Im Überblick
- Armenien steht nicht auf der Angemessenheitsliste der Europäischen Kommission für die DSGVO, daher benötigt Ihr EU-Kunde einen eigenen Übermittlungsmechanismus gemäß Kapitel V, in der Praxis die Standardvertragsklauseln der Kommission gemäß Artikel 46(2)(c).
- Der Fernzugriff Ihrer Techniker auf die Systeme eines EU-Kunden stellt gemäß dem dreiteiligen Test des Europäischen Datenschutzausschusses eine Übermittlung dar, selbst wenn keine Daten nach Armenien kopiert werden.
- Das armenische Gesetz zum Schutz personenbezogener Daten verlangt eine schriftliche Verarbeitungsanweisung zwischen den Parteien (Artikel 14), und die weisungsgebende Partei behält die gesetzliche Verantwortung für die Verarbeitung durch die andere Partei.
- Ein benanntes Unterprozessorregister, eine Zeile pro Entität mit Zugriffsebene und Übertragungsgrundlage, ist nach der Datenverarbeitungsvereinbarung das am häufigsten angeforderte Dokument.
- Armenien führt eine eigene Liste von Ländern mit angemessenem Datenschutz, die mit Beschluss vom 18. Juni 2026 aktualisiert wird. Diese Liste regelt die Datenübertragung aus Armenien.
Armenien fehlt auf der Liste der Länder mit Angemessenheitsbeschluss der Europäischen Kommission. Dieser Umstand bestimmt maßgeblich, welche Informationen Ihr Unternehmen im Rahmen eines Fragebogens zur Unternehmenssicherheit vorlegen muss. Ihr Kunde kann personenbezogene Daten nicht einfach vertrauensvoll an einen Lieferanten in einem Land ohne angemessenes Datenschutzniveau übermitteln. Er benötigt einen Übermittlungsmechanismus gemäß Kapitel V der DSGVO, in der Praxis die von der Kommission gemäß Artikel 46 Absatz 2 Buchstabe c verabschiedeten Standardvertragsklauseln, und eine Dokumentation, die belegt, dass die Unterzeichnung dieser Klauseln mit Ihnen rechtssicher ist.
Der Fragebogen ist diese Datei. Jeder Punkt darin entspricht einer Verpflichtung des Kunden, daher verzögert eine ausweichende Antwort den Abschluss des Geschäfts bereits im Einkauf, bevor die Rechtsabteilung sie überhaupt zu Gesicht bekommt.
Warum Unternehmenskunden diese Fragebögen versenden
Artikel 28 der DSGVO erlaubt es einem Verantwortlichen, nur solche Auftragsverarbeiter einzusetzen, die ausreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Verantwortliche muss nachweisen können, dass er diese Garantien geprüft hat. Der ausgefüllte Fragebogen mit den beigefügten Nachweisen dient als dieser Nachweis. Prüfer und gelegentlich auch Aufsichtsbehörden verlangen Einsicht in diese Unterlagen.
Ein Lieferant außerhalb des EWR fügt eine zweite Datei hinzu. Der Kunde muss die Übermittlung dokumentieren, seinen Mechanismus gemäß Kapitel V der DSGVO darlegen und prüfen, ob das Recht des Ziellandes den durch diese Klauseln zugesicherten Schutz untergräbt. Ihre Antworten bilden die Grundlage für diese Prüfung. Daher werden Fragen zu behördlichen Zugriffsanfragen und zum Datenzugriff neben den üblichen Sicherheitsfragen behandelt.
Fernzugriff zählt. Gemäß dem dreiteiligen Test des Europäischen Datenschutzausschusses (EDPB) und dessen Stellungnahme 22/2024 gilt die Bereitstellung personenbezogener Daten an eine Stelle in einem Drittland als Übermittlung, selbst wenn keine Daten kopiert werden und die Daten auf den Servern des Kunden verbleiben. Ein armenischer Techniker mit Support-Zugang zum Produktionssystem eines EU-Kunden löst dieselbe Prüfung aus wie ein Datenbankexport.
Was ist das Besondere an einem armenischen Lieferanten?
