Die Europäische Kommission plant eine bedeutende Überarbeitung der Standardvertragsklauseln (SCCs), die den internationalen Datentransfer regeln. Diese neuen Regelungen sollen voraussichtlich im Jahr 2025 in Kraft treten und auf aktuelle Herausforderungen reagieren, die durch den globalen Datenaustausch und die Datenschutz-Grundverordnung (DSGVO) entstanden sind.
Warum die Änderungen notwendig sind
Die bisherigen SCCs decken viele Szenarien des internationalen Datentransfers ab, doch sie stoßen an ihre Grenzen, wenn es um den Austausch von personenbezogenen Daten zwischen Unternehmen geht, die beide der DSGVO unterliegen, aber in unterschiedlichen Ländern sitzen. Das Europäische Datenschutzkomitee (EDPB) hat bereits 2021 die Notwendigkeit betont, diese Lücke zu schließen. Besonders bei Datentransfers in Drittländer gibt es Unsicherheiten, vor allem wegen der potenziellen Gefahr des staatlichen Zugriffs auf Daten und Schwierigkeiten bei der Durchsetzung von Datenschutzrechten.
Zentrale Anpassungen in den neuen SCCs
- Regelungen für DSGVO-konforme Unternehmen außerhalb der EU: Die neuen SCCs sollen explizit auf Fälle eingehen, in denen sowohl der Datenexporteur als auch der Datenimporteur den DSGVO-Vorschriften unterliegen, selbst wenn sie sich in unterschiedlichen Rechtsräumen befinden. Dies betrifft besonders den Datentransfer zwischen EU-Unternehmen und solchen in Drittstaaten, die der DSGVO unterliegen.
- Berücksichtigung von Drittlandrisiken: Ein zentrales Ziel der neuen Regelungen ist die Eindämmung von Risiken, die bei Datentransfers in Drittländer bestehen. Dies umfasst den Zugriff durch Regierungen in Drittländern sowie die Schwierigkeit, dort Datenschutzansprüche durchzusetzen. Die neuen SCCs werden den Umgang mit solchen Risiken stärker regeln.
- Flexiblere Klauseln für Unternehmen: Die Überarbeitung wird auch dazu führen, dass die neuen SCCs für Unternehmen flexibler anwendbar sind, um verschiedene rechtliche und vertragliche Anforderungen zu berücksichtigen. Es wird erwartet, dass die neuen Klauseln es Unternehmen ermöglichen, individuelle Risiken besser abzusichern, ohne gegen die DSGVO zu verstoßen.
Öffentliche Konsultation und Einführung
Die EU-Kommission plant, die neuen SCCs im Rahmen einer öffentlichen Konsultation im vierten Quartal 2024 zu diskutieren, um Feedback von Interessengruppen, Unternehmen und Datenschutzbehörden zu sammeln. Diese Konsultation ist wichtig, um sicherzustellen, dass die neuen Regelungen sowohl rechtlich als auch praktisch sinnvoll und anwendbar sind. Die finalen SCCs werden im Jahr 2025 erwartet und sollen dann für alle internationalen Datenübertragungen innerhalb und außerhalb der EU gelten.
Quellen:
• EU-Kommission: https://commission.europa.eu
• Steptoe LLP: https://www.steptoe.com
• DataGuidance: https://www.dataguidance.com