Source: https://www.datenschutzbeauftragter-info.de/eu-standardvertragsklauseln-in-der-praxis-teil-1-controller-to-processor/
Timestamp: 2018-12-19 08:39:37+00:00

Document:
Die Verwendung von EU-Standardvertragsklauseln ist derzeit das Mittel der Wahl, um internationale Datentransfers in sogenannte „unsichere“ Drittstaaten zu rechtfertigen. In einer zweiteiligen Serie beschreiben wir den Inhalt und die Anwendung der EU-Standardverträge. Heute im ersten Teil geht es nach einer Einführung um die Klauseln für das Controller to Processor-Verhältnis.
Grundlage: Rechtliche Zulässigkeit von Datenübermittlungen ins Ausland
Die rechtliche Zulässigkeit von Datenübermittlungen ist grundsätzlich immer zweistufig zu prüfen:
Die Anforderungen der ersten Stufe ergeben sich aus deutscher Sicht aus den §§ 4 Abs. 1, 11 und 27 ff. BDSG. Erforderlich ist also, dass die Datenübermittlung nach dem BDSG zulässig ist. Voraussetzung hierfür ist das Vorliegen eines rechtfertigenden Erlaubnistatbestandes in Form der Einwilligung oder Rechtsgrundlage.
Hat der Datenempfänger seinen Sitz in einem Mitgliedstaat der Europäischen Union (EU) oder einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR), so ist automatisch ein ausreichendes Datenschutzniveau sichergestellt. Daneben hat die EU-Kommission für einige nicht-EU/EWR Länder entschieden, dass deren Rechtsordnung insgesamt ein angemessenes Datenschutzniveau sicherstellt. Befindet sich der Datenempfänger in einem dieser Staaten, ist die zweite Stufe unproblematisch.
Befindet sich das die Daten empfangende Unternehmen dagegen in einem anderen Land – also in einem sogenannten „unsicheren Drittstaat“ – müssen besondere Maßnahmen getroffen werden, um ein angemessenes Datenschutzniveau sicherzustellen.
Eines der Instrumente für diesen Zweck ist der Abschluss eines Vertrages zwischen dem Datenexporteur und dem Datenimporteur mit bestimmten EU-Standardklauseln.
Zweck der EU-Standardverträge
Zweck der EU-Standardvertragsklauseln ist es also, ein angemessenes Datenschutzniveau beim Datenempfänger herzustellen.
Wichtig ist, dass der Abschluss eines EU-Standardvertrages nur für die zweite Stufe der Rechtmäßigkeitsprüfung relevant ist. Viele Unternehmen sind der Meinung, dass bei Datenübermittlungen in Drittstaaten alleine mit der Sicherstellung eines angemessenen Datenschutzniveaus allen Datenschutzanforderungen der EU Rechnung getragen wird.
Das trifft aber nicht zu. Auch wenn ein EU-Standardvertrag abgeschlossen wird, bedarf es für die Zulässigkeit der Datenübermittlung auf der ersten Stufe eines rechtfertigenden Erlaubnistatbestandes. Die beiden Stufen sind stets zu trennen und einzeln zu prüfen.
Auswahl des richtigen Klauselwerks
Soll das angemessene Datenschutzniveau durch die Verwendung eines EU-Standardvertrages sichergestellt werden, muss in einem ersten Schritt das richtige Klauselwerk / Klausel-Set ausgewählt werden.
Die EU-Kommission stellt auf ihrer Homepage drei verschiedene Klauselwerke zur Verfügung:
Decision 2001/497/EC: Set I
Decision 2004/915//EC: Set II
Decision 2010/87/EU (and repealing Decision 2002/16/EC).
Die ersten beiden Klausel-Sets (Set I und II) betreffen das Controller to Controller-Verhältnis, das dritte betrifft das Controller to Processor-Verhältnis. Es muss also zunächst entschieden werden, ob der Datenimporteur im Drittland als Controller oder Processor agiert.
„Controller“ entspricht im deutschen Recht der Begriff der „verantwortlichen Stelle“. „Processor“ ist der deutsche „Auftragsdatenverarbeiter“.
Vorliegen eines Controller to Processor-Verhältnisses
Ist das EU-Unternehmen verantwortliche Stelle und der Datenimporteur im Drittland Auftragsdatenverarbeiter, so sind die Controller-Processor-Standardvertragsklauseln die richtige Wahl. Werden dagegen Daten von einem Unternehmen in der EU an ein Unternehmen in einem Drittland übermittelt, das ebenfalls verantwortliche Stelle ist, liegt ein Controller to Controller-Transfer vor.
