<\/p>\n
Will ein Unternehmen personenbezogene Daten in ein sogenanntes Drittland au\u00dferhalb der europ\u00e4ischen Union bzw. des europ\u00e4ischen Wirtschaftsraums \u00fcbertragen, bedarf es neben der Rechtsgrundlage f\u00fcr die Datenverarbeitung zus\u00e4tzlich einer Datenschutzgarantie f\u00fcr den Datentransfer. Sofern es an einem Angemessenheitsbeschluss der EU-Kommission mangelt werden daher bereits seit Jahren die EU-Standardvertragsklauseln, auch bekannt als Standarddatenschutzklauseln der EU-Kommission (kurz \u201eSCC\u201c f\u00fcr Standard Contractual Clauses), verwendet. Diese mittlerweile 25 Jahre alten Dokumente wurden nun aktualisiert.<\/strong><\/p>\n Dieser Beitrag soll die in diesem Zusammenhang aufgetretenen Fragen beantworten und somit eine Hilfestellung bei der datenschutzkonformen Verwendung der neuen Klauseln bieten.<\/p>\n <\/p>\n Bei weiteren Fragen und wenn Sie Unterst\u00fctzung bei den erforderlichen Anpassungen ben\u00f6tigen, wenden Sie sich bitte an uns.<\/p>\n <\/p>\n <\/p>\n Sobald ein Unternehmen, entweder in der Rolle des Verantwortlichen und\/oder der des Auftragsverarbeiters personenbezogene Daten in ein sogenanntes \u201eDrittland\u201c transferiert sind gem. Art 44 ff. DS-GVO geeignete Garantien zum Schutz dieser Daten erforderlich um sicherzustellen, dass das durch die DS-GVO gew\u00e4hrleistete Schutzniveau f\u00fcr die Daten nat\u00fcrlicher Personen nicht untergraben wird.<\/p>\n Sofern f\u00fcr das Drittland kein Angemessenheitsbeschluss der EU-Kommission vorliegt, werden die SCC meist ein wesentlicher Baustein hierf\u00fcr sein.<\/p>\n Wie das sogenannte Schrems II-Urteil des Europ\u00e4ischen Gerichtshof (Urteil vom 16.07.2020, Rechtssache C 311\/18) deutlich gemacht hat, reichen die in Art. 44 ff. DS-GVO aufgelisteten Garantien allerdings alleine nicht aus. Vielmehr muss sich mit der datenschutzrechtlichen Lage im Empf\u00e4ngerland auseinandergesetzt werden und gepr\u00fcft sowie festgelegt werden, welche weiteren technischen und organisatorischen Ma\u00dfnahmen (Verschl\u00fcsselung, Anonymisierung, Pseudonymisierung) f\u00fcr den jeweiligen Fall zus\u00e4tzlich erforderlich sind.<\/p>\n Ein m\u00f6gliches Ergebnis einer solchen Risikobewertung kann auch die Entscheidung sein, die geplante Daten\u00fcbermittlung nicht durchzuf\u00fchren und stattdessen eine europ\u00e4ische L\u00f6sung zu finden.<\/p>\n <\/p>\n Die bisherigen Standardvertragsklauseln stammen aus dem Jahr 1996. Die neuen SCC wurden nunmehr an den Wortlaut und die Anforderungen der DS-GVO angepasst.<\/p>\n Die neuen SCC verf\u00fcgen \u00fcber einem modularen Aufbau und bieten deutlich mehr individuelle Anpassungsm\u00f6glichkeiten, aber auch mehr Arbeit bevor sie f\u00fcr den jeweiligen Datentransfer verwendet werden k\u00f6nnen. W\u00e4hrend bei den bisherigen SCC meist mit dem Ausf\u00fcllen der Angaben zu den beiden Vertragsparteien die Anpassungsarbeit zu Ende war, beginnt bei den neuen SCC erst dann die eigentliche Gestaltung der Vertragsklauseln.<\/p>\n In den neuen SCC k\u00f6nnen erstmals andere Einrichtungen einem auf Grundlage der Standardvertragsklauseln abgeschlossenen Vertrages als Datenimporteure oder -exporteure dem Vertrag beitreten.