Internationale Konzerne übermitteln vielfältig personenbezogene Daten z. B. Bewerberdaten von Tochtergesellschaften in Deutschland in die USA, von Supportcenter zu Supportcenter (follow the sun) oder an in Drittstaaten ansässige Dienstleister, die personenbezogene Daten im Auftrag verarbeiten. Die Anwendungsfälle sind vielfältig und auch die Datenübermittlung kann über eine Kette von Unterauftragnehmern geschehen.
Am 4. Juni 2021 veröffentlichte die EU-Kommission überarbeitete SDKs, die im Einklang mit der DSGVO und den in der Entscheidung „Schrems II“ formulierten Anforderungen stehen sollen. Die überarbeiteten EU-Standard-Datenschutzklauseln sollen besonders den Anforderungen an Transparenz und Rechenschaft besser gerecht werden.
Es liegt jedoch in der Verantwortung der betroffenen Unternehmen bei einer Übermittlung von personenbezogenen Daten in Drittstaaten zu prüfen, ob die neuen modular aufgebauten Standard-Datenschutzklauseln die rechtlichen Anforderungen an eine Drittstaatenübermittlung erfüllen, oder ob, zusätzliche Maßnahmen seitens der Unternehmen erforderlich sind, um personenbezogene Daten von dem Zugriff von Regierungen zu schützen, vgl. Cloud-Act der US-Administration. Als geeignete Maßnahmen sind die ausreichende Verschlüsselung von Daten oder deren Anonymisierung anerkannt.
Die Standard-Datenschutzklauseln (SDK) sind nun modular aufgebaut. Dieser modulare Aufbau (Module 1 – 4) berücksichtigt nun die möglichen Konstellationen zwischen den Akteuren bei einer Drittstaatenübermittlung. Von der EU-Kommission wurden 4 Module zur Verwendung angeboten. Diese sind im Einzelnen:
Innerhalb dieser Module muss geprüft werden, ob Unteroptionen zur Anwendung kommen, wie es zum Beispiel in Klausel 9 (Einsatz von Unterauftragnehmern) für Modul 2 der Fall ist. Hier kann der Verantwortliche gemäß Klausel 9 lit. a der SDK kann der Verantwortliche selbst entscheiden, ob der Auftragsverarbeiter für den Einsatz von Unterauftragnehmern vorher eine Genehmigung einholen muss (Option 1) oder nicht (Option 2).
Die Unternehmen sind aufgerufen ihren Data-Workflow von personenbezogenen Daten genau zu analysieren, um die richtigen Module der Standard-Datenschutzklauseln auszuwählen. Anschließend müssen die dem Datenfluss entsprechenden Module und deren Anhänge ausgefüllt werden. In den Anhängen müssen die Informationen über die Datenverarbeitung (Anhang I) und falls Unterauftragsverarbeiter zum Einsatz kommen, diese in der Liste der Unterauftragsverarbeiter (Anhang III) angegeben werden. Besonders wichtig ist der Anhang zur Dokumentation der technisch-organisatorischen Maßnahmen einschließlich der Gewährleistung der Sicherheit der Daten (Anhang II).
Zu beachten ist, dass für Modul 1 – 3 konkrete und nicht allgemeine technische und organisatorische Maßnahmen für jede Datenübermittlung/Kategorie von Datenübermittlungen angegeben werden. Im Anhang II werden hier im Rahmen eines Beispielskatalogs auch Angaben gemacht. Dieser Beispielskatalog ist jedoch nicht abschließend und kann nicht als To-Do-Liste verwendet werden. Daher müssen sich die Vertragsparteien intensiv mit der Datenverarbeitung auseinandersetzen und konkrete auf die Datenverarbeitung bezogene Schutzmaßnahmen zur Gewährleistung eines angemessenen Datenschutzniveaus definieren. Es müssen Art, Umfang, Umstände, Zweck der Verarbeitung der personenbezogenen Daten und die Risiken für die Rechte und Freiheiten, der von der Datenverarbeitung betroffenen Personen berücksichtigt werden. In vielen Fällen muss für die betroffenen Datenverarbeitung eine Datenschutzfolgenabschätzung durchgeführt und dokumentiert werden.
Wir können Ihnen im Bereich der internationalen Datenübermittlung folgende Leistungen anbieten:
