Firma z Krakowa wysyła dane klientów do swojego partnera w Monachium. Administratorzy IT konfigurują połączenie, prawnicy milczą – bo przecież to "tylko UE". W praktyce jednak nawet transfer wewnątrzunijny wymaga udokumentowania podstawy prawnej, oceny ryzyka i – w określonych przypadkach – rejestracji czynności przetwarzania po obu stronach granicy. Brak dokumentacji to nie tylko ryzyko kary od UODO lub BfDI. To realna ekspozycja na roszczenia kontrahentów i blokadę operacyjną.

Transfer danych osobowych między Polską a Niemcami podlega Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), które obowiązuje bezpośrednio w obu państwach. Ponieważ Niemcy są członkiem UE, transfer nie wymaga standardowych klauzul umownych ani decyzji stwierdzającej odpowiedni stopień ochrony. Wymaga natomiast ważnej podstawy prawnej przetwarzania, umowy powierzenia lub uzgodnień współadministrowania – w zależności od roli stron. Naruszenia zagrożone są karą do 20 000 000 EUR lub 4% globalnego obrotu rocznego.

Poniżej omawiamy trzy elementy, które każda polska firma transferująca dane do Niemiec powinna sprawdzić przed końcem pierwszego kwartału 2026 r.: podstawę prawną transferu, właściwy mechanizm umowny oraz obowiązki rejestracyjne i notyfikacyjne wynikające z nowych regulacji sektorowych.

Dlaczego transfer do Niemiec nie jest "automatycznie bezpieczny"?

RODO obowiązuje w całej UE jednolicie – to prawda. Jednak "jednolite przepisy" nie oznaczają "brak obowiązków". Każdy transfer danych osobowych, nawet do Berlina czy Hamburga, musi opierać się na ważnej podstawie z art. 6 RODO. Brak tej podstawy to naruszenie – niezależnie od tego, że odbiorca działa w tej samej przestrzeni prawnej.

Drugi problem to rola stron. Polska spółka może być administratorem, podmiotem przetwarzającym albo współadministratorem. Każda z tych ról generuje inny obowiązek umowny. Jeśli polska firma przekazuje dane swojemu niemieckiemu dostawcy usług IT, który przetwarza je "na zlecenie" – konieczna jest umowa powierzenia przetwarzania (art. 28 RODO). Jeśli obie strony samodzielnie decydują o celach – mamy współadministrowanie (art. 26 RODO) i obowiązek zawarcia uzgodnień z jasnym podziałem obowiązków.

UODO (Urząd Ochrony Danych Osobowych) i jego odpowiednik po stronie niemieckiej – BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) – mogą wszcząć postępowanie niezależnie od siebie. W praktyce oznacza to ryzyko podwójnej kontroli. Spółka z Wrocławia działająca w modelu SaaS z serwerami we Frankfurcie była przedmiotem równoległego badania obu organów w 2024 r. – różnica w interpretacji art. 28 ust. 3 RODO kosztowała ją kilka miesięcy negocjacji i konieczność renegocjacji 12 umów.

Dodatkowy wymiar komplikacji wprowadza AI Act (Rozporządzenie UE 2024/1689), który wszedł w życie 1 sierpnia 2024 r. Jeśli transfer danych służy zasilaniu systemu AI wysokiego ryzyka po stronie niemieckiej – np. w obszarze rekrutacji, scoringu kredytowego lub biometrii – polska firma jako dostawca danych może zostać wciągnięta w łańcuch odpowiedzialności za zgodność systemu z AI Act.

Jakie mechanizmy prawne regulują transfer i co trzeba wdrożyć do końca Q1 2026?

Dla transferu Polska–Niemcy dostępne są trzy główne mechanizmy: umowa powierzenia przetwarzania (art. 28 RODO), uzgodnienia współadministrowania (art. 26 RODO) oraz – w przypadku transferu do podmiotu niepowiązanego, który działa jako odrębny administrator – udokumentowana podstawa z art. 6 ust. 1 RODO. Nie ma tu miejsca na domysły: wybór błędnego mechanizmu to naruszenie samo w sobie, nawet jeśli dane są chronione technicznie.

Umowa powierzenia musi zawierać elementy wskazane w art. 28 ust. 3 RODO: przedmiot i czas trwania przetwarzania, charakter i cel, rodzaj danych, kategorie osób, obowiązki i prawa administratora. Brak choćby jednego z tych elementów powoduje, że umowa jest niekompletna. Termin na audyt i uzupełnienie istniejących umów – 31 marca 2026 r. – jest realny, ale wymaga działania już teraz.