Die Angemessenheitsliste der Kommission umfasst Andorra, Argentinien, Brasilien, Kanada (für kommerzielle Organisationen), die Färöer-Inseln, Guernsey, Israel, die Isle of Man, Japan, Jersey, Neuseeland, Südkorea, die Schweiz, das Vereinigte Königreich, Uruguay sowie die Teilnehmer des EU-US-Datenschutzrahmens. Armenien ist nicht aufgeführt. Weitere Informationen zu den allgemeinen Unterschieden der beiden Regelungen finden Sie in unserem Leitfaden zur DSGVO und zum armenischen Datenschutzrecht.
Standardvertragsklauseln sind der praktikabelste Weg. Verbindliche Unternehmensregeln gemäß Artikel 47 sind für konzerninterne Verrechnungen vorgesehen und stehen unabhängigen Lieferanten nicht zur Verfügung. Artikel 46 Absatz 2 Buchstabe d regelt Klauseln, die von einer Aufsichtsbehörde verabschiedet und von der Kommission genehmigt werden; es handelt sich dabei um ein separates Instrument, das von den Kommissionsklauseln gemäß Artikel 46 Absatz 2 Buchstabe c zu unterscheiden ist. Beschaffungsteams berufen sich mitunter auf beide Dokumente; das Dokument, das Ihnen zugesandt wird, stammt von der Kommission.
Die Terminologie kehrt sich um.
Das armenische Gesetz zum Schutz personenbezogener Daten vom 18. Mai 2015, zuletzt geändert bis zum 4. Dezember 2025, bezeichnet die Partei, die den Zweck der Verarbeitung festlegt, als „Auftragsverarbeiter“ und die Partei, die die Daten im Auftrag verarbeitet, als „Auftragsverarbeiter“. Die DSGVO verwendet diese Begriffe umgekehrt, was zu verwirrenden Antworten in Fragebögen führt, wenn ein Anbieter die armenischen Begriffe einfach übernimmt. Artikel 14 verlangt eine schriftliche Weisung zwischen den beiden Parteien, und die beauftragte Partei behält die gesetzliche Verantwortung für die Datenverarbeitung durch die andere Partei. Eine gut formulierte Auftragsverarbeitungsvereinbarung kann sowohl die Anforderungen des Kunden gemäß Artikel 28 als auch die armenische Weisungspflicht erfüllen, sofern sie entsprechend gestaltet ist.
Weiterversetzungen aus Armenien
Artikel 27 desselben Gesetzes regelt den Umgang mit personenbezogenen Daten, die Armenien verlassen, also ab dem Zeitpunkt, an dem Kundendaten an einen Unterauftragnehmer in einem Drittland weitergeleitet werden. Die eingehende Übermittlung von Daten durch Ihren EU-Kunden unterliegt hingegen der DSGVO auf Kundenseite. Anbieter, die Hosting-, Fehlerüberwachungs- oder Support-Tools im Ausland betreiben, stoßen regelmäßig, ohne es zu bemerken, auf Artikel 27.
Transfers in einen Staat, der auf Armeniens offizieller Liste angemessenen Schutzes steht oder auf der Grundlage eines internationalen Vertrags erfolgt, bedürfen keiner gesonderten Genehmigung. Armenien führt eine solche Liste, die zuletzt am 18. Juni 2026 aktualisiert wurde und rund 53 Länder und Einträge umfasst, darunter die EU- und EWR-Staaten, Argentinien, Kanada, Israel, Japan, Neuseeland, Singapur, Südkorea, Uruguay und Russland. Auch US-amerikanische Organisationen sind aufgeführt, deren Grenzen in den veröffentlichten Richtlinien nicht explizit festgelegt sind. Für Transfers in Länder außerhalb der Liste ist die vorherige Genehmigung der zuständigen Behörde sowie die von dieser genehmigten vertraglichen Schutzmaßnahmen erforderlich. Die gesetzliche Überprüfungsfrist beträgt 30 Tage, und die Liste wird jährlich neu veröffentlicht.
Die Dokumenten-Checkliste
Sechs Dokumente beantworten den Großteil der eingehenden Fragen. Stellt man sie einmal zusammen, reduziert sich der nächste Fragebogen auf eine reine Bearbeitungsaufgabe.
