TL, DR:
| Standardvertragsklauseln unterstützen rechtmäßige internationale Datentransfers gemäß den Anforderungen der DSGVO. |
| Sie definieren die Pflichten zwischen Datenexporteuren und -importeuren beim Transfer personenbezogener Daten über Grenzen hinweg. |
| Unternehmen sollten Transferrisiken, Verträge, Sicherheitsvorkehrungen und die Verantwortlichkeiten der Lieferanten überprüfen. |
Daten sind sensibel, und die Gewährleistung der Integrität und Sicherheit der personenbezogenen Daten der Bürger der Europäischen Union (EU) ist eines der Hauptziele der Datenschutz-Grundverordnung (DSGVO). Die DSGVO zielt darauf ab, die Interessen an Daten innerhalb und außerhalb der EU zu schützen. Wie gelingt ihr das? Wie übt die Europäische Kommission ihre Befugnisse außerhalb ihres Zuständigkeitsbereichs aus?
Hier kommen Standardvertragsklauseln (SCCs) ins Spiel. Die SCCs zielen darauf ab, die Privatsphäre der betroffenen Person bei internationalen Datentransfers und innerhalb der EU zu schützen.
Was sind Standardvertragsklauseln (SCCs)?
Standardvertragsklauseln (SCCs) sind von der Europäischen Kommission vorab genehmigte Rechtsvereinbarungen, die sicherstellen, dass personenbezogene Daten, die aus der EU in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden, denselben Schutz genießen wie nach der DSGVO vorgeschrieben. Die vollständigen Anforderungen der DSGVO gehen weit über den durch SCCs abgedeckten grenzüberschreitenden Datentransfer hinaus und umfassen die Rechtsgrundlage für die Verarbeitung, die Rechte der betroffenen Personen, die Fristen für die Meldung von Datenschutzverletzungen sowie die Rechenschaftspflichten, die unabhängig vom physischen Speicherort der Daten gelten.
Sie dienen als Schutzmechanismus für internationale Datentransfers zwischen Organisationen und gewährleisten die Einhaltung der EU-Datenschutzgesetze.
Hier ist eine vereinfachte Version dessen, was SCCs wirklich sind!
Wenn eine Organisation personenbezogene Daten rechtmäßig an eine andere Organisation außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt, müssen beide Parteien bestimmte Regeln einhalten, um die Einhaltung der Vorschriften zu gewährleisten und hohe Strafen zu vermeiden.
Diese Regeln (Rechtsdokumente) werden in Form von Standardvertragsklauseln (SCCs) umgesetzt.
Außerdem haben wir im Artikel erklärt, was ein Controller, ein Prozessor und ein Subprozessor ist. Also keine Sorge, es sollte eine angenehme Lektüre sein 🙂
In diesem Artikel wollen wir Folgendes erreichen:
*Erklären Sie, was Standardvertragsklauseln sind
*Erläutern Sie die verschiedenen Arten von SSCs
*Betrachten Sie die Unterschiede zwischen den alten und neuen SCCs
*Verstehen Sie, wie die neuen Standardvertragsklauseln umzusetzen sind.
Was geschieht, wenn ein nach der EU-DSGVO handelnder Akteur eine Datenübermittlung an einen anderen Akteur außerhalb der EU durchführt?
Drohen dem Absender oder dem Empfänger rechtliche Schritte oder hohe Strafen?
Was sind Standardvertragsklauseln (SCCs)?
In Fällen, in denen personenbezogene Daten von einem Unternehmen verarbeitet werden, das seinen Sitz in einem der Mitgliedstaaten des Europäischen Wirtschaftsraums (EWR) oder in der Schweiz hat, findet die DSGVO unmittelbar Anwendung, und die Einhaltung der Bestimmungen ist zwingend erforderlich.
Die DSGVO findet nicht immer direkte Anwendung, wenn personenbezogene Daten von EU-Bürgern an einen Auftragsverarbeiter oder Empfänger außerhalb des EWR übermittelt werden, beispielsweise bei grenzüberschreitenden Datenübermittlungen. In solchen Fällen sind Standardvertragsklauseln erforderlich, die eine weitere Form der Rechtsverbindlichkeit zum Schutz der Datenschutzinteressen von EU-Bürgern darstellen.
