Datentransfer in Drittstaaten: Frist zur Umstellung endet

Neue Standarddatenschutzklauseln: Übermittlung personenbezogener Daten in Drittländer

Bereits seit dem 27. September 2021 sind die neuen Standarddatenschutzklauseln der EU für Neuverträge zu verwenden. Eine Umstellung sämtlicher Altverträge auf die neuen Standarddatenschutzklauseln hat bis zum 27. Dezember 2022 zu erfolgen (PDF), darauf haben Aufsichtsbehörden für den Datenschutz nochmals hingewiesen.

Kurz vor dem Jahreswechsel endet somit eine wichtige Frist für Unternehmen und andere Stellen, die personenbezogene Daten in Länder außerhalb des europäischen Wirtschaftsraums oder an internationale Organisationen übermitteln.

Es sei nochmals betont: Spätestens bis zum 27. Dezember 2022 müssen alle Altverträge umgestellt worden sein. Nach diesem Datum gelten die früheren Standardvertragsklauseln nicht mehr als „geeignete Garantie“ im Sinne der DSGVO für den Export personenbezogener Daten, so die Datenschutzaufsichtsbehörden.

„Unternehmen und andere verantwortliche Stellen müssen mit Blick auf das nahende Fristende prüfen, ob sie noch personenbezogene Daten auf Grundlage der früheren Standardvertragsklauseln übermitteln“, sagte die Landesdatenschutzbeauftragte von Niedersachsen Barbara Thiel. „Ist das so, sollten sie die Verträge unverzüglich auf die neuen Klauseln umstellen.“

Was aber passiert, wenn dies nicht fristgerecht erfolgt? Stellt eine Datenschutzaufsichtsbehörde eine Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen ohne geeignete Garantien fest, kann sie anordnen, dass diese Übermittlungen ausgesetzt werden. Außerdem kommt die Verhängung eines Bußgeldes in Betracht.

Einhalten der Umstellungsfrist reicht aber nicht

Es genügt aber nicht, rechtzeitig die Altverträge von den bisherigen auf die neuen Standardvertragsklauseln der EU umzustellen. Die von dem Europäischen Gerichtshof (EuGH) im Schrems II Urteil genannten zusätzlichen Anforderungen an die Verwendung von Standardvertragsklauseln bleiben bestehen.

Unternehmen müssen also auch dann die Rechtslage und -praxis des Drittlands prüfen, gegebenenfalls zusätzliche Maßnahmen ergreifen oder notfalls sogar die Übermittlung einstellen, wie die Datenschutzaufsicht betont.

Die zusätzlichen Maßnahmen, die Unternehmen erforderlichenfalls einsetzen, müssen von Fall zu Fall unter Berücksichtigung aller Umstände der Übermittlung und nach Prüfung des Rechts des Drittlandes getroffen werden, um festzustellen, ob ein angemessenes Schutzniveau gewährleistet ist, so der Europäische Datenschutzausschuss (EDSA).

Der EuGH betonte, dass es in erster Linie in der Verantwortung des Datenexporteurs und damit des Unternehmens selbst liegt, diese Einschätzung vorzunehmen und die erforderlichen zusätzlichen Maßnahmen zu treffen.

Wer die Maßnahmen in Verbindung mit den bisherigen Standardvertragsklauseln bereits bestimmt hat, sollte diese nochmals aktuell mit Blick auf die Rechtslage im jeweiligen Drittstaat prüfen und dann die bei Bedarf geänderten Maßnahmen zusätzlich zu den neuen Standardvertragsklauseln umsetzen.

Es gibt also unter Umständen noch viel zu tun.