SCC Standardvertragsklauseln.

Was SCCs tatsächlich leisten

Standardvertragsklauseln sind ein vorformulierter Vertrag zwischen einem Datenexporteur in der EU und einem Importeur in einem Land ohne Angemessenheitsbeschluss. Mit der Unterzeichnung verpflichtet sich der Importeur zu Pflichten auf GDPR-Niveau: Zweckbindung, Sicherheit, Kontrolle von Weiterübermittlungen, Betroffenenrechte und Zusammenarbeit mit der Aufsichtsbehörde. Da die Europäische Kommission den Wortlaut bereits genehmigt hat, müssen Sie die Klauseln selbst weder aushandeln noch rechtfertigen, weshalb sie der Standardmechanismus für die Übermittlung in nahezu jeder SaaS-, Cloud- oder Unterauftragsverarbeiter-Beziehung außerhalb der EU sind.

Die Klauseln sind modular aufgebaut. Sie wählen das Modul, das der tatsächlichen Beziehung entspricht: Verantwortlicher zu Verantwortlichem, Verantwortlicher zu Auftragsverarbeiter, Auftragsverarbeiter zu Auftragsverarbeiter oder Auftragsverarbeiter zu Verantwortlichem. Das falsche Modul zu wählen ist der häufigste Redaktionsfehler, da sich die Pflichten und die Andockpunkte für Unterauftragsverarbeiter zwischen den Modulen unterscheiden. SCCs enthalten zudem eine Andockklausel, die es neuen Parteien ermöglicht, einem bestehenden Klauselwerk beizutreten, wodurch lange Ketten von Unterauftragsverarbeitern beherrschbar bleiben.

Warum die TIA die Spielregeln verändert hat

Vor dem Schrems-II-Urteil von 2020 galt die Unterzeichnung von SCCs für sich genommen als ausreichend. Der Gerichtshof hat damit Schluss gemacht. Er entschied, dass vertragliche Zusagen eine ausländische Regierung nicht binden können, weshalb der Exporteur prüfen muss, ob der Importeur die Klauseln angesichts des lokalen Überwachungs- und Zugriffsrechts tatsächlich einhalten kann. Diese Prüfung ist die Transfer-Folgenabschätzung. In der Praxis dokumentieren Sie das Bestimmungsland, die Gesetze, die eine Offenlegung erzwingen könnten, die Art und Sensibilität der Daten sowie die Frage, ob ergänzende Maßnahmen wie starke Verschlüsselung, Pseudonymisierung oder aufgeteilte Verarbeitung eine festgestellte Lücke schließen.

Kommt die TIA zu dem Schluss, dass der Importeur die SCC-Verpflichtungen nicht erfüllen kann und keine ergänzende Maßnahme dies behebt, sollte die Übermittlung nicht auf Grundlage der SCCs erfolgen. Hier unterscheiden sich SCCs deutlich von einem Angemessenheitsbeschluss: Die Angemessenheit ist eine Feststellung der Kommission, die die Einzelfallprüfung entfallen lässt, während SCCs diese Last für jede Übermittlung auf Sie verlagern. Das EU-US Data Privacy Framework bietet nun einen Angemessenheitsweg für zertifizierte US-Importeure, doch SCCs bleiben das Arbeitspferd für jedes andere Drittland und für US-Anbieter, die nicht zertifiziert sind.

Was Praktiker tatsächlich tun

Ein funktionierender SCC-Prozess ist wiederholbar und keine einmalige juristische Übung. Das Muster, auf das sich die meisten Teams einigen, sieht so aus.

1. Die Übermittlung kartieren: Exporteur, Importeur, die Datenkategorien und das richtige Modul bestimmen, bevor Sie die Vorlage anfassen.
2. Die Anhänge ausfüllen: die Parteien, die Beschreibung der Verarbeitung sowie die technischen und organisatorischen Sicherheitsmaßnahmen. Vage Anhänge sind der Teil, den Aufsichtsbehörden zuerst hinterfragen.
3. Die TIA durchführen und dokumentieren, einschließlich etwaiger ergänzender Maßnahmen, und sie zusammen mit den unterzeichneten Klauseln aufbewahren.
4. SCCs in Ihr Lieferanten-Onboarding einbinden, damit sie unterzeichnet sind, bevor Daten fließen, und nicht nachträglich ergänzt werden, nachdem ein Audit die Lücke aufgedeckt hat.
5. Erneut prüfen, wenn der Anbieter Unterauftragsverarbeiter wechselt, wenn sich das Bestimmungsland oder dessen Gesetze ändern, oder in einem festen Turnus.

SCCs fügen sich in Ihre umfassendere GDPR-Rechenschaftsgeschichte ein. Sie verweisen auf die Verzeichnisse der Verarbeitungstätigkeiten, auf die DPIA, sofern eine erforderlich ist, und auf die Sicherheitsmaßnahmen, zu denen Sie sich bereits verpflichtet haben. Als lebende Dokumente behandelt statt als einmal eingeholte Unterschrift, machen sie den Unterschied zwischen einer Übermittlung, die Sie verteidigen können, und einer, die in dem Moment zusammenbricht, in dem eine Aufsichtsbehörde oder eine betroffene Person fragt, wie Sie die Daten schützen, die die EU verlassen.