- Datenverarbeitungsvereinbarung. Der Kunde sendet sein eigenes Dokument. Prüfen Sie es vor der Unterzeichnung anhand der armenischen Anforderungen an schriftliche Anweisungen und vergewissern Sie sich, dass die darin enthaltenen Aufbewahrungs- und Löschfristen mit den tatsächlichen Abläufen Ihrer Systeme übereinstimmen.
- Subprozessorregister. Eine Zeile pro Unterauftragnehmer: juristische Person und Land, Zweck, Kategorien der verarbeiteten personenbezogenen Daten, Zugriffsebene, physischer Ort der Verarbeitung und des Zugriffs, Rechtsgrundlage für die Übermittlung durch diesen Unterauftragnehmer und Bestätigung der Kundengenehmigung. Ergänzen Sie Ihre Prüf- und Abmeldeverfahren.
- Überweisungsunterlagen. Die unterzeichneten Standardvertragsklauseln mit dem richtigen Modul für die Geschäftsbeziehung sowie Ihr schriftlicher Beitrag zur Folgenabschätzung des Kundentransfers, der die möglichen Zugriffsanfragen und Ihre Möglichkeit, diese anzufechten, abdeckt.
- Zusammenfassung der Sicherheitsrichtlinien. Zwei bis vier Seiten zu Zugriffskontrolle, Verschlüsselung während der Übertragung und im Ruhezustand, Protokollierung, Änderungsmanagement und sicherer Entwicklung. Kunden akzeptieren selten eine kategorische Ablehnung der Weitergabe von Daten und benötigen selten Ihre vollständigen internen Richtlinien.
- Zusammenfassung der Maßnahmen bei dem Vorfall. Wer wird intern benachrichtigt, was ist der Auslöser für die Benachrichtigung des Kunden, welcher Kanal wird genutzt und welches vertraglich vereinbarte Benachrichtigungsfenster sind Sie bereit einzuhalten?
- Zertifizierungen und Prüfnachweise. Ein ISO-27001-Zertifikat mit Anwendbarkeitserklärung, ein SOC-2-Typ-II-Bericht (falls vorhanden) und eine Zusammenfassung Ihres letzten Penetrationstests mit Angabe des Behebungsstatus. Ein DSGVO-Zertifikat ist nicht vorhanden; die Vorlage eines solchen Zertifikats zeugt von mangelnder Erfahrung.
Gängige Abschnitte des Fragebogens und wie man sie beantwortet
Unternehmens- und Eigentümerdetails
Die Fragebögen beginnen mit dem eingetragenen Firmennamen, der Registrierungsnummer, der Geschäftsadresse und der Eigentümerkette. Übernehmen Sie diese Angaben aus Ihrem Handelsregisterauszug, sodass die Antworten buchstabengetreu mit den Angaben im Handelsregister übereinstimmen. Andernfalls wird der Fragebogen zurückgeschickt, bevor die sicherheitsrelevanten Inhalte überhaupt gelesen werden können.
Datenflüsse und Hosting
Nennen Sie die Länder. Die Aussage, die Daten seien sicher in der Cloud gespeichert, führt jedes Mal zu Nachfragen. Geben Sie den Hosting-Anbieter, die Region, ob Replikate oder Backups an einem anderen Ort gespeichert sind und ob Mitarbeiter außerhalb dieser Region Zugriff auf die Produktionsumgebung haben, an. Wenn Ihre Techniker in Armenien auf eine in der EU gehostete Umgebung zugreifen, legen Sie dies hier offen; die Transferanalyse des Kunden hängt davon ab, und eine spätere Entdeckung dieser Information untergräbt Ihre Glaubwürdigkeit bei allen anderen gegebenen Antworten.
Subprozessoren
Nennen Sie alle Entitäten, auch die, die oft unsichtbar erscheinen: Ticketing-Systeme, Fehlerüberwachungssysteme, E-Mail-Marketing-Software, Analyse- und Gehaltsabrechnungssysteme, die Kundendaten verarbeiten. Artikel 28 Absatz 2 DSGVO verlangt die vorherige Zustimmung des Kunden zur Beauftragung eines neuen Unterauftragnehmers. Daher muss das Verzeichnis eine Benachrichtigungspflicht für Änderungen mit einer entsprechenden Frist und einem Widerspruchsrecht enthalten, das der Kunde tatsächlich ausüben kann.
