EU-Kommission kündigt neue Standardvertragsklauseln an

Lücke bei Drittlandübermittlungen im Status quo

Standardvertragsklauseln (oder auch Standarddatenschutzklauseln, vgl. Art. 46 Abs. 2 lit. c DSGVO) sind das wichtigste Instrument zur Übermittlung personenbezogener Daten in Drittländern, für welche kein Angemessenheitsbeschluss der EU-Kommission besteht. Seit der Verabschiedung der Neufassung der Standardvertragsklauseln am 04. Juni 2021 sind die Standardvertragsklauseln in nahezu allen datenschutzrechtlichen Verträgen und Konstellationen mit internationalem Bezug anzutreffen.

In der Anwendung der neuen Standardvertragsklauseln bestand jedoch ein maßgebliches Problem: der Anwendungsbereich ist bis heute mit großen Unsicherheiten behaftet. Denn in den Erwägungsgründen 7 S. 2 und 3 des entsprechenden Durchführungsbeschlusses (EU) 2021/914 heißt es:

„Die Standardvertragsklauseln dürfen nur insoweit für derartige Datenübermittlungen verwendet werden, als die Verarbeitung durch den Datenimporteur nicht in den Anwendungsbereich der Verordnung (EU) 2016/679 fällt. Dies schließt auch die Übermittlung personenbezogener Daten durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter ein, soweit die Verarbeitung Artikel 3 Absatz 2 der Verordnung (EU) 2016/679 unterliegt, da die Datenübermittlung im Zusammenhang damit steht, betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten oder das Verhalten betroffener Personen zu beobachten, soweit dieses in der Union erfolgt.“

Damit bestand für den Fall, dass der Datenimporteur durch Art. 3 DSGVO bereits dem Anwendungsbereich der DSGVO unterliegt, eine Lücke im Instrumentenkasten der Artt. 44 ff. DSGVO, da die Standardvertragsklauseln von 2021 für derartige Konstellationen ausweislich der zitierten Erwägungsgründe bei wortgetreuer Auslegung nicht verwendet werden dürfen. Vor dem Hintergrund des weiten Übermittlungsbegriffs des Kapitels V der DSGVO – d.h. eine Übermittlung in ein Drittland ist unabhängig davon, ob der Datenimporteur in Bezug auf die jeweilige Verarbeitung nach Art. 3 der DSGVO unterliegt oder nicht, anzunehmen – bestand damit ein handfestes Problem. Gleichwohl wurden die Standardvertragsklauseln aus 2021 in der Praxis in Ermangelung an Alternativen umfassend angewandt, ohne dass der Problematik mit dem Anwendungsbereich größere Beachtung geschenkt wurde. Seit dem neuen Angemessenheitsbeschluss der EU-Kommission für die USA aus Juli 2023 hatte sich das Problem für den Hauptanwendungsfall (Datenübermittlung in die USA) auch entschärft.

Auf diese Lücke hatte die EU-Kommission bereits frühzeitig reagiert. Dem Protokoll der 54. Sitzung des European Data Protection Boards vom 14. September 2021 lässt sich entnehmen, dass die EU-Kommission im Rahmen des Treffens bestätigt hat, ein spezielles Set an Standardvertragsklauseln zu entwickeln, welche die Konstellation mit Art. 3 Abs. 2 DSGVO berücksichtigen. Dies stand jedoch unter dem Vorbehalt, dass zunächst die finale Version der Guidelines 05/2021 (über das Zusammenspiel zwischen der Anwendung von Art. 3 und Kapitel V DSGVO) vorliegt. Nachdem die Guidelines 05/2021 seit dem 24. Februar 2023 in finaler Fassung vorliegen, beginnt nun rund eineinhalb Jahre später der Prozess für den Erlass der weiteren Standardvertragsklauseln bei der EU-Kommission.

Inhalt der neuen SCC

Zum gegenwärtigen Zeitpunkt ist noch wenig über den Inhalt dieses neuen Sets an Standardvertragsklauseln bekannt. Ein Entwurf liegt noch nicht vor.

Neben dem speziell ausgerichteten Anwendungsbereich kann erwartet werden, dass das neue Set an Standardvertragsklauseln insgesamt im Umfang etwas schlanker ausfallen dürfte. Denn die Standardvertragsklauseln aus 2021 zeichneten sich auch dadurch aus, dass sie viele Grundsätze der DSGVO noch einmal in das Vertragswerk mit aufgenommen hatten. Das war vor dem Hintergrund des Anwendungsbereichs (Datenimporteur unterliegt nicht der DSGVO) folgerichtig, sorgte aber gleichzeitig auch für einen großen Umfang.

Mit Spannung darf verfolgt werden, wie der Entwurf für das neue Set der Standardvertragsklauseln folgende Fragestellungen angeht:

• Wird die EU-Kommission weiterhin den Ansatz verfolgen, dass das Modul „Controller to Processor“ gleichzeitig auch die Anforderungen an einen Vertrag zur Auftragsverarbeitung (Art. 28 Abs. 3 DSGVO) erfüllt?
• Werden die Standardvertragsklauseln unterschiedliche Regelungen für Art. 3 Abs. 1 DSGVO (Niederlassung) und Art. 3 Abs. 2 DSGVO (Marktortprinzip) enthalten?
• Wie ist mit Datenimporteuren umzugehen, die in der Übermittlungskonstellation eine B2B-Dienstleistung als Auftragsverarbeitung anbieten und gleichzeitig auch B2C-Dienstleistungen gegenüber Unionsbürgern erbringen (Fall des Art. 3 Abs. 2 lit. a DSGVO als Direkterhebung)? Muss hier eine Trennlinie gezogen werden (falls ja, nach welchen Kriterien) oder unterliegt der Datenimporteur dann insgesamt nach Art. 3 Abs. 2 der DSGVO?
• Oder kann umgekehrt der Fall eintreten, dass ein Datenimporteur dem Marktortprinzip nur in Teilen unterfällt und damit beide Sets an Standardvertragsklauseln Anwendung finden können?
• Wird das neue Set von Standardvertragsklauseln beim Thema „Rückübermittlung“ (bisher Modul 4) flexibler? Hier kann bisher in der Konstellation, dass der Datenimporteur als Processor fungiert, Modul 4 nicht direkt angewendet werden (Modul 4 sieht in der Rolle des Datenimporteurs nur einen Controller vor).

Weiterer Ablauf

Ab Oktober 2024 soll nun die öffentliche Konsultationsphase für die neuen Standardvertragsklauseln beginnen. Nach Abschluss des Verfahrens im 4. Quartal 2024 wird anschließend der Entwurf eines Durchführungsbeschlusses der EU-Kommission erwartet. Die endgültige Annahme durch die EU-Kommission ist für das zweite Quartal 2025 geplant.

Das neue Set an Standardvertragsklauseln wird dann als „Nachzügler“ ein weiterer wichtiger Baustein im mitunter komplexen System der Drittlandübermittlungen darstellen.