Was sind SCC?
Standardvertragsklauseln (Standard Contractual Clauses, SCC) sind vorab genehmigte Vertragsklauseln, die die Europäische Kommission durch den Durchführungsbeschluss 2021/914 erlassen hat. Sie sind der am weitesten verbreitete Mechanismus zur Legitimierung der Übermittlung personenbezogener Daten in Länder außerhalb des EWR, die keinen Angemessenheitsbeschluss der Kommission besitzen.
Die vier Module
Die SCC von 2021 sind in vier Module gegliedert, die unterschiedliche Parteienkonstellationen abbilden:
- Modul 1: Verantwortlicher an Verantwortlichen
- Modul 2: Verantwortlicher an Auftragsverarbeiter (das häufigste Szenario bei Cloud-Diensten)
- Modul 3: Auftragsverarbeiter an Auftragsverarbeiter (Unterauftragsverarbeitungsketten)
- Modul 4: Auftragsverarbeiter an Verantwortlichen (Daten fließen an einen Verantwortlichen außerhalb des EWR zurück)
Jedes Modul enthält auf die Art des Datenflusses und die Rollen der Parteien zugeschnittene Pflichten.
Schrems II und Transfer Impact Assessments
Das Urteil des EuGH in der Rechtssache Schrems II (2020) hat festgestellt, dass SCC allein möglicherweise keinen ausreichenden Schutz bieten, wenn die Gesetze des Bestimmungslandes die vertraglichen Garantien untergraben — insbesondere in Bezug auf staatliche Überwachung. Datenexporteure müssen nun vor der Nutzung von SCC eine Transfer Impact Assessment (TIA) durchführen und dabei den Rechtsrahmen des Empfängerlands bewerten sowie bei Bedarf ergänzende Maßnahmen ergreifen (Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen).
Der EU-US-Datenschutzrahmen
Der EU-US-Datenschutzrahmen (Data Privacy Framework, 2023) bietet einen Angemessenheitsmechanismus für Übermittlungen an US-Unternehmen, die sich unter dem Rahmen selbst zertifiziert haben, und reduziert (aber beseitigt nicht vollständig) den Bedarf an SCC im EU-US-Datenverkehr. Für alle anderen Länder ohne Angemessenheitsbeschluss bleiben SCC der primäre Übermittlungsmechanismus.
Praktische Umsetzung
Unternehmen müssen SCC in alle Verträge mit Auftragsverarbeitern und Empfängern außerhalb des EWR integrieren, dokumentierte TIAs durchführen, technische ergänzende Maßnahmen umsetzen, soweit erforderlich, und die Angemessenheit der Schutzmaßnahmen regelmäßig überprüfen, da sich Rechtslagen verändern.