Zum Inhalt springen
Startseite/Datenschutz & DSGVO

Zusammenarbeit mit einem serbischen Entwicklungspartner unter der DSGVO

HOW MUCH Labs ist in Belgrad, Serbien, registriert. Die meisten unserer Kunden sind in der EU. Diese Seite erklärt genau, was das für Ihre personenbezogenen Daten bedeutet — einschließlich des Teils, der nicht automatisch gilt.

Geschrieben für die Person in Ihrer Organisation, die einen Auftragsverarbeiter außerhalb des EWR freigeben muss.

Die kurze Antwort

Drei Fakten, in der Reihenfolge, die zählt

01

Das serbische Recht ist an die DSGVO angelehnt

Das serbische Datenschutzrecht ist eng an die DSGVO angelehnt. Das Gesetz über den Schutz personenbezogener Daten (LPDP) wurde 2018 verabschiedet und gilt seit dem 21. August 2019. Es übernimmt viele der zentralen Grundsätze, Rechtsgrundlagen, Pflichten von Verantwortlichen und Auftragsverarbeitern sowie Betroffenenrechte der DSGVO, ist mit ihr jedoch nicht identisch. Ein Entwurf eines Ersatzgesetzes wurde im Juli 2026 zur öffentlichen Konsultation veröffentlicht; bis ein neues Gesetz gilt, bleibt das LPDP das anwendbare Recht.

02

Für Serbien gibt es keinen EU-Angemessenheitsbeschluss

Für Serbien besteht derzeit kein Angemessenheitsbeschluss der Europäischen Kommission. Jede beschränkte Übermittlung personenbezogener Daten aus dem EWR an uns benötigt daher eine gültige Übermittlungsgrundlage nach Kapitel V. Bei unseren typischen Auftragsverarbeitungen ist diese Grundlage die EU-Standardvertragsklauseln (SCC); die engen Ausnahmen des Art. 49 eignen sich nicht für laufende, wiederholte Übermittlungen wie Entwicklungsarbeit.

03

Übermittlungsgarantien stehen zuerst

Wenn ein Auftrag eine nach Kapitel V relevante Übermittlung personenbezogener Daten an uns umfasst, setzen wir die anwendbaren Übermittlungsgarantien vor Beginn der Übermittlung um. Bei unseren typischen Auftragsverarbeitungen unterzeichnen wir das einschlägige Modul der EU-SCC von 2021, dokumentieren die Verarbeitungsbedingungen (einschließlich einer Vereinbarung nach Art. 28, sofern eine solche verwendet wird) und stellen die Informationen bereit, die der Datenexporteur für seine Transferbewertung benötigt. Ergibt diese Bewertung, dass zusätzliche Maßnahmen erforderlich sind, müssen auch diese umgesetzt werden. Dieser Rechtsrahmen ersetzt nicht die eigene Bewertung des Datenexporteurs.

Das auf uns anwendbare Recht

Das serbische Datenschutzrecht ist an die DSGVO angelehnt

Das Gesetz über den Schutz personenbezogener Daten (Zakon o zaštiti podataka o ličnosti, „LPDP“) wurde am 9. November 2018 verabschiedet und gilt seit dem 21. August 2019. Es wurde im Rahmen der EU-Beitrittsverpflichtungen Serbiens erarbeitet und folgt den Konzepten der DSGVO eng — Grundsätze, Rechtsgrundlagen, Betroffenenrechte, Datenschutz durch Technikgestaltung, Verletzungsmeldung, DSFA, Datenschutzbeauftragte und Übermittlungsregeln.1,2 (Quellen)

Es übernimmt außerdem Regeln der EU-Richtlinie für den Datenschutz bei Strafverfolgung (2016/680) in dieselben Bestimmungen, die die gewöhnliche Verarbeitung regeln, weshalb es anders gegliedert ist als die DSGVO.3,4,11 (Quellen)

DSGVO-Konzept → Behandlung im serbischen Recht
Das Instrument
Gesetz über den Schutz personenbezogener Daten (LPDP)

Amtsblatt der Republik Serbien Nr. 87/2018. Verabschiedet am 9. November 2018, in Kraft seit dem 21. November 2018, anwendbar ab 21. August 2019. Ein Entwurf eines Ersatzgesetzes wurde im Juli 2026 zur Konsultation veröffentlicht.

