Internationaler Datenaustausch: Die neuen EU-Standarddatenschutzklauseln

Zusammenfassung

Überblick

Am 4. Juni 2021 veröffentlichte die EU-Kommission überarbeitete Standarddatenschutzklauseln (SDK), die im Einklang mit der DSGVO stehen. In dem Beitrag werden der rechtliche Hintergrund, der Aufbau mit den 4 Modulen sowie die einzelnen Klauseln und ihre Konsequenzen erläutert.

Gesetze, Vorschriften und Rechtsprechung

Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates

1 Rechtlicher Hintergrund

Am 4. Juni 2021 veröffentlichte die EU-Kommission überarbeitete Standarddatenschutzklauseln (SDK), die im Einklang mit der DSGVO stehen. Der EuGH hatte letztes Jahr mit dem "Schrems II"-Urteil nicht nur die Übermittlung personenbezogener Daten in die USA auf Grundlage des Privacy Shields für unzulässig erklärt, sondern auch festgestellt, dass das Instrument der SDK beim Datentransfer in Drittstaaten datenschutzrechtlich nicht immer ausreichend sei.

Mit diesen neuen Standardvertragsklauseln soll sichergestellt werden, dass die Anforderungen der DSGVO bei der Übermittlung personenbezogener Daten an ein Drittland eingehalten werden. Als Datenexporteure gelten natürliche oder juristische Personen, die Daten in ein Drittland übermitteln. Als Datenimporteur gilt, wer diese Daten im Drittland direkt oder indirekt erhält. Auch Datenexporteure, die im Auftrag eines Organs oder einer Einrichtung der EU als Verantwortliche handeln, können diese Klauseln bei der Beauftragung eines anderen Auftragsverarbeiters (Unterauftragsverarbeitung), der nicht der DSGVO untersteht, anwenden, weil sie den entsprechenden Vorschriften angeglichen sind.

Das Abkommen über den Europäischen Wirtschaftsraum (EWR-Abkommen) regelt die Einbeziehung der drei EWR-Staaten Island, Liechtenstein und Norwegen in den Binnenmarkt der Europäischen Union. Die DSGVO wurde in Anhang XI aufgenommen. Daher gilt eine Weitergabe durch den Datenimporteur an einen im EWR ansässigen Dritten nicht als Weiterübermittlung im Sinne dieser Klauseln.

Im August 2021 wurden die Standardvertragsklauseln auch in der Schweiz anerkannt und zwar als Grundlage für Personendatenübermittlungen in ein Land ohne angemessenes Datenschutzniveau, sofern die für eine Verwendung unter Schweizer Datenschutzrecht notwendigen Anpassungen und Ergänzungen vorgenommen werden.

2 Vier Module

Neu in den SDK ist der modulare Ansatz, mit dem man die Klauseln an verschiedene Übermittlungsszenarien angepasst hat. Die Verantwortlichen und Auftragsverarbeiter sollen einerseits die allgemeinen Bestimmungen beachten, aber auch für Einzelheiten das zutreffende Modul auswählen. Diese Module unterscheiden sich unter anderem durch die Weisungsberechtigung (Klauseln 8.1)

• Modul Eins: Übermittlung von Verantwortlichen an Verantwortliche: Für dieses Modul gibt es keine Regelungen über Weisungen, bzw. Weisungsberechtigung. Zu empfehlen ist, eine gegenseitige Informationspflicht zu vereinbaren und die Daten von Kontaktpersonen auszutauschen für den Fall, dass Verpflichtungen nicht eingehalten werden können oder es sonstige Probleme gibt.
• Modul Zwei: Übermittlung von Verantwortlichen an Auftragsverarbeiter: Der Datenimporteur verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Datenexporteurs. Der Datenexporteur kann solche Weisungen während der gesamten Vertragslaufzeit erteilen. Der Datenimporteur unterrichtet den Datenexporteur unverzüglich, wenn er diese Weisungen nicht befolgen kann
• Modul Drei: Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter: Der Datenimporteur verarbeitet die personenbezogenen Daten nur auf der Grundlage dokumentierter Weisungen des Verantwortlichen, die ihm vom Datenexporteur mitgeteilt wurden und allenfalls zusätzlichen Weisungen, die nicht im Widerspruch zu den Weisungen des Verantwortlichen stehen. Der Datenimporteur unterrichtet den Datenexporteur unverzüglich, wenn er diese Weisungen nicht befolgen kann. Der Datenexporteur teilt das unverzüglich dem Verantwortlichen mit.
• Modul Vier: Übermittlung von Auftragsverarbeitern an Verantwortliche: Der Datenexporteur verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Datenimporteurs, der als sein Verantwortlicher fungiert. Der Datenimporteur sieht von jeglicher Handlung ab, die den Datenexporteur an der Erfüllung seiner Pflichten gemäß der DSGVO hindern würde, auch im Zusammenhang mit Unterverarbeitungen oder der Zusammenarbeit mit den zuständigen Aufsichtsbehörden. Der Datenexporteur unterrichtet den Datenimporteur unverzüglich, wenn er die betreffenden Weisungen nicht befolgen kann, u. a. wenn eine solche Weisung gegen Datenschutzvorschriften der EU oder eines Mitgliedstaats verstößt.

Innerhalb dieser Module kann es vorkommen, dass man Unteroptionen zur Auswahl hat, wie zum Beispiel in Klausel 9 über den Einsatz von Unterauftragnehmern. In den Modulen 2 und 3 kann man zwischen allgemeiner Genehmigung und Sondergenehmigung für die Zusammenarbeit mit Unterauftragnehmern wählen.

3 Anwendung und Auslegung

Die Klauseln 2 bis 8 enthalten allgemeine Best...