Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
Fachanwalt für Urheber- und Medienrecht und Spezialist für Arbeitsrecht, Zertifizierter Datenschutzbeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Blog News
Am 04.06.2021 hat die Europäische Kommission neue Standardvertragsklauseln (oder auch Standarddatenschutzklauseln) verabschiedet. Damit hat sie zum ersten Mal von ihren Rechten nach Artikel 28 Absatz 7 Datenschutzgrundverordnung (DSGVO) Gebrauch gemacht. Die neuen Standardvertragsklauseln treten anstelle der seit 2010 geltenden Standardvertragsklauseln für Auftragsverarbeiter, die die Übermittlung in Drittländer regelten, in Kraft. Laut Aussage der Europäischen Kommission kommen die neuen Standardvertragsklauseln ebenfalls den Voraussetzungen des Schrems II-Urteils nach. Seit dem 27.09.2021 gelten die Standardvertragsklauseln. Die Umsetzungsfrist für sämtliche Verträge, die vorher geschlossen worden sind, läuft am 27.12.2022 ab. Auf der Seite der Europäischen Union sind die neuen Standardvertragsklauseln sowie deren Erwägungsgründe aufgelistet.
Standardvertragsklauseln sind Vertragsmuster, die von der Europäischen Union (EU) verabschiedet wurden und die Vertragsparteien dazu verpflichten, ein Datenschutzniveau einzuhalten, welches mit der EU vergleichbar ist. Werden in ein Land außerhalb der Europäischen Union, wo kein Angemessenheitsbeschluss vorliegt, personenbezogene Daten übermittelt, greifen Standardvertragsschutzklauseln. Es ist nämlich notwendig, dass man dem Empfänger in solchen Fällen ausreichend Schutz sowie eine geeignete Rechtsgrundlage nach der Datenschutzgrundverordnung bieten kann. Sichergestellt wird dies durch den Nachweis einer geeigneten Garantie. Dies können beispielsweise Standardvertragsklauseln nach Artikel 46 Absatz 2 Buchstabe d DSGVO sein. Wurden die Standardvertragsklauseln unverändert verwendet, muss die Übermittlung nicht genehmigt werden. Nach dem Erwägungsgrund 109 der DSGVO genügt es für die Genehmigungsfreiheit, wenn die Standardvertragsklauseln in umfangreichen Verträgen Verwendung finden oder zusätzliche Klauseln bzw. Garantien ergänzt werden, die den von der Europäischen Kommission verabschiedeten Standardvertragsklauseln nicht widersprechen oder Grundrechte nicht verletzen dürfen.
Anstoß für die Verabschiedung der neuen Standardvertragsklauseln war das Schrems II-Urteil (16.07.2020 - Rs. C 311_18) des Europäischen Gerichtshofs, wo die Anwendbarkeit des Durchführungsbeschlusses zum sogenannten „Privacy Shield“ verneint wurde. Ziel des „Privacy Shield“ war die Sicherstellung des gleichwertigen Datenschutzniveaus in Europa und den USA. Die Sicherung des Schutzniveaus war durch die alten Standardvertragsklauseln, laut EUGH, nicht zu Genüge garantiert. Die nun verabschiedeten Standardvertragsklauseln der EU-Kommission sollen den Voraussetzungen des Schrems II-Urteils nachkommen. Der Unternehmer kommt jedoch nicht drum herum zu überprüfen, ob das Drittland ein hinreichendes Schutzniveau garantiert. Unterzeichnet man einen Vertrag mit den neuen Standardvertragsklauseln, begründet dies nicht automatisch eine rechtskonforme Vertragsgrundlage. Diese ist für den Datenexport allerdings notwendig. Folglich sind auch die neuen Standardvertragsklauseln nicht dazu in der Lage, die Rechtsunsicherheit hinsichtlich des Datentransfers in unsichere Drittländer aus den Weg zu räumen. Der Transfer personenbezogener Daten, der auf Standarddatenschutzklauseln basiert, soll in den Fällen nicht vorgenommen werden, wo es dem Drittimporteur wegen der Gepflogenheiten und Rechtsvorschriften des Drittlandes nicht ermöglicht wird, die Standarddatenschutzklauseln einzuhalten. Gerade bei Datenübertragungen in die USA müssen auf Unternehmensebene noch immer Einzelfallprüfungen bezüglich des Datentransfers vorgenommen werden, da die neuen Standarddatenschutzklauseln in einigen Fällen nicht ausreichen werden. Man werde wohl auch auf weitere Maßnahmen zum Schutz personenbezogener Daten nicht verzichten können. Diese Maßnahmen müssen jedoch mit dem gewährleisteten angemessenen Schutzniveau im Einklang sein.
Der Aufbau der neuen Standardvertragsklauseln erfolgt nun auf Grundlage eines modularen Modells, welches sich an der Richtung der Verarbeitung orientiert. Es umfasst:
-In Modul 1: Die Verarbeitung zwischen Verantwortlichen untereinander
-In Modul 2: Die Verarbeitung zwischen Verantwortlichen an Auftragsverarbeiter
-In Modul 3: Die Verarbeitung zwischen Auftragverarbeitern
-In Modul 4: Die Verarbeitung von Auftragsverarbeiter an Verantwortlichen
Damit ist es nun möglich, die neuen Standardvertragsklauseln in den verschiedenen Konstellation der Verarbeitung einzusetzen. In Klausel 15 finden sich nun die Pflichten des Datenimporteurs in den Fällen des Zugangs von Behörden zu den Daten. Die Pflichten umfassen die Informationspflichten beim verpflichtenden Vorgehen gegen solche Entscheidungen oder bei der behördlichen Abfrage. Die Pflichten des Datenimporteurs beinhalten zudem die Überprüfung von Offenlegungsansprüchen, die Dokumentation der rechtlichen Beurteilung und die Übertragung des notwendigen Minimums. Aufgrund der bald auslaufenden Umsetzungsfrist, sollten Unternehmer, welche die Übermittlung von personenbezogenen Daten in Drittstaaten vornehmen, genauestens überprüfen, ob die neuen Standardvertragsklauseln bereits von ihnen verwendet werden. Des Weiteren müssen sich Unternehmer um eine sorgfältige Einzelfallprüfung des Datenschutzniveaus in den Drittländern bemühen. Es besteht nämlich die Möglichkeit, dass rechtswidrige Datenübermittlungen in Drittländern Geldbußen von Datenschutzaufsichtsbehörden nach sich ziehen.
Ist Ihr Unternehmen von den Standardvertragsklauseln betroffen oder haben Sie weitere Fragen zum Thema Datenschutzrecht auf globaler Ebene? Dann sind Sie bei uns genau richtig!
Die Rechtsanwälte von SBS Legal greifen auf jahrelange Erfahrung bei dem Begründen und Halten von Datensicherheit zurück. Auch beraten wir täglich Unternehmen mit Geschäftssitz außerhalb der Europäischen Union, bei denen vor allem die rechtmäßige Übermittlung von personenbezogenen Daten in ein EU-Drittland sicherzustellen ist.
Wir stehen auch Ihnen gern als Partner in allen Belangen des Datenschutzes zur Seite. Sehen Sie sich entsprechenden rechtlichen Fragestellungen ausgesetzt, freuen wir uns jederzeit über Ihre Kontaktaufnahme.
Für weitere Rückfragen stehen wir Ihnen jederzeit gerne auch telefonisch zur Verfügung.
Wünschen Sie die Rechtsberatung von dem erfahrenen Team aus Fachanwälten und Spezialisten der SBS LEGAL?