Standardvertragsklauseln

Standardvertragsklauseln (SVK) sind von der Europäischen Kommission vorab genehmigte rechtliche Vorlagen, die es Organisationen ermöglichen, personenbezogene Daten von der EU in Länder außerhalb der EU zu übermitteln, die nicht über angemessene Datenschutzgesetze verfügen. Sie fungieren als vertragliche Garantie dafür, dass die Daten auch dann nach EU-Standards geschützt werden, wenn sie die Union verlassen.

Rechtsgrundlage

Standardvertragsklauseln sind in der DSGVO als Mechanismus für rechtmäßige internationale Datenübermittlungen vorgesehen:

„Die Kommission kann [...] Standarddatenschutzklauseln für die in Absatz 2 Buchstaben c und d genannten Fälle festlegen."

— Artikel 46 Absatz 2 Buchstabe c und Artikel 46 Absatz 2 Buchstabe d, Verordnung (EU) 2016/679 (DSGVO)

Warum es wichtig ist

Standardvertragsklauseln sind für jede Organisation, die im Bereich der politischen Werbung tätig ist und personenbezogene Daten grenzüberschreitend verarbeitet, von wesentlicher Bedeutung. Wenn Dienstleistungen im Bereich politischer Werbung Targeting-Techniken oder Techniken zur Auslieferung von Werbung verwenden, die auf personenbezogenen Daten beruhen, und diese Daten in Länder außerhalb der EU/des EWR übermittelt werden, bilden SVK die rechtliche Grundlage für diese Übermittlungen.

Für Verleger, Anbieter von Dienstleistungen im Bereich politischer Werbung und Sponsoren, die mit internationalen Partnern zusammenarbeiten – wie Cloud-Dienstanbietern in den Vereinigten Staaten, Analyseplattformen oder globalen Werbenetzwerken – sind SVK oft das praktischste Instrument zur Sicherstellung der DSGVO-Konformität. Ohne geeignete Übermittlungsmechanismen wie SVK ist die Übermittlung personenbezogener Daten außerhalb der EU rechtswidrig und kann zu erheblichen Sanktionen durch Datenschutzbehörden führen.

Der Europäische Gerichtshof hat klargestellt, dass SVK allein nicht immer ausreichend sind. Organisationen müssen auch prüfen, ob die Rechtsvorschriften des Bestimmungslands die durch die Klauseln garantierten Schutzmaßnahmen untergraben könnten, und gegebenenfalls zusätzliche Garantien umsetzen.

Kernpunkte

• Vorab genehmigte Vorlagen: SVK werden von der Europäischen Kommission ausgearbeitet und können in ihren inhaltlichen Bestimmungen nicht geändert werden, wodurch einheitliche Schutzstandards gewährleistet werden
• Verbindliche Verpflichtungen: Sowohl der Datenausführer (in der EU) als auch der Dateneinführer (außerhalb der EU) sind vertraglich verpflichtet, die Daten gemäß EU-Recht zu schützen
• Erforderliche Folgenabschätzung für die Übermittlung: Organisationen müssen prüfen, ob die Rechtsvorschriften des Bestimmungslands die durch die SVK gebotenen Garantien beeinträchtigen könnten
• Mehrere Versionen verfügbar: Es existieren unterschiedliche SVK-Fassungen für verschiedene Übermittlungsszenarien (Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter)
• Alternative zu Angemessenheitsbeschlüssen: SVK werden verwendet, wenn Daten in Länder übermittelt werden, für die kein EU-Angemessenheitsbeschluss vorliegt (wie die Vereinigten Staaten nach dem Privacy Shield)
• Überwachung und Einhaltung: Beide Parteien müssen die fortlaufende Einhaltung sicherstellen und müssen möglicherweise Übermittlungen aussetzen oder beenden, wenn der Schutz nicht garantiert werden kann

Standardvertragsklauseln vs. Angemessenheitsbeschluss

Standardvertragsklauseln und Angemessenheitsbeschlüsse sind beide rechtliche Mechanismen für die Übermittlung personenbezogener Daten außerhalb der EU, funktionieren jedoch unterschiedlich.

Ein Angemessenheitsbeschluss ist eine förmliche Feststellung der Europäischen Kommission, dass ein bestimmtes Land ein im Wesentlichen gleichwertiges Datenschutzniveau wie die EU bietet. Wenn ein Angemessenheitsbeschluss vorliegt (wie beim EU-US Data Privacy Framework, dem Vereinigten Königreich oder Kanada), können Daten frei in dieses Land fließen, ohne dass zusätzliche Garantien erforderlich sind.

Standardvertragsklauseln hingegen werden verwendet, wenn kein Angemessenheitsbeschluss vorliegt. Sie sind vertragliche Vereinbarungen, die beide Parteien verpflichten, sich zu bestimmten Datenschutzverpflichtungen zu bekennen. Während SVK Flexibilität bieten und für jedes Drittland verwendet werden können, erfordern sie eine aktivere Umsetzung, fortlaufende Überwachung und Folgenabschätzungen für die Übermittlung – während Angemessenheitsbeschlüsse die Einhaltung vereinfachen, indem sie diese zusätzlichen Schritte entfallen lassen.

Verwandte Begriffe

• Personenbezogene Daten
• Verantwortlicher
• Auftragsverarbeiter
• DSGVO
• Drittland
• Datenschutzbehörde
• Folgenabschätzung für die Übermittlung
• Angemessenheitsbeschluss
• Verbindliche interne Datenschutzvorschriften
• Rechte der betroffenen Personen