Um sicherzustellen, dass Organisationen die aktuellsten Maßnahmen zum Schutz von Daten innerhalb und außerhalb der EU umgesetzt haben, wurden die neuen Standardvertragsklauseln (SCCs) eingeführt.
Die Europäische Kommission hat zwei Sätze von Standardvertragsklauseln veröffentlicht.
(i) Für die Datenverarbeitung zwischen Verantwortlichen und Auftragsverarbeitern, die unter die DSGVO fallen.
(ii) Für die Übermittlung personenbezogener Daten an Orte außerhalb der EU.
Die neuen Standardvertragsklauseln (SCCs) wurden am 27. Juni 2021 eingeführt. Es handelt sich dabei um einen aktualisierten Satz von Standards, der von der Europäischen Kommission entworfen wurde und die alten/bestehenden SCCs bis zum 22. Dezember 2022 ersetzen wird.
Wir werden im weiteren Verlauf dieses Artikels noch genauer auf die beiden neuen Sets eingehen.
Für wen gelten die EU-Standardvertragsklauseln?
EU-Standardvertragsklauseln gelten für Organisationen mit Partnern außerhalb der EU, Organisationen mit globaler Lieferkette und Organisationen, die in Offshore-Gebiete auslagern. Von ihnen wird erwartet, dass sie die gewünschten Datenintegritäts- und Sicherheitsstandards einhalten.
Die neuen EU-Standardvertragsklauseln 2022 gelten für:
- Controller zu Controller (C2C)
- Controller zu Prozessor (C2P)
- Prozessor zu Prozessor (P2P)
- Prozessor zu Controller (P2C)
Warum wurden die neuen Standardvertragsklauseln geschaffen?
Neue Standardvertragsklauseln (SSCs) werden seit 2001 verwendet und wurden 2004 und 2010 aktualisiert. Seit der Einführung der DSGVO-Zertifizierung im Jahr 2018 sind die Richtlinien, die die Grundlage dafür bildeten, jedoch veraltet und können der stetig wachsenden Komplexität der Beziehung zwischen Verantwortlichem und Auftragsverarbeiter nicht mehr gerecht werden.
Die neuen Standardvertragsklauseln wurden als Reaktion auf das Urteil des Europäischen Gerichtshofs (EuGH) im Fall Schrems II geschaffen . In diesem Fall betonte der EuGH, dass Organisationen im Einzelfall prüfen müssen, ob die an ausländische Staatsangehörige weitergegebenen personenbezogenen Daten den Anforderungen der Europäischen Union an den Datenschutz entsprechen.
Neue Leitlinien zu den EU-Standardvertragsklauseln bieten hilfreiche Informationen für alle, die verstehen möchten, wann zusätzliche geeignete Schutzmaßnahmen erforderlich sind. Dies gewährleistet angemessene Datenschutzstandards bei der Übermittlung personenbezogener Daten aus der EU in Drittländer, einschließlich der Vereinigten Staaten.
Arten von DSGVO-Standardvertragsklauseln
Derzeit gibt es zwei Arten von Standardvertragsklauseln, an die sich Organisationen halten: die alten und die neuen.
Die alte Fassung ist unverändert geblieben, und die Europäische Kommission hat vorgeschrieben, dass alle Organisationen, die unter die DSGVO fallen, die neuen Standardvertragsklauseln bis zum 27. Dezember 2022 einhalten müssen.
Die neuen Standardvertragsklauseln der DSGVO werden in zwei Gruppen unterteilt:
Setze 1: Sie überwacht die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR).
Setze 2: Dieses Regelwerk überwacht die Art der Beziehung zwischen den an der grenzüberschreitenden Datenübertragung beteiligten Parteien, wie zum Beispiel DSGVO-Datenverantwortliche und -verarbeiter.
Umsetzung aktualisierter Standardvertragsklauseln
Die Europäische Kommission hat am 4. Juni 2021 einen Durchführungsbeschluss zu Standardvertragsklauseln erlassen. Diese neuen Standardvertragsklauseln gelten für alle Übermittlungen personenbezogener Daten in Länder außerhalb des EWR, die sich auf diese Klauseln als rechtlichen Übermittlungsmechanismus stützen.
