Neue Standardvertragsklauseln für Drittlandtransfers

Die Europäische Kommission hat am 4. Juni 2021 die neuen Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer verabschiedet. Das bedeutet für datenverarbeitende Unternehmen in Europa ein Mehr an Rechtssicherheit für internationale Datentransfers – jedoch auch einen erneuten Anpassungsbedarf auf dem Gebiet des Datenschutzes.

Sollen personenbezogene Daten in Drittländer außerhalb der EU/des EWR (z.B. an einen Cloud-Dienstleister mit Servern in den USA) übermittelt werden, ist dies gemäß Art. 44 DSGVO nur möglich, wenn dabei ein angemessenes Schutzniveau für die betroffenen Personen sichergestellt ist. Gemäß Art. 46 Abs. 2 lit. c DSGVO gewährleisten die von der Kommission erlassenen Standardvertragsklauseln solche angemessenen Datenschutzgarantien für internationale Datenübermittlungen. Standardvertragsklauseln stellen das am häufigsten verwendete Instrument dar, um einen internationalen Datentransfer zu legitimieren. Insbesondere seit dem Ende des EU-US-Privacy Shield (aufgrund des sog. Schrems II-Urteil des EuGH v. 16. Juli 2020, Az. C-311/18) werden die Standardvertragsklauseln auch im Hinblick auf Datentransfers in die USA als Rechtsgrundlage für die Übermittlung genutzt. Dabei mussten nach dem Schrems II-Urteil jedoch zusätzliche Schutzmaßnahmen vereinbart werden, um ein angemessenes Datenschutzniveau sicherstellen zu können.

Bisher hat die EU-Kommission drei unterschiedliche Sets von Standardvertragsklauseln erlassen. Zwei Sets aus 2001 und 2004 betrafen die Datenübermittlungen im Controller-Controller-Verhältnis, d. h. zwischen einem Verantwortlichen mit Sitz in der EU und einem Verantwortlichen mit einem Sitz in einem Drittland. Daneben wurde 2010 ein Set für die Datenübermittlung im Controller-Processor-Verhältnis erlassen – diese betrafen Datenübermittlungen von Verantwortlichen in der EU zu Auftragsverarbeitern mit Sitz in einem Drittland. Nach dem zwischenzeitlichen Inkrafttreten der DSGVO und der ständigen Weiterentwicklung und zunehmenden Komplexität von Geschäftsmodellen und -prozessen hat die Europäische Kommission die Modernisierung der bestehenden Standardvertragsklauseln vorangetrieben. Die jetzt veröffentlichten Standardvertragsklauseln berücksichtigen nun auch die Vorgaben aus dem Schrems II-Urteil des EuGH.