Was sind EU-Standardvertragsklauseln (SCC)?
EU-Standardvertragsklauseln (SCC) sind von der Europäischen Kommission erlassene Standarddatenschutzklauseln, die nach Artikel 46 Absatz 2 Buchstabe c DSGVO als geeignete Garantie für bestimmte Drittlandübermittlungen eingesetzt werden können.
Einordnung: Die SCC wirken nicht unabhängig von Artikel 46 DSGVO. Sie sind ein möglicher vertraglicher Transfermechanismus; die gesetzlichen Voraussetzungen und die Anforderungen der vereinbarten Klauseln müssen für die konkrete Übermittlung erfüllt sein.
Der Normwortlaut
„Falls kein Beschluss nach Artikel 45 Absatz 3 vorliegt, darf ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.“
„Die in Absatz 1 genannten geeigneten Garantien können, ohne dass hierzu eine besondere Genehmigung einer Aufsichtsbehörde erforderlich wäre, bestehen in: […] c) von der Kommission gemäß dem Prüfverfahren nach Artikel 93 Absatz 2 erlassenen Standarddatenschutzklauseln;“
Normtextquelle: DSGVO, Artikel 46 Absätze 1 und 2 Buchstabe c. Die Auslassung betrifft die anderen, in Absatz 2 genannten Garantieformen; die Bedingungen aus Absatz 1 und die fehlende besondere Genehmigungspflicht für die Garantieformen des Absatzes 2 sind vollständig wiedergegeben.
Wann sind SCC für eine Drittlandübermittlung relevant?
SCC kommen als Garantie nach Artikel 46 in Betracht, wenn kein Angemessenheitsbeschluss der Kommission nach Artikel 45 Absatz 3 vorliegt. Besteht ein solcher Beschluss, ist eine Garantie nach Artikel 46 nicht erforderlich. Andere Garantien nach Artikel 46 und die besonderen Ausnahmen für bestimmte Situationen nach Artikel 49 sind eigenständige Transferwege mit jeweils eigenen Voraussetzungen.
Welche Übermittlungen erfasst der Beschluss 2021/914?
Der Beschluss erfasst Übermittlungen durch einen Verantwortlichen oder Auftragsverarbeiter, der für die betreffende Verarbeitung der DSGVO unterliegt, an einen Verantwortlichen oder Auftragsverarbeiter in einem Drittland, soweit die Verarbeitung des Importeurs nicht der DSGVO unterliegt. Maßgeblich ist damit die DSGVO-Bindung des Exporteurs und nicht pauschal ein „Export aus dem EWR“. Das zur Rollenverteilung passende Modul ist auszuwählen.
Wie werden SCC richtig vereinbart?
Die Parteien müssen das passende der vier Rollenmodule wählen: Verantwortlicher zu Verantwortlichem, Verantwortlicher zu Auftragsverarbeiter, Auftragsverarbeiter zu Auftragsverarbeiter oder Auftragsverarbeiter zu Verantwortlichem. Sie müssen die einschlägigen Optionen bestimmen und die Anhänge, insbesondere zur Übermittlung sowie zu den technischen und organisatorischen Maßnahmen, konkret ausfüllen.
Nach Klausel 2 dürfen die Parteien nur das einschlägige Modul oder die einschlägigen Module und die dort vorgesehenen Optionen wählen sowie Angaben in den Anhängen ergänzen oder aktualisieren; im Übrigen bleiben die SCC unverändert. Zusätzliche Klauseln oder weitergehende Garantien sind zulässig, sofern sie den SCC weder unmittelbar noch mittelbar widersprechen und die Rechte oder Grundfreiheiten betroffener Personen nicht beeinträchtigen.
Die optionale Beitrittsklausel in Klausel 7 ermöglicht einer weiteren Stelle, mit Zustimmung der Parteien als Datenexporteur oder Datenimporteur beizutreten. Dafür muss sie den Anhang ausfüllen und Anhang I Abschnitt A unterzeichnen; Rechte und Pflichten entstehen erst mit ihrem Beitritt.
Welche Prüfung verlangt Klausel 14?
