§ 12 Grenzüberschreitender Verkehr von Beschäftigtendaten / c) Genehmigte Verhaltensregeln (CoC), Art. 46 Abs. 2 lit. e DSGVO

Rz. 36

Die grenzüberschreitende Datenübermittlung ist auch dann möglich, wenn ihr sog. genehmigte Verhaltensregeln (engl. Codes of Conduct, im Folgenden: "CoC") mit verbindlichen und durchsetzbaren Verpflichtungen des Verantwortlichen (bzw. des Auftragsverarbeiters) im Drittland zugrunde liegen, Art. 46 Abs. 2 lit. e DSGVO.

aa) Zustandekommen und Umsetzung von CoC

Rz. 37

Verbände und andere Vereinigungen, die datenübermittelnde Unternehmen kleiner und mittlerer Größe repräsentieren, können CoC ausarbeiten und damit die abstrakten Bestimmungen der DSGVO praxisnah präzisieren (Art. 40 Abs. 2 DSGVO). Es handelt sich dabei also um branchen-, sektor- oder verbandsspezifische Leitlinien für die grenzüberschreitende Datenübermittlung inklusive organisatorischer Sicherheitsvorkehrungen.

Wenn diese CoC ein ausreichendes Datenschutzniveau bieten, werden sie von der jeweils zuständigen (Art. 55 DSGVO) nationalen Aufsichtsbehörde genehmigt (Art. 40 Abs. 5 DSGVO) und sodann vom EU-Datenschutzausschuss veröffentlicht (Art. 40 Abs. 9 DSGVO). Um als geeignete Garantien i.S.v. Art. 46 DSGVO zu gelten, müssen die CoC nicht nur vom EU-Datenübermittler, sondern von dem im Drittland ansässigen Datenempfänger verbindlich eingehalten werden. Dazu muss der im Drittland ansässige Verantwortliche (bzw. Auftragsverarbeiter) mittels vertraglicher oder sonstiger Instrumente vom EU-Datenübermittler an dessen CoC gebunden werden, Art. 40 Abs. 3 S. 2 DSGVO. Ob CoC den grenzüberschreitenden Datentransfer legitimieren können, hängt maßgeblich davon ab, wie effektiv die betroffenen Personen (z.B. Beschäftigte) die Rechte an ihren Daten in der Praxis durchsetzen können – etwa vor Gerichten oder Aufsichtsbehörden des Drittlands oder mittels Schiedsverfahrens. Über die tatsächliche Einhaltung der jeweiligen CoC wacht die nationale Aufsichtsbehörde oder eine von ihr akkreditierte Stelle, Art. 41 Abs. 1 DSGVO.

Im Bereich des Cloud-Computings sei auf die Initiative EU Cloud CoC hingewiesen, die an CoCs arbeitet, die auch auf den Einsatz in Drittländern gem. Art. 46 Abs. 2 lit. e DSGVO anzielen.^[43]

[43] Initiative EU Cloud CoC, Drittländer, unter https://eucoc.cloud/en/about/third-country-transfer-initiative/ (Stand 09/2021) abrufbar.

bb) Praktische Bewertung von CoC als Übermittlungsgrundlage

Rz. 38

Vorteil:

▪	Keine gesonderte Genehmigung der einzelnen Datenübermittlung notwendig (Art. 46 Abs. 2 DSGVO).

Rz. 39

Nachteile:

▪	Kooperation des zuständigen Verbands notwendig: Ob für das individuelle Unternehmen passende und belastbare CoC zustande kommen, hängt von der freiwilligen Mitwirkung des jeweils zuständigen Verbands ab.
▪	Erheblicher Aufwand in dreierlei Hinsicht: Erstens ist eine sorgfältige Abstimmung zwischen Verband und Unternehmen über den Inhalt der CoC empfehlenswert (Erwägungsgrund 99 DSGVO). Zweitens droht ein komplexes Genehmigungsverfahren vor der nationalen Aufsichtsbehörde. Drittens muss die Bindung des im Drittland ansässigen Datenempfängers an die CoC sowie deren tatsächliche Umsetzung sichergestellt werden.
▪	Gewinn an Rechtssicherheit nur dann, wenn CoC im Drittland tatsächlich beachtet werden.

Rz. 40

Praxistipp

Aufgrund des auffälligen Missverhältnisses^[44] zwischen Aufwand und Ertrag erscheint selbst drei Jahre nach Einführung der DSGVO zweifelhaft, ob sich CoC als Instrument zur Legitimation grenzüberschreitenden Verkehrs von Beschäftigtendaten – insbesondere beim KMUs – in der Praxis langfristig durchsetzen können.

[44] Eingehend Wolff, ZD 2017, 151, 154.