Standardvertragsklauseln

Standardvertragsklauseln sind ein Instrument nach Art. 46 DSGVO. Sie sollen bei einer Übermittlung personenbezogener Daten in ein Drittland geeignete Garantien schaffen, wenn kein passender Angemessenheitsbeschluss greift. Die derzeit maßgeblichen Klauseln beruhen auf dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission.

Der Beschluss enthält vier Module für unterschiedliche Rollen: Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter sowie Auftragsverarbeiter an Verantwortlichen. Entscheidend ist daher die tatsächliche Rollenverteilung. Zusätzlich müssen unter anderem die Anhänge zu Daten, Zwecken, Empfängern, technischen und organisatorischen Maßnahmen sowie zu Unterauftragsverarbeitern passend ausgefüllt werden.

Standardvertragsklauseln allein erledigen nicht jede Prüfung des Drittlandtransfers. Vor der Übermittlung ist zu klären, ob die Rechtslage und die Praxis im Empfängerland ein im Wesentlichen gleichwertiges Schutzniveau zulassen. Je nach Ergebnis können zusätzliche Schutzmaßnahmen, vertragliche Zusicherungen oder organisatorische und technische Vorkehrungen erforderlich sein. Die Klauseln ersetzen außerdem nicht die übrigen Pflichten aus der DSGVO und sind kein allgemeiner Auftragsverarbeitungsvertrag.

Für die Einordnung helfen die Begriffe Drittlandtransfer und Transfer Impact Assessment. Die Seite Auftragsverarbeitung und Dienstleister ordnet die Rollen und die vertragliche Zusammenarbeit ein. So lässt sich prüfen, ob das gewählte Modul, die Anhänge und die ergänzenden Maßnahmen zum konkreten Datenfluss passen.