Neue EU-Standardvertragsklauseln für den internationalen Datentransfer

Die Europäische Kommission hat am 4. Juni 2021 neue Standardvertragsklauseln für den internationalen Datentransfer beschlossen. Dabei hat sie die neuen Anforderungen der Datenschutz-Grundverordnung (DSGVO) sowie die Vorgaben aus dem „Schrems-II“-Urteils des Europäischen Gerichtshofs (EuGH) vom 16. Juli 2020 berücksichtigt.

Der EuGH erklärte mit seinem Urteil vom 16. Juli 2020 den „Privacy Shield“-Beschluss für ungültig, auf dessen Grundlage personenbezogene Daten in die USA übermittelt werden konnten. Er äußerte sich darüber hinaus auch zu den bisherigen Standardvertragsklauseln, welche für die Übermittlung von Daten an Auftragsverarbeiter außerhalb der EU genutzt werden können, und hielt diese zwar für grundsätzlich geeignet. Diese grundsätzliche Geeignetheit wird vom EuGH allerdings dadurch eingeschränkt, dass die Parteien auch bei vereinbarten Standardvertragsklauseln sicherstellen müssen, dass wirksame Durchsetzungsmöglichkeiten für Betroffenenrechte bestehen, und ggf. zusätzliche technische, vertragliche und organisatorischen Maßnahmen vereinbart werden müssen. Wir hatten die Entscheidung des EuGH untersucht und erste Handlungsempfehlungen gegeben: https://www.tcilaw.de/eugh-erklaert-mit-urteil-in-sachen-schrems-ii-den-privacy-shield-beschluss-fuer-unwirksam/

Mit den neuen Standardvertragsklauseln stellt die EU-Kommission anstelle separater Klauseln ein übergreifendes Instrumentarium zur Verfügung, das eine breite Palette von Transferszenarien abdeckt. Sie sollen ein praktisches Werkzeug für die Einhaltung des „Schrems II“-Urteils darstellen, samt einer Übersicht der verschiedenen Maßnahmen, die Unternehmen ergreifen müssen, um diesem Urteil nachzukommen, sowie Beispiele möglicher „zusätzlicher Maßnahmen“ wie Verschlüsselung, die Unternehmen erforderlichenfalls ergreifen können. Zudem bieten sie aufgrund eines modularen Ansatzes mehr Flexibilität bei komplexen Verarbeitungsketten, sowie die Möglichkeit, dass die Klauseln auch mehr als zwei Parteien nutzen können.

Die neuen Standardvertragsklauseln treten am 27. Juni 2021 in Kraft und drei Monate später, nämlich zum 27. September 2021 werden die bisherigen Standardvertragsklauseln aufgehoben, sodass ab diesem Datum nur noch die neuen Standardvertragsklauseln verwendet werden dürfen. Für Verträge, die vor dem 27. September 2021 auf Grundlage der bisherigen Standardvertragsklauseln geschlossen wurden, besteht ein Übergangszeitraum von 15 Monaten.

Zwar bieten die neuen Standardvertragsklauseln den Vorteil, verschiedene Szenarien des Datentransfers in Drittländer besser abbilden zu können und die Anforderungen des „Schrems II“-Urteils umzusetzen. Jedoch ist ihre Anwendung und Umsetzung deutlich komplexer als bisher.