Vertragliche Anforderung: Beim Vereinbaren der SCC müssen die Parteien gewährleisten, keinen Grund zu der Annahme zu haben, dass Recht und Praxis des Drittlands den Importeur an der Erfüllung der Klauseln hindern. Die Bewertung muss die konkreten Übermittlungsumstände sowie das einschlägige Recht und die einschlägige Praxis berücksichtigen. Erforderlichenfalls sind ergänzende vertragliche, technische oder organisatorische Garantien einzubeziehen. Der Importeur muss die erforderlichen Informationen beitragen. Die Bewertung ist zu dokumentieren und der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.
Fortlaufender Änderungstrigger: Hat der Importeur während der Vertragslaufzeit Grund zu der Annahme, dass er Rechtsvorschriften oder Gepflogenheiten unterliegt oder unterworfen wurde, die nicht mit den Anforderungen aus Klausel 14 Buchstabe a vereinbar sind, muss er den Exporteur umgehend benachrichtigen. Dies gilt insbesondere bei einer Änderung der Rechtsvorschriften oder Gepflogenheiten des Drittlands oder bei einer Maßnahme wie einem Offenlegungsersuchen. Der Exporteur muss daraufhin umgehend geeignete Maßnahmen bestimmen, um Abhilfe zu schaffen. Kann er keine geeigneten Garantien sicherstellen, muss er die Datenübermittlung aussetzen und/oder den Vertrag beenden.
Was gilt, wenn der Importeur die SCC nicht einhalten kann?
Kann der Importeur die Klauseln aus welchem Grund auch immer nicht einhalten, muss er den Exporteur unverzüglich informieren. Der Exporteur muss die Übermittlung aussetzen, bis die Einhaltung wieder gewährleistet ist oder der Vertrag beendet wird.
Der Exporteur ist berechtigt, den die Verarbeitung nach den SCC betreffenden Vertrag zu kündigen, wenn die Einhaltung nicht innerhalb einer angemessenen Frist, spätestens aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wird, wenn der Importeur in erheblichem Maße oder fortdauernd gegen die Klauseln verstößt oder wenn er einer bindenden Entscheidung eines zuständigen Gerichts oder einer zuständigen Aufsichtsbehörde zu seinen Pflichten aus den Klauseln oder der DSGVO nicht nachkommt. In diesen Fällen muss der Exporteur die zuständige Aufsichtsbehörde von der Nichteinhaltung in Kenntnis setzen.
Nach der Beendigung müssen die vor der Beendigung gemäß den SCC übermittelten personenbezogenen Daten und alle Kopien nach Wahl des Exporteurs unverzüglich zurückgegeben oder vollständig gelöscht werden; der Importeur muss die Löschung bescheinigen. Verbietet das für den Importeur geltende lokale Recht die Rückgabe oder Löschung, muss er die Einhaltung der SCC weiter gewährleisten und darf die Daten nur insoweit und so lange verarbeiten, wie dieses lokale Recht es verlangt.
Welche Fristen und Schwellenwerte gelten?
Für den Abschluss aktueller SCC bestehen weder eine allgemeine Abschlussfrist noch ein mengenbezogener Schwellenwert. Nach einer Aussetzung gilt jedoch eine konkrete zeitliche Grenze: Wird die Einhaltung nicht innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats nach der Aussetzung, wiederhergestellt, ist der Exporteur zur Kündigung des die Verarbeitung betreffenden Vertrags berechtigt. Anlassbezogene Informations-, Aussetzungs- und Beendigungsanforderungen der Klauseln bleiben davon unberührt.
Die Übergangsregel für frühere SCC ist abgelaufen. Sie galt nur bis zum 27. Dezember 2022 für Verträge, die vor dem 27. September 2021 auf Grundlage der früheren Kommissionsentscheidungen geschlossen worden waren, sofern die Verarbeitungsvorgänge und der Vertragsgegenstand unverändert blieben und die früheren Klauseln weiterhin geeignete Garantien boten.
Sind SCC eine technische Schutzmaßnahme?
Nein. SCC sind ein vertraglicher Transfermechanismus. Die Anhänge müssen zwar die technischen und organisatorischen Maßnahmen konkretisieren, doch der Vertrag ersetzt diese Maßnahmen nicht. Zeigt die Bewertung Schutzlücken, können für die konkrete Übermittlung ergänzende technische, organisatorische oder vertragliche Maßnahmen erforderlich sein. Reichen sie nicht aus, ist die Übermittlung nach Maßgabe der Klauseln auszusetzen oder zu beenden.
