4. Juni 2021
Die DSGVO sieht im Hinblick auf Datentransfers in Länder außerhalb der EU / des EWR (sog. Drittländer) die Notwendigkeit bestimmter Sicherheitsmechanismen zur Gewährleistung eines angemessenen Datenschutzniveaus vor. Die „Standardvertragsklauseln“ stellen ein in der Praxis sehr häufig genutztes solches Instrument zur datenschutzrechtlichen Absicherung von Drittlandtransfers dar. Da die bisherigen Standardvertragsklauseln jedoch bereits auf Grundlage der früheren EU-Datenschutzrichtlinie erlassen worden sind und infolgedessen terminologisch sowie inhaltlich nicht vollständig den Vorgaben der DSGVO entsprachen, wurde deren Überarbeitung bereits seit einiger Zeit erwartet. Am heutigen Tage hat die EU-Kommission daher die neuen Europäischen Standardvertragsklauseln veröffentlicht (die Presseerklärung sowie die Standardvertragsklauseln können über diesen Link abgerufen werden).
Die bisherigen Standardvertragsklauseln dürfen ab dem Zeitpunkt der – noch ausstehenden – offiziellen Veröffentlichung nur noch drei Monate lang abgeschlossen werden. Diese Karenzzeit dient dem Zweck, laufende oder bereits abgeschlossene Vertragsverhandlungen auf Grundlage der bisherigen Standardvertragsklauseln nicht gegenstandslos werden zu lassen. Spätestens mit Ablauf weiterer 15 Monate müssen jedoch auch alle bestehenden Standardvertragsklauseln auf die neuen Regelungen umgestellt werden. Es stehen also umfangreiche Nachverhandlungen an.
Die neuen Standardvertragsklauseln enthalten eine Vielzahl von „Schrems-II“-Verpflichtungen, damit die Anforderungen des Europäischen Gerichtshofs und des Europäischen Datenschutzausschusses an Drittlandtransfers erfüllt werden. Dennoch wird der Abschluss der neuen Standardvertragsklauseln allein in der Regel nicht ausreichen, um diese Anforderungen vollständig zu erfüllen. Vielmehr wird nach wie vor häufig die Implementierung ergänzender Schutzmaßnahmen erforderlich sein.
Die neuen Standardvertragsklauseln sehen eine obligatorische Datentransfer-Folgenabschätzung vor, die von den Beteiligten durchgeführt werde muss. Beide Parteien müssen versichern, dass sie keine Zweifel an der Einhaltung europäischer Datenschutzstandards im Land des Datenimporteurs haben. Dies könnte im Hinblick gerade auf US-Importeure in Anbetracht der Schrems II-Entscheidung des EuGH in Teilen unter Umständen problematisch werden. Die Folgenabschätzung ist zu dokumentieren und den Aufsichtsbehörden auf Verlangen vorzulegen.
Ferner folgen die neuen Standardvertragsklauseln einem modularen Ansatz: Anstelle verschiedener Standardvertragsklauseln-Sets wird es in Zukunft nur noch einen Satz an Standardvertragsklauseln geben, der je nach konkreter Ausgestaltung des jeweiligen Datentransfers durch die Verwendung bestimmter und das Weglassen anderer Textbausteine angepasst werden kann. Dies erhöht zwar grundsätzlich die Flexibilität, aber ob dies nicht zugleich die Anwendung erschwert, bleibt abzuwarten. Zudem wurden mit „Auftragsverarbeiter–zu-Auftragsverarbeiter“ sowie „Auftragsverarbeiter-zu-Verantwortlichem“ zwei neue Konstellationen eingeführt, wobei zweitgenanntes Szenario in der Praxis bisher eher selten vermisst wurde und voraussichtlich zu Problemen führen wird.
Darüber hinaus enthalten die neuen Standardvertragsklauseln eine strenge Hierarchieklausel sowie eine Haftungsklausel, die es für Datenimporteure sehr schwierig machen wird, ihre Haftung in Bezug auf Datentransfers zu begrenzen.
Zusammenfassend lässt sich festhalten, dass die neuen Standardvertragsklauseln besser an die DSGVO angepasst sind, Datentransfers zwischen Auftragsverarbeitern flexibler abbilden sowie bereits Schrems-II-Anforderungen umsetzen. Allerdings wird der Abschluss der neuen Standardvertragsklauseln aufgrund der Notwendigkeit einer begleitenden Transfer-Folgenabschätzung nicht mehr einfach nur eine reine „Abhakübung“ sein.
Alle laufenden Datentransfers auf Grundlage von Standardvertragsklauseln müssen innerhalb der nächsten (etwa) 18 Monate auf die neuen Klauseln umgestellt werden. Seien Sie daher vorbereitet und
Drittlandtransfers bilden einen Schwerpunkt bei Ermittlungsmaßnahmen der Datenschutzaufsichtsbehörden: Diese haben gerade in dieser Woche angekündigt, deutschlandweite Prüfungen in Bezug auf internationale Datentransfers deutscher Unternehmen vorzunehmen, und versenden Fragebögen insbesondere zum Einsatz von Dienstleistern zum E-Mail-Versand, zum Hosting von Internetseiten, zum Webtracking, zur Verwaltung von Bewerber*innendaten und um den konzerninternen Austausch von Kund*innendaten und Daten der Beschäftigten.
Sprechen Sie uns bei Fragen hierzu gerne an.
Paul Voigt and Alexander Schmalenberger look at Germany's progress on NIS2 implementation.
von Dr. Paul Voigt, Lic. en Derecho, CIPP/E und Alexander Schmalenberger, LL.B.
Michael Tan, Julian Sun, Paul Voigt and Wiebke Reuter look at what China's new SCCs mean for businesses looking to export personal data from China to the EU.
von mehreren Autoren