EU-Kommission veröffentlicht neue Standardvertragsklauseln für den Datentransfer

Die SCCs sollen die neuen Anforderungen der Datenschutzgrundverordnung (DSGVO) widerspiegeln und das Schrems-II-Urteil des Europäischen Gerichtshofs berücksichtigen. Die neuen Instrumente sollen europäischen Unternehmen mehr Rechtssicherheit bieten und dabei insbesondere KMU helfen, die Einhaltung der Anforderungen für sichere Datenübertragungen zu gewährleisten und gleichzeitig den freien grenzüberschreitenden Datenverkehr ohne rechtliche Hindernisse zu ermöglichen. Für Verantwortliche und Auftragsverarbeiter, die derzeit frühere Standardvertragsklauseln verwenden, ist eine Übergangsfrist von 18 Monaten vorgesehen.

Am 16. Juli 2020 hatte der Europäische Gerichtshof im Urteil Schrems II das EU-US-Datenschutzabkommen „Privacy Shield“ für ungültig erklärt und die Verwendung von Standardvertragsklauseln (SCCs), die das (nun letztlich verbliebene) Instrument für die Übermittlung personenbezogener Daten von der EU in die USA sind, nur unter strengen Bedingungen erlaubt. Standardvertragsklauseln sollen demnach weiterhin gültig bleiben, allerdings unter neuen spezifischen Bedingungen. Von nun an müssen Unternehmen, die Daten aus der EU über SCC's übermitteln, von Fall zu Fall eine "Risikobewertung" des innerstaatlichen Rechts des Datenimporteurs (Drittland) durchführen, um festzustellen, ob das Schutzniveau den EU-Standards entspricht, bevor ein Datentransfer durchgeführt werden kann. Der Gerichtshof hatte nicht präzisiert, wie diese Selbstbeurteilung des Risikos aussehen soll und welche zusätzlichen Maßnahmen angemessen sind, um die Einhaltung des internationalen Datenflusses zu gewährleisten.