Häufige Fehlannahmen
- „SCC erlauben automatisch jeden Drittlandtransfer.“ Falsch: Artikel 46 verlangt geeignete Garantien sowie durchsetzbare Rechte und wirksame Rechtsbehelfe; zusätzlich ist die konkrete Prüfung nach Klausel 14 erforderlich.
- „SCC sind ein allgemeiner Auftragsverarbeitungsvertrag.“ Falsch: Sie sind ein Transfermechanismus mit rollenbezogenen Modulen und ersetzen nicht pauschal andere für die Verarbeitung geltende Anforderungen.
- „Die Unterschrift allein genügt.“ Falsch: Modul und Optionen müssen passen, die Anhänge müssen konkret ausgefüllt und die Bewertung muss dokumentiert werden.
- „Die SCC dürfen beliebig geändert oder ergänzt werden.“ Falsch: Außer der Wahl der Module und vorgesehenen Optionen sowie dem Ergänzen oder Aktualisieren der Anhangsangaben bleibt ihr Text unverändert. Zusätzliche Klauseln oder Garantien dürfen den SCC nicht widersprechen und Rechte oder Grundfreiheiten betroffener Personen nicht beeinträchtigen.
- „SCC machen technische Schutzmaßnahmen entbehrlich.“ Falsch: Ergänzende Maßnahmen können erforderlich sein; reichen sie nicht aus, ist die Übermittlung nach Maßgabe der Klauseln auszusetzen oder zu beenden.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte leiten sich aus den Transferwegen der Artikel 45, 46 und 49 DSGVO und den Anforderungen des Beschlusses 2021/914, insbesondere Klauseln 1, 2, 14 und 16 sowie Anhängen I und II, ab. Sie sind keine von DSGVO und SCC losgelösten zusätzlichen Rechtspflichten.
- Für jede bestehende oder geplante Übermittlung klären lassen, ob ein Angemessenheitsbeschluss greift oder welcher andere Transferweg einschlägig ist.
- Bei SCC einen Freigabeprozess für das passende Rollenmodul, die vorgesehenen Optionen und vollständig ausgefüllte Anhänge einrichten.
- Sicherstellen, dass der Importeur die erforderlichen Informationen beiträgt, die Bewertung dokumentiert wird und der zuständigen Aufsichtsbehörde auf Anfrage bereitgestellt werden kann.
- Abläufe für Änderungen der maßgeblichen Rechtsvorschriften, Gepflogenheiten oder sonstigen Umstände festlegen: Der Importeur soll diese umgehend und eine fehlende Einhaltung unverzüglich melden; anschließend sind die Neubewertung sowie die Entscheidung über geeignete Maßnahmen, Aussetzung und/oder Beendigung zu dokumentieren.
- Verantwortlichkeiten für Behördenmitteilung, Rückgabe oder Löschung und die Dokumentation anlassbezogener Folgeentscheidungen bestimmen.
Für die Geschäftsleitung
SCC decken bestimmte Übermittlungen eines der DSGVO unterliegenden Exporteurs an einen Importeur im Drittland ab, dessen betreffende Verarbeitung nicht der DSGVO unterliegt. Die zentrale Entscheidung lautet zunächst, ob ein Angemessenheitsbeschluss oder ein anderer Transferweg greift; bei SCC folgen Modulauswahl, konkrete Anhänge und die Bewertung nach Klausel 14. Als Nachweis sollten Freigabeentscheidung, ausgefüllte Anhänge, dokumentierte Drittlandsbewertung, ergänzende Maßnahmen sowie anlassbezogene Mitteilungen und Folgeentscheidungen zu Aussetzung, Beendigung, Rückgabe oder Löschung nachvollziehbar vorliegen. Dazu gehört ein dokumentierter Prozess, der Änderungen der maßgeblichen Rechtsvorschriften, Gepflogenheiten oder sonstigen Umstände erfasst und die anschließende Neubewertung sowie Entscheidungen über geeignete Maßnahmen, Aussetzung und/oder Beendigung nachweist.