Aufsichtsbehörde
Beauftragter für Informationen von öffentlichem Interesse und den Schutz personenbezogener Daten

Unabhängige Behörde mit Untersuchungs-, Beratungs- und Abhilfebefugnissen, einschließlich Verwarnungen, Anordnungen zur Behebung von Unregelmäßigkeiten, vorübergehenden Verarbeitungsverboten und Anordnungen zur Löschung unrechtmäßig erhobener Daten. Sie selbst kann nur eine feste Geldbuße für bestimmte Ordnungswidrigkeiten verhängen; alle anderen Geldbußen werden von den Ordnungswidrigkeitengerichten (prekršajni sud) verhängt.

Rechtsgrundlagen
Eng an die DSGVO angelehnt

Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse und berechtigte Interessen — dieselben sechs Gründe wie Art. 6 DSGVO.

Besondere Kategorien von Daten
Eng an die DSGVO angelehnt

Verarbeitung grundsätzlich verboten, vorbehaltlich eines engen Ausnahmekatalogs, der mit demjenigen in Art. 9 DSGVO vergleichbar ist.

Betroffenenrechte
Eng an die DSGVO angelehnt

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Schutz vor ausschließlich automatisierten Entscheidungen.

Verantwortlicher / Auftragsverarbeiter
Eng an die DSGVO angelehnt

Eine Unterscheidung Verantwortlicher/Auftragsverarbeiter, die mit derjenigen der DSGVO vergleichbar ist (Art. 4), und eine vergleichbare Pflicht zu einer schriftlichen Auftragsverarbeitungsvereinbarung (Art. 28).

Meldung von Verletzungen
Eng an die DSGVO angelehnt

Meldung an den Beauftragten unverzüglich und, soweit möglich, innerhalb von 72 Stunden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für natürliche Personen; Meldung an betroffene Personen, wenn das Risiko für sie hoch ist.

DSFA und Datenschutzbeauftragter
Eng an die DSGVO angelehnt

Folgenabschätzungen bei risikoreicher Verarbeitung; Datenschutzbeauftragte in vergleichbaren Fällen erforderlich.

Internationale Übermittlungen
Eng an die DSGVO angelehnt, mit einer serbischen Liste

Übermittlungen an Vertragsparteien des Übereinkommens 108 und an Länder auf der Angemessenheitsliste der serbischen Regierung; andernfalls Garantien wie Standardvertragsklauseln des Beauftragten (derzeit nur nutzbar, wenn der Importeur Auftragsverarbeiter ist), verbindliche interne Datenschutzvorschriften, Verhaltensregeln und Zertifizierung.

Die Artikelnummerierung unterscheidet sich zwischen den beiden Instrumenten, und das LPDP ist anders aufgebaut; diese Tabelle ordnet daher Konzepte zu, statt Artikelnummern zu zitieren. Den maßgeblichen Text finden Sie im Gesetz selbst in den Quellen unten.

Wo es abweicht

Kompatibel ist nicht identisch

Eine Seite, die vollständige Gleichwertigkeit behauptete, wäre falsch, und die Unterschiede sind das Erste, wonach ein kompetenter DSB fragen wird. Hier sind sie.

Keine Erwägungsgründe

Die 173 Erwägungsgründe der DSGVO sind das wichtigste Auslegungshilfsmittel für den operativen Text. Das LPDP hat keine. Die gerichtliche Rechtsprechung dazu ist noch begrenzt, obwohl die veröffentlichte Aufsichts- und Beschwerdepraxis des Beauftragten erheblich zugenommen hat.2,3 (Quellen)

Was das für Sie bedeutet

Serbische Praktiker ziehen die Erwägungsgründe der DSGVO und die Leitlinien des EDSA bei der Auslegung des LPDP heran, auch wenn keines von beiden eine formelle Quelle des serbischen Rechts ist — die Auslegung tendiert daher zur EU-Position, statt sich von ihr zu entfernen.

