Home / Veröffentlichungen / Neue Regelungen für den internationalen Datentra...

Neue Regelungen für den internationalen Datentransfer

Newsflash: Standarddatenschutzklauseln für internationale Datentransfers ab Ende 2022 ungültig

Veröffentlicht am 8. November 2022

Die „alten“ Standardvertragsklauseln für den internationalen Datentransfer (insbes. USA) sind ab Ende Dezember 2022 nicht mehr gültig, damit besteht akuter Handlungsbedarf. Sofern Sie bzw. Ihr Unternehmen personenbezogene Daten in Drittländer übermitteln, ist bis zum 27. Dezember 2022 eine Überprüfung dieser Drittlandtransfers notwendig. Handeln Sie vor dem Fristablauf, um drohende Strafen zu vermeiden!

Rechtlicher Hintergrund
Die Standardvertragsklauseln (auch bekannt als Standarddatenschutzklauseln; kurz „SCCs“) stellen einen von mehreren möglichen Transfermechanismen dar, um personenbezogene Daten in Drittländer zu übermitteln, die kein mit der Europäischen Union vergleichbares Datenschutzniveau aufweisen. Nachdem die alten SCCs – insbes. vor dem Hintergrund der „Schrems-II-Entscheidung“ des Europäischen Gerichtshofes und der Aufhebung des Privacy Shields – keinen ausreichenden Schutz mehr gewähren, hat die EU-Kommission im Juni 2021 „neue SCCs“ verabschiedet.
 
Mit 27.12.2022 läuft nun die Umsetzungsfrist in Bezug auf die neuen SCCs ab, sodass Sie bzw. Ihr Unternehmen danach nur mehr die neuen SCC verwenden dürfen bzw. bereits abgeschlossene Vereinbarungen für Drittlandtransfers an die neuen Vorgaben angepasst haben müssen.
 
Drohende Maßnahmen und Strafen
Werden nach Fristablauf personenbezogene Daten auf Basis der alten SCCs in Drittländer verschickt bzw. diese ohne Anpassung an die neuen Vorgaben unverändert weiterverwendet, stellt dies einen Verstoß gegen die Datenschutz-Grundverordnung („DSGVO“) dar, der mit einer Geldbuße in Höhe von bis zu EUR 20 Millionen oder 4 Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres bedroht ist (vgl. Artikel 83(5)(c) DSGVO).
 
Nach Fristablauf drohen aber nicht nur Durchsetzungsmaßnahmen der Datenschutzbehörde, welche sich bei unrechtmäßigen Drittlandtransfers in den „Google Analytics-Entscheidungen“ bereits besonders streng gezeigt hat. Vielmehr ist auch zu erwarten, dass Vereine, wie etwa NOYB, eine neue Beschwerdewelle anstoßen werden (so schon geschehen im Zusammenhang mit Cookies), um die Einhaltung der neuen Regelungen zu forcieren. Überdies ist auch der Verein für Konsumenteninformation (VKI) legitimiert, bestimmte Datenverstöße bei Drittlandtransfers geltend zu machen.  
 
Was Sie als Nächstes tun sollten: 
Um drohende Strafen zu vermeiden, empfehlen wir, Datentransfers in unsichere Drittländer wie folgt zu prüfen:

  1. Kontrollieren Sie, auf welcher rechtlichen Basis und an welche Vertragspartner personenbezogene Daten in Drittländer übermittelt werden.
  2. Die neuen SCCs basieren auf vier unterschiedlichen Modulen: Finden Sie heraus, welche der SCCs Module für Ihre Drittlandtransfers abzuschließen sind.
  3. Führen Sie die Risiko- und Folgenabschätzung (bekannt als „Transfer Impact Assessment“, TIA) gemäß den neuen SCCs für die jeweiligen Drittlandtransfers mit Unterstützung der Vertragspartner durch.
  4. Setzen Sie den evaluierten Risiken angemessene Sicherheitsmaßnahmen.
  5. Dokumentieren Sie Ihre Ergebnisse und legen Sie mit den Vertragspartnern einen Termin für die nächste Evaluierung fest. Die neuen SCCs sind keine „Fire-and-Forget“-Lösung, sondern bedürfen entsprechender Anpassung gemäß den rechtlichen Risiken und Änderungen in den unsicheren Drittstaaten (z. B., wenn Adäquanzbeschlüsse betreffend Drittländer aufgehoben werden, - so geschehen bei den USA - oder bestimmte nationale Gesetze in Drittländern erlassen werden etc.).

Für Fragen und zur Unterstützung bei der Anpassung Ihrer Drittlandtransfers an die neuen rechtlichen Vorgaben stehen Ihnen als Ansprechpersonen RA Mag. Christina Maria Schwaiger, CIPP/E, CIPM, und RA Dr. Johannes Juranek, Managing Partner und Leiter des Bereichs Technologie, Medien und Kommunikation, gerne zur Verfügung.

Key contacts

Johannes Juranek
Johannes Juranek
Managing Partner
Wien
Christina Maria Schwaiger
Christina Maria Schwaiger
Anwältin
Wien

Tätigkeitsbereiche