Mitarbeiterdatenschutz bei Datenübermittlungen in Drittl ... / 4.3 Anpassungen durch Neue Standardvertragsklauseln

Die Neuen Standardvertragsklauseln enthalten ähnliche Pflichten und Einschränkungen wie die bestehenden Standardvertragsklauseln. Allerdings regeln die Neuen Standardvertragsklauseln einige Anforderungen, die sich bisher nur aus der Rechtsprechung des EuGH ergeben haben, nunmehr ausdrücklich. Daraus ergeben sich einige Unterschiede. Die wichtigsten Änderungen werden nachfolgend zusammengefasst.

4.3.1 Erweiterter Anwendungsbereich

Die Neuen Standardvertragsklauseln decken einen breiteren Bereich ab. Sie sind modular aufgebaut, sodass Importeur und Exporteuer diejenigen Klauseln auswählen können, die im Hinblick auf die für sie relevante(n) Art(en) der Datenübermittlung einschlägig sind.

Während zuvor nur Übermittlungen von Verantwortlichen an Verantwortliche und Übermittlungen von Verantwortlichen an Datenverarbeiter abgedeckt wurden, enthalten die Neuen Standardvertragsklauseln vier Module, die sämtliche der folgenden Übermittlungsszenarien erfassen:

• Verantwortlicher an Verantwortlichen
• Verantwortlicher an Datenverarbeiter
• Datenverarbeiter an Datenverarbeiter
• Datenverarbeiter an Verantwortlichen (wobei dann der Verantwortliche den Datenverarbeiter anweisen müsste).

Praktische Auswirkungen

Datenverarbeiter und Dienstleister in der EU (z. B. auch Shared Service Center im Unternehmensverbund) können die Neuen Standardvertragsklauseln nun direkt mit Empfängern außerhalb der EU abschließen, was zuvor nicht möglich war. Praktische Relevanz haben vor allem der Einsatz von Unterauftragnehmern durch das Shared Service Center.

Das neue modulare Format soll es Organisationen ermöglichen, Sicherheitsvorkehrungen für die Übermittlung zu treffen, die sämtliche Übermittlungsarten leichter abdecken. Die Nutzung der individuell zugeschnittenen Neuen Standardvertragsklauseln wird jedoch einen höheren Verwaltungsaufwand erfordern, da es nicht mehr ausreichen wird, die Klauseln einfach an eine Auftragsdatenverarbeitungsvereinbarung anzuhängen. Es wird notwendig sein, die Neuen Standardvertragsklauseln zu prüfen und auf Grundlage des für die Übermittlung relevanten Moduls die jeweils passenden Klauseln auszuwählen. Zwar ist es hilfreich, dass die Neuen Standardvertragsklauseln ein breiteres Übermittlungsspektrum abdecken, es sind jedoch auch einige wichtige Bereiche ungeregelt geblieben. Die Neuen Standardvertragsklauseln können nicht verwendet werden, wenn der Importeur der DSGVO unterliegt (wegen Art. 3 Abs. 2 DSGVO). Sie erläutern leider nicht, ob Standardvertragsklauseln in einer solchen Situation überhaupt notwendig sind (d. h. ob diese Situation überhaupt als Übermittlung anzusehen ist). Erwägungsgrund 7 der Neuen Standardvertragsklauseln enthält sogar die Formulierung, dass die Klauseln "unbeschadet der Auslegung des Begriffs der internationalen Datenübermittlung" verwendet werden können, was als Anerkenntnis dieser Grauzone ausgelegt werden könnte.

4.3.2 Exporteure mit Sitz außerhalb der EU

Ausgangsfall

Anwendbarkeit bei Exporteuren mit Sitz außerhalb der EU und für Rückübermittlungen (Datenverarbeiter an Verantwortliche) Datenexporteure müssen nicht mehr in der EU ansässig sein, um die Neuen Standardvertragsklauseln anwenden zu können. Die Neuen Standardvertragsklauseln decken auch ein Szenario ab, in dem personenbezogene Daten von einem Exporteur mit Sitz außerhalb der EU an einen Importeur mit Sitz in der EU übermittelt werden und dann zurück an den Exporteur außerhalb der EU gesendet werden.

Praktische Auswirkungen

Exporteure mit Sitz außerhalb der EU, die jedoch in den Anwendungsbereich der DSGVO fallen, können die Neuen Standardvertragsklauseln zur Übermittlung personenbezogener Daten an andere Organisationen außerhalb der EU nutzen.

Praxis-Beispiel

Exporteur mit Sitz außerhalb der EU

Ein US-Unternehmen übermittelt in seiner Eigenschaft als Verantwortlicher Daten von EU-Bürgern an einen Datenverarbeiter in Indien.

Diese neuen Optionen sollen eine Lösung für das "Rückübermittlungsproblem" bieten und die kreativen Freiformulierungsbemühungen beenden, auf die Anwälte bisher in solchen Szenarien zurückgreifen mussten.

4.3.3 Verwendung von mehreren Parteien

Die Neuen Standardvertragsklauseln können von mehreren Parteien abgeschlossen werden und enthalten eine "Kopplungsklausel", die es neuen Parteien jederzeit ermöglicht, den neuen Klauseln ebenfalls beizutreten.

Praktische Auswirkungen

Diese Änderung wird insbesondere für multinationale Organisationen mit komplexen konzerninternen Datenaustauschvereinbarungen von Nutzen sein. Die Nutzung des vorgeschriebenen Anhangs und die Einholung der Zustimmung der Parteien kann sich jedoch möglicherweise als kompliziert erweisen.

4.3.4 Änderungen zur Berücksichtigung des Schrems-II-Urteils

Einfluss nationaler Rechtsvorschriften

Sowohl Exporteure als auch Importeure müssen zukünftig versichern, dass sie keinen Grund zu der Annahme haben, dass die Rechtsvorschriften und Gepflogenheiten im Bestimmungsland, einschließlich Offenlegungs- und Überwachungsvorschriften, den Datenimporteur an der Erfüllung seiner Pflichten gemäß den Neuen Standardvertragsklauseln hindern werden. Des Weiteren sind Importeure verpflichtet, den Datenexporteur zu informieren, wenn sie Grund zu der Ann...