Eine andere Übermittlungsliste

Das serbische Recht behandelt Vertragsparteien des Übereinkommens 108 als angemessenes Schutzniveau, und die serbische Regierung hat eine eigene Angemessenheitsliste angenommen: EU- und EWR-Staaten, die übrigen Vertragsparteien des Übereinkommens 108 sowie weitere Länder wie Kanada (nur Unternehmen) und Japan. Weil sie Vertragsparteien des Übereinkommens 108 einschließt, für die kein EU-Angemessenheitsbeschluss besteht, etwa Türkiye, ist sie nicht mit der EU-Liste identisch.5 (Quellen)

Was das für Sie bedeutet

Nur für Weiterübermittlungen relevant. Wenn Ihre Daten das Paar EU/Serbien nie verlassen dürfen, legen Sie das in der AVV fest; wir binden uns vertraglich daran.

Mildere Durchsetzung

Geldbußen nach dem LPDP liegen weit unter denen der DSGVO: für eine juristische Person beträgt der gesetzliche Rahmen RSD 50.000 bis RSD 2.000.000 (rund 430 € bis 17.000 €). Der Beauftragte selbst kann nur eine feste Geldbuße von RSD 100.000 (etwa 850 €) für bestimmte Ordnungswidrigkeiten verhängen; alle anderen Geldbußen werden von den Ordnungswidrigkeitengerichten (prekršajni sud) verhängt, typischerweise auf Antrag des Beauftragten.3,5 (Quellen)

Was das für Sie bedeutet

Das ist ein triftiger Grund, auf vertragliche Rechtsbehelfe zu setzen statt allein auf aufsichtsrechtliche Abschreckung — genau dafür sind SCC da.

Sektorrecht ist nicht vollständig angeglichen

Das LPDP verlangte, dass andere Gesetze bis Ende 2020 an es angeglichen werden (Art. 100), und diese Arbeit ist nicht abgeschlossen. Die serbische Datenschutzstrategie 2023–2030 erkennt an, dass Rechtsvorschriften mit Bezug zu personenbezogenen Daten noch nicht vollständig mit dem LPDP harmonisiert sind, und nennt die weitere Angleichung an EU-Standards, einschließlich Arbeiten in Richtung eines EU-Angemessenheitsbeschlusses, als politisches Ziel.2,9 (Quellen)

Was das für Sie bedeutet

Ob sektorspezifische serbische Vorschriften relevant sind, hängt von Datenart und Projekt ab; regulierte Bereiche wie Beschäftigung, Gesundheit, Finanzen, Telekommunikation oder der öffentliche Sektor können eine zusätzliche Prüfung erfordern.

Übermittlungen EU → Serbien

Für Serbien gibt es keinen Angemessenheitsbeschluss. So wird eine beschränkte Übermittlung in der Regel gehandhabt.

Nach Kapitel V der DSGVO benötigen Übermittlungen personenbezogener Daten außerhalb des EWR eine gültige Übermittlungsgrundlage. Ein Angemessenheitsbeschluss ist eine Möglichkeit; geeignete Garantien nach Art. 46 wie SCC sind eine weitere, und Art. 49 enthält begrenzte Ausnahmen für bestimmte Situationen.10 (Quellen) Serbien steht nicht auf der EU-Angemessenheitsliste.7 (Quellen) Für unsere gewöhnlichen laufenden Auftragsverarbeitungen mit personenbezogenen Daten aus dem EWR sind in der Regel die EU-SCC von 2021 der einschlägige Weg.

