Die Europäische Kommission hat im Juni 2021 neue Standardvertragsklauseln für die Übermittlung von personenbezogenen Daten in so.g Drittländer erlassen (Durchführungsbeschluss (EU) 2021/914 der EU-Kommission v. 04.06.2021 – Az. C(2021) 3972, ABl. EU Nr. L 199/31 vom 07.06.2021).
Die neuen Standardvertragsklauseln sind modular aufgebaut und können in folgenden Konstellationen eingesetzt werden:
- Verantwortlicher – Verantwortlicher
- Verantwortlicher – Auftragsverarbeiter
- Auftragsverarbeiter – (Unter-)Auftragsverarbeiter
- Rückübermittlung des Auftragsverarbeiters in der EU an einen Verantwortlichen im Drittland
Die neuen Standardvertragsklauseln sind spätestens ab dem 27.09.2021 zwingend für Neuverträge zu verwenden. Spätestens bis zum 27.12.2022 muss eine Umstellung sämtlicher Altverträge auf die neuen Standardvertragsklauseln erfolgt sein.
Bei Auftragsverarbeitungsverträgen decken die neuen Standardvertragsklauseln die Anforderungen aus Art. 28 DSGVO mit ab. Die Notwendigkeit zum Abschluss eines zusätzlichen Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO entfällt daher.
Die Genehmigungsfreiheit bei der Verwendung der Standardvertragsklauseln gilt nur, sofern diese unverändert verwendet werden. Hiervon unberührt bleiben die Auswahl eines Moduls oder die Ergänzung oder Aktualisierung von Informationen in der Anlage. Vertragsparteien können die Standardvertragsklauseln auch in einen umfangreicheren Vertrag mit aufnehmen. Sofern jedoch weitere Klauseln oder zusätzliche Garantien hinzugefügt werden, dürfen diese weder unmittelbar noch mittelbar im Widerspruch zu den Standardvertragsklauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.