Maßgeblich für die Unterscheidung ist die aus dem deutschen Recht bekannte Abgrenzung zwischen Auftragsdatenverarbeitung und Funktionsübertragung. Diese Abgrenzung kann schwierig sein und erfordert eine umfassende Berücksichtigung aller Umstände.
Möglich ist auch, dass der Empfänger in Bezug auf bestimmte Daten Auftragsdatenverarbeiter (Processor) ist und in Bezug auf andere Daten selbst verantwortliche Stelle (Controller). Dann müssen gegebenenfalls mehrere Standardverträge verwendet werden.
Inhalt des Controller to Processor-Standardvertrages
Der Standardvertrag für das Controller to Processor-Verhältnis besteht stets aus drei Teilen:
die eigentlichen Standardvertragsklauseln
der Anhang 1 mit Angaben zur konkreten Datenverarbeitung und
der Anhang 2 mit einer Beschreibung der technischen und organisatorischen Maßnahmen des Datenimporteurs.
Wichtig ist, dass die Vertragsklauseln fest durch die EU vorgegeben sind und nicht abgeändert werden dürfen. Die Klauseln des ersten Teils müssen also unverändert übernommen und als Ergänzung zu dem eigentlichen Dienstleistungsvertrag mit dem Datenimporteur hinzugefügt werden. Zudem sind die Anhänge 1 und 2 auszufüllen, die ebenfalls Bestandteil des Vertrages sind.
Im Anhang 1 sind Angaben zur konkreten Datenverarbeitung zu machen. Hier werden zunächst Angaben zu dem Datenexporteur und Datenimporteur und zu deren Tätigkeit abgefragt. Anschließend sind die betroffenen Personen, Kategorien von Daten, und – falls solche betroffen sind – besondere Datenkategorien anzugeben. Zuletzt müssen die grundlegenden Verarbeitungsmaßnahmen beschrieben werden.
Im Anhang 2 sind die technischen und organisatorischen Sicherheitsmaßnahmen darzustellen, die der Datenimporteur getroffen hat. Dieser Teil entspricht der Festlegung der technischen und organisatorischen Maßnahmen der Auftragsdatenverarbeitung im deutschen Recht, so dass der Katalog aus der Anlage zu § 9 BDSG als Grundlage verwendet werden kann.
Optional: Anhang 3 zur Erfüllung des nationalen Rechts
Schließlich kann dem Standardvertrag optional ein Anhang 3 hinzugefügt werden, in dem die Parteien ergänzende Vereinbarungen treffen, um gleichzeitig die Voraussetzungen des nationalen Rechts zu erfüllen.
Wie oben dargestellt, ist für die Rechtmäßigkeit einer Datenübermittlung neben der Herstellung eines angemessenen Datenschutzniveaus (auf der zweiten Stufe) stets das Vorliegen eines rechtfertigenden Erlaubnistatbestandes (auf der ersten Stufe) nötig.
Sollen beide Stufen in einem Vertrag kombiniert werden, kann dies beim Controller to Processor-Verhältnis durch die Aufnahme eines zusätzlichen Anhangs in den Vertrag bewerkstelligt werden. In diesem Anhang 3 sind dann alle Festlegungen zu treffen, die nötig sind, um die übrigen gesetzlichen Voraussetzungen des § 11 BDSG zu erfüllen. Dann ist der Abschluss eines zusätzlichen Vertrages zur Auftragsdatenverarbeitung für die erste Stufe entbehrlich.
EU-Standardvertragsklauseln in der Praxis – Teil 2: Controller to Co (...)
Mehr zum Thema: Auftragsdatenverarbeitung, europäischer Datenschutz, internationaler Datenschutz, Standardvertragsklauseln
Benötige ich einen Erlaubnistatbestand, damit E-Mails mit Rechnungen von Dienst- oder Sachleistern an die eigene, angegebene E-Mail-Adresse von Gmail bsw. vielleicht in die USA übermittelt werden dürfen. Wenn ich bei einem deutschen Hosting-Anbieter eine E-Mail-Adresse von Gmail hinterlasse, muss ich vorher bei der Firma oder dem Unternehmen einen Erlaubnistatbestand einholen und EU-Standnardvertragsklauseln vereinbaren (Rechnungen enthalten personenbezogene Daten, Adressen.) oder kann ich diese E-Mail-Adresse ohne datenschutzrechtliche Probleme hinterlegen, um Rechnungen auf diesen wahrscheinlich US-amerikanischen Servern zu erhalten?