Das ist derselbe Mechanismus, den EU-Unternehmen üblicherweise mit Lieferanten außerhalb des EWR nutzen. Es ist Routinearbeit, kein Hindernis — aber wo eine beschränkte Übermittlung vorliegt, muss sie erledigt werden, und zwar bevor Daten bewegt werden.

1

Wir klären zuerst, ob personenbezogene Daten überhaupt nötig sind

Ein großer Teil der Entwicklungsarbeit kann mit tatsächlich anonymisierten Daten oder synthetischen Testdaten ohne Personenbezug durchgeführt werden. Wenn pseudonymisierte personenbezogene Daten ausreichen, bevorzugen wir diese gegenüber unmittelbar identifizierbaren Produktionsdaten, weil dadurch das Risiko sinkt; pseudonymisierte Daten bleiben jedoch personenbezogene Daten, wenn Personen wieder identifiziert werden können, sodass die DSGVO und die einschlägigen Übermittlungsgarantien weiterhin gelten. Werden überhaupt keine personenbezogenen Daten übermittelt, findet Kapitel V auf diese Arbeiten keine Anwendung.

2

Sie schließen eine Auftragsverarbeitungsvereinbarung mit uns

Bei unseren typischen Auftragsverarbeitungen dokumentieren wir die Verarbeitungsbedingungen in einer Vereinbarung nach Art. 28, sofern eine solche verwendet wird. Sie umfasst Gegenstand, Art, Zweck und Dauer der Verarbeitung; die Kategorien der Daten und betroffenen Personen; Verarbeitung nur auf Ihre dokumentierten Weisungen, auch im Hinblick auf Übermittlungen; Vertraulichkeitspflichten für alle mit Zugang; unsere Sicherheitsmaßnahmen; die Regeln zu Unterauftragsverarbeitern; unsere Unterstützung bei Betroffenenanfragen sowie bei Ihren Pflichten zu Sicherheit, Verletzungsmeldung und Folgenabschätzung; Ihre Audit- und Informationsrechte; und den Verbleib der Daten am Ende des Auftrags. Wir arbeiten gern mit Ihrer Vorlage. Module zwei und drei der SCC von 2021 enthalten bereits Klauseln nach Art. 28; wir unterzeichnen eine gesonderte Vereinbarung nach Art. 28, wenn Sie die Verarbeitungsbedingungen in einem Dokument gebündelt haben möchten.

3

Wir unterzeichnen die EU-Standardvertragsklauseln

Die SCC der Kommission von 2021 (Durchführungsbeschluss (EU) 2021/914) verwenden Modul zwei für Übermittlungen vom Verantwortlichen an einen Auftragsverarbeiter und Modul drei für Übermittlungen von einem Auftragsverarbeiter an einen Auftragsverarbeiter. Sie stellen für diese Szenarien Garantien nach Art. 46 bereit, sofern die Parteien auch die eigenen Anforderungen der SCC erfüllen — einschließlich der in Klausel 14 vorgesehenen und im nächsten Schritt beschriebenen Bewertung.8 (Quellen)

4

Wir unterstützen Ihre Transferbewertung

Nach Schrems II trägt der Exporteur die primäre Verantwortung dafür zu prüfen, ob Recht und Praxis des Bestimmungslandes die SCC untergraben. Nach Klausel 14 der SCC garantieren beide Parteien, dass diese Bewertung erfolgt ist, und wir als Importeur müssen uns nach besten Kräften bemühen, Ihnen die relevanten Informationen zu geben und Sie unverzüglich zu benachrichtigen, wenn eine Änderung von Recht oder Praxis uns an der Einhaltung der SCC hindern könnte. Wir beantworten schriftlich Fragen zum serbischen Recht, zu behördlichen Zugriffsbefugnissen und zu unseren eigenen technischen und organisatorischen Maßnahmen, damit die Bewertung dokumentiert statt unterstellt ist. Ergibt sie, dass zusätzliche Maßnahmen erforderlich sind, müssen diese vereinbart und vor Beginn der Übermittlung umgesetzt sein.8 (Quellen)

