EU-Standardvertragsklauseln / Standard Contractual Clauses erstellen

Sie benötigen dann Standardvertragsklauseln, wenn personenbezogene Daten innerhalb ihrer Verantwortlichkeit in ein Drittland übermittelt werden und keine andere geeignete Garantie für diesen Transfer vorliegt. Eine andere häufige Garantie kann zum Beispiel ein Angemessenheitsbeschuss sein. Durch einen Angemessenheitsbeschluss bescheinigt die EU-Kommission einigen Drittländern, dass im jeweiligen Drittland ein dem EWR vergleichbares Datenschutzniveau vorherrscht. So geschehen für folgende Drittländer: Andorra, Argentinien, Kanada, Färöer-Inseln, Guernsey, Israel, Isle of Man, Japan, Jersey, Neuseeland, Schweiz, Uruguay sowie die USA unter den Voraussetzungen einer Zertifizierung unter dem EU-U.S. Privacy Shield (einsehbar unter https://www.privacyshield.gov/list).

Standardvertragsklauseln gibt es in drei Varianten. Zwei davon beziehen sich auf die bloße Datenübermittlung zwischen zwei Verantwortlichen. Die dritte bezieht sich auf die Übermittlung zwischen einem im EWR ansässigen Unternehmen als Verantwortlicher und einem Dienstleister als Auftragsverarbeiter in einem Drittland.

In unserem Generator bilden wir ausschließlich die dritte Variante für das Verhältnis von Verantwortlichem und Auftragsverarbeiter ab.

Inhaltlich bilden die durch die Kommission erlassenen Standardvertragsklauseln zunächst Definitionen, hiernach allgemeine Grundsätze und schließlich von den Parteien eigenständige Beschreibungen in Anhängen ab. Zudem kann eine fakultative, sprich freiwillige Entschädigungsklausel mit aufgenommen werden. Der Inhalt der Standardvertragsklauseln ist grundsätzlichunveränderlich und muss entsprechend von den Parteien gebilligt werden. Das Schutzniveau kann allerdings durch zusätzliche Regelungen erhöht werden, was in einem separaten Anhang realisiert werden kann.

Ein in der Praxis oft verbreiteter Irrglaube ist, dass der Abschluss der Standardvertragsklauseln die Übermittlung der Daten per se legitimieren würde. Zweck des Abschlusses ist allerdings einzig und allein für geeignete Garantien zur Aufrechterhaltung eines gleichbleibenden Datenschutzniveaus zu sorgen. Eine grundsätzliche Erlaubnisnorm als Rechtsgrund für den Transfer kann hierdurch nie konstruiert werden.

Die Standardvertragsklauseln flankieren in der Praxis demnach in den meisten Fällen separat geschlossene Vereinbarungen zwecks Einhaltung datenschutzrechtlicher Anforderungen. So ist im Falle eins Auftragsverarbeitungsverhältnisses zwischen Verantwortlichen (Auftraggeber) und Auftragsverarbeiter (Auftragnehmer) zusätzlich ein Vertrag zur Auftragsverarbeitung nach Maßgabe des Art. 28 DSGVO abzuschließen.

Bei Beschäftigtendaten handelt es sich meist um sensiblere Daten als beispielsweise bei Kundendaten. So bedarf es unter Umständen der sorgfältigen Prüfung, bevor diese in ein Drittland übertragen werden. Im Falle eines Transfers in die USA muss neben der Zertifizierung unter dem EU-U.S. Privacy Shield eine gesonderte Anforderung für Personaldaten erfüllt werden. Die zertifizierten Unternehmen müssen spezielle Anforderungen für HR erfüllen, um unter das EU-U.S. Privacy Shield zu fallen. Holen Sie sich im Einzelfall hier unbedingt Rechtsrat ein.

Auch hier darf die Kette des einzuhaltenden Schutzniveaus nicht abreißen. Im Falle des Rückgriffs auf Standardvertragsklauseln als geeignete Garantie, müssen diese entweder mit jedem eingesetzten Subdienstleister separat unterzeichnet werden, was in der Praxis oftmals unmöglich ist. Oder man ermächtigt den eingesetzten Auftragsverarbeiter im Namen des Verantwortlichen mit den Subdienstleistern Standardvertragsklauseln abschließen zu dürfen. Eine solche Ermächtigung kann nach Bedarf im zugrundeliegenden, separat zu schließenden Auftragsverarbeitungsvertrag enthalten sein.

Sowohl die Schritt-für-Schritt-Anleitung als auch der unterschriftsreife Vertragstext sind auf Englisch. Dies ist vor dem Hintergrund des stets internationalen Bezugs am sinnvollsten.