Die EU-Kommission hat nach dem Schrems II Urteil nun neue Standardvertragsklauseln beschlossen und veröffentlicht. Diese sollen die Vorgaben des EuGH berücksichtigen und wieder einen rechtssicheren Datentransfer in Drittländer ermöglichen. So einfach wie in der Vergangenheit wird das allerdings trotzdem nicht mehr.
[lindepaywall tokens=“linde-media-plus“]
Um personenbezogene Daten in Drittländer (Länder außerhalb der EU bzw. des EWR) übermitteln zu können muss neben einer tauglichen Rechtsgrundlage gemäß Art 6 DSGVO auch ein angemessenes Datenschutzniveau im Empfängerstaat vorliegen. Letzteres wird insbesondere entweder aufgrund eines Angemessenheitsbeschlusses der Kommission begründet oder aufgrund „geeigneter Garantien“. Als solche geeigneten Garantien kommen vor allem von der EU-Kommission angenommene Standardvertragsklauseln („SCC“) in Frage, das sind bestimmte Musterverträge deren Einhaltung ein mit dem EU-Level vergleichbares Datenschutzniveau sicherstellen soll.
Mit seinem Urteil zu Rs C-311/18 in der Sache Schrems II erklärte der EuGH den Angemessenheitsbeschluss betreffend das Privacy Shield zum Transfer in die USA für unwirksam, betonte aber zugleich, dass die SCC grundsätzlich weiterhin ihre Gültigkeit behalten würden. Sollte der Datenexporteur im Einzelfall (wie sehr wahrscheinlich im Fall einer Übermittlung in die USA) jedoch zum Schluss kommen, dass die SCC kein angemessenes Schutzniveau sicherstellen können, wären die SCC nicht ausreichend. Sie könnten aber uU durch zusätzliche Maßnahmen und Garantien ergänzt werden, um ein solches Schutzniveau zu gewährleisten. Welche zusätzlichen Garantien das wären ließ der EuGH ebenso offen wie die Frage, ob solche Garantien dann auch bei einer Übermittlung in die USA ein angemessenes Datenschutzniveau ermöglichen würden. Dies führte naturgemäß zu einer enormen Rechtsunsicherheit, die die (drei Jahre nach Inkrafttreten der DSGVO ohnedies überfälligen) neuen SCC nun beseitigen sollen.
Die neuen Klauseln
Statt wie bisher drei verschiedene Sets (zwei für den Transfer von Verantwortlichem zu Verantwortlichem und eines für den Transfer von Verantwortlichem zu Auftragsverarbeiter) gibt es nun ein erweitertes Gesamtwerk, das jedoch modular aufgebaut ist. Das bedeutet, das je nach beabsichtigter Transfervariante die jeweiligen Module zur Anwendung kommen. Neu hinzugekommen sind hier die Varianten Auftragsverarbeiter zu Auftragsverarbeiter und Auftragsverarbeiter zu Verantwortlichem, was eine bis dahin bestehende Lücke schließt. Dieses modulare System bringt zwar für die Verwender einerseits mehr Flexibilität und Möglichkeiten, allerdings auch mehr Arbeit und Komplexität im Rahmen der Ausgestaltung bzw. „Zusammenstückelung“.
Neben den zusätzlichen vom EuGH geforderten Schutzmaßnahmen entsprechen die Pflichten der neuen SCC im Wesentlichen den bisherigen Anforderungen. Neu hinzugekommen ist insbesondere das Transfer Impact Assessment. Dieses verpflichtet die Parteien zur Prüfung und Dokumentation, ob die SCC gemeinsam mit den Gegebenheiten des Empfängerlandes ein angemessenes Datenschutzniveau sicherstellen können. Hierbei sind neben Gesetzen aber auch andere, insbesondere subjektive Faktoren, wie bloße Gepflogenheiten und praktische Erfahrungen des Importeurs mit den Behörden bei Datenzugriffen im Empfängerstaat, zu beachten, die den Datenimporteur an der Erfüllung seiner Pflichten nach der SCC hindern könnten.
Insofern tritt also keine Änderung der unsicheren Lage ein und ist aufgrund des EuGH-Urteils fraglich, ob die neuen SCC gerade im Hinblick auf den Datenzugriff von Behörden in den USA einen rechtssicheren Transfer über den Atlantik begründen können.
