EU-Standardvertragsklauseln

Fotolia_50318856_S.jpg

Bild Auftragsdatenverarbeitung

Achtung – Auswirkungen des Schrems II-Urteils des EuGH

Mit Urteil vom 16. Juli 2020 hat der Europäische Gerichtshof (EuGH) das EU-U.S. Privacy Shield für unwirksam erklärt (Rs. C-311/18; sog. Schrems II). Zugleich hat der EuGH festgestellt, dass der Beschluss der Kommission über Standardvertragsklauseln (2010/87/EU) grundsätzlich weiterhin gültig ist. Standardvertragsklauseln können damit für eine Übermittlung personenbezogener Daten in Drittländer grundsätzlich weiter genutzt werden. Allerdings hat der EuGH betont, dass es in der Verantwortung des Datenexporteurs liegt, zu prüfen, ob die Rechte der betroffenen Personen im Drittland ein gleichwertiges Schutzniveau wie in der EU genießen. Im Einzelfall müssen gegebenenfalls zusätzliche Maßnahmen zur Sicherstellung eines dem in der EU im Wesentlichen gleichwertigen Schutzniveaus ergriffen werden.

Existiert für das jeweilige Drittland kein Angemessenheitsbeschluss, kann die Übermittlung personenbezogener Daten in ein Drittland gleichwohl unter den Voraussetzungen des Art. 46 DS-GVO zulässig sein.

Hiernach darf ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Als solche geeigneten Garantien kommen insbesondere von der Europäischen Kommission genehmigte Standarddatenschutzklauseln (früher: Standardvertragsklauseln) in Betracht, Art. 46 Abs. 2 lit. c) DS-GVO.

Bereits auf Grundlage der alten EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) erließ die Kommission folgende Standardvertragsklauseln:

Für die Übermittlung an Empfänger, die die Daten als Verantwortliche erhalten, gelten die

  • Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (sog. Set I) (de/en) sowie die
  • sog. Alternativen Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (sog. Set II) (de/en).

Für die Übermittlung personenbezogener Daten an Empfänger, die die Daten zum Zwecke der Auftragsdatenverarbeitung erhalten, gelten die

  • Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsdatenverarbeiter in Drittländern (de / en).

Diese Standardvertragsklauseln bleiben bis zu einer gegenteiligen Beschlussfassung durch die Europäische Kommission auch nach dem Inkrafttreten der DS-GVO zum 25.05.2018 in Kraft.

Für wen eignen sich die Standarddatenschutzklauseln?

Die Verwendung von Standarddatenschutzklauseln stellt gerade für kleinere und mittlere Unternehmen ein einfach handhabbares Instrument zur rechtmäßigen Übermittlung personenbezogener Daten in Drittländer dar.

Zwar ist es möglich, die Standarddatenschutzklauseln auch in umfangreichere Vertragswerke einzubauen oder um zusätzliche Klauseln zu ergänzen. Zu bedenken ist allerdings, dass die Übermittlung der Daten nur dann genehmigungsfrei ist, wenn die Standarddatenschutzklauseln unverändert verwendet werden.

SERVICE