Daten in die andere Richtung sind einfacher

Das serbische Recht behandelt EU-Mitgliedstaaten als angemessenes Schutzniveau, sodass Übermittlungen von uns zurück an Sie — Rückgabe einer Datenbank, Übergabe eines Repositories, Wiederherstellung eines Backups auf Ihrer Infrastruktur — nach dem LPDP keinen zusätzlichen Mechanismus brauchen.5 (Quellen)

Internationale Verpflichtungen

Serbien hat das Protokoll zum Übereinkommen 108+ ratifiziert

Serbien ist Vertragspartei des Übereinkommens 108 des Europarats und seines Zusatzprotokolls betreffend Aufsichtsbehörden und grenzüberschreitende Datenströme (SEV Nr. 181) und hat das Protokoll zur Modernisierung des Übereinkommens (SEV Nr. 223, üblicherweise als Übereinkommen 108+ bezeichnet) am 26. Mai 2020 als vierter Staat ratifiziert. Das Protokoll ist noch nicht in Kraft getreten: Zum 27. August 2026 lagen 34 Ratifikationen vor; nach der Inkrafttretensregel sind 38 erforderlich. Serbien ist daher an das bestehende Übereinkommen 108 gebunden und hat das Protokoll 108+ ratifiziert, ist aber noch nicht an ein in Kraft getretenes Protokoll 108+ gebunden.6 (Quellen)

Das ist aus zwei Gründen relevant. Das Übereinkommen 108 ist eine verbindliche internationale Verpflichtung für Serbien, getrennt von seiner nationalen Gesetzgebung, und die DSGVO nennt den Beitritt zum Übereinkommen 108 ausdrücklich als einen Faktor, den die Europäische Kommission bei der Angemessenheitsprüfung berücksichtigen soll (Erwägungsgrund 105; siehe auch Art. 45 Abs. 2 Buchst. c).10 (Quellen)

Es begründet für sich genommen keine Angemessenheit. Die oben beschriebenen Garantien gelten weiterhin.

Status auf einen Blick
EU-MitgliedstaatNein
EWR-MitgliedNein
EU-KandidatenlandJa
Angemessenheitsbeschluss der Europäischen KommissionNicht erteilt
Übereinkommen 108 (SEV 108)Vertragspartei (einschl. Zusatzprotokoll, SEV 181)
Protokoll Übereinkommen 108+ (SEV 223)Ratifiziert 2020 (noch nicht in Kraft)
An die DSGVO angelehntes nationales RechtJa, seit 2019 (Entwurf eines Ersatzgesetzes veröffentlicht 2026)
Unabhängige AufsichtsbehördeJa
In der Praxis

Wie das in einem konkreten Projekt aussieht

Die meisten Entwicklungsarbeiten brauchen gar keine personenbezogenen Produktionsdaten. Wo doch, gelten diese Arbeitsregeln.

Minimieren

Anonymisierte Daten als Standard

Wir bitten um einen bereinigten Datenbankdump oder synthetische Testdaten, bevor wir Produktionsdaten anfordern. In den meisten Vorhaben reicht das für den gesamten Auftrag.

Standort

Sie bestimmen, wo Daten liegen

Entwicklungs-, Staging- und Produktionshosting kann innerhalb der EU auf Ihrer Infrastruktur oder bei einem von Ihnen bestimmten Anbieter verbleiben. Das kann Risiken hinsichtlich Datenstandort und Weiterübermittlungen verringern, beseitigt die Frage nach Kapitel V jedoch nicht von selbst: Der Fernzugriff unserer in Serbien tätigen Personen auf personenbezogene Daten ist selbst eine Übermittlung in ein Drittland und unterliegt denselben Übermittlungsgarantien.

Beschränken

Nur namentlich benannter Zugriff

Der Zugriff auf jede Umgebung mit personenbezogenen Daten ist auf die Personen beschränkt, die tatsächlich an Ihrem Projekt arbeiten, wird entzogen, wenn sie ausscheiden, und bei der Übergabe vollständig widerrufen.

