Was sind Standardvertragsklauseln?
Stell dir vor, dein CRM speichert Kundendaten bei einem Anbieter in Indien. Für Indien gibt es keinen Angemessenheitsbeschluss. Trotzdem darf der Transfer laufen, wenn der Vertrag die Daten schützt. Genau dafür gibt es Standardvertragsklauseln, kurz SCC.
Das sind Mustertexte der EU-Kommission. Amtlich heißen sie Standarddatenschutzklauseln. Art. 46 DSGVO erkennt sie als geeignete Garantie an. Der Empfänger verpflichtet sich darin zu Schutzpflichten, und Betroffene bekommen durchsetzbare Rechte.
Die aktuelle Fassung erließ die Kommission am 4. Juni 2021. Altverträge mussten bis zum 27. Dezember 2022 umgestellt sein. Hast du noch einen Vertrag mit Klauseln von davor, ist er ein Fall für die Ablage P.
Welches Modul brauchst du?
Die SCC sind ein Baukasten. Welches Modul gilt, hängt an den Rollen der beiden Seiten:
Modul
Wer an wen
1
Verantwortlicher an Verantwortlichen
2
Verantwortlicher an Auftragsverarbeiter
3
Auftragsverarbeiter an Auftragsverarbeiter
4
Auftragsverarbeiter in der EU an Verantwortlichen im Drittland
Für die meisten KMU ist es Modul 2: Du bist Verantwortlicher, dein Tool-Anbieter verarbeitet in deinem Auftrag. Module 2 und 3 decken laut Kommission auch die Vorgaben von Art. 28 ab. Ein gesonderter Auftragsverarbeitungsvertrag ist dann nicht nötig.
Selbst aufsetzen musst du meist nichts. Große Anbieter haben die SCC in ihre Datenschutzverträge eingebaut. Du nimmst sie mit dem Vertrag an. Prüf trotzdem die Anhänge: Dort stehen die Parteien, die Daten und die Schutzmaßnahmen.
Warum reicht die Unterschrift nicht?
Ein Vertrag bindet nur die Vertragspartner. Eine ausländische Behörde bindet er nicht. Deshalb hat der EuGH im Urteil Schrems II 2020 klargestellt: SCC bleiben nutzbar, aber du musst in jedem Einzelfall vorab prüfen, ob sie im Zielland wirken.
Diese Prüfung heißt Transfer Impact Assessment. Sie muss dokumentiert vorliegen, bevor der Vertrag läuft. Ist das Ergebnis negativ, brauchst du Zusatzmaßnahmen. Reichen die nicht, darf der Transfer nicht stattfinden. Eine Ausnahme für kleine Firmen habe ich nicht gefunden.
Fall · Meta
Rekord-Bußgeld trotz SCC
1,2 Mrd. €
Bußgeld, Mai 2023
5 Monate
Frist zum Aussetzen
Verstoß gegen Art. 46 Abs. 1 DSGVO
Meta nutzte die SCC von 2021 plus Zusatzmaßnahmen. Der irischen Aufsicht reichte das nicht. Laut deren Übersicht ist das Verfahren angefochten.
Der Fall ist eine Hausnummer, kein Maßstab für deinen Betrieb. Die Lehre gilt trotzdem: SCC sind kein Freibrief. Der gesetzliche Rahmen liegt bei bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes.
Häufige Fehler
Fehler 1 · Unterschreiben und abheften
Ohne dokumentierte Prüfung des Ziellandes fehlt der wichtigste Teil. Frag beim Anbieter nach seinen Unterlagen dazu. Die Bewertung bleibt trotzdem deine Aufgabe.
Fehler 2 · Den Wortlaut ändern
Du darfst Module wählen, Lücken füllen, Anhänge ausfüllen und Schutz ergänzen. Sonst nichts. Wer die Klauseln umschreibt, hat keine Standardvertragsklauseln mehr. Einbetten in einen größeren Vertrag geht, solange nichts widerspricht.
Fehler 3 · Die Anhänge leer lassen
Anhang I ist zu unterschreiben, und die Angaben müssen zum echten Transfer passen. Ein Muster ohne Inhalt schützt niemanden.
Fehler 4 · SCC beim falschen Empfänger
Fällt der Empfänger selbst direkt unter die DSGVO, passen die SCC laut Kommission nicht. Für diese Fälle arbeitet sie an einem eigenen Satz. Einen Termin nennt sie nicht.
So gehst du es an
- Transfers erfassen: Welche Tools schicken Daten in welche Länder? Das gehört ins Verzeichnis von Verarbeitungstätigkeiten.
- Grundlage klären: Gibt es für Land und Empfänger einen Angemessenheitsbeschluss? Dann brauchst du keine SCC.
- Modul bestimmen: Welche Rolle hat wer? Maßgeblich ist dein Vertragspartner.
- Zielland prüfen: Transfer Impact Assessment durchführen und ablegen.
- Auskunft vorbereiten: Betroffene bekommen auf Anfrage kostenlos eine Kopie samt Anhängen. Ein Link zur Kommission genügt nicht.
Häufige Fragen
Brauche ich SCC, wenn mein US-Tool DPF-zertifiziert ist?
Rechtlich nein, soweit die Zertifizierung aktiv ist und deinen Transfer abdeckt. Viele Anbieter nehmen die SCC trotzdem als Rückfallebene in den Vertrag. Das ist sinnvoll, falls der Beschluss fällt.
Muss ich die Standardvertragsklauseln selbst aufsetzen?
Meist nicht. Sie stecken im Datenschutzvertrag des Anbieters. Sitzt du selbst am Vertrag, stellt die EU-Kommission eine Word-Vorlage bereit, auf Englisch und in 23 weiteren Sprachen.
Brauche ich zusätzlich einen Auftragsverarbeitungsvertrag?
Bei Modul 2 und 3 nein, sie decken laut Kommission Art. 28 DSGVO ab. Bei Anbietern, die neben den SCC einen eigenen Vertrag führen, bleibt der natürlich bestehen.
Sind Standardvertragsklauseln und BCR dasselbe?
Nein. SCC sind Mustervertragstexte zwischen zwei Firmen. Binding Corporate Rules sind genehmigte interne Regeln für Datentransfers innerhalb eines Konzerns. Für KMU spielen sie kaum eine Rolle.
