Standardvertragsklauseln 2.0

Dass der Datenschutz kein starres Konstrukt ist, sollte nicht erst seit dem Schrems-II Urteil klar sein. Es ist sogar unerlässlich, dass die datenschutzrechtlichen Auslegungen und Anforderungen sich an den steten Wandel unserer Umwelt anpassen.

Daher ist es auch nicht weiter verwunderlich, dass die EU-Kommission den schon seit Jahren gültigen Standardvertragsklauseln für Datenübermittlungen in Drittländer nun einen neuen Anstrich verpasst hat.

Ergänzend dazu hat sie einen zweiten Satz Standardvertragsklauseln veröffentlicht, die helfen sollen, Auftragsverarbeitungen zu regeln. Statt eigener Auftragsverarbeitungsverträge, kann nun auch auf die Standardvertragsklauseln für Auftragsverarbeitungen zurückgegriffen werden. Die Klauseln entsprechen dabei den rechtlichen Anforderungen, welche die Datenschutz-Grundverordnung nach Art. 28 DSGVO an Auftragsverarbeitungsverträge stellt.

Laut der Pressemitteilung der EU-Kommission sollen beide Klauseln dazu beizutragen, dass die Einhaltung der DSGVO gesichert wird, während gleichzeitig ein „freier grenzüberschreitender Datenverkehr ohne gesetzliche Hindernisse" möglich ist.

Bei Einführung dieser neuen Standardvertragsklauseln wurden die gemeinsame Stellungnahme der Europäischen Datenschutzbehörde und des Europäischen Datenschutzbeauftragten sowie das Feedback der Vertreter aller EU-Mitgliedsstaaten mit einbezogen. Im Hinblick auf die Einhaltung der DSGVO entsprechen die Klauseln nun dem neuesten Stand.

Im Gepäck der neuen Standardvertragsklauseln befinden sich angemessene Schutzmaßnahmen laut Art. 46(1) und 2(c) DSGVO und die Beschreibung der Rechte und Pflichten des Verantwortlichen sowie des Auftragsverarbeiters gemäß Art. 28(3) und (4) DSGVO sowie Art. 29(3) und (4). Ebenfalls mit dabei ist eine Verpflichtung der nationalen Datenschutzbehörden, die Europäische Kommission sofort zu informieren, falls eine Behörde gemäß ihren Befugnissen aus Art. 58 DSGVO einen Datentransfer ausgesetzt oder verboten hat.

Die bestehenden Standardvertragsklauseln für Drittlandübermittlungen müssen auf die neuen Standarddatenschutzklauseln angepasst werden. Die EU-Kommission hat hier den Verantwortlichen eine Übergangsfrist von 18 Monaten eingeräumt, die nach Aussage des BvD bis zum 27.12.2022 läuft.

Die Standardvertragsklauseln für Auftragsverarbeitungen sind ein Novum und müssen nicht zwingend verwendet werden, sondern dienen eher als erstmalige Musterformulierung der EU-Kommission.

Am Ende möchten wir noch eine Sache zum Datentransfer in die USA anmerken: Auch durch die Veröffentlichung der Standardvertragsklauseln, kann die rechtlich heikle Lage bei Datenübermittlungen in die USA nicht abschließend geklärt werden.

Für mehr Informationen zu diesem oder anderen aktuellen Themen rund um den Datenschutz verfolgen Sie doch regelmäßig unseren Prinz-Blog.

Ihr Datenschutz-Prinz Team

Quellen:

https://www.bvdnet.de/neue-standard-klauseln-der-eu-kommission/

https://ec.europa.eu/germany/news/20210604-datentransfers-eu_de