Die Europäische Kommission hat am 05.02.2010 neue Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsdatenverarbeiter mit Sitz in Drittländern beschlossen (Amtsblatt Nr. L 039, 12.02.2010, S. 5). Ab dem 15.05.2010 sind für neu abzuschließende Auftragsdatenverarbeitungsverträge die geänderten Klauseln anzuwenden.
Nach der EG-Datenschutzrichtlinie (RL 95/46/EG) ist die Übermittlung personenbezogener Daten an ein Land, das nicht Mitgliedsstaat der Europäischen Union ist (so genanntes „Drittland“), nur dann rechtmäßig, wenn das betreffende Drittland ein angemessenes Datenschutzniveau gewährleistet. Ist dies nicht der Fall, können die Datenschutzbehörden der Mitgliedstaaten darüber hinaus Datenübermittlungen in Drittländer genehmigen, wenn bestimmte Garantien hinsichtlich des Datenschutzniveaus vorliegen. Eine solche Garantie ist zum Beispiel bei Vorliegen eines Datenverarbeitungsvertrages auf der Grundlage der Standardvertragsklauseln der Europäischen Kommissionen gegeben.
Der Beschluss der Europäischen Kommission tritt zum 15.05.2010 in Kraft. Er findet ausschließlich Anwendung auf Verträge zwischen einem für die personenbezogenen Daten verantwortlichen Unternehmen mit Sitz in der Europäischen Union und einem weisungsabhängigen Auftragsdatenverarbeiter, der in einem im datenschutzrechtlichen Sinne unsicheren Drittland ansässig ist. Die Übermittlung personenbezogener Daten zwischen Unternehmen, die beide als verantwortliche Stelle im Sinne der Datenschutzrichtlinie zu qualifizieren sind, sowie die Auftragsdatenverarbeitung im nationalen und innereuropäischen Rahmen bleiben unberührt.
Die geänderten Bestimmungen enthalten erstmals Regelungen über die Vergabe eines Unterauftrages des Datenverarbeiters an einen weiteren Datenverarbeiter mit Sitz in einem Drittland. Die Einführung der Unterauftragsklauseln begründet die Kommission mit dem allgemeinen „Globalisierungstrend in den Geschäftspraktiken und Gepflogenheiten bei der Datenverarbeitung“. Die Vergabe eines Unterauftrages durch den Auftragnehmer setzt allerdings eine vorherige schriftliche Einwilligung des Auftraggebers voraus. Der Unterauftrag ist durch schriftliche Vereinbarung, durch welche die Pflichten des Datenverarbeiters an den Unterauftragsverarbeiter weitergereicht werden, zu erteilen. Der Auftraggeber hat Anspruch auf unverzügliche Zusendung einer Kopie des geschlossenen Unterdatenverarbeitungsvertrages (Klausel 5 (j) der neuen Standardklauseln).
Bereits bestehende Verträge sind zunächst nicht an die neue Rechtslage anzupassen. Das ist ein wesentlicher Unterschied zur Auftragsdatenverarbeitung gemäß dem kürzlich reformierten § 11 BDSG: Hier müssen auch laufende Verträge an die neue Rechtslage angepasst werden (wir berichteten). Sollten die Vertragsparteien jedoch Änderungen an Bestandsverträgen vereinbaren oder will der Datenverarbeiter Unteraufträge vergeben, ist ein neuer Vertrag nach den geltenden Standardvertragsklauseln abzuschließen.
Für die Vertragsgestaltung ist es wichtig, die Standardvertragsklauseln unverändert (d.h. wortwörtlich) in den zu schließenden Vertrag zu übernehmen, da sie nur dann ihre Wirkung als datenschutzrechtliche Garantien entfalten. Die Standardvertragsklauseln beziehen sich allerdings nur auf datenschutzrechtliche Inhalte. Den Vertragsparteien ist es frei gestellt, zusätzliche, vertragsrelevante Klauseln zu vereinbaren. Diese dürfen jedoch nicht im Widerspruch zu den Standardklauseln stehen.