Es ist 5 nach 12: Neue Standarddatenschutzklauseln (SCC) für Datentransfer in die USA oder andere Nicht-EU/EEA Staaten müssen seit dem 27. September 2021 verwendet werden.

Übertragen Sie mit Ihrem Unternehmen Daten in die USA oder andere Nicht-EU/EEA Staaten (z.B. bei Cloud-Diensten, Newsletter-Versand, Datenbanken, B2B-Verträgen)?
Dann gelten für Sie neue datenschutzrechtliche Anforderungen, die – für neue Verträge – bereits zum 27. September 2021 umgesetzt werden mussten.
Ansonsten können Bußgelder drohen. Und: die deutschen Datenschutzbehörden haben dafür auch bereits eine Task Force gebildet.

Der Hintergrund:

Das Datenschutzabkommen EU/USA „Privacy Shield“ hat der Europäische Gerichtshof (EuGH) bereits vor einiger Zeit für ungültig erklärt (Schrems II-Urteil).
Seither ist der Datentransfer in die USA und andere Nicht-EU/EEA Staaten deutlich erschwert. Denn diese werden aus datenschutzrechtlicher Sicht als unsicheres Drittland für Datentransfers aus der EU betrachtet.
Mittlerweile hat die EU-Kommission neue SCC auf den Weg gebracht, die Datentransfers in solche unsicheren Drittländer legitimieren können.

Für deutsche Unternehmen bedeutet das:

• Die neuen SCC müssen abgeschlossen werden!
• Alte SCC müssen ersetzt werden!
• Eine Transfer-Folgenabschätzung (Transfer-Impact-Assessment „TIA“) muss vorgenommen, dokumentiert und den Datenschutzaufsichtsbehörden auf deren Anfrage vorgelegt
• werden werden!
• Das gilt für neue Verträge bereits seit dem 27. September 2021.
• Altverträge mit den alten SCC müssen bis spätestens Ende 2022 aktualisiert werden.

ABER auch bei Altverträgen gilt:

Ein möglichst zeitnaher Wechsel auf die neuen SCC bietet Vorteile und wird zum Teil auch von Vertragspartnern eingefordert.
In jedem Fall sollten Sie daher prüfen, auf welcher Grundlage Sie Daten in die USA oder andere Nicht-EU/EEA Staaten übertragen und ob hier Handlungsbedarf besteht.

Autorin: Lisa-Marie Niklas