Standardvertragsklauseln (SCC)

Definition: Standardvertragsklauseln (SCC, engl. Standard Contractual Clauses) sind von der Europäischen Kommission offiziell genehmigte Mustervertragsklauseln, die als geeignete Garantie im Sinne des Art. 46 DSGVO anerkannt sind und den Transfer personenbezogener Daten in Drittländer außerhalb des Europäischen Wirtschaftsraums (EWR) rechtlich absichern. Sie stellen sicher, dass das im EWR garantierte Datenschutzniveau auch beim Empfänger in einem Land ohne Angemessenheitsbeschluss eingehalten wird. Die aktuell gültigen SCC wurden durch den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 erlassen und ersetzen die älteren Klauselwerke aus den Jahren 2001, 2004 und 2010. Sie sind modular aufgebaut und decken vier verschiedene Übertragungsszenarien ab: Verantwortlicher an Verantwortlichen (Modul 1), Verantwortlicher an Auftragsverarbeiter (Modul 2), Auftragsverarbeiter an Auftragsverarbeiter (Modul 3) sowie Auftragsverarbeiter an Verantwortlichen (Modul 4). Unternehmen, die Dienstleister aus Drittländern wie den USA, Indien oder der Schweiz (mit Einschränkungen) einsetzen, müssen in der Regel SCC als vertragliche Grundlage verwenden, sofern kein Angemessenheitsbeschluss für das betreffende Land existiert oder der Dienstleister nicht unter einem solchen zertifiziert ist. Die SCC sind wörtlich zu übernehmen, dürfen nicht inhaltlich verändert werden und müssen unterzeichnet vorliegen. Ergänzende Klauseln sind zulässig, solange sie den SCC nicht widersprechen.

Erläuterung

Die rechtliche Grundlage für den Drittlandtransfer personenbezogener Daten bildet Kapitel V der DSGVO (Art. 44–49). Grundsatz ist, dass ein Transfer nur dann zulässig ist, wenn das Schutzniveau des Empfängerlandes dem der EU gleichwertig ist oder geeignete Garantien bestehen. SCC sind dabei das in der Praxis am häufigsten eingesetzte Instrument, da sie ohne vorherige Genehmigung einer Aufsichtsbehörde verwendet werden können.

Nach dem Schrems-II-Urteil des EuGH vom 16. Juli 2020 (C-311/18) können SCC allein nicht mehr als ausreichende Garantie angesehen werden, wenn im Empfängerland staatliche Überwachungsgesetze den vertraglichen Schutz unterlaufen. Seitdem müssen Datenexporteure zusätzlich ein sogenanntes Transfer Impact Assessment (TIA) durchführen: eine dokumentierte Prüfung, ob die SCC im konkreten Übertragungskontext tatsächlich wirksam sind. Dabei werden insbesondere das lokale Recht des Importeurs, etwaige Zugriffsrechte von Behörden und die Sensitivität der übermittelten Daten bewertet. Sofern das TIA ergibt, dass das Schutzniveau unzureichend ist, müssen ergänzende technische und organisatorische Maßnahmen (TOM), wie z. B. Ende-zu-Ende-Verschlüsselung oder Pseudonymisierung, ergriffen werden.

Im Marketing-Alltag spielen SCC eine zentrale Rolle bei der Nutzung US-amerikanischer Dienste: Google Analytics, Meta Ads, Salesforce, HubSpot, Mailchimp und zahlreiche andere Anbieter verarbeiten Daten auf US-Servern. Für Dienste, die nicht im EU-US Data Privacy Framework (DPF) zertifiziert sind, sind SCC der Standard-Rechtsbehelf. Auch beim DPF empfehlen viele Aufsichtsbehörden, ergänzend SCC abzuschließen, da das DPF gerichtlich erneut angegriffen werden könnte (analog zu Safe Harbor und Privacy Shield).

Praktisch wichtig ist die korrekte Zuordnung des Moduls: Wer als Verantwortlicher einen US-Auftragsverarbeiter einsetzt, verwendet Modul 2. Wer als Auftragsverarbeiter einen Subunterauftragnehmer (Sub-Processor) in einem Drittland einsetzt, benötigt Modul 3. Die Verwechslung der Module ist ein häufiger Fehler bei der Implementierung und kann zur Unwirksamkeit des Vertrags führen.

Die vier Module im Überblick

• Modul 1 – Verantwortlicher zu Verantwortlichem: Gilt, wenn beide Parteien eigenständig über Zweck und Mittel der Verarbeitung entscheiden, z. B. beim Datenaustausch zwischen Konzerngesellschaften.
• Modul 2 – Verantwortlicher zu Auftragsverarbeiter: Häufigste Konstellation im Marketing; der EWR-Verantwortliche beauftragt einen Dienstleister im Drittland.
• Modul 3 – Auftragsverarbeiter zu Auftragsverarbeiter: Relevant für Sub-Processor-Ketten; ein europäischer Verarbeiter weiterleitet an einen Drittlands-Subunterauftragnehmer.
• Modul 4 – Auftragsverarbeiter zu Verantwortlichem: Seltenere Konstellation; z. B. wenn ein europäischer Dienstleister Daten an seinen außereuropäischen Auftraggeber rückübermittelt.

Transfer Impact Assessment (TIA)

• Schritt 1 – Datenfluss kartieren: Identifikation aller Drittlandtransfers, betroffener Datenkategorien, Übertragungsvolumina und beteiligter Parteien.
• Schritt 2 – Rechtslage im Empfängerland prüfen: Analyse einschlägiger Gesetze (z. B. US FISA Section 702, CLOUD Act) auf staatliche Zugriffsmöglichkeiten.
• Schritt 3 – Risikobewertung: Bewertung der Wahrscheinlichkeit, dass Behörden tatsächlich auf die übermittelten Daten zugreifen.
• Schritt 4 – Ergänzende Maßnahmen: Falls erforderlich, technische Maßnahmen (Verschlüsselung, Anonymisierung) oder vertragliche Zusätze implementieren.
• Schritt 5 – Dokumentation: TIA-Ergebnisse in das Verarbeitungsverzeichnis aufnehmen und regelmäßig aktualisieren.

Häufige Fehler bei der SCC-Nutzung

• Veraltete Klauselwerke: Verwendung der alten SCC-Versionen von 2001/2010, die seit dem 27. Dezember 2022 nicht mehr für neue Verträge genutzt werden dürfen.
• Falsches Modul: Mismatch zwischen tatsächlicher Rechtsbeziehung und gewähltem Modul macht den Vertrag unwirksam.
• Fehlendes TIA: SCC ohne begleitendes Transfer Impact Assessment sind nach Schrems II nicht ausreichend.
• Unvollständige Unterschriften: SCC müssen von beiden Parteien unterzeichnet sein; elektronische Signaturen sind zulässig.
• Kein Annex: Technische und organisatorische Maßnahmen sowie Datenkategorien und Verarbeitungszwecke müssen in den Anhängen vollständig beschrieben sein.