Standardvertragsklauseln sind das wichtigste Instrument für Datentransfers in Drittländer. Ihre Unterzeichnung allein genügt für einen rechtskonformen Datenschutz jedoch nicht. Dieser Beitrag zeigt, welche Module es gibt, welche Angaben die Anhänge erfordern und wie die Prüfung des Empfängerlands praktisch gelingt.
Wie sind Standardvertragsklauseln einzuordnen?
Internationale Datentransfers gehören zum Alltag, etwa bei Cloud-Diensten, globalen Personalprozessen und konzernweiten IT-Systemen. Nach Art. 44 DSGVO dürfen personenbezogene Daten nur dann in ein Drittland übermittelt werden, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind und das durch die Verordnung gewährleistete Schutzniveau nicht unterlaufen wird. Ein Weg ist ein Angemessenheitsbeschluss nach Art. 45 DSGVO. Die EU-Kommission stellt dabei fest, dass ein Drittland ein angemessenes Schutzniveau gewährleistet. Für das von der Entscheidung erfasste Land ist dann kein zusätzliches Transferinstrument erforderlich.
Fehlt ein einschlägiger Angemessenheitsbeschluss, können geeignete Garantien nach Art. 46 DSGVO in Betracht kommen. Dazu zählen neben den von der Kommission erlassenen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO insbesondere verbindliche interne Datenschutzvorschriften, bestimmte genehmigte Verhaltensregeln oder Zertifizierungen mit verbindlichen Verpflichtungen sowie genehmigte individuelle Vertragsklauseln. Eine Ausnahme nach Art. 49 DSGVO ist nur unter den dort geregelten, regelmäßig eng auszulegenden Voraussetzungen verfügbar.
Die Standardvertragsklauseln standardisieren vertragliche Schutzpflichten, ersetzen aber weder eine Rechtsgrundlage für die Verarbeitung noch die übrigen Pflichten aus der DSGVO. Außerdem muss zunächst geprüft werden, ob überhaupt ein Drittlandtransfer im Sinne des Kapitels V vorliegt.
Welches Modul passt zu welcher Rolle im Datenfluss?
Die Standardvertragsklauseln sind im Durchführungsbeschluss (EU) 2021/914 niedergelegt. Der Beschluss enthält allgemeine Klauseln und vier Module für unterschiedliche Verarbeitungskonstellationen:
- Modul 1: Verantwortlicher an Verantwortlichen
- Modul 2: Verantwortlicher an Auftragsverarbeiter
- Modul 3: Auftragsverarbeiter an Auftragsverarbeiter, typischerweise einen Unterauftragsverarbeiter
- Modul 4: Auftragsverarbeiter an Verantwortlichen, etwa bei einer Rückübermittlung an einen Drittlands-Auftraggeber
Maßgeblich sind die tatsächlichen Rollen nach Art. 4 Nr. 7 und Nr. 8 DSGVO und der konkrete Datenfluss, nicht die Bezeichnung des Vertrags. Eine Partei kann in unterschiedlichen Vorgängen unterschiedliche Rollen einnehmen. Dann können zwischen denselben Unternehmen mehrere Module einschlägig sein. Auch ein Beitritt weiterer Parteien ist über die Docking-Klausel möglich, sofern die Beitrittsvoraussetzungen eingehalten und die Anhänge aktualisiert werden.
Die Klauseln sind grundsätzlich unverändert zu verwenden. Die Parteien wählen das passende Modul und die vorgesehenen Optionen, füllen die Anhänge aus und dürfen ergänzende Bestimmungen nur aufnehmen, wenn diese den Standardvertragsklauseln nicht widersprechen und die Rechte betroffener Personen nicht beeinträchtigen.
Welche Angaben gehören in die Anhänge der Standardvertragsklauseln?
Die Anhänge sind keine bloße Optionen und müssen den Standardvertragsklauseln beigefügt werden. Anhang I benennt die Parteien und Rollen (I.A), beschreibt den Transfer (I.B) und weist die zuständige Aufsichtsbehörde aus (I.C). Die Beschreibung sollte unter anderem betroffene Personengruppen, Datenkategorien, Zwecke, Art und Häufigkeit der Übermittlung sowie Speicherdauer und gegebenenfalls sensible Daten erfassen. Anhang II beschreibt die tatsächlich umgesetzten technischen und organisatorischen Maßnahmen. Anhang III enthält, soweit einschlägig, Angaben zu Unterauftragsverarbeitern.
Pauschale Einträge wie „Sicherheitsmaßnahmen“ oder „Mitarbeiterdaten“ ermöglichen regelmäßig keine belastbare Prüfung. Die Angaben müssen zu den realen Datenflüssen passen und erkennen lassen, welche Schutzmaßnahmen für den jeweiligen Transfer gelten.
Für die Module 2 und 3 sind die Pflichten aus Art. 28 Abs. 3 und 4 DSGVO in die Standardvertragsklauseln integriert. Für die von diesen Modulen erfasste Auftragsverarbeitung ist deshalb grundsätzlich kein zusätzlicher Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich, wenn die Klauseln korrekt abgeschlossen und vollständig auf den konkreten Vorgang angewandt werden.
Was bedeutet Schrems II für den Datenschutz im Drittland?
Der EuGH hat die Standardvertragsklauseln im Urteil Schrems II nicht für ungültig erklärt, aber klargestellt, dass sie nicht automatisch in jedem Drittland wirksamen Schutz gewährleisten. Da ein privater Vertrag ausländische Behörden nicht bindet, müssen Exporteur und Importeur vor dem Transfer bewerten, ob Recht und Praxis des Bestimmungslands die Einhaltung der Klauseln beeinträchtigen können.
Die Klauseln greifen diese Prüfung insbesondere in Klausel 14 auf, Klausel 15 regelt den Umgang mit behördlichen Zugriffen. Das hieraus folgende Transfer Impact Assessment (TIA) bezeichnet die dokumentierte Prüfung, die sich aus Schrems II, den Standardvertragsklauseln und der EDSA-Praxis ergibt. Die EDSA-Empfehlungen 01/2020 sehen hierfür eine sechsstufige Vorgehensweise vor: Transfers erfassen, Transferinstrument bestimmen, Recht und Praxis des Drittlands bewerten, erforderliche Zusatzmaßnahmen identifizieren, formelle Schritte umsetzen und die Bewertung regelmäßig überprüfen.
Zusatzmaßnahmen müssen die konkret erkannten Risiken wirksam mindern. Technisch können etwa Verschlüsselung mit Schlüsselkontrolle im EWR, eine wirksame Pseudonymisierung oder eine Aufteilung der Verarbeitung helfen. Organisatorisch kommen restriktive Zugriffsrechte, Protokollierung und geregelte Eskalationsverfahren in Betracht. Vertragliche Pflichten zu Transparenz, Benachrichtigung und Anfechtung behördlicher Anordnungen können ergänzen. Sie reichen aber nicht ohne Weiteres aus, wenn zwingendes Drittlandsrecht entgegensteht oder der Importeur Behörden Daten im Klartext bereitstellen muss. Sind die Klauseln auch mit wirksamen Zusatzmaßnahmen nicht erfüllbar, ist der Transfer auszusetzen oder zu beenden.
Wie wirken Standardvertragsklauseln in der Praxis?
Welche Prüfschritte erforderlich sind, zeigen zwei typische Konstellationen aus dem Unternehmensalltag:
- US-amerikanischer Cloud-Dienst: Zunächst ist zu klären, ob der Anbieter Auftragsverarbeiter ist, bei einem Drittlandsanbieter außerhalb des Anwendungsbereichs der DSGVO kommt dann regelmäßig Modul 2 in Betracht. Vor der Berufung auf SCC sind Cloud-Standorte, Supportzugriffe, Unterauftragsverarbeiter und behördliche Zugriffsmöglichkeiten zu untersuchen. Alternativ kann ein einschlägiger Angemessenheitsbeschluss greifen: Für US-Empfänger ist zu prüfen, ob die Organisation aktiv am EU-US Data Privacy Framework teilnimmt und ob der Transfer vom Zertifizierungsumfang erfasst ist. Das EU-US Data Privacy Framework steht jedoch auf rechtlich unsicherem Fundament.
- Beschäftigtendaten an eine Konzerngesellschaft im Drittland: Handelt die empfangende Gesellschaft für eigene konzernweite Personalzwecke als Verantwortliche, kann Modul 1 passen. Erbringt sie dagegen HR-Leistungen auf dokumentierte Weisung, ist die Rollenverteilung neu zu prüfen. Zusätzlich zum Transferinstrument sind die Rechtsgrundlage, Datenminimierung und gegebenenfalls Art. 9 DSGVO für besondere Datenkategorien zu bewerten. Eine Beschränkung auf erforderliche Daten, pseudonymisierte Berichte und ein enges Berechtigungskonzept können das Risiko reduzieren. Konzernzugehörigkeit allein schafft weder eine Übermittlungsgrundlage noch ein angemessenes Schutzniveau.
Beide Beispiele verdeutlichen: Die Auswahl des Moduls ist nur der Ausgangspunkt. Erst die Analyse der tatsächlichen Zugriffswege, der technischen Umsetzung und der jeweiligen Rechtsgrundlage ergibt ein belastbares Bild des Transfers.
Welche Fehler gefährden den Datenschutz bei der Umsetzung?
Praktisch sollten Unternehmen die Datenflüsse einschließlich Fernzugriffen und Weiterübermittlungen erfassen, Rollen je Transfer bestimmen, Modul und Anhänge zuordnen sowie die TIA-Ergebnisse, Maßnahmen und Freigaben dokumentieren. Änderungen an Zweck, Datenumfang, Empfänger, Unterauftragnehmern, Drittlandsrecht oder Sicherheitsarchitektur können eine erneute Prüfung auslösen.
Typische Fehler sind falsche Module, unvollständige Anhänge, unklare Verantwortlichkeiten und die Annahme, ein allgemeiner Auftragsverarbeitungsvertrag decke Kapitel V bereits ab. Maßgeblich sind stets die aktuellen Standardvertragsklauseln, vollständig ausgefüllt und auf den konkreten Vorgang angewandt.
Standardisierung ersetzt keine Einzelfallprüfung des Drittlandtransfers
Die Standardvertragsklauseln bieten Standardisierung und eine gut nachweisbare vertragliche Grundlage. Rechtssicherheit entsteht aber erst durch passende Module, aussagekräftige Anhänge und eine belastbare, fortlaufend überprüfte Bewertung des Empfängerlands. Unternehmen sollten daher jeden Transfer konkret beurteilen und die Klauseln nicht als pauschale Freigabe für Drittlandzugriffe behandeln. Mit Blick auf die weitere Entwicklung von Aufsichtspraxis und Rechtsprechung bleibt die regelmäßige Überprüfung bestehender Transfers ein dauerhafter Bestandteil der Datenschutzorganisation.
