§ 12 Datenschutzrecht / b) Geeignete Garantien – insbesondere Standardvertragsklauseln

Rz. 138

Sofern kein Angemessenheitsbeschluss besteht, darf der Verantwortliche die Daten nach Art. 45 DSGVO nur übermitteln, sofern er geeignete Garantien zur Sicherstellung des angemessenen Datenschutzniveaus gewährleistet. Art. 45 Abs. 2 DSGVO gibt einige Möglichkeiten für derartige geeignete Garantien vor. Die praxisrelevanteste Alternative sind die Standarddatenschutzklauseln, die von der EU-Kommission erlassen wurden, sog. Standardvertragsklauseln. Diese Musterklauseln können im Falle der Datenübermittlung in ein Drittland ohne Angemessenheitsbeschluss mit dem Empfänger als zusätzliche Garantien vereinbart werden. Dabei dürfen die Musterklauseln nicht verändert werden. Sofern ein Fall der Auftragsverarbeitung vorliegt, sind die Standardvertragsklauseln zusätzlich zum Auftragsverarbeitungsvertrag abzuschließen.

Rz. 139

In seinem Urteil in Sachen Schrems II hat der EuGH klargestellt, dass die Standardvertragsklauseln weiterhin ein zulässiges Mittel zur Gewährleistung eines angemessenen Datenschutzniveaus in einem Drittland darstellen.^[61] Allerdings ist je nach Empfängerland gesondert zu prüfen, ob der Vertragspartner aufgrund der Rechtsordnung des Empfängerlandes in der Lage ist, die Vorgaben der Standardvertragsklauseln einzuhalten. Ist dies nicht der Fall, müssen zusätzlich zu den Standardvertragsklauseln geeignete Maßnahmen getroffen werden, um das Schutzniveau der DSGVO zu erreichen.

Rz. 140

Für die Datenübermittlung in die USA hat der EuGH in Sachen Schrems II festgestellt, dass aufgrund der weitreichenden Zugriffsbefugnisse der US-Behörden auf Daten, die von amerikanischen Unternehmen verarbeitet werden, der Abschluss der Standardvertragsklauseln allein nicht ausreicht. Es müssen zusätzliche Maßnahmen zum Schutz vor dem Zugriff der US-Behörden getroffen werden. Denkbar wäre insoweit beispielsweise eine sichere Verschlüsselung von Daten. Der Europäische Datenschutzausschuss (EDSA) hat zu möglichen geeigneten Maßnahmen mit den "Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data" Empfehlungen veröffentlicht.^[62]

[61] EuGH v. 16.7.2020 – C 311/18, Rn 149.

[62] Abrufbar auf der Webseite des EDSA: https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2020/recommendations-012020-measures-supplement-transfer_en.