Standardvertragsklauseln

Direkte Links der Standard Contractual Clauses (SCC) von der EU-Kommission zum Download:

Eine Übersicht der verschiedene Versionen von Sprachen und Dokumentenarten (HTML, PDF) bei der EU-Kommission Link.
Die internationalen und die deutsche Version als WORD (ZIP).

Datentransfer ins Ausland

Wir zitieren und beziehen uns folgend auf die Beschreibung der Standardvertragsklauseln aus dem Internetprogramm der Landesbeauftragten für den Datenschutz Niedersachsen.

Wegen des in der Europäischen Union bestehenden hohen Datenschutzniveaus ist eine Datenübermittlung in ein Drittland außerhalb der EU bzw. des Europäischen Wirtschaftsraums (EWR) nicht ohne Weiteres zulässig. Nach den Regelungen zur Drittstaatenübermittlung (Art. 44 ff. DS-GVO) dürfen personenbezogene Daten nur dann in Drittstaaten transferiert werden, wenn Verantwortliche und Auftragsdatenverarbeiter die im Kapitel V festgelegten Voraussetzungen erfüllen und auch die übrigen Grundsätze der DS-GVO eingehalten werden, damit das durch die DS-GVO gewährleistete Schutzniveau nicht untergraben wird.

Zulässig ist eine Datenübermittlung, wenn ein angemessenes Schutzniveau durch die Europäische Kommission bestätigt worden ist. Andernfalls sind geeignete Garantien vorzusehen. Außerdem müssen durchsetzbare Rechte und wirksame Rechtsbehelfe verfügbar seien, u. a.:
Standardvertragsklauseln, die von der Kommission erlassen wurden (Art. 46 Abs. 2 Buchstabe c DS-GVO),
unternehmensinterne Datenschutzvorschriften, sogenannte Binding Corporate Rules (Art. 46 Abs. 2 Buchstabe b i.V.m. Art. 47 DS-GVO) oder
genehmigte Verhaltensregeln, sogenannte Codes of Conduct (Art. 46 Abs. 2 Buchstabe e i.V.m. Art. 40 Abs. 3 DS-GVO)

In der Praxis erfolgt eine Übermittlung personenbezogener Daten häufig auf der Grundlage sogenannter Standardvertragsklauseln im Sinne von Art. 46 Abs. 2 Buchstabe c DS-GVO. Bei Standardvertragsklauseln handelt es sich um von der Europäischen Kommission verabschiedete Vertragsmuster. Mit den Standardvertragsklauseln werden europäische Datenschutzstandards vertraglich zwischen Datenexporteuren im Europäischen Wirtschaftsraum und Datenimporteuren in Drittstaaten vereinbart. Bei der Verwendung der von der Kommission verabschiedeten Vertragsmuster kann die Übermittlung personenbezogener Daten in Drittländer ohne weitere Genehmigung der Aufsichtsbehörden erfolgen. Die Offenlegung personenbezogener Daten für einen Abruf im Drittland (z. B. Fernwartung) steht der Übermittlung gleich.

Auswirkungen des Schrems II-Urteils des EuGH

Mit dem Schrems II-Urteil vom 16.07.2020 hat der Europäische Gerichtshof (EuGH) die Anforderungen an die Verwendung von Standardvertragsklauseln in der Praxis ganz erheblich verschärft. Danach liegt es in der Verantwortung eines Datenexporteurs, vor der Übermittlung personenbezogener Daten zu prüfen, ob in dem Drittland ein Schutzniveau für personenbezogene Daten besteht, das dem in der EU gleichwertig ist. Dabei geht es vor allem um die Frage, ob die Vertragsparteien beim Abschluss von Standardvertragsklauseln und unter Berücksichtigung zusätzlicher Maßnahmen Grund zu der Annahme haben, dass die für die Verarbeitung personenbezogener Daten durch den Datenimporteur geltenden Rechtsvorschriften und Gepflogenheiten im Drittland den Importeur an der Erfüllung seiner Pflichten aus den Standardvertragsklauseln hindern. Sofern das der Fall ist, müssen gegebenenfalls zusätzliche Maßnahmen zur Sicherstellung eines dem in der EU im Wesentlichen gleichwertigen Schutzniveaus ergriffen oder von der Übermittlung abgesehen werden.

Der Europäische Datenschutzausschuss hat mit den Empfehlungen 01/2020 (Version 2.0 vom 18.06.2021) eine Arbeitshilfe mit Beispielen für zusätzliche Maßnahmen veröffentlicht.

Neue Standardvertragsklauseln 2021

Die Europäische Kommission hat im Juni 2021 neue Standardvertragsklauseln (PDF) erlassen (Durchführungsbeschluss (EU) 2021/914 der EU-Kommission v. 04.06.2021 – Az. C(2021) 3972, ABl. EU Nr. L 199/31 vom 07.06.2021). Die neuen Standardvertragsklauseln sind modular aufgebaut und können in folgenden Konstellationen eingesetzt werden:

Verantwortlicher an Verantwortlichen
Verantwortlicher an Auftragsverarbeiter
Auftragsverarbeiter an (Unter-)Auftragsverarbeiter
Rückübermittlung des Auftragsverarbeiters in der EU an einen Verantwortlichen im Drittland

Die neuen Standardvertragsklauseln sind seit dem 27.09.2021 zwingend für Neuverträge zu verwenden. Spätestens bis zum 27.12.2022 muss eine Umstellung sämtlicher Altverträge auf die neuen Standardvertragsklauseln erfolgt sein.

Hinsichtlich der oben beschriebenen Auswirkungen des Schrems II-Urteils und der Notwendigkeit zur Prüfung der Rechtsvorschriften und Gepflogenheiten im Drittland hat sich durch die neuen Standardvertragsklauseln nichts geändert. Diese regeln lediglich bisher nur aus der Rechtsprechung des EuGH folgenden Anforderungen ausdrücklich (Klausel 14). Das heißt, auch bei Verwendung der neuen Klauseln muss der Datenexporteur die Rechtslage und -praxis des Drittlands prüfen und ggf. zusätzliche Schutzmaßnahmen ergreifen bzw., wenn dies nicht gelingt, von der Übermittlung Abstand nehmen.

Bei Auftragsverarbeitungsverträgen decken die neuen Standardvertragsklauseln für den internationalen Datentransfer die Anforderungen aus Art. 28 DS-GVO mit ab. Die Notwendigkeit zum Abschluss eines zusätzlichen Auftragsverarbeitungsvertrags gemäß Art. 28 DS-GVO entfällt daher. Umgekehrt erfüllen die von der Kommission gemäß Art. 28 Abs. 7 DS-GVO herausgegebenen neuen Standardvertragsklauseln zur Auftragsverarbeitung (Durchführungsbeschluss (EU) 2021/915 der EU-Kommission vom 04.06.2021, ABl. EU Nr. L 199/18 vom 07.06.2021) jedoch nicht die Anforderungen an eine Übermittlung personenbezogener Daten in Drittländer nach Maßgabe des Kapitel V.

Die Genehmigungsfreiheit bei der Verwendung der Standardvertragsklauseln gilt nur, sofern diese unverändert verwendet werden. Hiervon unberührt bleiben die Auswahl eines Moduls oder die Ergänzung oder Aktualisierung von Informationen in der Anlage. Vertragsparteien können die Standardvertragsklauseln auch in einen umfangreicheren Vertrag mit aufnehmen. Sofern jedoch weitere Klauseln oder zusätzliche Garantien hinzugefügt werden, dürfen diese weder unmittelbar noch mittelbar im Widerspruch zu den Standardvertragsklauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.