Die Datenschutz-Grundverordnung befugt die EU-Kommission, Standardvertragsklauseln (SCC) nach Art. 28 Abs. 7 für die Umsetzung der Anforderung einer Beauftragung einer Auftragsverarbeitung und Standarddatenschutzklauseln nach Art. 46 Abs. 2 lit. c für den Transfer personenbezogener Daten in einem Drittland zu veröffentlichen.
Die häufig verwendeten Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer sollen die Datenverarbeitung in einem Land außerhalb des Europäischen Wirtschaftsraums absichern und auf ein Schutzniveau heben, das dem in der EU garantierten Schutzniveau der Sache nach gleichwertig ist.Erwägungsgrund 11 des Durchführungsbeschlusses (EU) 2021/914. Die seltener genutzten Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679 und Artikel 29 Absatz 7 der Verordnung (EU) 2018/1725 erfüllen alle Anforderungen eines Auftragsverarbeitungsvertrags.Erwäggrund 5 des Durchführungsbeschlusses (EU) 2021/915.
Standardvertragsklauseln für Drittländer Funktionsweise Standarddatenschutzklauseln werden zwischen zwei, oder seit 2021 auch zwischen mehreren Vertragspartnern geschlossen. Dabei befindet sich eine Seite im räumlichen Anwendungsbereich des europäischen Datenschutzrechts („Datenexporteur“). Die andere Seite außerhalb des räumlichen Anwendungsbereichs („Datenimporteur“). Beide Parteien vereinbaren jedoch im Rahmen der Vertragsfreiheit die weitgehende Anwendung Europäischen Datenschutzrechts. Die Inhaltsfreiheit ist insofern eingeschränkt, als dass nur eine weitere Verbesserung des Datenschutzniveaus für die betroffene Person zulässig ist.
Die Verwendung von Standardvertragsklauseln ist nach der Meinung von Datenschutz-Aktivisten mit der Produktion von Bio-Lebensmitteln im außereuropäischen Ausland vergleichbar. Hierbei unterwirft sich ein Herstellerunternehmen im Ausland vollständig den Regelungen der Öko-Verordnung, um ein Bio-Siegel auf seinen Produkten anbringen zu können.
Drittbegünstigung betroffener Personen Die von der Datenverarbeitung betroffenen Personen sind stets Drittbegünstigte der Standardvertragsklauseln. Ihnen steht so beispielsweise das Recht zu, die unterschriebene Version der Standardvertragsklauseln zu erhalten und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen, welche zur Absicherung der ihn betreffenden personenbezogenen Daten unternommen werden, zu erhalten.
Durchführungsbeschluss (EU) 2021/914 Der Durchführungsbeschluss (EU) 2021/914 stellt die aktuellste Fassung der von der Europäischen Kommission vorgeschriebenen Standardvertragsklauseln dar. Verträge, die die Vorgängerversionen der Standardvertragsklauseln als Grundlage haben sollen, konnten noch bis zum 27. September 2021 abgeschlossen werden. Soll eine Datenübertragung über den 27. Dezember 2022 hinaus auf Grundlage von Standardvertragsklauseln stattfinden, müssen diese ab diesem Zeitpunkt nach der neuen Rechtsgrundlage stattfinden.
Die im Durchführungsbeschluss definierten Standardvertragsklauseln bestehen aus einem allgemeinen Teil und Klauseln für vier unterschiedliche Vertragskonstellationen („Module“). Datenexporteure und -importeure, die die Standarddatenschutzklauseln dieses Kommissionsbeschlusses nutzen wollen, müssen das für ihre jeweilige Situation passende Modul auswählen und können die nicht einschlägigen Module streichen.
Die folgenden vier Module sind vorgesehen:
Modul 1: Übermittlung von Verantwortlichen an Verantwortliche Modul 2: Übermittlung von Verantwortlichen an Auftragsverarbeiter Modul 3: Übermittlung von Auftragsverarbeitern an (Unter-)Auftragsverarbeiter Modul 4: Übermittlung von Auftragsverarbeitern an Verantwortliche
Den Vereinbarungen gemäß den vorbenannten Modulen können Dritte nachträglich als Datenexporteur oder Datenimporteur hinzutreten und den bestehenden Vertrag und die Klauseln nutzen. Dafür ist die Aufnahme der fakultativen Koppelungsklausel 7 SCC erforderlich. Der Beitretende muss den Anhang I.A. unterzeichnen.
