Was sind Standardvertragsklauseln?

Standardvertragsklauseln (Standard Model Clauses, Standard Contractual Clauses) sind eines der einfachsten und am weitesten verbreiteten Instrumente, um die von der Allgemeinen Datenschutzverordnung ("DSGVO") geforderten Datenschutzgarantien zu erfüllen. Es handelt sich dabei um Mustervertragstexte, die bei der Erstellung relevanter Vertragsunterlagen im Bereich der Datenschutzgrundverordnung verwendet werden können. 

Annahme neuer Standardvertragsklauseln

Ab dem 27. Juni 2021 werden zwei Gruppen neuer Standardvertragsklauseln herausgegeben, nämlich (i) Vertragsklauseln für die Übermittlung personenbezogener Daten aus der EU oder dem EWR in Drittländer und (ii) Vertragsklauseln für Verträge über die Verarbeitung personenbezogener Daten innerhalb der EU und des EWR. Diese Standardvertragsklauseln sind direkt in den Durchführungsbeschlüssen (EU) 2021/914 und (EU) 2021/915 der Europäischen Kommission enthalten, die auf der Website www.eur-lex.europa.eu leicht abgerufen werden können.

Klauseln für die Übermittlung personenbezogener Daten aus der EU oder dem EWR in Drittländer

Im Juli 2020 erklärte der Gerichtshof der Europäischen Union in seinem Urteil in der Rechtssache Schrems II den sogenannten EU-US-Datenschutzschild (EU–US Privacy Shield) für ungültig, wodurch die Übermittlung personenbezogener Daten in die USA erschwert wurde.  Der EU-US-Datenschutzschild (der Nachfolger des zuvor aufgehobenen Safe Harbor-Programms) diente dazu, US-Unternehmen die Möglichkeit zu geben, personenbezogene Daten aus Ländern der Europäischen Union auf vereinfachte, zertifizierungsbasierte Weise zu erhalten. In seinem Urteil stellte der EuGH jedoch fest, dass angesichts der weitreichenden Befugnisse der US-Geheimdienste der Schutz personenbezogener Daten in den USA nicht als gleichwertig mit dem in der EU angesehen werden kann. Eine solche Situation steht im Widerspruch zu den Bestimmungen der EU-Grundrechtecharta, weshalb der EuGH das Programm abschaffte. Ebenso stellte es fest, dass selbst Standardvertragsklauseln nicht verwendet werden können, wenn das Rechtssystem eines Drittlandes einen angemessenen Schutz personenbezogener Daten verhindert.

So warten Unternehmen, die personenbezogene Daten in Drittländer (insbesondere in die USA) übermitteln, seit Mitte 2020 gespannt auf die Formulierung der neuen Standardvertragsklauseln. Diese wurden am 12. November 2020 als Teil von zwei Entwürfen für Durchführungsrechtsakte der Europäischen Kommission eingeführt und die endgültige Fassung wurde am 4. Juni dieses Jahres veröffentlicht.

Klauseln für Verträge zur Verarbeitung personenbezogener Daten in der EU und im EWR

Diese neuen Standardvertragsklauseln gelten für die Übermittlung personenbezogener Daten innerhalb der EU und des EWR und können in Verträgen zwischen für die Verarbeitung Verantwortlichen und Auftragsverarbeitern gemäß Artikel 28 Absätze 3 und 4 der Datenschutz-Grundverordnung verwendet werden.

Verpflichtungen, die sich aus der Annahme der neuen Standardvertragsklauseln ergeben

Die neuen Standardklauseln können ab dem 27. Juni 2021 verwendet werden. Bei der Übermittlung personenbezogener Daten in Drittländer können die "alten" Vertragsklauseln unter bestimmten Bedingungen bis zum 27. Dezember 2022 verwendet werden. Es wird jedoch allgemein empfohlen, Verträge, die die alten Vertragsklauseln enthalten, so bald wie möglich zu aktualisieren.