Die DSGVO sieht im Hinblick auf Datentransfers in Länder außerhalb der EU / des EWR (sog. Drittländer) die Notwendigkeit bestimmter Sicherheitsmechanismen zur Gewährleistung eines angemessenen Datenschutzniveaus vor. Die „Standardvertragsklauseln“ stellen ein in der Praxis sehr häufig genutztes solches Instrument zur datenschutzrechtlichen Absicherung von Drittlandtransfers dar. Da die bisherigen Standardvertragsklauseln jedoch bereits auf Grundlage der früheren EU-Datenschutzrichtlinie erlassen worden sind und infolgedessen terminologisch sowie inhaltlich nicht vollständig den Vorgaben der DSGVO entsprachen, wurde deren Überarbeitung bereits seit einiger Zeit erwartet. Am heutigen Tage hat die EU-Kommission daher die neuen Europäischen Standardvertragsklauseln veröffentlicht (die Presseerklärung sowie die Standardvertragsklauseln können über diesen Link abgerufen werden).
Umsetzungszeitraum
Die bisherigen Standardvertragsklauseln dürfen ab dem Zeitpunkt der – noch ausstehenden – offiziellen Veröffentlichung nur noch drei Monate lang abgeschlossen werden. Diese Karenzzeit dient dem Zweck, laufende oder bereits abgeschlossene Vertragsverhandlungen auf Grundlage der bisherigen Standardvertragsklauseln nicht gegenstandslos werden zu lassen. Spätestens mit Ablauf weiterer 15 Monate müssen jedoch auch alle bestehenden Standardvertragsklauseln auf die neuen Regelungen umgestellt werden. Es stehen also umfangreiche Nachverhandlungen an.
Schrems-II-Implementierung
Die neuen Standardvertragsklauseln enthalten eine Vielzahl von „Schrems-II“-Verpflichtungen, damit die Anforderungen des Europäischen Gerichtshofs und des Europäischen Datenschutzausschusses an Drittlandtransfers erfüllt werden. Dennoch wird der Abschluss der neuen Standardvertragsklauseln allein in der Regel nicht ausreichen, um diese Anforderungen vollständig zu erfüllen. Vielmehr wird nach wie vor häufig die Implementierung ergänzender Schutzmaßnahmen erforderlich sein.
Obligatorische Folgenabschätzung
Die neuen Standardvertragsklauseln sehen eine obligatorische Datentransfer-Folgenabschätzung vor, die von den Beteiligten durchgeführt werde muss. Beide Parteien müssen versichern, dass sie keine Zweifel an der Einhaltung europäischer Datenschutzstandards im Land des Datenimporteurs haben. Dies könnte im Hinblick gerade auf US-Importeure in Anbetracht der Schrems II-Entscheidung des EuGH in Teilen unter Umständen problematisch werden. Die Folgenabschätzung ist zu dokumentieren und den Aufsichtsbehörden auf Verlangen vorzulegen.
Baukastenprinzip
Ferner folgen die neuen Standardvertragsklauseln einem modularen Ansatz: Anstelle verschiedener Standardvertragsklauseln-Sets wird es in Zukunft nur noch einen Satz an Standardvertragsklauseln geben, der je nach konkreter Ausgestaltung des jeweiligen Datentransfers durch die Verwendung bestimmter und das Weglassen anderer Textbausteine angepasst werden kann. Dies erhöht zwar grundsätzlich die Flexibilität, aber ob dies nicht zugleich die Anwendung erschwert, bleibt abzuwarten. Zudem wurden mit „Auftragsverarbeiter–zu-Auftragsverarbeiter“ sowie „Auftragsverarbeiter-zu-Verantwortlichem“ zwei neue Konstellationen eingeführt, wobei zweitgenanntes Szenario in der Praxis bisher eher selten vermisst wurde und voraussichtlich zu Problemen führen wird.
Hierarchie und Haftung
Darüber hinaus enthalten die neuen Standardvertragsklauseln eine strenge Hierarchieklausel sowie eine Haftungsklausel, die es für Datenimporteure sehr schwierig machen wird, ihre Haftung in Bezug auf Datentransfers zu begrenzen.
Ausblick und Behördenmaßnahmen
Zusammenfassend lässt sich festhalten, dass die neuen Standardvertragsklauseln besser an die DSGVO angepasst sind, Datentransfers zwischen Auftragsverarbeitern flexibler abbilden sowie bereits Schrems-II-Anforderungen umsetzen. Allerdings wird der Abschluss der neuen Standardvertragsklauseln aufgrund der Notwendigkeit einer begleitenden Transfer-Folgenabschätzung nicht mehr einfach nur eine reine „Abhakübung“ sein.
Alle laufenden Datentransfers auf Grundlage von Standardvertragsklauseln müssen innerhalb der nächsten (etwa) 18 Monate auf die neuen Klauseln umgestellt werden. Seien Sie daher vorbereitet und
- führen Sie ein Datenmapping durch, um festzustellen, in welchen Fällen die neuen Standardvertragsklauseln abzuschließen sind,
- bereiten Sie die Standardvertragsklauseln bereits Ihren Bedürfnissen vor,
- standardisieren Sie den Prozess für Transfer-Folgenabschätzungen vor und – wie immer -
- dokumentieren Sie Ihre Maßnahmen und bewerten Sie diese ständig neu.
Drittlandtransfers bilden einen Schwerpunkt bei Ermittlungsmaßnahmen der Datenschutzaufsichtsbehörden: Diese haben gerade in dieser Woche angekündigt, deutschlandweite Prüfungen in Bezug auf internationale Datentransfers deutscher Unternehmen vorzunehmen, und versenden Fragebögen insbesondere zum Einsatz von Dienstleistern zum E-Mail-Versand, zum Hosting von Internetseiten, zum Webtracking, zur Verwaltung von Bewerber*innendaten und um den konzerninternen Austausch von Kund*innendaten und Daten der Beschäftigten.
Sprechen Sie uns bei Fragen hierzu gerne an.