Allgemeiner Teil Im allgemeinen Teil bestimmen die Klauseln den Zweck und Anwendungsbereich (Klausel 1), die Wirkung und die Unabänderbarkeit der Klauseln (Klausel 2), die Drittbegünstigung der betroffenen Person (Klausel 3), die Auslegung (Klausel 4), den Vorrang der Klauseln vor allen weiteren vertraglichen Verpflichtungen (Klausel 5), die Beschreibung der Datenübermittlung (Klausel 6) und fakultativ den Beitritt weiterer Vertragsparteien (Klausel 7).
Darüber hinaus verpflichtet Klausel 8 jeden Datenexporteur,
Modul eins – Übertragung von Verantwortlichen an andere Verantwortliche Modul eins regelt die Übertragung zwischen zwei oder mehr Verantwortlichen.
Zweckbindung Datenimportierende Verantwortliche verpflichten sich die im Rahmen der Übermittlung übertragenen personenbezogenen Daten nur zu den in einer Anlage zu den Standardvertragsklauseln bestimmten Zwecken zu verwenden.
Transparenz Die betroffene Person muss über eine Datenübermittlung an den Verantwortlichen informiert werden. Dabei muss insbesondere der Verantwortliche und eine Kontaktmöglichkeit mitgeteilt werden. Außerdem muss der betroffenen Person mitgeteilt werden sofern der Datenimporteur weitere Datenübermittlungen durchführt. In diesem Fall sind der betroffenen Person auch die weiteren Empfänger in der Kette zu nennen.
Ferner ist jeder betroffenen Person auf Anfrage eine Kopie der unterschriebenen Version der Standardvertragsklauseln zur Verfügung zu stellen.
Richtigkeit, Datenminimierung und Speicherbegrenzung Die Daten sind sachlich richtig und – sofern dies erforderlich – aktuell zu halten. Sofern Daten nicht benötigt werden, sind diese nicht zu erheben, falls sie nicht mehr benötigt werden, sind sie zu löschen.
Datenübertragung in Drittländer mit gegenläufigen Rechtsbestimmungen Der Europäische Gerichtshof stellte in seinen Urteilen vom 6. Oktober 2015EuGH, Urteil vom 6. Oktober 2015, Maximillian Schrems gegen Data Protection Commissioner, C-362/14, EU:C:2015:650. und 16. Juli 2020EuGH, Urteil vom 16. Juli 2020, Data Protection Commissioner gegen Facebook Ireland Limited und Maximillian Schrems, C-311/18, EU:C:2020:559. fest, dass die Rechtsordnung von Ländern der Verwendung von Standardvertragsklauseln widersprechen kann. Dies ist insbesondere der Fall, wenn Vertragspartner in diesen Ländern die Zusicherungen, die sie gegeben haben, nicht einhalten können. Ein Beispiel für diese Länder sind die Vereinigten Staaten.
Standardvertragsklauseln für Auftragsverarbeitung Artikel 28 Absatz 6 Datenschutz-Grundverordnung sieht vor, dass der Auftragsverarbeitungsvertrag teilweise oder vollständig auf Standardvertragsklauseln basieren können. Gemäß Artikel 28 Absatz 7 Datenschutz-Grundverordnung können solche Standardvertragsklauseln von der Europäischen Kommission im Einklang mit dem in Artikel 93 Absatz 2 Datenschutz-Grundverordnung geregelten Prüfverfahren festgelegt werden.
Mit Durchführungsbeschluss wurden die Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern für den innereuropäischen Verkehr erlassen.Durchführungsbeschluss (EU) 2021/914 der EU-Kommission v. 04.06.2021 – Az. C(2021) 3972, ABl. EU Nr. L 199/31 vom 07.06.2021; https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32021D0915 In Klausel 2 des SCC wird die "Unabänderbarkeit der Klauseln" festgelegt, ausgenommen:
Standardvertragsklauseln können die Arbeitsabläufe bei der Auftragsverarbeitung optimieren und somit zu einem effektiveren Wirtschaften beitragen. Allerdings sind sie nicht für die Konkretisierung und Individualisierung von Verträgen geeignet, es sei denn, sie werden sehr stark für einen bestimmten Bereich definiert. Am besten eignen sich Standardvertragsklauseln als Vorlagen, die für einen bestimmten Sachbereich spezifisch angepasst werden können.
Einzelnachweise
Kategorie:Datenschutzrecht (Europäische Union) Kategorie:Rechtsquelle (21. Jahrhundert)