Standardvertragsklauseln

Standardvertragsklauseln (SCCs) sind von der Europäischen Kommission verbindlich vorgegebene vertragliche Muster, die den grenzüberschreitenden Transfer personenbezogener Daten aus der Europäischen Union in Drittländer rechtlich absichern. Sie regeln Pflichten und Verantwortlichkeiten von Datenexportierenden (Controller) und Datenimportierenden (Processor) und schaffen eine vertragliche Grundlage für die Einhaltung der Datenschutz-Grundverordnung (DSGVO) bei Auslandübermittlungen.

Historisch wurden SCCs im Rahmen der EU-Datenschutzregelungen eingeführt; die 2010 veröffentlichten Fassungen wurden 2021 durch neue Versionen ersetzt. Diese neuen Klauseln stellen vier Module für unterschiedliche Rollenkonstellationen bereit. Der Europäische Gerichtshof hat im Schrems-II-Urteil klargestellt, dass Transfers in Drittländer einer Einzelfallprüfung und ggf. zusätzlicher Schutzmaßnahmen bedürfen.

Struktur: Die neuen SCCs bestehen aus vier Modulen: Modul 1 – Controller-to-Controller, Modul 2 – Controller-to-Processor, Modul 3 – Processor-to-Controller, Modul 4 – Processor-to-Processor. Jedes Modul enthält Pflichtbestandteile zu Zweckbindung, Datensicherheit, Unterauftragsverarbeitung, Datenlöschung, Rechenschaftspflichten, Meldepflichten bei Verstößen und Mechanismen zur Rechtsdurchsetzung. Die Klauseln schreiben zudem die Durchführung einer Transferbewertung vor, wenn der Empfänger außerhalb der EU liegt.

Anwendung und Umsetzung: SCCs kommen in Verträgen zwischen EU-Datenexporteuren und Drittländer gegnerischen Datenimporteuren zum Einsatz. Sie verlangen, dass der Importeur geeignete technische und organisatorische Maßnahmen zum Datenschutz trifft und dass bei Bedarf zusätzliche Schutzmaßnahmen getroffen werden, um ein angemessenes Datenschutzniveau sicherzustellen. Zudem regeln sie Unterauftragsverarbeitung, Rechtsmittel und Kooperationspflichten mit Aufsichtsbehörden.

Verhältnis zu anderen Instrumenten: SCCs sind eines der wichtigsten Instrumente für grenzüberschreitende Datenübermittlungen. Sie ergänzen weitere Rechtsmechanismen wie verbindliche Unternehmensregeln (BCRs) oder Angemessenheitsentscheidungen der EU-Kommission und ermöglichen, Transfers in Drittländer rechtssicher zu gestalten.