Im Sommer 2021 veröffentlichte die EU-Kommission neue Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer. Etwas untergegangen und zunächst vielleicht auch wieder in Vergessenheit geraten ist dabei, dass die EU-Kommission zeitgleich auch Standardvertragsklauseln zur Verwendung zwischen Verantwortlichen und Auftragsverarbeitern (wir berichteten) veröffentlicht hat. Es handelt sich dabei quasi um ein Muster für Verträge zur Auftragsverarbeitung. Art. 28 Abs. 7 der Datenschutzgrundverordnung (DSGVO) sieht die Möglichkeit zur Schaffung eines solche Musters für die EU-Kommission ausdrücklich vor.
In der datenschutzrechtlichen Praxis gewannen diese Standardvertragsklauseln zur Verwendung zwischen Verantwortlichen und Auftragsverarbeitern in den folgenden Monaten zunehmend an Bedeutung. Immer mehr Unternehmen begannen als Auftraggeber oder Auftragnehmer in einer Auftragsverarbeitung auf dieses neue Vertragsmuster zurückzugreifen.
Keine Pflicht zur Verwendung
Anders als bei den Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer besteht keine rechtliche Pflicht zur Verwendung des neuen Vertragsmusters. Rechtlich gesehen muss ein Vertrag zur Auftragsverarbeitung nur den Vorgaben aus Art. 28 Abs. 2 – 4 DSGVO genügen. Dabei kann auch wie gehabt auf ein selbst erstelltes Vertragsmuster zurückgegriffen werden. Auch die deutschen Datenschutzaufsichtsbehörden und Vereinigungen wie die GDD haben in der Vergangenheit Vertragsmuster veröffentlicht, die weiterhin verwendet können.
Verwechslungsgefahr
Wenn man in der Praxis den neuen Standardvertragsklauseln zur Verwendung zwischen Verantwortlichen und Auftragsverarbeitern begegnet, droht zunächst auf Grund der Begrifflichkeit Verwirrung. Der Begriff „Standardvertragsklauseln“ wird wohl von den meisten mit Datenschutzrecht befassten Personen zunächst mit den bekannteren Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer assoziiert. Diese gab es schließlich auch schon vor ihrer Neufassung in 2021 seit dem Jahr 2001 und in weiteren Versionen seit 2004 und 2010. Wenn künftig von „Standardvertragsklauseln“ gesprochen wird oder ein Vertrag mit „Standardvertragsklauseln“ überschrieben ist, gilt es also im Zweifel zunächst zu klären, welche denn gemeint sind.
Vor- und Nachteile
Da die neuen Standardvertragsklauseln zur Verwendung zwischen Verantwortlichen und Auftragsverarbeitern zwar eingesetzt werden KÖNNEN aber nicht MÜSSEN, stellt sich die Frage, welche Vor- und Nachteile eine Verwendung dieses Vertragsmusters bringt.
Vorteilhaft ist natürlich zunächst die Rechtssicherheit, die eine Verwendung dieses Musters bietet. Niemand muss den Vorwurf fürchten, das verwendete Vertragsmuster entspreche nicht den gesetzlichen Anforderungen (Hinweis: Bei einer Verwendung des Vertragsmusters müssen freilich die Anhänge I – IV bearbeitet und ausgefüllt werden.). Außerdem kann das Vertragsmuster der EU-Kommission als Kompromiss zwischen zwei Vertragsparteien zum Einsatz kommen, die sich nicht auf ein individuell erstelltes Muster einigen können, das von einer der beiden Parteien stammt.
Nachteilhaft kann jedoch sein, dass die Regelungen im Vertragsmuster der EU-Kommission zum Teil nicht den Interessen der Parteien entsprechen könnten. Beispiele:
- Klausel 7.1 lit. b gibt dem Auftragsverarbeiter zwar die Pflicht, den Verantwortlichen unverzüglich zu informieren, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die DSGVO oder andere geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen. Die Klausel gibt dem Auftragnehmer jedoch kein Recht, die Weisung bspw. bis zu einer Bestätigung durch den Auftraggeber auszusetzen.
- Klausel 7.5 verpflichtet den Auftragnehmer, bei der Verarbeitung von besonders sensiblen personenbezogenen Daten nach Art. 9 und 10 DSGVO „spezielle Beschränkungen und/oder zusätzlichen Garantien“ anzuwenden. Was das konkret bedeuten soll, bleibt jedoch unklar.
- Klausel 7.6 lit. d regelt das Recht auf Prüfungen durch den Auftraggeber beim Auftragnehmer. Es wird dabei jedoch keine konkrete Frist zur Vorankündigung vereinbart, keine Vorgabe, den Betriebsablauf beim Auftragnehmer nicht übermäßig zu stören gemacht und keine Regelung zur Kostentragung vereinbart. Auch der Einsatz externer Prüfer, die in einem Wettbewerbsverhältnis zum Auftragnehmer stehen, wird nicht ausgeschlossen.
Fazit
Im Ergebnis gilt es also im Einzelfall zu prüfen, ob vielleicht Gründe gegen die Verwendung des Vertragsmusters der EU-Kommission sprechen. Als Mittelweg verbleibt die Möglichkeit, nur einzelne Klauseln aus dem Vertragsmuster der EU-Kommission herauszupicken und in ein eigenes, ansonsten individuelles Muster einzufügen. Erwägungsgrund Nr. 5 im Vertragsmuster der EU-Kommission spricht ausdrücklich davon, dass die „Standardvertragsklauseln insgesamt oder teilweise“ verwendet werden können. In diesem Fall sollte der AV-Vertrag dann allerdings nicht mehr im Ganzen als „Standardvertragsklauseln“ bezeichnet werden. Das geht nur, wenn das Vertragsmuster inhaltlich im Ganzen unverändert bleibt.
3. Juni 2022 @ 12:27
Wäre eine signifikant abgeänderte Standardvertragsklausel nicht ein Binding Corporate Rule, das von der Aufsicht genehmigt werden müsste?
7. Juni 2022 @ 11:37
Hallo Herr Bender, vielen Dank für Ihre Frage. Zunächst Vorsicht bei den Begrifflichkeiten: Mit „Binding Corporate Rules“ (kurz BCR) sind Verbindliche interne Datenschutzvorschriften im Sinne des Art. 47 DSGVO gemeint. Dort geht es um Datenübermittlungen in Drittstaaten innerhalb von Unternehmensgruppen. BCR können innerhalb von Unternehmensgruppen eine Alternative zu den Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer sein. Solche BCR müssen von der Aufsicht genehmigt werden.
Mein Blogbeitrag befasst sich jedoch mit dem Vertragsmuster nach Art. 28 Abs. 7 für AV Verträge. Wird ein eigenes AV Vertragsmuster verwendet, muss dieses nicht von der Aufsicht genehmigt werden, sondern muss nur den Vorgaben aus Art. 28 Abs. 2 – 4 DSGVO genügen.