Neue Standardvertragsklauseln für internationale Datentransfers

Neue SCCs: Laufende Umsetzungsfristen lösen Handlungsbedarf aus

Seit der Schrems-II-Entscheidung des EuGH müssen Unternehmen bei Datenübermittlungen in Drittländer für jeden Einzelfall prüfen, ob ein der DSGVO entsprechendes Schutzniveau im Drittland gewährleistet ist. Sofern dies nicht der Fall ist, sind zusätzliche Schutzmaßnahmen sicherzustellen. Um diesen Anforderungen gerecht zu werden, hat die EU-Kommission am 4. Juni 2021 die seit langer Zeit erwarteten neuen SCCs verabschiedet, die als geeignete Garantien i. S. d. Art. 46 DSGVO gelten. Seit dem 27. September 2021 können die vorherigen SCCs nicht mehr abgeschlossen werden.

Unternehmen sind verpflichtet, die neuen SCCs zu verwenden und bereits bestehende Verträge für Datenübermittlungen in Drittländer spätestens bis zum 27. Dezember 2022 anzupassen. Dafür bieten die neuen Klauseln mit ihrem modularen Aufbau, der sich an der jeweiligen Konstellation der Vertragsparteien und ihren Rollen als Datenverarbeiter oder -verantwortlicher orientiert, eine vertragliche Grundlage, auch wenn zusätzliche Schutzmaßnahmen weiterhin notwendig sein können. Unabhängig von dem einschlägigen Modul sind viele Unternehmen aufgrund der neuen SCCs zum Beispiel zur Sicherung des Schutzniveaus, zur Dokumentation oder zu einer Datentransfer-Folgenabschätzung verpflichtet.

Die neuen SCCs werfen neue Rechtsfragen auf

Auch wenn die neuen SCCs die Rechtssicherheit für Unternehmen erhöhen, bleiben doch einige Fragen ungeklärt. Aus juristischer Sicht ist zum Beispiel von Interesse, ob die Kommission in ihren SCCs hinsichtlich des angemessenen Schutzniveaus in dem Bestimmungsland absichtlich oder unabsichtlich einen anderen Maßstab zugrunde legt als das Schrems-II-Urteil. Für Unternehmen ist außerdem relevant, ob auch nach den neuen SCCs die Haftung inter partes begrenzt werden kann. Unterschiedliche Auslegungen der SCCs sind unter anderem zu den Fragen denkbar, ob schon eine Geltendmachung durch Drittbegünstigte ausreicht, um einen Grund zu der Annahme eines fehlenden Schutzniveaus zu bejahen, und ob Betroffene so letztlich ein vollständiges Verbot der Datenübermittlung erwirken können.

Datenschutzrechtliche Compliance im Unternehmen

Trotz der bereits seit 2020 geltenden Anforderungen der Schrems-II-Entscheidung besteht aufgrund der erwähnten Frist spätestens bis zum 27. Dezember 2022 Handlungsbedarf für Unternehmen, die internationale Datentransfers vornehmen. Betroffen sind nicht nur Unternehmen, die personenbezogene Daten aktiv in Drittländer übermitteln, sondern auch Unternehmen, die personenbezogene Daten für einen Abruf in diesen Ländern bereithalten. Daher sollten Unternehmen ihre Datentransfers einer strengen rechtlichen und tatsächlichen Prüfung unterziehen. Bestehende Verträge müssen auf ihren Aktualisierungsbedarf hin untersucht und gegebenenfalls auf die neuen SCCs umgestellt werden. Die deutschen Datenschutzbehörden werden die im Juni 2021 begonnenen koordinierten Prüfungen internationaler Datentransfers fortführen, sodass Unternehmen zeitnah die notwendigen Vertragsdokumente abgeschlossen haben und weitere Dokumentationen bereithalten sollten.

Für die datenschutzrechtliche Compliance bietet CMS mit dem Produkt CMS ComplyDPA ein Tool, das Ihr Unternehmen zeit- und ressourcensparend nicht nur bei dem Abschluss der neuen SCCs, sondern auch bei dem Abschluss von Auftragsverarbeitungsvereinbarungen automatisiert unterstützt. Für Unternehmen kann es sich nur lohnen, frühzeitig auf datenschutzrechtliche Entwicklungen eingestellt zu sein und die Neuerungen zeitnah umzusetzen, um sowohl Bußgelder, die in empfindliche Höhen steigen können, als auch etwaige Reputationsverluste aufgrund von Datenschutzvorfällen zu vermeiden. Eine Übersicht zu DSGVO-Bußgeldern bieten Ihnen unser Enforcement Tracker und die 2. Ausgabe unseres Enforcement Tracker Reports. Direkte Hilfestellung im Fall eines Datenschutzverstoßes erhalten Sie über unsere CMS Breach Assistant App. Eine Übersicht zur Rechtsprechung hinsichtlich der Höhe von Schadensersatzansprüchen bei DSGVO-Verstößen finden Sie auf unserem Blog.

Für einen Überblick über die Datenschutzgesetze in ausgewählten Ländern in Europa, dem Nahen Osten, Afrika, Asien und Lateinamerika können Sie auch unseren Data Law Navigator nutzen.