Bevor die Risikobewertung im Rahmen des TIA durchgeführt wird, müssen die entsprechenden Datenübermittlungen zunächst identifiziert werden.
Der nächste Schritt ist die Bestimmung des Übermittlungsinstruments. In der Regel sind es SCCs, ggf. können dies aber auch verbindliche interne Datenschutzvorschriften (Bindung Corporate Rules) oder andere in der DSGVO genannte Instrumente sein.
Im Anschluss sind die Umstände der Übermittlung und die Risiken im Übermittlungsland gegeneinander abzuwägen. Wenn sich die gewählte Garantie nach der Prüfung nicht als effektiv erweist, müssen im Einzelfall ergänzende Maßnahmen getroffen werden, die individuell auf die entsprechende Übermittlung anzupassen sind, um ein angemessenes Schutzniveau zu gewährleisten.
Alle Schritte und Ergebnisse dieser Prüfung (TIA) müssen dokumentiert werden.