenschluessel bewerten.
- [ ] EU-/EWR-Alternative (Procurement): Bei hohem Restrisiko EU-gehostete oder selbst gehostete Alternativen bewerten.
- [ ] Subprozessor-Monitoring (Legal/Vendor Owner): Subprozessor-Aenderungen, Regionen und TOM-Updates als Review-Trigger aufnehmen.

## Assessment-Fragen
- [ ] Welche Website-Funktion, Seite, Datenklasse und betroffene Personengruppe loest den Transfer aus? Owner: Datenschutz/IT
- [ ] Wer ist Datenimporteur, welche Rolle hat er und in welchem Land werden Daten verarbeitet oder zugreifbar? Owner: Legal/Vendor Owner
- [ ] Welche Transfergrundlage gilt: Angemessenheit, DPF, SCC-Modul, Binding Rules oder Ausnahme? Owner: Legal
- [ ] Welche Zugriffsbefugnisse und Rechtsbehelfe im Zielland sind fuer die Daten realistisch relevant? Owner: Datenschutzbeauftragte/Legal
- [ ] Welche technischen, vertraglichen und organisatorischen Zusatzmassnahmen senken das Risiko konkret? Owner: IT/Security/Legal
- [ ] Gibt es eine gleichwertige EU-/EWR-Alternative oder eine Konfiguration mit weniger Daten? Owner: Procurement/IT
- [ ] Ist der Transfer in Datenschutzhinweis, Cookie-Auswahl und Consent-Log nachvollziehbar erklaert? Owner: Content/Marketing
- [ ] Wer akzeptiert welches Restrisiko, bis wann wird erneut geprueft und welcher Re-Scan belegt die Umsetzung? Owner: Management/Datenschutz

## Nachweise
- Transfer Map: Anbieter, Dienst, Zweck, Datenklasse, Land, Subprozessor, Datenfluss, betroffene Seiten.
- AVV/DPA und SCC/DPF-Nachweis: Vertrag, TOM-Anlage, SCC-Modul, DPF-/Angemessenheitsbezug oder Ausnahme.
- TIA-Arbeitsakte: Landesrisiko, Zugriffsbefugnisse, TOMs, Zusatzmassnahmen, Restrisikoentscheidung.
- Technische Konfiguration: Consent-Blocking, IP-Kuerzung, Cookie-Laufzeiten, Tag-Regeln, serverseitige Filter.
- Notice-/Consent-Sync: Datenschutzhinweis, Cookie-Erklaerung, CMP-Servicebeschreibung, Widerrufsweg.
- Review- und Re-Scan-Beleg: Freigabedatum, Owner, naechster Review, SaferPage-Re-Scan und Aenderungsmonitoring.