Meldung von Verstößen und Vorfällen
Ihr Vertrag sieht ein Benachrichtigungsfenster für den Kunden vor. Legen Sie nur ein Fenster fest, das Ihr Bereitschaftsdienstplan an einem Samstagabend einhalten kann, da die 72-Stunden-Frist des Kunden gemäß Artikel 33 DSGVO erst mit der Kenntnisnahme beginnt und sich der Druck auf Sie auswirkt.
Die Meldepflichten nach armenischem Recht sind ein separates Thema, und zunächst muss die Unternehmensgröße ermittelt werden. Das armenische Cybersicherheitsgesetz HO-442-N beschränkt sich nicht auf Betreiber kritischer Infrastrukturen. Artikel 1(3)(1) erfasst juristische Personen und Einzelunternehmer, die in einem der in Artikel 16(4) genannten Sektoren tätig sind und ein Informationssystem oder eine kritische Informationsinfrastruktur betreiben. Es handelt sich hierbei um zwei separate Aspekte. Informationstechnologie, ausdrücklich einschließlich digitaler Infrastruktur, ist in Artikel 16(4)(9) geregelt; Datenbankmanagement und -betrieb in Artikel 16(4)(12). Beide Punkte sind nicht auf Infrastrukturbetreiber beschränkt, und es gibt keine Ausnahme für Anbieter, deren Kunden ausschließlich aus dem Ausland stammen. Die gängige Antwort, das Unternehmen betreibe keine kritische Infrastruktur, beantwortet die Frage daher nicht.
Die Ausnahme, die für viele Anbieter relevant ist, findet sich in Artikel 1(4). Unternehmen, die die Kriterien für Kleinst- oder Kleinunternehmen erfüllen, fallen gänzlich nicht unter das Gesetz, es sei denn, sie betreiben kritische Informationsinfrastruktur. Gemäß Artikel 2(1) des Gesetzes zur staatlichen Förderung kleiner und mittlerer Unternehmen gelten als Kleinunternehmen durchschnittlich maximal 50 Beschäftigte und ein Umsatz oder Bilanzvermögen von höchstens 500,000,000 AMD im Vorjahr . Zahlreiche armenische Entwicklungs- und BPO-Unternehmen fallen unter diese Ausnahme. Da es auf Ihre Mitarbeiterzahl und Ihre Buchhaltung ankommt, sollten Sie dies klären, bevor Sie den Fragebogen ausfüllen.
Wenn die Ausnahmeregelung nicht auf Sie zutrifft, gelten die Pflichten gemäß Artikel 11. Benachrichtigen Sie die zuständige autonome Stelle, die Informationssystemregulierungsbehörde (ISRC), unverzüglich nach Kenntniserlangung, spätestens jedoch innerhalb von 24 Stunden , wenn der Vorfall erhebliche Auswirkungen hat oder solche Auswirkungen vernünftigerweise anzunehmen sind. Artikel 11 Absatz 2 definiert den Begriff „erhebliche Auswirkungen“, daher ist nicht jeder geringfügige Vorfall meldepflichtig. Aktualisierte Informationen zu Schweregrad und Folgen folgen innerhalb von 72 Stunden nach Kenntniserlangung . Diese Frist beginnt mit der Kenntniserlangung, nicht mit der ersten Meldung. Diese Unterscheidung sollte auch im Vertrag klar festgehalten werden. Potenziell betroffene Personen werden unverzüglich oder, falls eine sofortige Benachrichtigung nicht möglich ist, innerhalb von zwei Tagen benachrichtigt. Der Abschlussbericht ist innerhalb eines Monats nach der 72-Stunden-Frist einzureichen.
Ob diese Pflichten heute bereits greifen, ist umstritten. Das Gesetz trat am 4. Januar 2026 in Kraft, doch Artikel 25 Absatz 1 und 2 verschiebt die allgemeine Meldepflicht gemäß Artikel 9 Absatz 3 und 5 bis zum Inkrafttreten der entsprechenden Durchführungsrechtsakte, die noch nicht veröffentlicht wurden. Artikel 11 wird nicht ausdrücklich verschoben, und auch die bisherigen Veröffentlichungen lösen den Widerspruch nicht. Die Regierung muss zudem noch die Dienstleistungsklassifizierungen gemäß Artikel 16 Absatz 5 verabschieden, anhand derer ein bestimmter Anbieter feststellen kann, ob er betroffen ist. Der Beschluss Nr. 117-A des Premierministers vom 13. Februar 2026 sieht diese Klassifizierungen für den Zeitraum vom 21. bis 30. November 2026 vor ; die Liste der identifizierten Betreiber kritischer Infrastrukturen soll im Dezember folgen. Es handelt sich hierbei um geplante Termine, nicht um verabschiedete Rechtsakte.