<\/p>\n Bislang fehlten Klauseln f\u00fcr die Konstellation \u201eAuftragsverarbeiter und Unterauftragsverarbeiter\u201c. Die neuen Standardvertragsklauseln sind modular aufgebaut, damit auf eine gr\u00f6\u00dfere Zahl von Vertr\u00e4gen anwendbar als zuvor und umfassen auch Vertr\u00e4ge auf der Ebene der Unterauftragsverh\u00e4ltnisse.<\/p>\n Wenn Dienstleister auf Weisung eines Unternehmens Daten verarbeiten, dann liegt eine Auftragsverarbeitung im Sinne der DS-GVO vor. In solchen F\u00e4llen muss ein sogenannter Auftragsverarbeitungsvertrag (kurz \u201eAVV\u201c) abgeschlossen werden. Die neuen Standardvertragsklauseln entsprechen nunmehr zugleich den Anforderungen an einen Auftragsverarbeitungsvertrag. Dies bedeutet, wenn ein Vertrag auf Grundlage der Standardvertragsklauseln abgeschlossen wird, dann ist der Abschluss eines zus\u00e4tzlichen Auftragsverarbeitungsvertrages nicht mehr zwingend erforderlich.<\/p>\n Speziell die Klauseln 14 und 15 der neuen SCC enthalten spezielle Sicherheitsma\u00dfnahmen, die einigen der Erg\u00e4nzungen entsprechen, die von Datenschutzbeh\u00f6rden und dem Europ\u00e4ischen Datenschutzausschuss (\u201cEDSA\u201d) bereits zu den alten Standardvertragsklauseln vorgeschlagen wurden um den Forderungen aus dem Schrems II-Urteil gerecht zu werden.<\/p>\n Es ist nun erfreulicherweise in den neuen SCC festgelegt, dass diese Vorrang haben und etwaige widersprechenden Vertrags- oder AGB-Klauseln verdr\u00e4ngen (Abschnitt I Klausel 5).<\/p>\n Im Abschnitt II enth\u00e4lt Kapitel 12 modulare Haftungsklauseln und legt (gemeinsam mit der Regelung des Vorrangs der SCC) grunds\u00e4tzlich fest, dass die Haftung der Vertragsparteien bspw. nicht durch externe Haftungsausschl\u00fcsse in AGB eingeschr\u00e4nkt wird.<\/p>\n Die Vertragsparteien k\u00f6nnen nun im Abschnitt IV (Klauseln 17 & 18) die Geltung eines bestimmten nationalen Rechts und des Gerichtsstandes (innerhalb der EU) festlegen. Bspw. kann die Geltung des deutschen Rechts festgelegt werden, obwohl die Standardvertragsklauseln von einem Tochterunternehmen in Italien geschlossen werden.<\/p>\n In Hinblick auf die derzeit stattfindenden Diskussionen zu Daten\u00fcbermittlungen in die USA oder andere Drittl\u00e4nder verpflichtet sich der Datenimporteuer in Klausel 15 u.a. dazu:<\/p>\n Diese Verpflichtung kann (sofern es tats\u00e4chlich zu entsprechenden Herausgabebeschl\u00fcssen kommt) zu erheblichen Kosten beim Datenimporteur f\u00fchren.<\/p>\n Beide Vertragsparteien verpflichten sich in Klausel 14, dazu, dass sie insbesondere die folgenden Aspekte geb\u00fchrend ber\u00fccksichtigt haben:<\/p>\n Diese drei Punkte sind somit insbesondere bei Drittlands\u00fcbermittlungen im Rahmen der Risikobewertung und \u00dcberlegungen zu beachten und dies ist zu dokumentieren.<\/p>\n Befinden Sie sich gerade in Vertragsverhandlungen und w\u00fcrde eine Neuverhandlung der neuen SCC zu Verz\u00f6gerungen f\u00fchren, k\u00f6nnen Sie bis zum 27. September 2021 noch die alten SCC verwenden. Diese w\u00e4ren aber sp\u00e4testens bis zum 27. Dezember 2022 durch die neuen SCC auszutauschen.<\/p>\n Ab dem 27. September 2021 sind ausnahmslos die neuen SCC zu verwenden.<\/p>\n <\/p>\n <\/p>\n Bei allen neu geschlossenen Vertr\u00e4gen m\u00fcssen ab dem 27. September 2021 die neuen Standardvertragsklauseln ber\u00fccksichtigt werden. Bis dahin k\u00f6nnten noch die alten SCC verwendet werden, diese w\u00e4ren dann aber sp\u00e4testens bis zum 27. Dezember 2022 durch die neuen SCC auszutauschen.