Am 27. August 2021 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) erklärt, die neuen Europäischen Standardvertragsklauseln für den grenzüberschreitenden Datenaustausch angenommen zu haben. Dank den Standardvertragsklauseln (auch SCC oder standard contractual clauses) können Personendaten auch in Länder transferiert werden, ohne dass diese ein – aus Sicht des schweizerischen DSG – angemessenes Schutzniveau haben (Art. 6 Abs. 2 DSG). Die bisher geltenden SCC sind noch bis am 29. September 2021 gültig, bereits bestehende SCC können noch bis anfangs 2023 verwendet werden.
Standardvertragsklauseln (SCC) können übernommen werden, um den Datentransfer von Personendaten in ein Land, das aus Sicht des schweizerischen DSG kein angemessenes Schutzniveau hat, zu ermöglichen. Ein solcher Austausch von Informationen wäre ohne zusätzliche Schutzmassnahme gemäss Art. 6 Abs. 1 DSG unzulässig.
Im revidierten DSG hält Art. 16 Abs. 1 revDSG fest, dass Personendaten ins Ausland transferiert werden dürfen, wenn der Bundesrat den angemessenen Schutz des Empfängerstaates geprüft und anerkannt hat. Ohne eine solche bundesrätliche Feststellung dürfen Personendaten dennoch ins Ausland exportiert werden, wenn andere Massnahmen das angemessene Niveau des Datenschutzes garantieren können. Diese Garantie können zum Beispiel SCC liefern. Diese Standarddatenschutzklauseln im Sinne von Art. 16 Abs. 2 lit. d revDSG sind vom EDÖB anerkannt und ihre Verwendung muss nicht mehr gemeldet werden.
Der EDÖB anerkannte am 27. August 2021 die neuen EU-Standardvertragsklauseln, die mit dem Durchführungsbeschluss der EU-Kommission vom 4. Juni 2021 beschlossen wurden. Allerdings akzeptiert der EDÖB diese Musterverträge und Standardvertragsklauseln nicht vorbehaltslos: Sollte es nötig sein, müssen diese SCC bei ihrer Anwendung noch angepasst und/oder ergänzt werden. Anerkannt waren bisher gemäss Art. 6 Abs. 2 lit. a DSG folgende Musterverträge und Standardvertragsklauseln:
- Standardvertragsklauseln der EU gemäss dem Beschluss der Europäischen Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländer nach der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates (2010/87/EU)
- Swiss Transborder Data Flow Agreement (for outsourcing of data processing) von November 2013;
- Mustervertrag des Europarats für die Sicherstellung eines angemessenen Datenschutzes im Rahmen des grenzüberschreitenden Datenverkehrs.
Für diese gilt nun, dass sie ab dem 27.09.2021 nicht mehr anerkannt werden. Neuanmeldungen werden ab dem 27.09.2021 nicht mehr möglich sein und die Übergangsfrist für bestehende Verträge mit solchen Musterklauseln oder Verträgen können bis 01.01.2023 weiterverwendet werden, sofern die Datenbearbeitung bzw. der Vertrag in der Zwischenzeit nicht wesentlich verändert wird. Danach werden sie durch die neuen Standardvertragsklauseln oder durch einen Vertrag sui generis ersetzt.
Neu sind die europäischen Standardvertragsklauseln in vier Module unterteilt. Dadurch können die Parteien nebst den zu verwendenden allgemeinen Vertragsklauseln das für ihre konkrete Situation passende Modul auswählen und so mit den allgemeinen Vertragsklauseln kombinieren.
Eine Anpassung der neu anerkannten SCC ist notwendig, wenn der Anwendungsfall dem DSG untersteht. Die Anpassungen sollen sicherstellen, dass die spezifischen Vorgaben des DSG eingehalten werden. Keine Anpassungen bedarf es, wenn auf die Datenübermittlung lediglich die DSGVO anwendbar ist. Bei Datentransfers ins Ausland, bei denen sowohl das DSG als auch die DSGVO einschlägig sind, können die Parteien die SCC dennoch anpassen: Sie erstellen entweder zwei Dokumente, wobei je eines die Voraussetzungen des DSG und das andere die Voraussetzungen der DSGVO erfüllt oder sie erklären die Vorgaben der DSGVO gesamthaft für anwendbar. Letzteres ist möglich, da die DSGVO ebenfalls ein angemessenes Datenschutzniveau anbietet. Wird jedoch der Anwendungsbereich der DSGVO gewählt, ist in Klausel 17 zwingend das Recht eines EU-Mitgliedstaates sowie in Klausel 18b das Gericht eines EU-Mitgliedstaates zu wählen, und dieses muss ebenfalls Drittbegünstigung zulassen. Einzig im Falle von Modul vier steht es den Parteien frei, ein eine andere Rechtswahl zu treffen.
Eine Übersicht über die nötigen Anpassungen der SCC, damit ein angemessenes Schutzniveau gewährt ist, hat der EDÖB in seiner dazugehörigen Anleitung detailliert aufgelistet und publiziert.
Quellen
- EDÖB Medienmitteilung vom 27.08.2021
- EDÖB Anleitung zu den anerkannten SCC
- Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021
SCC-Generator
Hier gelangen Sie zu dem neuen SCC-Generator, um Ihre individuellen SCC’s zu erstellen.