Firmy z sektora finansowego muszą uwzględnić dodatkową warstwę: DORA (Rozporządzenie UE 2022/2554) obowiązuje od 17 stycznia 2025 r. Każdy transfer danych do zewnętrznego dostawcy ICT w Niemczech – np. chmury, centrum danych, dostawcy SaaS – musi być objęty rejestrem umów ICT i spełniać wymogi klauzul umownych DORA. KNF może żądać wglądu w te rejestry w ramach nadzoru.

Co wdrożyć natychmiast:

  • Zinwentaryzuj wszystkich odbiorców danych w Niemczech i określ rolę każdego z nich (podmiot przetwarzający / współadministrator / odrębny administrator).
  • Sprawdź, czy każda umowa powierzenia zawiera komplet elementów z art. 28 ust. 3 RODO.
  • Zaktualizuj rejestr czynności przetwarzania (art. 30 RODO) o wpisy dotyczące transferów transgranicznych.
  • Dla sektora finansowego: uzupełnij rejestr umów ICT zgodnie z wymogami DORA przed kontrolą KNF.
  • Oceń, czy dane zasilają systemy AI wysokiego ryzyka – jeśli tak, przeanalizuj ekspozycję na AI Act.

Warto pamiętać, że trendy egzekucyjne UODO wskazują na rosnącą liczbę postępowań dotyczących właśnie umów powierzenia – nie tylko naruszeń bezpieczeństwa. To zmiana priorytetów, którą polska firma działająca z partnerami w Niemczech powinna traktować jako sygnał alarmowy.

Konkretna sytuacja Państwa firmy – liczba odbiorców danych, model biznesowy, sektor regulowany – decyduje o tym, który mechanizm jest właściwy i jakie dokumenty wymagają pilnej aktualizacji. Zwlekanie zamyka drogę do dobrowolnego usunięcia naruszenia przed wszczęciem postępowania przez UODO lub BfDI – a to nieodwracalnie pogarsza pozycję negocjacyjną.

Jeśli Państwa spółka transferuje dane osobowe do Niemiec i nie ma pewności co do kompletności umów powierzenia lub rejestru czynności przetwarzania – przeprowadzimy szybki audyt zgodności, przygotujemy brakującą dokumentację i ocenimy ekspozycję na AI Act oraz DORA: info@kordeckipartners.com.

Często zadawane pytania

P: Czy transfer danych z Polski do Niemiec wymaga standardowych klauzul umownych (SCC)?

O: Nie. Standardowe klauzule umowne stosuje się wyłącznie przy transferach do państw trzecich – spoza Europejskiego Obszaru Gospodarczego. Niemcy są członkiem UE, więc RODO obowiązuje tam bezpośrednio. Zamiast SCC konieczna jest właściwa umowa powierzenia przetwarzania lub uzgodnienia współadministrowania, w zależności od roli stron. Brak tych dokumentów to naruszenie artykułu 28 lub artykułu 26 RODO.

P: Ile czasu ma firma na dostosowanie umów powierzenia do wymogów RODO i DORA?

O: RODO obowiązuje od 25 maja 2018 r. – obowiązek zawarcia prawidłowej umowy powierzenia istnieje od lat. DORA weszła w życie 17 stycznia 2025 r. i nakłada dodatkowe wymogi na umowy z dostawcami ICT w sektorze finansowym. Firmy, które dotychczas nie zaktualizowały dokumentacji, powinny zakończyć audyt i podpisać uzupełnione umowy najpóźniej do 31 marca 2026 r., by wyprzedzić ewentualne kontrole KNF i UODO planowane na drugi kwartał 2026 r.

P: Czy mała firma (poniżej 250 pracowników) jest zwolniona z obowiązku prowadzenia rejestru czynności przetwarzania?

O: Zwolnienie z artykułu 30 ustęp 5 RODO dla podmiotów zatrudniających mniej niż 250 osób ma bardzo wąski zakres. Nie obowiązuje, jeśli przetwarzanie może powodować ryzyko naruszenia praw osób, nie jest sporadyczne lub obejmuje szczególne kategorie danych. W praktyce większość transferów danych do Niemiec w celach biznesowych nie spełnia kryterium "sporadyczności" – rejestr jest więc wymagany. Brak rejestru był jednym z najczęstszych ustaleń UODO w 2024 r.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do ochrony danych osobowych, regulacji AI i compliance technologicznego. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

O autorze

Jakub Górski specjalizuje się w prawie własności intelektualnej, technologiach i regulacjach AI.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.