Neue Standardvertragsklauseln für Drittlandtransfers

Die neuen Standardvertragsklauseln für internationale Drittlandtransfers bestehen nun nur noch aus einem Set an Musterklauseln. Sie sind modular aufgebaut und decken verschieden Übermittlungssituationen ab. Sie können daher für Datenübermittlungen zwischen Controller und Controller, Controller und Processor, Processor und Processor sowie Processor und Controller angewendet werden. Darüber hinaus decken die neuen Standardvertragsklauseln nun auch Sachverhalte ab, in denen mehr als zwei Parteien Daten übermitteln oder erhalten sollen. Dies wird insbesondere den formalen Aufwand für Datenübermittlungen in Konzernen vereinfachen. Für die Anwendung der neuen Standardvertragsklauseln bedeutet dies, dass die Parteien nunmehr die passenden Module bei Vertragsschluss auswählen und vereinbaren müssen.

Die neuen Standardvertragsklauseln sehen eine weitere Vereinfachung vor: muss bisher zusätzlich zu den Standardvertragsklauseln z.B. auch ein Auftragsverarbeitungsvertrag geschlossen werden, ist dies mit den neuen Standardvertragsklauseln nicht mehr zwingend notwendig. Denn die neuen Standardvertragsklauseln enthalten grundsätzlich die notwendigen Regelungen für die Auftragsverarbeitung oder für eine gemeinsame Verantwortlichkeit. Der Dokumentationsaufwand soll dadurch reduziert werden.

Als Konsequenz aus dem Schrems-II-Urteil müssen die Parteien der Standardvertragsklauseln vor der Datenübermittlung in ein Drittland zudem eine Risikoeinschätzung durchführen, bei der zu prüfen ist, ob die Regelungen der Standardvertragsklauseln in dem betreffenden Drittland eingehalten werden können. Dabei sollen die spezifischen Umstände des Datentransfers, die Rechtsvorschriften und Gepflogenheiten im Zielland (einschließlich derer, die zu einer Offenlegung personenbezogener Daten gegenüber Behörden führen können), sowie etwaige zusätzliche Schutzmaßnahmen und technisch-organisatorische Maßnahmen einbezogen werden. Die Prüfung ist zu dokumentieren und auf Anfrage der Datenschutzaufsichtsbehörde vorzulegen. Darüber hinaus treffen den Datenimporteur umfassende Benachrichtigungs-, Prüf- und Anfechtungspflichten im Falle eines Herausgabeverlangens einer Behörde im Zielland.

Darüber hinaus ist der Datenimporteur verpflichtet, mit Unterauftragsverarbeitern eine Drittbegünstigungsklausel zu vereinbaren, wonach der Datenexporteur unter bestimmten Voraussetzungen das Recht hat, den Unterauftrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben. Zudem können sich betroffene Personen auf bestimmte Klauseln der Standardvertragsklauseln als Drittbegünstigte berufen und diese gegenüber den Parteien durchsetzen.

Die bisherigen Standardvertragsklauseln werden drei Monate nach Inkrafttreten der neuen Klauseln aufgehoben; der Zeitpunkt des Inkrafttretens hängt dabei von der noch nicht erfolgten Veröffentlichung des Annahmebeschlusses im Amtsblatt der Europäischen Union ab. Bis zu diesem Zeitpunkt gelten die bisherigen Standardvertragsklauseln als geeignete Rechtsgrundlage nach Art. 46 DSGVO. Zudem soll für einen weiteren Zeitraum von 15 Monaten eine Übergangsfrist gelten, in der bereits bestehende Vereinbarungen zu Datenübermittlungen weiter auf Grundlage der bisherigen Standardvertragsklauseln ausgeführt werden können; im Falle relevanter Vertragsänderungen muss jedoch eine Ersetzung der bisherigen mit den neuen Standardvertragsklauseln in dem bestehenden Vertrag erfolgen. Nach diesem Zeitraum müssen jedoch alle Standardvertragsklauseln auf die neuen Versionen umgestellt sein. Danach sind Datenübermittlungen außerhalb der EU/des EWR auf Grundlage der alten Standardvertragsklauseln nicht mehr zulässig und stellen Datenschutzverstöße dar, die Untersagungen der Datenverarbeitung, der Verwendung des jeweiligen Dienstleister oder seiner Anwendungen bis hin zu Bußgeldern zur Folge haben können.

Unternehmen müssen ihre datenschutzrechtlichen Vereinbarungen damit zwar nicht in einem Hauruck-Verfahren anpassen, für neue Vertragsabschlüsse oder Vertragsänderungen sind aber die neuen Standardvertragsklauseln nach ihrem Inkrafttreten bereits zu vereinbaren. Allerdings sollte der Änderungsaufwand nicht unterschätzt werden: Für die Vornahme der entsprechenden Vertragsänderungen müssen Datenschutzniveaus der Zielländer geprüft, Vertragspartner angeschrieben und ggf. zusätzliche Sicherheitsmaßnahmen verhandelt werden. Vor allem in größeren Unternehmen bzw. Unternehmensgruppen sollte daher umgehend mit der Ersetzung der bestehenden Standardvertragsklausen begonnen werden, um die Umsetzungsfrist einhalten zu können.

Ein Problem bleibt aber bestehen: Absolute Rechtssicherheit für Unternehmen in der EU bieten auch die neuen Standardvertragsklauseln nicht. Denn die Anforderungen an internationale Datentransfers, die sich aus dem Schrems II-Urteil ergeben, erfordern eine eingehende Prüfung des Datenschutzniveaus im Einzelfall. Somit müssen Verantwortliche weiterhin für jede Datenübermittlung in ein Drittland ermitteln, ob und unter Vereinbarung welcher Sicherheitsmaßnahmen ein angemessenes Datenschutzniveau hergestellt werden kann und solche ggf. zusätzlich zu den neuen Standardvertragsklauseln vereinbaren. Es bleibt abzuwarten, wie sich die europäischen Datenschutzaufsichtsbehörden hierzu äußern.