Blog

18.01.2017 | Von: Rechtsanwältin Stefanie Speth LL.M.

Neuer Beschluss zu EU-Standardvertragsklauseln im Datenschutzrecht

Die Europäische Kommission hat die Beschlüsse zu EU-Standardvertragsklauseln geändert und am 17.12.2016 im Amtsblatt veröffentlicht. 

Werden personenbezogene Daten in Länder außerhalb der EU/EWR übermittelt, in denen kein angemessenes Datenschutzniveau existiert, kann durch den Abschluss von EU-Standardvertragsklauseln ein angemessenes Datenschutzniveau beim Daten-Importeur sichergestellt werden.

Die Klauseln der EU-Standardvertragsklauseln werden durch den Beschluss der Kommission nicht geändert. Neu geregelt wurde aber die unabhängige Prüfbefugnis der nationalen Kontrollstellen. Dadurch werden die Anforderungen des EuGH aus dem Safe Harbor-Urteil vom 06.10.2015 umgesetzt. Mit dem Safe Harbor-Urteil wurde die Entscheidung 2000/520 der Europäischen Kommission (Safe Harbor-Entscheidung), die eine Datenübermittlung in die USA ermöglichte, für ungültig erklärt. Mit ursächlich für die Entscheidung des EuGH war die eingeschränkte Befugnis der nationalen Kontrollstellen, wie sie in Art. 3 der Safe Harbor-Entscheidung geregelt war.

Aus dem Beschluss der Europäischen Kommission zu EU-Standardvertragsklauseln ergibt sich:

• Personenbezogene Daten können auf der Grundlage von EU-Standardvertragsklauseln in ein Drittland übermittelt werden, wenn eine gültige Kommissionsentscheidung über diese EU-Standardvertragsklauseln vorliegt;
• die nationalen Aufsichtsbehörden können die Datenübermittlung trotzdem auf der Grundlage von EU-Standardvertragsklauseln prüfen und kontrollieren;
• die nationalen Aufsichtsbehörden können keine gegen die Kommissions-Entscheidung zuwiderlaufenden Maßnahmen treffen, insbesondere keine Rechtsakte, die verbindlich feststellen, dass das Drittland kein angemessenes Schutzniveau gewährleistet und aus diesem Grund die Datenübermittlung aussetzen oder verbieten;
• die nationalen Aufsichtsbehörden können die Datenübermittlung aussetzen oder verbieten, wenn sie einen Verstoß gegen EU- oder nationales Datenschutzrecht feststellen. Ein solcher Verstoß liegt zum Beispiel vor, wenn der Datenimporteur Verpflichtungen aus den EU-Standardvertragsklauseln missachtet.

Fazit:

Eine Übermittlung personenbezogener Daten in ein Drittland mit nicht ausreichendem Datenschutzniveau ist durch den Abschluss von EU-Standardvertragsklauseln weiterhin möglich.