fragwürdig am 20. September 2017, 11:56 Uhr
Unabhängig davon ob sich der Empfänger (hier der Provider) personenbezogener Daten innerhalb oder außerhalb des EWR befindet, wird gem. § 4 BDSG auf der ersten Stufe eine Rechtsgrundlage benötigt (siehe z.B. § 28 BDSG), welche die Übermittlung und weitere Verarbeitung gestattet. Dies ist auf § 4 BDSG zurückzuführen, welcher die Verwendung personenbezogener Daten nur dann zulässt, wenn eine Rechtsvorschrift (z.B. § 28 BDSG) dies gestattet oder der Betroffene eingewilligt hat (sog. Verbot mit Erlaubnisvorbehalt).
Befindet sicher der Empfänger außerhalb des EWR, so muss auf der zweiten Stufe zusätzlich ein mit der EU vergleichbares Datenschutzniveau sichergestellt sein. Dies kann aktuell beispielsweise durch eine Anerkennung als sicherer Drittstaat, die Vereinbarung von EU-Standardklauseln von den Aufsichtsbehörden genehmigte Binding Corporate Rules oder bei Empfängern in den USA durch Beitritt des Empfängers zum EU/US-Privacy-Shield geschehen.
Die vorgenannten Aussagen gelten nicht, wenn die Verwendung der personenbezogenen Daten ausschließlich für persönliche oder familiäre Tätigkeiten erfolgt (§ 1 Abs. 2 Nr. 3 BDSG).
Dr. Datenschutz am 12. Oktober 2017, 11:44 Uhr
Archiv: Monat auswählen Dezember 2018 (12) November 2018 (22) Oktober 2018 (21) September 2018 (20) August 2018 (23) Juli 2018 (21) Juni 2018 (21) Mai 2018 (20) April 2018 (20) März 2018 (21) Februar 2018 (20) Januar 2018 (23) Dezember 2017 (20) November 2017 (22) Oktober 2017 (20) September 2017 (22) August 2017 (23) Juli 2017 (21) Juni 2017 (21) Mai 2017 (21) April 2017 (18) März 2017 (23) Februar 2017 (20) Januar 2017 (22) Dezember 2016 (22) November 2016 (22) Oktober 2016 (20) September 2016 (22) August 2016 (23) Juli 2016 (21) Juni 2016 (22) Mai 2016 (20) April 2016 (22) März 2016 (28) Februar 2016 (20) Januar 2016 (20) Dezember 2015 (20) November 2015 (21) Oktober 2015 (22) September 2015 (22) August 2015 (21) Juli 2015 (23) Juni 2015 (22) Mai 2015 (18) April 2015 (20) März 2015 (23) Februar 2015 (20) Januar 2015 (22) Dezember 2014 (22) November 2014 (20) Oktober 2014 (22) September 2014 (22) August 2014 (21) Juli 2014 (24) Juni 2014 (19) Mai 2014 (21) April 2014 (21) März 2014 (20) Februar 2014 (20) Januar 2014 (22) Dezember 2013 (21) November 2013 (21) Oktober 2013 (22) September 2013 (21) August 2013 (20) Juli 2013 (23) Juni 2013 (20) Mai 2013 (19) April 2013 (21) März 2013 (20) Februar 2013 (18) Januar 2013 (22) Dezember 2012 (20) November 2012 (22) Oktober 2012 (22) September 2012 (20) August 2012 (24) Juli 2012 (23) Juni 2012 (21) Mai 2012 (20) April 2012 (18) März 2012 (21) Februar 2012 (20) Januar 2012 (22) Dezember 2011 (22) November 2011 (20) Oktober 2011 (22) September 2011 (24) August 2011 (24) Juli 2011 (22) Juni 2011 (21) Mai 2011 (22) April 2011 (19) März 2011 (22) Februar 2011 (21) Januar 2011 (21) Dezember 2010 (23) November 2010 (24) Oktober 2010 (21) September 2010 (23) August 2010 (24) Juli 2010 (23) Juni 2010 (24) Mai 2010 (19) April 2010 (17) März 2010 (13) Februar 2010 (2) Januar 2010 (4)

References: § 9
 § 11
 § 4
 § 28
 § 4
 § 28