Denn, obwohl gerade neue Pflichten im Hinblick auf solche Behördenzugriffe geschaffen wurden, insbesondere Informations- und Abwehrpflichten des Empfängers, vermögen diese dennoch einen behördlichen (und insbesondere geheimdienstlichen) Zugriff kaum zu beschränken. Und obwohl dies in anderen (auch europäischen) Ländern im selben oder noch größeren Ausmaß stattfindet, wird dies im Besonderen bei der USA als Hindernis für einen sicheren Datentransfer gesehen. Das Transfer Impact Assessment müsste daher wohl auch bei vielen Übermittlungen nach China oder Großbritannien zum Ergebnis kommen, dass dort lediglich durch Abschluss der neuen SCC kein angemessenes Datenschutzniveau sichergestellt werden kann.
Frist
Zur Umsetzung wurde von der Kommission eine 18-monatige Übergangsfrist gesetzt. Bis Dezember 2022 müssen somit alle derzeit abgeschlossenen SCC durch die neue Version ersetzt sein.
Fazit
Für Datenexporteure ist mit den neuen SCC wenig gewonnen. Die bisher nur empfohlene Risikoabwägung eines Drittstaatentransfers auf Basis der alten SCC wird nun festgeschrieben. Dies verursacht noch mehr Aufwand auf Seiten der Unternehmen, der zudem ohne datenschutzrechtliche Expertise kaum zu bewältigen ist. Den Zugriff von Behörden und insbesondere Geheimdiensten auf personenbezogene Daten können auch die neuen SCC – als reiner Vertrag zwischen Datenexporteur und -importeur – nicht hintanhalten.
Dennoch sollten – unabhängig von der Umsetzungsfrist – gerade für Transfers in die USA so schnell wie möglich die neuen SCC abgeschlossen werden, da sie jedenfalls mehr Garantien und Mechanismen zur bestmöglichen Sicherstellung eines angemessenen Datenschutzniveaus bieten. Der Einsatz der alten SCC ohne zusätzliche Garantien war schon bisher nicht mehr ausreichend. Mit den neuen SCC sollten aber zumindest die Anforderungen des Schrems II Urteils erfüllt werden können. Ob dies aber auch eine rechtssichere Übermittlung in die USA (und anderer informationshungriger Staaten) begründen mag, wird wohl am Ende der EuGH in einer Schrems III Entscheidung beurteilen müssen. Entsprechende Kritik an den neuen SCC, die zu einem dritten Verfahren führen würde hat die Organisation des Datenschutzaktivisten schon bekundet.
[/lindepaywall]
(Bild: © iStock/NicoElNino) 
Die EU-Kommission hat nach dem Schrems II Urteil nun neue Standardvertragsklauseln beschlossen und veröffentlicht. Diese sollen die Vorgaben des EuGH berücksichtigen und wieder einen rechtssicheren Datentransfer in Drittländer ermöglichen. So einfach wie in der Vergangenheit wird das allerdings trotzdem nicht mehr.
[lindepaywall tokens=“linde-media-plus“]
Um personenbezogene Daten in Drittländer (Länder außerhalb der EU bzw. des EWR) übermitteln zu können muss neben einer tauglichen Rechtsgrundlage gemäß Art 6 DSGVO auch ein angemessenes Datenschutzniveau im Empfängerstaat vorliegen. Letzteres wird insbesondere entweder aufgrund eines Angemessenheitsbeschlusses der Kommission begründet oder aufgrund „geeigneter Garantien“. Als solche geeigneten Garantien kommen vor allem von der EU-Kommission angenommene Standardvertragsklauseln („SCC“) in Frage, das sind bestimmte Musterverträge deren Einhaltung ein mit dem EU-Level vergleichbares Datenschutzniveau sicherstellen soll.
Mit seinem Urteil zu Rs C-311/18 in der Sache Schrems II erklärte der EuGH den Angemessenheitsbeschluss betreffend das Privacy Shield zum Transfer in die USA für unwirksam, betonte aber zugleich, dass die SCC grundsätzlich weiterhin ihre Gültigkeit behalten würden. Sollte der Datenexporteur im Einzelfall (wie sehr wahrscheinlich im Fall einer Übermittlung in die USA) jedoch zum Schluss kommen, dass die SCC kein angemessenes Schutzniveau sicherstellen können, wären die SCC nicht ausreichend. Sie könnten aber uU durch zusätzliche Maßnahmen und Garantien ergänzt werden, um ein solches Schutzniveau zu gewährleisten. Welche zusätzlichen Garantien das wären ließ der EuGH ebenso offen wie die Frage, ob solche Garantien dann auch bei einer Übermittlung in die USA ein angemessenes Datenschutzniveau ermöglichen würden. Dies führte naturgemäß zu einer enormen Rechtsunsicherheit, die die (drei Jahre nach Inkrafttreten der DSGVO ohnedies überfälligen) neuen SCC nun beseitigen sollen.