Die Kommission beschloss außerdem, dass bei einer Änderung eines bestehenden Datentransfervertrags während dieses Zeitraums die bisherigen Standardvertragsklauseln durch die neuen Standardvertragsklauseln ersetzt werden müssen.
Das bedeutet:
- Neue Verträge, die am oder vor dem 27. September 2021 abgeschlossen werden, müssen den neuen Standardvertragsbedingungen entsprechen.
- Bestehende Verträge, die vor dem 27. September 2021 in Kraft getreten sind, haben eine Frist von 15 Monaten, um sich an die neuen Bestimmungen anzupassen, da sich die Verarbeitungsvereinbarungen nicht ändern. Die übermittelten personenbezogenen Daten werden gemäß Artikel 46 DSGVO geschützt.
- Wenn Änderungen vorgenommen werden, die sich auf den Verarbeitungsprozess auswirken könnten, sollten diese Änderungen aktualisiert und an die neuen SCCs angepasst werden.
- Alle Verträge, die vor dem 27. September 2021 in Kraft getreten sind, sollten bis zum 27. Dezember 2022 an die neuen Standardvertragsbedingungen angepasst werden, auch wenn keine Änderungen vorgenommen wurden.
Unterschied zwischen alten und neuen SCCs
Viele Verantwortlichkeiten wurden zwar aus den alten Standardvertragsklauseln übernommen und in die neuen übernommen, es wurden jedoch einige neue hinzugefügt, um sicherzustellen, dass die neuen Standardvertragsklauseln die Anforderungen der DSGVO-Konformitätscheckliste widerspiegeln und erfüllen . Diese sind:
Pflichten des Datenimporteurs:
Die neuen SCCs konzentrieren sich stärker auf Datenimporteure, die gleichzeitig auch als Datenverantwortliche fungieren, im Vergleich zu den älteren Versionen der SCCs.
Bewertung der Auswirkungen des Transfers
Die alten Standardvertragsklauseln (SCCs) waren nicht darauf ausgelegt, personenbezogene Daten, die in Drittländer übermittelt wurden, vor dem Zugriff durch die Regierungen der Gastländer zu schützen. Die neuen SCCs hingegen dienen dem Schutz der Datenprivatsphäre und regeln den Zugriff durch Regierungen.
Es werden neue Umstände geprüft, um sicherzustellen, dass Datenimporteure aus Gastländern (Drittländern) und deren jeweilige Regierungen dazu verpflichtet sind, die Richtlinien befolgen festgelegt durch die neuen SCCs.
- Besser abgestimmt auf Artikel 28 der DSGVO
- Die neuen SCCs ermöglichen Mehrparteienkonfigurationen durch die Vereinbarung neuer Normen.
- Gemäß den neuen Standardvertragsklauseln (SCCs) müssen Datenexporteure und -importeure eine Folgenabschätzung des Datentransfers (Data Transfer Impact Assessment, DTIA) durchführen, um zu analysieren, ob die lokalen Gesetze des Drittlandes, in das die Daten gesendet werden, mit den neuen Anforderungen vereinbar sind.
- Die an grenzüberschreitenden Datenübermittlungen beteiligten Parteien müssen die neuen Standardvertragsklauseln (SCCs) vom ersten Tag an einhalten. Diese Einhaltung muss bis zur Einstellung des Vorgangs aufrechterhalten werden.
- Die Teilnehmer an grenzüberschreitenden Datenübermittlungen sollten eine Zusammenfassung der Datenschutz-Folgenabschätzung vorlegen können. Die Europäische Kommission erwartet zudem, im Falle einer Datenschutzverletzung benachrichtigt zu werden.
Änderungen bei der Implementierung mit New DSGVO-Standardvertragsklauseln
Wenn Sie zum ersten Mal Standardvertragsklauseln (SCCs) einführen, empfehlen wir Ihnen, die neuen SCCs zu verwenden. Für diejenigen, die von den alten auf die neuen SCCs umsteigen, haben wir die zu befolgenden Schritte aufgelistet, damit Sie nichts Wichtiges übersehen.
- Prüfen Sie alle Ihre Verträge mit Drittanbietern, einschließlich Datentransfers innerhalb des EWR. Konzentrieren Sie sich anschließend auf die wichtigsten Verträge und stellen Sie sicher, dass Sie bis zum 27. Dezember 2022 neue Standardvertragsklauseln (SCCs) abgeschlossen haben.