<\/p>\n <\/p>\n <\/p>\n Ja, der Austausch der bisherigen SCC durch die neuen SCC muss bis sp\u00e4testens 27. Dezember 2022 erfolgen. Sofern der Vertrag vor diesem Datum endet, ist ein Austausch somit nicht zwingend erforderlich. <\/p>\n <\/p>\n Bei bereits bestehenden Vertr\u00e4gen, muss der Austausch innerhalb von 18 Monaten, also bis sp\u00e4testens 27. Dezember 2022 erfolgen. Endet der entsprechende Vertrag bzw. die Verarbeitung bereits fr\u00fcher ist ein Austausch damit nicht zwingend erforderlich.<\/p>\n <\/p>\n <\/p>\n Insbesondere wenn die Zusammenarbeit und der damit verbundene Datenaustausch mit dem Vertragspartner \u00fcber den 27. Dezember 2022 hinaus erfolgen soll, sollten dem Vertragspartner die rechtlichen Risiken (siehe Punkt 3.9) mitgeteilt werden und sich nach den konkreten Gr\u00fcnden der Verweigerung erkundigt werden.<\/p>\n Die alten SCC sind nach 25 Jahren guter Dienste nicht mehr zeitgem\u00e4\u00df und kaum noch in der Lage die verschiedenen Vertragskonstellationen in einem aktuellen Format und Individualit\u00e4t nachzukommen. Die neuen SCC werden den aktuellen Herausforderungen besser gerecht und unterst\u00fctzen die Vertragspartner bei der datenschutzkonformen Gestaltung von Drittlandtransfers. Somit w\u00e4re die Aktualisierung der SCC im beiderseitigen Interesse.<\/p>\n Weigert sich der Vertragspartner dennoch, so w\u00e4re es sinnvoll, die Aufrechterhaltung der weiteren Vertragsbeziehung unter Ber\u00fccksichtigung der dadurch zus\u00e4tzlich entstehenden Risiken f\u00fcr das eigene Unternehmen neu zu bewerten.<\/p>\n <\/p>\n Sobald ein Datentransfer in ein Land au\u00dferhalb der EU \/ des EWR stattfinden soll, sind die neuen SCC zwischen den jeweiligen Beteiligten zu schlie\u00dfen.<\/p>\n Die neuen SCC sehen dabei vier unterschiedliche Verarbeitungskonstellationen vor (Module), die entsprechend in den SCC ausgew\u00e4hlt werden m\u00fcssen:<\/p>\n <\/p>\n Die neuen SCC sind modular aufgebaut und m\u00fcssen individuell im Rahmen der zur Verf\u00fcgung stehenden Module angepasst werden.<\/p>\n Mit Ausnahme der Auswahl des entsprechenden Moduls oder der entsprechenden Module oder der Erg\u00e4nzung oder Aktualisierung von Informationen in der Anlage d\u00fcrfen keine weiteren \u00c4nderungen oder Streichungen vorgenommen werden.<\/p>\n Aber die Standardvertragsklauseln d\u00fcrfen in einen umfangreicheren Vertrag aufgenommen werden (bspw. als Anhang). Zudem d\u00fcrfen auch weitere Klauseln oder zus\u00e4tzliche Garantien hinzugef\u00fcgt werden, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den sonstigen Regelungen der SCC stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden, wie beispielsweise die Betroffenenrechte (Art. 15-22 ff. DS-GVO).<\/p>\n <\/p>\n <\/p>\n Die neue Version der SCC steht unter https:\/\/eur-lex.europa.eu\/eli\/dec_impl\/2021\/914\/oj?locale=en<\/strong><\/em> in allen europ\u00e4ischen Sprachen zur Verf\u00fcgung und kann entsprechend genutzt werden. Wir empfehlen, dass die Sprachversion verwendet wird, die sie in ihrer Kommunikation mit dem jeweiligen Vertragspartner \u00fcberwiegend verwenden, bzw. die Sprache in dem sie die anderen Vertragsdokumente erstellt haben.