Unteraufträge

Unterauftragsverarbeiter nach Genehmigung

Wir legen offen, welche Unterauftragsverarbeiter in unserem Auftrag personenbezogene Daten verarbeiten würden, und setzen sie nur nach dem mit Ihnen vereinbarten Genehmigungsmodell ein. Bei einer allgemeinen schriftlichen Genehmigung informieren wir Sie vorab über beabsichtigte Hinzufügungen oder Ersetzungen, damit Sie nach Maßgabe der anwendbaren AVV-/SCC-Bedingungen widersprechen können.

Reagieren

Unterstützung bei Betroffenenanfragen

Wenn eine Auskunfts- oder Löschanfrage bei Ihnen eingeht und die Daten in einem von uns gebauten System liegen, helfen wir Ihnen, innerhalb Ihrer gesetzlichen Frist zu antworten. Geht eine Anfrage direkt bei uns ein, leiten wir sie unverzüglich an Sie weiter und beantworten sie selbst nicht, es sei denn, Sie ermächtigen uns dazu.

Exit

Löschung auf Anweisung

Am Ende eines Auftrags geben wir alle personenbezogenen Daten, die wir in Ihrem Auftrag verarbeitet haben, einschließlich aller Kopien, nach Ihrer Anweisung zurück oder löschen sie und bestätigen das schriftlich.

Wenn Sie eine Agentur sind

Wenn wir im Hintergrund für eine Agentur arbeiten, ist eine häufige Konstellation, dass der Kunde der Agentur Verantwortlicher, die Agentur Auftragsverarbeiter und HOW MUCH Labs Unterauftragsverarbeiter ist. Die tatsächlichen Rollen müssen jedoch danach bestimmt werden, wer über Zwecke und wesentliche Mittel der jeweiligen Verarbeitung entscheidet. Soweit wir als Ihr Unterauftragsverarbeiter tätig sind, akzeptieren wir die einschlägigen weitergereichten Verpflichtungen und können in Ihrem Unterauftragsverarbeiterverzeichnis genannt werden.

So funktioniert die Zusammenarbeit →
Quellen & Nachweise

Prüfen Sie das selbst

Primärquellen und der fachliche Kommentar, auf den die Zusammenfassungen oben beruhen.

