Schriftzug LFD Niedersachsen Niedersachsen klar Logo

Standardvertragsklauseln

In der Praxis erfolgt eine Übermittlung personenbezogener Daten häufig auf der Grundlage sogenannter Standardvertragsklauseln im Sinne von Art. 46 Abs. 2 Buchstabe c DS-GVO. Bei Standardvertragsklauseln handelt es sich um von der Europäischen Kommission verabschiedete Vertragsmuster. Mit den Standardvertragsklauseln werden europäische Datenschutzstandards vertraglich zwischen Datenexporteuren im Europäischen Wirtschaftsraum und Datenimporteuren in Drittstaaten vereinbart. Bei der Verwendung der von der Kommission verabschiedeten Vertragsmuster kann die Übermittlung personenbezogener Daten in Drittländer ohne weitere Genehmigung der Aufsichtsbehörden erfolgen. Die Offenlegung personenbezogener Daten für einen Abruf im Drittland (z. B. Fernwartung) steht der Übermittlung gleich.

Auswirkungen des Schrems II-Urteils des EuGH

Mit dem Schrems II-Urteil vom 16.07.2020 hat der Europäische Gerichtshof (EuGH) die Anforderungen an die Verwendung von Standardvertragsklauseln in der Praxis ganz erheblich verschärft. Danach liegt es in der Verantwortung eines Datenexporteurs, vor der Übermittlung personenbezogener Daten zu prüfen, ob in dem Drittland ein Schutzniveau für personenbezogene Daten besteht, das dem in der EU gleichwertig ist. Dabei geht es vor allem um die Frage, ob die Vertragsparteien beim Abschluss von Standardvertragsklauseln und unter Berücksichtigung zusätzlicher Maßnahmen Grund zu der Annahme haben, dass die für die Verarbeitung personenbezogener Daten durch den Datenimporteur geltenden Rechtsvorschriften und Gepflogenheiten im Drittland den Importeur an der Erfüllung seiner Pflichten aus den Standardvertragsklauseln hindern. Sofern das der Fall ist, müssen gegebenenfalls zusätzliche Maßnahmen zur Sicherstellung eines dem in der EU im Wesentlichen gleichwertigen Schutzniveaus ergriffen oder von der Übermittlung abgesehen werden.

Der Europäische Datenschutzausschuss hat mit den Empfehlungen 01/2020 (Version 2.0 vom 18.06.2021) eine Arbeitshilfe mit Beispielen für zusätzliche Maßnahmen veröffentlicht.


Neue Standardvertragsklauseln 2021
Die Europäische Kommission hat im Juni 2021 neue Standardvertragsklauseln erlassen (Durchführungsbeschluss (EU) 2021/914 der EU-Kommission v. 04.06.2021 – Az. C(2021) 3972, ABl. EU Nr. L 199/31 vom 07.06.2021). Die neuen Standardvertragsklauseln sind modular aufgebaut und können in folgenden Konstellationen eingesetzt werden:
  • Verantwortlicher an Verantwortlichen
  • Verantwortlicher an Auftragsverarbeiter
  • Auftragsverarbeiter an (Unter-)Auftragsverarbeiter
  • Rückübermittlung des Auftragsverarbeiters in der EU an einen Verantwortlichen im Drittland

Hinsichtlich der oben beschriebenen Auswirkungen des Schrems II-Urteils und der Notwendigkeit zur Prüfung der Rechtsvorschriften und Gepflogenheiten im Drittland hat sich durch die neuen Standardvertragsklauseln nichts geändert. Diese regeln lediglich bisher nur aus der Rechtsprechung des EuGH folgenden Anforderungen ausdrücklich (Klausel 14). Das heißt, auch bei Verwendung der neuen Klauseln muss der Datenexporteur die Rechtslage und -praxis des Drittlands prüfen und ggf. zusätzliche Schutzmaßnahmen ergreifen bzw., wenn dies nicht gelingt, von der Übermittlung Abstand nehmen.

Bei Auftragsverarbeitungsverträgen decken die neuen Standardvertragsklauseln für den internationalen Datentransfer die Anforderungen aus Art. 28 DS-GVO mit ab. Die Notwendigkeit zum Abschluss eines zusätzlichen Auftragsverarbeitungsvertrags gemäß Art. 28 DS-GVO entfällt daher. Umgekehrt erfüllen die von der Kommission gemäß Art. 28 Abs. 7 DS-GVO herausgegebenen neuen Standardvertragsklauseln zur Auftragsverarbeitung (Durchführungsbeschluss (EU) 2021/915 der EU-Kommission vom 04.06.2021, ABl. EU Nr. L 199/18 vom 07.06.2021) jedoch nicht die Anforderungen an eine Übermittlung personenbezogener Daten in Drittländer nach Maßgabe des Kapitel V.

Die Genehmigungsfreiheit bei der Verwendung der Standardvertragsklauseln gilt nur, sofern diese unverändert verwendet werden. Hiervon unberührt bleiben die Auswahl eines Moduls oder die Ergänzung oder Aktualisierung von Informationen in der Anlage. Vertragsparteien können die Standardvertragsklauseln auch in einen umfangreicheren Vertrag mit aufnehmen. Sofern jedoch weitere Klauseln oder zusätzliche Garantien hinzugefügt werden, dürfen diese weder unmittelbar noch mittelbar im Widerspruch zu den Standardvertragsklauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Bis zum 27.12.2022 mussten sämtliche Altverträge, die auf der Grundlage der früheren Standardvertragsklauseln abgeschlossen worden waren, auf die neuen Standardvertragsklauseln umgestellt werden.


Alte Standardvertragsklauseln

Bereits auf Grundlage der alten EU-Datenschutzrichtlinie (Art. 26 Abs. 4 der Richtlinie 95/46/EG) hatte die Kommission folgende Standardvertragsklauseln erlassen, die auch unter Geltung der DS-GVO zunächst weitergenutzt werden konnten (Art. 46 Abs. 5 Satz 2 DS-GVO):

  • Verantwortlicher an Verantwortlichen (Standardvertragsklauseln Set I, EU-Kommission, Entsch. v. 15.06.2001 – Az. K(2001) 1539, ABl. EG Nr. L 181, 19; alternative Standardvertragsklauseln Set II, EU-Kommission, Entsch. v. 27.12.2004 – Az. K(2004) 5271, ABl. EG Nr. L 385, 74)
  • Verantwortlicher an Auftragsverarbeiter (EU-Kommission, Beschl. v. 05.02.2010 – Az. K(2010) 593, ABl. EU Nr. L 39, 5)

Diese alten Standardvertragsklauseln dürfen nicht mehr verwendet werden.


Stand: Juli 2023


zum Seitenanfang
zur mobilen Ansicht wechseln