<\/p>\n Sollten Sie parallel zwei Sprachversionen verwenden wollen (bspw. Englisch als Ausfertigung f\u00fcr ihren Vertragspartner in den UK und Deutsch f\u00fcr ihre Ausfertigung), so ist es sinnvoll, eine der beiden Dokumente zu bestimmen, die bei etwaigen Diskussion hinsichtlich der Auslegung Vorrang hat.<\/p>\n <\/p>\n <\/p>\n Wie bisher auch, fordert Art. 13 Abs. 1 lit. f DS-GVO, dass dem Betroffenen \u201eein Verweis auf die geeigneten oder angemessenen Garantien und die M\u00f6glichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verf\u00fcgbar sind\u201c zur Kenntnis gegeben wird. Bspw.:<\/p>\n In den F\u00e4llen, in denen es zu einer \u00dcbermittlung der Daten au\u00dferhalb der EU kommt, haben wir entsprechende EU-Standardvertragsklauseln abgeschlossen. Eine Kopie dieser Klauseln k\u00f6nnen Sie bei uns per E-Mail an SCC-Kopie@unternehmen.de anfordern bzw. finden Sie auf unserer Webseite unter www.unternehmen.de\/scc.<\/p>\n <\/p>\n Nein. Es ist im Rahmen einer zwingend durchzuf\u00fchrenden Risikobewertung, die datenschutzrechtliche Situation im Empf\u00e4ngerland zu bewerten und basierend darauf geeignete Schutzma\u00dfnahmen festzulegen oder die Datenverarbeitung darf, u.a. nach Ansicht der Vorsitzenden der Datenschutzkonferenz, grunds\u00e4tzlich nicht stattfinden.<\/p>\n <\/p>\n\u00a0<\/h3>\n
\u00a0<\/h3>\n
Wann braucht mein Unternehmen SCC?<\/h3>\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Worin unterscheiden sich die neuen SCC von den Alten?<\/h3>\n
\n
\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Kann ich die alten SCC weiteverwenden?<\/h3>\n
\u00a0<\/h3>\n
Wie lange kann ich alte SCC verwenden?<\/h3>\n
Ich habe einen Vertrag mit alten SCC. Muss ich diese nun durch die neuen SCC austauschen?<\/h3>\n
\nIm Falle relevanter Vertrags\u00e4nderungen sollte der Datenexporteur die M\u00f6glichkeit sofort nutzen und die bestehenden SCC durch die neuen ersetzen. Bspw. bei der Unterauftragsvergabe von Verarbeitungsvorg\u00e4ngen, die Gegenstand des Vertrags sind, an einen Unter-\/Auftragsverarbeiter.<\/p>\n\u00a0<\/h3>\n
Wann muss ich alte SCC durch die neuen austauschen?<\/h3>\n
\u00a0<\/h3>\n
Was ist zu tun, wenn mein Vertragspartner die SCC nicht aktualisieren m\u00f6chte?<\/h3>\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Mit wem m\u00fcssen SCC geschlossen werden?<\/h3>\n
\n
\n\u00dcbermittlung von einem Verantwortlichen (in der EU) an einen anderen Verantwortlichen (im Drittland)<\/li>\n
\n\u00dcbermittlung vom Verantwortlichen (in der EU) an den Auftragsverarbeiter (im Drittland)<\/li>\n
\n\u00dcbermittlung von einem Auftragsverarbeiter (in der EU) an einen anderen (Sub-) Auftragsverarbeiter (im Drittland)<\/li>\n
\n\u00dcbermittlung von einem Auftragsverarbeiter (in der EU) an den Verantwortlichen (im Drittland)<\/li>\n<\/ul>\nKann ich Klauseln in den SCC anpassen oder streichen?<\/h3>\n
\u00a0<\/h3>\n
In welcher Sprache muss ich die neuen SCC verwenden?<\/h3>\n
\u00a0<\/h3>\n
Muss ich den betroffenen Personen die neuen SCC aush\u00e4ndigen?<\/h3>\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Kann ich nun mit den neuen SCC personenbezogene Daten ohne weitere Ma\u00dfnahmen in Drittl\u00e4nder wie die USA \u00fcbertragen? Kann ich auf zus\u00e4tzliche Schutzma\u00dfnahmen verzichten?
\n<\/strong><\/h3>\n\u00a0<\/h3>\n
\u00a0<\/h3>\n
Welches Risiko droht meinem Unternehmen, wenn ich auf die SCC verzichte oder falsch verwende?<\/h3>\n