Neue Standardvertragsklauseln 2021: Fristen und To-dos

Knapp ein Jahr nach dem Schrems-II-Urteil des EuGH hat die Europäische Kommission am 4. Juni 2021 neue Standardvertragsklauseln (Standard Contractual Clauses, SCC) für die Übermittlung personenbezogener Daten in Drittländer verabschiedet (Durchführungsbeschluss (EU) 2021/914). Die bisherigen Klauseln aus den Jahren 2001, 2004 und 2010 laufen aus. Für Unternehmen, die mit Dienstleistern oder Konzerngesellschaften außerhalb des Europäischen Wirtschaftsraums zusammenarbeiten, besteht damit Handlungsbedarf.

Die wichtigsten Neuerungen

• Statt getrennter Vertragswerke gibt es ein einheitliches Dokument mit vier Modulen: Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter sowie Auftragsverarbeiter an Verantwortlichen. Gerade die Konstellation „Auftragsverarbeiter an Unterauftragsverarbeiter“ war bislang nicht abgedeckt.
• Über eine „Kopplungsklausel“ können weitere Parteien später beitreten.
• Die Parteien müssen zusichern, dass sie geprüft haben, ob Recht und Praxis im Bestimmungsland die Einhaltung der Klauseln verhindern. Diese Prüfung ist zu dokumentieren und der Aufsichtsbehörde auf Anfrage vorzulegen. Damit greift die Kommission die Vorgaben des EuGH aus Schrems II auf.
• Der Datenimporteur muss den Exporteur grundsätzlich über Zugriffsersuchen von Behörden informieren und deren Rechtmäßigkeit prüfen.
• Die Module für Auftragsverarbeiter enthalten die Anforderungen des Art. 28 DSGVO, sodass für diese Punkte kein separater Vertrag erforderlich ist.

Die Übergangsfristen

Der Beschluss tritt am 27. Juni 2021 in Kraft. Die alten Standardvertragsklauseln dürfen für neue Verträge nur noch bis zum 27. September 2021 verwendet werden. Bereits bestehende Verträge auf Basis der alten Klauseln bleiben bis zum 27. Dezember 2022 wirksam, sofern die Verarbeitung unverändert bleibt und geeignete Garantien gewährleistet sind. Bis dahin müssen alle Altverträge umgestellt sein.

Separate Klauseln für die Auftragsverarbeitung in der EU

Am selben Tag hat die Kommission zusätzlich Standardvertragsklauseln für die Auftragsverarbeitung innerhalb der EU nach Art. 28 Abs. 7 DSGVO veröffentlicht (Durchführungsbeschluss (EU) 2021/915). Ihre Nutzung ist freiwillig. Sie bieten aber eine solide Grundlage, wenn Sie einen Auftragsverarbeitungsvertrag neu aufsetzen möchten.

To-do-Liste für Unternehmen

1. Alle Drittlandübermittlungen erfassen, einschließlich der Unterauftragsverarbeiter Ihrer Dienstleister.
2. Klären, welches Modul für die jeweilige Konstellation passt.
3. Für jede Übermittlung eine Bewertung der Rechtslage im Drittland (Transfer Impact Assessment) erstellen und dokumentieren.
4. Gegebenenfalls zusätzliche Maßnahmen festlegen, etwa Verschlüsselung oder Pseudonymisierung. Der Europäische Datenschutzausschuss hat hierzu Empfehlungen veröffentlicht.
5. Neue Verträge ab sofort auf Basis der neuen Klauseln abschließen; Altverträge bis spätestens 27. Dezember 2022 umstellen.
6. Das Verzeichnis von Verarbeitungstätigkeiten aktualisieren.

Lösen die neuen Klauseln das US-Problem?

Nicht automatisch. Die Klauseln bieten einen verbesserten vertraglichen Rahmen, ändern aber nichts an der Rechtslage in den USA, die der EuGH beanstandet hat. Ob eine Übermittlung zulässig ist, hängt weiterhin von der Einzelfallprüfung und gegebenenfalls ergänzenden Maßnahmen ab. Das betrifft besonders Website-Dienste wie Analyse- oder Marketing-Tools, für die ohnehin eine Einwilligung über einen rechtssicheren Cookie-Banner einzuholen ist.

Bis Ende 2022 ist Zeit, aber die Bestandsaufnahme sollte jetzt beginnen. Bei der Umstellung der Verträge und beim Transfer Impact Assessment unterstützen wir Sie gern. Kontaktieren Sie uns oder buchen Sie einen Termin.