Richtiger Umgang mit EU-Standarddatenschutzklauseln (SCC)

Was sind EU-Standarddatenschutzklauseln (SCC)?

SCC sind von der Europäischen Kommission verabschiedete Vertragsmuster, die einen angemessenen Datenschutz bei der Übermittlung personenbezogener Daten in Drittländer gewährleisten sollen. Sie bieten Rechtssicherheit und gewährleisten, dass Unternehmen DSGVO-konform handeln. Zuletzt wurden die SCC in aktualisierter Form am 04. Juni 2021 von der Europäischen Kommission veröffentlicht.

Wann sind SCC verpflichtend?

Unternehmen, die personenbezogene Daten aus der EU in unsichere Drittländer übertragen (z. B. Nutzung von Cloud-Diensten in den USA), müssen grundsätzlich SCC abschließen, sofern keine Angemessenheitsentscheidung der EU-Kommission gem. Art. 45 DSGVO vorliegt. Es gibt noch weitere mögliche Ausnahmen, wenn keine SCC erforderlich sind, welche später im Beitrag behandelt werden.

Wie werden SCC richtig angewendet?

Die Anwendung von Standarddatenschutzklauseln (SCC) ist ein zentraler Bestandteil des Datenschutzes bei internationalen Datentransfers. Seit dem Inkrafttreten der DSGVO und insbesondere nach dem Schrems II-Urteil des EuGH sind Unternehmen verpflichtet, bei der Übermittlung personenbezogener Daten in Drittländer ein angemessenes Schutzniveau sicherzustellen – genau hier kommen SCC ins Spiel.

Damit Standarddatenschutzklauseln rechtswirksam und DSGVO-konform eingesetzt werden können, müssen folgende Punkte beachtet werden:

1. Auswahl der richtigen Modulvariante

Die Standarddatenschutzklauseln bestehen aus mehreren Modulen, die je nach Beziehung zwischen den beteiligten Parteien ausgewählt werden müssen. Folgende Modulvarianten stehen zur Verfügung:

• Controller zu Controller (C2C) – z. B. bei der Übertragung von Kundendaten zwischen zwei eigenständigen Unternehmen (Intercompany).
• Controller zu Processor (C2P) – z. B. wenn ein Unternehmen Daten an einen externen Auftragsverarbeiter zur Verarbeitung weitergibt.
• Processor zu Processor (P2P) – z. B. wenn ein Auftragsverarbeiter Unteraufträge an weitere Unterauftragsverarbeiter vergibt.
• Processor zu Controller (P2C) – z. B. wenn ein Auftragsverarbeiter Daten an einen Verantwortlichen in einem Drittland zurückgibt.

Die Wahl des falschen Moduls kann zur Unwirksamkeit der Standarddatenschutzklauseln führen – daher ist hier besondere Sorgfalt gefragt.

2. Integration der SCC in Verträge

Die SCC müssen korrekt in bestehende oder neue Verträge integriert werden. Dies kann entweder direkt im Vertragstext erfolgen oder durch einen separaten Anhang, der klar als Bestandteil des Vertrags gekennzeichnet ist. Wichtig ist, dass keine Änderungen an den Standardklauseln vorgenommen werden – dies würde ihre Gültigkeit gefährden.

3. Klare Definition der datenschutzrechtlichen Verantwortlichkeiten

Im Vertrag selbst sollten die Verantwortlichkeiten in Bezug auf Datenschutz klar geregelt sein: Wer ist für welche Verarbeitung zuständig? Wer trägt welche Pflichten? Diese Transparenz ist nicht nur im Sinne der DSGVO, sondern schützt auch beide Vertragsparteien vor Missverständnissen und Haftungsrisiken.

4. Sicherstellung der Umsetzung und Einhaltung

Die Empfänger der Daten – insbesondere in Drittländern – müssen tatsächlich in der Lage sein, die Anforderungen der SCC einzuhalten. Unternehmen müssen daher prüfen und dokumentieren, ob:

• die technischen und organisatorischen Maßnahmen ausreichen,
• die lokale Gesetzgebung verhindert die Einhaltung der Klauseln nicht,
• und bei Bedarf zusätzliche Maßnahmen (z. B. Verschlüsselung, Pseudonymisierung) ergriffen werden.

Was ist das Transfer Impact Assessment (TIA)?