  1. 1
    Gesetz über den Schutz personenbezogener Daten (Zakon o zaštiti podataka o ličnosti)
    Amtsblatt der Republik Serbien Nr. 87/2018. Die Primärgesetzgebung. Veröffentlicht mit Durchführungsvorschriften und Leitlinien durch den Beauftragten für Informationen von öffentlichem Interesse und den Schutz personenbezogener Daten.
    poverenik.rs — Büro des Beauftragten (öffnet in einem neuen Tab)
  2. 2
    IAPP — The state of Serbia’s Personal Data Protection Law after two years
    Praktikerbewertung, wie eng das LPDP der DSGVO folgt, und zur Auslegungslücke durch das Fehlen von Erwägungsgründen.
    iapp.org (öffnet in einem neuen Tab)
  3. 3
    Chambers — Data Protection & Privacy 2026: Serbia
    Aktueller Länderleitfaden zum LPDP (das der Leitfaden PDPA nennt): Angleichung an die DSGVO und die Strafverfolgungsrichtlinie, Befugnisse und Bußgelder des Beauftragten sowie extraterritoriale Reichweite.
    practiceguides.chambers.com (öffnet in einem neuen Tab)
  4. 4
    CMS Expert Guide — Impact of the GDPR in Serbia
    Vergleichender Überblick über das LPDP (das der Leitfaden PDP-Gesetz nennt) gegenüber der DSGVO, einschließlich der Rollen Verantwortlicher/Auftragsverarbeiter, besonderer Kategorien von Daten und der Mischung aus DSGVO- und Strafverfolgungsrichtlinienregeln. Zuletzt aktualisiert April 2021.
    cms.law (öffnet in einem neuen Tab)
  5. 5
    DLA Piper — Transfer of personal data in Serbia
    Zusammenfassung des LPDP-Übermittlungsregimes, einschließlich der serbischen Angemessenheitsliste und der Standardvertragsklauseln des Beauftragten.
    dlapiperdataprotection.com (öffnet in einem neuen Tab)
  6. 6
    Europarat — Übereinkommen 108 und Protokoll SEV 223
    Vertragstexte und die Übersicht der Unterzeichnungen und Ratifikationen. Serbien ratifizierte das Modernisierungsprotokoll am 26. Mai 2020 als vierter Staat. Zum 27. August 2026 lagen 34 Ratifikationen vor; für das Inkrafttreten sind 38 erforderlich, es ist also noch nicht in Kraft.
    coe.int — SEV 223 (öffnet in einem neuen Tab)coe.int — Moldau wird der 34. Staat, der ratifiziert (15. Mai 2026) (öffnet in einem neuen Tab)
  7. 7
    Europäische Kommission — Angemessenheitsbeschlüsse
    Die offizielle Liste der Länder und Organisationen, die von einem EU-Angemessenheitsbeschluss erfasst sind, und das Annahmeverfahren. Serbien steht nicht darauf.
    commission.europa.eu (öffnet in einem neuen Tab)
  8. 8
    Durchführungsbeschluss (EU) 2021/914 der Kommission — Standardvertragsklauseln
    Die geltenden EU-SCC, einschließlich Modul zwei (Verantwortlicher an Auftragsverarbeiter) und Modul drei (Auftragsverarbeiter an Auftragsverarbeiter), die Bewertungsanforderungen von Klausel 14, die Pflichten der Klauseln 8.5 und 10 zu Löschung und Betroffenenanfragen sowie die in diesen Modulen enthaltenen Klauseln nach Art. 28.
    eur-lex.europa.eu — 2021/914 (öffnet in einem neuen Tab)
  9. 9
    Schoenherr — Serbia’s Data Protection Strategy 2023–2030 unveiled
    Analyse der Regierungsstrategie, die einen EU-Angemessenheitsbeschluss als politisches Ziel setzt und verbleibende Lücken in der geltenden Gesetzgebung benennt.
    schoenherr.eu (öffnet in einem neuen Tab)
  10. 10
    Verordnung (EU) 2016/679 — Datenschutz-Grundverordnung (DSGVO)
    Die Verordnung selbst: Definitionen in Art. 4, Auftragsverarbeiterbedingungen in Art. 28, Verletzungsmeldung in Art. 33, die Übermittlungsregeln von Kapitel V (Art. 44–50) und Erwägungsgrund 105 zum Übereinkommen 108 als Angemessenheitsfaktor.
    eur-lex.europa.eu — 2016/679 (öffnet in einem neuen Tab)
  11. 11
    Justizministerium der Republik Serbien — Entwurf eines Gesetzes über den Schutz personenbezogener Daten (2026)
    Entwurf als Ersatz für das LPDP, veröffentlicht am 30. Juli 2026 zur öffentlichen Konsultation bis zum 10. September 2026. Kommentar: IAPP, „Serbia’s draft Personal Data Protection Law: What changes are on the table“ (6. August 2026; Volltext für IAPP-Mitglieder).
    mpravde.gov.rs — öffentliche Konsultationen (öffnet in einem neuen Tab)iapp.org (öffnet in einem neuen Tab)
Fragen zum Datenschutz

Fragen Sie, bevor Sie unterschreiben, nicht danach

Wenn Ihr Datenschutzbeauftragter oder Ihre Rechtsabteilung eine ausgefüllte Transferbewertung, eine unterzeichnete AVV, eine Unterauftragsverarbeiterliste oder Antworten auf einen Lieferanten-Sicherheitsfragebogen braucht, fordern Sie das an — wir füllen es aus.

[email protected]+381 63 872 6019Vollständige Angaben zur juristischen Person →