- Daten auf einer Karte darstellen Die Daten werden sowohl aktiv als auch passiv in Drittländer übermittelt. Dies hilft Ihnen, blinde Flecken aufzudecken, die möglicherweise falsch etikettiert werden. Zum BeispielAnalytik, Kundenservice und mehr
- Führen Sie eine Folgenabschätzung für den Transfer durch, um sicherzustellen, dass Sie alle vom Vorstand aufgeführten Punkte einhalten.
- Identifizieren Sie die an jeder Transaktion beteiligten Parteien und kategorisieren Sie diese zur Gewährleistung von Transparenz und Nachvollziehbarkeit als Importeur, Exporteur, Verarbeiter, Unterverarbeiter und Verantwortlicher.
- Stellen Sie sicher, dass alle Ihre Datenverarbeitungsvereinbarungen mit Ihren Anbietern den neuen Standards entsprechen.
- Stellen Sie sicher, dass für jede Transaktion die richtigen Module verwendet werden. Und vergessen Sie nicht, gegebenenfalls Standardvertragsklauseln (SCCs) auszufüllen und von beiden Parteien unterzeichnen zu lassen.
- In bestimmten Fällen müssen Sie die mit der Transaktion verbundenen Sicherheitsrisiken von Fall zu Fall analysieren und die von Ihnen getroffenen Sicherheitsmaßnahmen auflisten.
- Falls Sie verpflichtet sind, auf Anfragen von Regierungs- und Strafverfolgungsbehörden zu antworten, beachten Sie bitte die entsprechenden Richtlinien und Verfahren im [Dokument/der Dokumentation einfügen]. neue SCCs bevor eine formale Antwort formuliert wird.
Nichteinhaltung:
Angenommen, eine Transaktion personenbezogener Daten in ein Drittland verstößt gegen die Bestimmungen der Artikel 44–49 der DSGVO. In diesem Fall drohen den Beteiligten Bußgelder in Höhe von 23 Millionen US-Dollar oder 4 % ihres Jahresumsatzes, je nachdem, welcher Betrag höher ist. Dokumentierte DSGVO-Bußgelder zeigen, wie Aufsichtsbehörden dieses Höchstmaß in der Praxis angewendet haben. So ist die im Jahr 2023 gegen Meta verhängte Strafe in Höhe von 1.2 Milliarden Euro nach wie vor die höchste, die im Rahmen der Verordnung verhängt wurde. Sie lässt sich direkt auf Verstöße gegen die Bestimmungen zur grenzüberschreitenden Datenübermittlung zurückführen, die durch Standardvertragsklauseln (SCCs) verhindert werden sollen.
Fazit:
Die neuen Standardvertragsklauseln (SCCs) zielen darauf ab, Nutzerdaten bei grenzüberschreitenden Transaktionen zu schützen. Wir empfehlen Ihnen daher, die neuesten Normen einzuhalten, um sicherzustellen, dass Sie sich auf der richtigen Seite des Gesetzes bewegen.
Benötigen Sie Unterstützung bei der Umsetzung der DSGVO ? Kontaktieren Sie uns. Unsere Experten für Datenschutz und Compliance helfen Ihnen gerne weiter.
Häufig gestellte Fragen
Autorin
Vimal Mohan
Vimal ist Content Lead bei Sprinto und versteht es meisterhaft, Compliance-Themen für jedermann verständlich zu machen. Wenn er nicht gerade komplexe Rahmenwerksanforderungen und Fachjargon entschlüsselt, trifft man ihn im lokalen MMA-Dojo, beim Radfahren auf Trails oder beim Wandern an. Er vereint fundiertes regulatorisches Wissen mit Abenteuerlust und bewegt sich mit souveräner Kompetenz in beiden Welten.Gehen Sie über die Oberfläche hinaus und entdecken Sie die Erkenntnisse zu Governance, Risikomanagement und Compliance, die wirklich wichtig sind.
Sichern Sie sich digitale Vorteile für Ihren Erfolg im Vorstand.
Mehr erfahren
Recherchen und Erkenntnisse, die Ihnen helfen sollen, sich einen Platz am Tisch zu sichern.