Drei Punkte sind zu beachten: Formulieren Sie keine vertragliche Benachrichtigungsklausel unter der Annahme, dass keine armenische Regulierungspflicht besteht. Betrachten Sie die Abwesenheit im Register der Kommission nicht als sicheren Hafen, denn nach näherer Auslegung der Artikel 1 und 3 dokumentiert das gemäß Artikel 7 Absatz 4 geführte Register den Status, anstatt ihn zu begründen. Und notieren Sie sich die Klassifizierungen vom November, denn sie werden Ihre Position klären.
Aufbewahrung und Löschung
Erstellen Sie einen Zeitplan nach Datenkategorien mit dem jeweiligen Startereignis. Beschreiben Sie anschließend das Vorgehen bei Beendigung der Datenlöschung: Rückgabe in einem festgelegten Format, Löschung innerhalb einer bestimmten Frist und Verbleib der Daten in den Backups bis zum nächsten Backup-Zyklus. Die meisten Anbieter machen den Fehler, Backup-Reste zu berücksichtigen, da sie eine sofortige Löschung versprechen, die ihre Architektur nicht gewährleisten kann.
Zugangskontrolle und Personal
Berücksichtigen Sie rollenbasierte Zugriffsrechte mit benannten Genehmigern, Multi-Faktor-Authentifizierung auf Produktionssystemen und beim Identitätsanbieter, die Ein- und Austrittszeiten in Arbeitstagen sowie die Vertraulichkeitsverpflichtungen in Ihren Arbeitsverträgen . Falls ein im Fragebogen vorausgesetzter Screening-Schritt für Sie nicht verfügbar ist, geben Sie dies bitte klar an. Ein Kunde kann mit einer dokumentierten Einschränkung arbeiten, nicht aber mit einer vagen Antwort.
Häufig gestellte Fragen
Liegt für Armenien ein EU-Angemessenheitsbeschluss vor?
Wo werden die Daten gespeichert und verlassen sie den EWR?
Gilt der Fernzugriff unserer Techniker als Transfer?
Müssen wir jeden Unterauftragnehmer namentlich offenlegen?
Welche Nachweise sollten wir anstelle eines DSGVO-Zertifikats vorlegen?
Müssen wir einen Sicherheitsvorfall einer armenischen Aufsichtsbehörde melden?
Dürfen wir Kundendaten aus Armenien in ein Drittland übermitteln?
Ist das armenische Datenschutzrecht mit der DSGVO gleichwertig?
Wo soll ich anfangen
- Fragen Sie den Kunden, welche seiner juristischen Personen für die Datenverarbeitung verantwortlich ist und welche Kategorien personenbezogener Daten Sie tatsächlich erreichen werden. Durch die Festlegung des Datenumfangs wird der Fragebogen eingeschränkt, bevor Sie auch nur eine einzige Frage beantworten.
- Erstellen Sie zuerst das Subprozessorregister. Davon hängen die Datenverarbeitungsvereinbarung, die Übertragungsdokumente und die Antworten zum Datenfluss ab.
- Klären Sie mit dem Kunden, welches Modul der Standardvertragsklausel für die jeweilige Geschäftsbeziehung geeignet ist. Dies hängt davon ab, ob der Kunde als Verantwortlicher oder als Auftragsverarbeiter für seinen eigenen Auftraggeber agiert.
- Lassen Sie die Datenverarbeitungsvereinbarung vor der Unterzeichnung anhand der armenischen Anforderungen an schriftliche Anweisungen prüfen, damit ein Dokument beide Verpflichtungen beinhaltet.
- Klären Sie Ihre Position zur armenischen Cybersicherheitsbenachrichtigung für Ihre eigenen Geschäftstätigkeiten, bevor Sie eine vertragliche Benachrichtigungsfrist vereinbaren.
Letzte Aktualisierung: 21 September 2026
