Mitarbeiterdatenschutz bei Datenübermittlungen in Drittl ... / 4.3.1 Erweiterter Anwendungsbereich

Die Neuen Standardvertragsklauseln decken einen breiteren Bereich ab. Sie sind modular aufgebaut, sodass Importeur und Exporteuer diejenigen Klauseln auswählen können, die im Hinblick auf die für sie relevante(n) Art(en) der Datenübermittlung einschlägig sind.

Während zuvor nur Übermittlungen von Verantwortlichen an Verantwortliche und Übermittlungen von Verantwortlichen an Datenverarbeiter abgedeckt wurden, enthalten die Neuen Standardvertragsklauseln vier Module, die sämtliche der folgenden Übermittlungsszenarien erfassen:

• Verantwortlicher an Verantwortlichen
• Verantwortlicher an Datenverarbeiter
• Datenverarbeiter an Datenverarbeiter
• Datenverarbeiter an Verantwortlichen (wobei dann der Verantwortliche den Datenverarbeiter anweisen müsste).

Praktische Auswirkungen

Datenverarbeiter und Dienstleister in der EU (z. B. auch Shared Service Center im Unternehmensverbund) können die Neuen Standardvertragsklauseln nun direkt mit Empfängern außerhalb der EU abschließen, was zuvor nicht möglich war. Praktische Relevanz haben vor allem der Einsatz von Unterauftragnehmern durch das Shared Service Center.

Das neue modulare Format soll es Organisationen ermöglichen, Sicherheitsvorkehrungen für die Übermittlung zu treffen, die sämtliche Übermittlungsarten leichter abdecken. Die Nutzung der individuell zugeschnittenen Neuen Standardvertragsklauseln wird jedoch einen höheren Verwaltungsaufwand erfordern, da es nicht mehr ausreichen wird, die Klauseln einfach an eine Auftragsdatenverarbeitungsvereinbarung anzuhängen. Es wird notwendig sein, die Neuen Standardvertragsklauseln zu prüfen und auf Grundlage des für die Übermittlung relevanten Moduls die jeweils passenden Klauseln auszuwählen. Zwar ist es hilfreich, dass die Neuen Standardvertragsklauseln ein breiteres Übermittlungsspektrum abdecken, es sind jedoch auch einige wichtige Bereiche ungeregelt geblieben. Die Neuen Standardvertragsklauseln können nicht verwendet werden, wenn der Importeur der DSGVO unterliegt (wegen Art. 3 Abs. 2 DSGVO). Sie erläutern leider nicht, ob Standardvertragsklauseln in einer solchen Situation überhaupt notwendig sind (d. h. ob diese Situation überhaupt als Übermittlung anzusehen ist). Erwägungsgrund 7 der Neuen Standardvertragsklauseln enthält sogar die Formulierung, dass die Klauseln "unbeschadet der Auslegung des Begriffs der internationalen Datenübermittlung" verwendet werden können, was als Anerkenntnis dieser Grauzone ausgelegt werden könnte.