Ein TIA ist eine datenschutzrechtliche Risikobewertung, die begleitend zu den SCC verpflichtend durchzuführen ist. Ziel ist es, sicherzustellen, dass die Gesetze und Praktiken im Drittland das Datenschutzniveau der EU nicht untergraben. Die Durchführung des TIA gelingt am einfachsten, wenn Unternehmen eine Datenschutzmanagement-Software einsetzen. Dort kann oftmals vorlagenbasiert ein TIA in wenigen Schritten erstellt werden.

Welche Alternativen gibt es zu Standarddatenschutzklauseln?

Die Standarddatenschutzklauseln (SCC) sind das am häufigsten genutzte Instrument zur rechtssicheren Übermittlung personenbezogener Daten in sogenannte Drittländer – also Länder außerhalb der EU bzw. des EWR. Doch sie sind nicht die einzige Möglichkeit. Die Datenschutz-Grundverordnung (DSGVO) sieht auch Alternativen zu Standarddatenschutzklauseln vor. Diese können – je nach Anwendungsfall – sinnvoll oder sogar notwendig sein.
Hier ein Überblick über die wichtigsten Alternativen:

1. Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO)

Wenn die EU-Kommission feststellt, dass ein Drittland ein angemessenes Datenschutzniveau bietet, darf eine Datenübertragung dorthin ohne weitere Maßnahmen erfolgen. Dies wird in einem sogenannten Angemessenheitsbeschluss festgehalten.
Beispiele für Länder mit Angemessenheitsbeschluss: Schweiz, Japan, Kanada (teilweise), Südkorea, Vereinigtes Königreich, Israel u. a.

• Vorteil: Keine zusätzlichen Vertragsklauseln oder Prüfpflichten erforderlich.
• Nachteil: Nur wenige Länder weltweit erfüllen diese Anforderungen. Für die USA gilt dies z. B. nur eingeschränkt (aktuell über das Data Privacy Framework).

2. Verbindliche interne Datenschutzvorschriften – Binding Corporate Rules (BCR) (Art. 47 DSGVO)

Binding Corporate Rules (BCR) sind unternehmensinterne Datenschutzrichtlinien für internationale Konzerne. Sie ermöglichen konzerninterne Datentransfers – etwa von der EU-Zentrale an Niederlassungen außerhalb Europas.

• Vorteil: Maßgeschneidert und flexibel einsetzbar für komplexe Konzernstrukturen.
• Nachteil: Müssen von den zuständigen Datenschutzbehörden genehmigt werden – das Verfahren ist langwierig und aufwändig.

3. Ausdrückliche Einwilligung der betroffenen Person (Art. 49 Abs. 1 lit. a DSGVO)

Eine Übermittlung personenbezogener Daten kann erfolgen, wenn die betroffene Person ausdrücklich und informiert eingewilligt hat.

• Vorteil: Einfach umzusetzen, wenn Einwilligungen klar formuliert und leicht einzuholen sind.
• Nachteil: Hohe Anforderungen an Transparenz. Die Einwilligung muss freiwillig, spezifisch und widerrufbar sein – in der Praxis oft unpraktikabel bei regelmäßigen oder großvolumigen Transfers.

4. Vertragserfüllung oder vorvertragliche Maßnahmen (Art. 49 Abs. 1 lit. b DSGVO)

Ist die Datenübertragung notwendig, um einen Vertrag mit der betroffenen Person zu erfüllen – z. B. bei einer Hotelbuchung im Ausland – kann dies eine zulässige Grundlage sein.

• Vorteil: Praktikabel für Einzelfälle mit direktem Bezug zur betroffenen Person.
• Nachteil: Nicht geeignet für dauerhafte oder automatisierte Übermittlungen (z. B. Cloud-Dienste).

5. Wichtiges öffentliches Interesse oder Rechtsansprüche (Art. 49 Abs. 1 lit. d/e DSGVO)

Auch in besonderen Fällen wie der Verteidigung von Rechtsansprüchen oder bei wichtigen öffentlichen Interessen kann eine Übermittlung zulässig sein.

• Vorteil: Hilfreich bei rechtlichen Auseinandersetzungen oder im behördlichen Kontext.
• Nachteil: Sehr eng gefasst, nicht anwendbar für standardmäßige, kommerzielle Datentransfers.

Fazit

Die Wahl der Alternative hängt vom Umfang, Zweck und regelmäßigen Charakter des Transfers ab. In der Praxis sind Standarddatenschutzklauseln (SCC) aufgrund ihrer Flexibilität und Einfachheit das bevorzugte Mittel. Alternativen eignen sich jedoch vor allem, wenn SCC nicht praktikabel oder genehmigungsfähige interne Regelungen (BCR) möglich sind.