EU veröffentlicht neue Standard-Datenschutzklauseln

Die EU-Kommission hat mit Durchführungsbeschluss vom 4. Juni 2021 die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer aufdatiert. Der Beschluss bezieht sich auf Verordnung (EU) 2016/679, die diese Klauseln vorsieht. Relevant werden sie insbesondere für den Datenverkehr mit Drittländern, für die es keinen Angemessenheitsbeschluss nach Artikel 45 Abs. 3 der Verordnung gibt.

Die neuen Standardvertragsklauseln sind modular, enthalten also austauschbare Klauseln für verschiedene Szenarien: Übermittlung von Verantwortlichen / Auftragsverarbeitern untereinander, von Verantwortlichen an Auftragsverarbeiter sowie – erstmals – auch von Auftragsverarbeitern an Verantwortliche.

Im Lichte der EuGH-Entscheidung in Sachen Schrems II enthalten sie außerdem die Verpflichtung, eine Beurteilung des Datenschutzniveaus im Zielland durchzuführen. Verlangen Behörden im Zielland Zugang zu persönlichen Daten, muss die Rechtmäßigkeit dieses Verlangens geprüft werden. Steht sie in Zweifel, müssen Rechtsmittel eingelegt werden (Artikel 14, 15).

Verträge müssen bis spätestens Dezember 2022 angepasst werden. Werden sie aber zwischendurch aus anderen Gründen geändert, muss die Aufdatierung aus diesem Anlass implementiert werden. Nach dem Ablauf der Übergangsphase im Dezember 2022 können Datentransfers im Zusammenhang mit Drittländern nicht mehr auf die alten Standardvertragsklauseln gestützt werden und können somit illegal sein.