Neue Standardvertragsklauseln – Frist für die Umstellung von Altverträgen endet demnächst

Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen weist darauf hin, dass kurz vor dem Jahreswechsel eine wichtige Frist für Unternehmen und andere Stellen endet, die personenbezogene Daten in Länder außerhalb des europäischen Wirtschaftsraums oder an internationale Organisationen übermitteln. Datenexporteure stützen diese Transfers häufig auf sogenannte Standardvertragsklauseln im Sinne von Art. 46 Abs. 2 Buchstabe c Datenschutz-Grundverordnung (DS-GVO).

Dabei handelt es sich um von der Europäischen Kommission verabschiedete Vertragsmuster, mit denen europäische Datenschutzstandards vertraglich zwischen Datenexporteuren und -importeuren vereinbart werden. Bei der Verwendung von Standardvertragsklauseln können personenbezogene Daten in Drittländer oder an internationale Organisationen ohne weitere Genehmigung der Aufsichtsbehörden exportiert werden.

Neue Standardvertragsklauseln seit 2021

Bereits auf Grundlage der EU-Datenschutzrichtlinie hatte die Europäische Kommission Standardvertragsklauseln erlassen, die auch unter Geltung der DS-GVO weitergenutzt werden konnten. Mitte des vergangenen Jahres legte die Kommission dann einen Durchführungsbeschluss über neue Klauseln vor, die an die DS-GVO angepasst waren. Der Beschluss sieht eine stufenweise Ablösung der bisherigen Standardvertragsklauseln vor.

Seit dem 27. September 2021 müssen für Neuverträge zwingend die neuen Standardvertragsklauseln verwendet werden. Für Altverträge, die vor dem 27. September 2021 abgeschlossen worden sind, hat die Kommission einen Übergangszeitraum zur Umstellung auf die neuen Klauseln vorgesehen, der nun bald endet. Spätestens bis zum 27. Dezember 2022 müssen alle Altverträge umgestellt worden sein. Nach diesem Datum gelten die früheren Standardvertragsklauseln nicht mehr als „geeignete Garantie“ im Sinne von Art. 46 Abs. 2 Buchstabe b DS-GVO für den Export personenbezogener Daten.

Umstellungsbedarf bei Altverträgen prüfen

„Unternehmen und andere verantwortliche Stellen müssen mit Blick auf das nahende Fristende prüfen, ob sie noch personenbezogene Daten auf Grundlage der früheren Standardvertragsklauseln übermitteln. Ist das so, sollten sie die Verträge unverzüglich auf die neuen Klauseln umstellen“, sagt die Landesdatenschutzbeauftragte Barbara Thiel. Stellt eine Aufsichtsbehörde eine Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen ohne geeignete Garantien fest, kann sie anordnen, dass diese Übermittlungen ausgesetzt werden. Außerdem kommt die Verhängung eines Bußgeldes in Betracht.

Was die vom Europäischen Gerichtshof im Schrems II-Urteil entwickelten zusätzlichen Anforderungen an die Verwendung von Standardvertragsklauseln betrifft, hat sich aufgrund der neuen Klauseln nichts geändert. Das heißt, auch bei Verwendung der neuen Klauseln muss der Datenexporteur die Rechtslage und -praxis des Drittlands prüfen, gegebenenfalls zusätzliche Maßnahmen ergreifen
oder notfalls sogar die Übermittlung einstellen.

Weitere Informationen

Durchführungsbeschluss der EU-Kommission zu den neuen Standardvertragsklauseln (PDF)

Das Schrems II-Urteil und seine Bedeutung

Pressemitteilung als PDF-Download