Autor

Dr. Paul Voigt, Lic. en Derecho, CIPP/E

Partner

Read More
Autor

Dr. Paul Voigt, Lic. en Derecho, CIPP/E

Partner

Read More

4. Juni 2021

Neue Standardvertragsklauseln heute veröffentlicht

  • Briefing

Die DSGVO sieht im Hinblick auf Datentransfers in Länder außerhalb der EU / des EWR (sog. Drittländer) die Notwendigkeit bestimmter Sicherheitsmechanismen zur Gewährleistung eines angemessenen Datenschutzniveaus vor. Die „Standardvertragsklauseln“ stellen ein in der Praxis sehr häufig genutztes solches Instrument zur datenschutzrechtlichen Absicherung von Drittlandtransfers dar. Da die bisherigen Standardvertragsklauseln jedoch bereits auf Grundlage der früheren EU-Datenschutzrichtlinie erlassen worden sind und infolgedessen terminologisch sowie inhaltlich nicht vollständig den Vorgaben der DSGVO entsprachen, wurde deren Überarbeitung bereits seit einiger Zeit erwartet. Am heutigen Tage hat die EU-Kommission daher die neuen Europäischen Standardvertragsklauseln veröffentlicht (die Presseerklärung sowie die Standardvertragsklauseln können über diesen Link abgerufen werden).

Umsetzungszeitraum

Die bisherigen Standardvertragsklauseln dürfen ab dem Zeitpunkt der – noch ausstehenden – offiziellen Veröffentlichung nur noch drei Monate lang abgeschlossen werden. Diese Karenzzeit dient dem Zweck, laufende oder bereits abgeschlossene Vertragsverhandlungen auf Grundlage der bisherigen Standardvertragsklauseln nicht gegenstandslos werden zu lassen. Spätestens mit Ablauf weiterer 15 Monate müssen jedoch auch alle bestehenden Standardvertragsklauseln auf die neuen Regelungen umgestellt werden. Es stehen also umfangreiche Nachverhandlungen an.

Schrems-II-Implementierung

Die neuen Standardvertragsklauseln enthalten eine Vielzahl von „Schrems-II“-Verpflichtungen, damit die Anforderungen des Europäischen Gerichtshofs und des Europäischen Datenschutzausschusses an Drittlandtransfers erfüllt werden. Dennoch wird der Abschluss der neuen Standardvertragsklauseln allein in der Regel nicht ausreichen, um diese Anforderungen vollständig zu erfüllen. Vielmehr wird nach wie vor häufig die Implementierung ergänzender Schutzmaßnahmen erforderlich sein.

Obligatorische Folgenabschätzung

Die neuen Standardvertragsklauseln sehen eine obligatorische Datentransfer-Folgenabschätzung vor, die von den Beteiligten durchgeführt werde muss. Beide Parteien müssen versichern, dass sie keine Zweifel an der Einhaltung europäischer Datenschutzstandards im Land des Datenimporteurs haben. Dies könnte im Hinblick gerade auf US-Importeure in Anbetracht der Schrems II-Entscheidung des EuGH in Teilen unter Umständen problematisch werden. Die Folgenabschätzung ist zu dokumentieren und den Aufsichtsbehörden auf Verlangen vorzulegen.

Baukastenprinzip

Ferner folgen die neuen Standardvertragsklauseln einem modularen Ansatz: Anstelle verschiedener Standardvertragsklauseln-Sets wird es in Zukunft nur noch einen Satz an Standardvertragsklauseln geben, der je nach konkreter Ausgestaltung des jeweiligen Datentransfers durch die Verwendung bestimmter und das Weglassen anderer Textbausteine angepasst werden kann. Dies erhöht zwar grundsätzlich die Flexibilität, aber ob dies nicht zugleich die Anwendung erschwert, bleibt abzuwarten. Zudem wurden mit „Auftragsverarbeiter–zu-Auftragsverarbeiter“ sowie „Auftragsverarbeiter-zu-Verantwortlichem“ zwei neue Konstellationen eingeführt, wobei zweitgenanntes Szenario in der Praxis bisher eher selten vermisst wurde und voraussichtlich zu Problemen führen wird.

Hierarchie und Haftung

Darüber hinaus enthalten die neuen Standardvertragsklauseln eine strenge Hierarchieklausel sowie eine Haftungsklausel, die es für Datenimporteure sehr schwierig machen wird, ihre Haftung in Bezug auf Datentransfers zu begrenzen.

Ausblick und Behördenmaßnahmen

Zusammenfassend lässt sich festhalten, dass die neuen Standardvertragsklauseln besser an die DSGVO angepasst sind, Datentransfers zwischen Auftragsverarbeitern flexibler abbilden sowie bereits Schrems-II-Anforderungen umsetzen. Allerdings wird der Abschluss der neuen Standardvertragsklauseln aufgrund der Notwendigkeit einer begleitenden Transfer-Folgenabschätzung nicht mehr einfach nur eine reine „Abhakübung“ sein.

Alle laufenden Datentransfers auf Grundlage von Standardvertragsklauseln müssen innerhalb der nächsten (etwa) 18 Monate auf die neuen Klauseln umgestellt werden. Seien Sie daher vorbereitet und

  • führen Sie ein Datenmapping durch, um festzustellen, in welchen Fällen die neuen Standardvertragsklauseln abzuschließen sind,
  • bereiten Sie die Standardvertragsklauseln bereits Ihren Bedürfnissen vor,
  • standardisieren Sie den Prozess für Transfer-Folgenabschätzungen vor und – wie immer -
  • dokumentieren Sie Ihre Maßnahmen und bewerten Sie diese ständig neu.

Drittlandtransfers bilden einen Schwerpunkt bei Ermittlungsmaßnahmen der Datenschutzaufsichtsbehörden: Diese haben gerade in dieser Woche angekündigt, deutschlandweite Prüfungen in Bezug auf internationale Datentransfers deutscher Unternehmen vorzunehmen, und versenden Fragebögen insbesondere zum Einsatz von Dienstleistern zum E-Mail-Versand, zum Hosting von Internetseiten, zum Webtracking, zur Verwaltung von Bewerber*innendaten und um den konzerninternen Austausch von Kund*innendaten und Daten der Beschäftigten.

Sprechen Sie uns bei Fragen hierzu gerne an.

Call To Action Arrow Image

Newsletter-Anmeldung

Wählen Sie aus unserem Angebot Ihre Interessen aus!

Jetzt abonnieren
Jetzt abonnieren

Related Insights

Technologie-, Medien & Kommunikationsrecht

NIS 2 Umsetzungs- und Cybersicherheitsstärkungsgesetz: Deutschland verschärft IT-Sicherheitsanforderungen

Paul Voigt and Alexander Schmalenberger look at Germany's progress on NIS2 implementation.

28. August 2023
Briefing

von Dr. Paul Voigt, Lic. en Derecho, CIPP/E und Alexander Schmalenberger, LL.B.

Klicken Sie hier für Details
Daten & Cyber-Sicherheit

China: A practical insight into China SCCs and their impact on businesses

Michael Tan, Julian Sun, Paul Voigt and Wiebke Reuter look at what China's new SCCs mean for businesses looking to export personal data from China to the EU.

24. April 2023
In-depth analysis

von mehreren Autoren

Klicken Sie hier für Details
Daten & Cyber-Sicherheit

Cyber Incident Response and Data Breach Notification (Germany)

8. März 2023
In-depth analysis

von Dr. Paul Voigt, Lic. en Derecho, CIPP/E

Klicken Sie hier für Details