Die neuen Klauseln
Statt wie bisher drei verschiedene Sets (zwei für den Transfer von Verantwortlichem zu Verantwortlichem und eines für den Transfer von Verantwortlichem zu Auftragsverarbeiter) gibt es nun ein erweitertes Gesamtwerk, das jedoch modular aufgebaut ist. Das bedeutet, das je nach beabsichtigter Transfervariante die jeweiligen Module zur Anwendung kommen. Neu hinzugekommen sind hier die Varianten Auftragsverarbeiter zu Auftragsverarbeiter und Auftragsverarbeiter zu Verantwortlichem, was eine bis dahin bestehende Lücke schließt. Dieses modulare System bringt zwar für die Verwender einerseits mehr Flexibilität und Möglichkeiten, allerdings auch mehr Arbeit und Komplexität im Rahmen der Ausgestaltung bzw. „Zusammenstückelung“.
Neben den zusätzlichen vom EuGH geforderten Schutzmaßnahmen entsprechen die Pflichten der neuen SCC im Wesentlichen den bisherigen Anforderungen. Neu hinzugekommen ist insbesondere das Transfer Impact Assessment. Dieses verpflichtet die Parteien zur Prüfung und Dokumentation, ob die SCC gemeinsam mit den Gegebenheiten des Empfängerlandes ein angemessenes Datenschutzniveau sicherstellen können. Hierbei sind neben Gesetzen aber auch andere, insbesondere subjektive Faktoren, wie bloße Gepflogenheiten und praktische Erfahrungen des Importeurs mit den Behörden bei Datenzugriffen im Empfängerstaat, zu beachten, die den Datenimporteur an der Erfüllung seiner Pflichten nach der SCC hindern könnten.
Insofern tritt also keine Änderung der unsicheren Lage ein und ist aufgrund des EuGH-Urteils fraglich, ob die neuen SCC gerade im Hinblick auf den Datenzugriff von Behörden in den USA einen rechtssicheren Transfer über den Atlantik begründen können.
Denn, obwohl gerade neue Pflichten im Hinblick auf solche Behördenzugriffe geschaffen wurden, insbesondere Informations- und Abwehrpflichten des Empfängers, vermögen diese dennoch einen behördlichen (und insbesondere geheimdienstlichen) Zugriff kaum zu beschränken. Und obwohl dies in anderen (auch europäischen) Ländern im selben oder noch größeren Ausmaß stattfindet, wird dies im Besonderen bei der USA als Hindernis für einen sicheren Datentransfer gesehen. Das Transfer Impact Assessment müsste daher wohl auch bei vielen Übermittlungen nach China oder Großbritannien zum Ergebnis kommen, dass dort lediglich durch Abschluss der neuen SCC kein angemessenes Datenschutzniveau sichergestellt werden kann.
Frist
Zur Umsetzung wurde von der Kommission eine 18-monatige Übergangsfrist gesetzt. Bis Dezember 2022 müssen somit alle derzeit abgeschlossenen SCC durch die neue Version ersetzt sein.
Fazit
Für Datenexporteure ist mit den neuen SCC wenig gewonnen. Die bisher nur empfohlene Risikoabwägung eines Drittstaatentransfers auf Basis der alten SCC wird nun festgeschrieben. Dies verursacht noch mehr Aufwand auf Seiten der Unternehmen, der zudem ohne datenschutzrechtliche Expertise kaum zu bewältigen ist. Den Zugriff von Behörden und insbesondere Geheimdiensten auf personenbezogene Daten können auch die neuen SCC – als reiner Vertrag zwischen Datenexporteur und -importeur – nicht hintanhalten.
Dennoch sollten – unabhängig von der Umsetzungsfrist – gerade für Transfers in die USA so schnell wie möglich die neuen SCC abgeschlossen werden, da sie jedenfalls mehr Garantien und Mechanismen zur bestmöglichen Sicherstellung eines angemessenen Datenschutzniveaus bieten. Der Einsatz der alten SCC ohne zusätzliche Garantien war schon bisher nicht mehr ausreichend. Mit den neuen SCC sollten aber zumindest die Anforderungen des Schrems II Urteils erfüllt werden können. Ob dies aber auch eine rechtssichere Übermittlung in die USA (und anderer informationshungriger Staaten) begründen mag, wird wohl am Ende der EuGH in einer Schrems III Entscheidung beurteilen müssen. Entsprechende Kritik an den neuen SCC, die zu einem dritten Verfahren führen würde hat die Organisation des Datenschutzaktivisten schon bekundet.
[/lindepaywall]