Nach dem Schrems II Urteil des EuGH (C-311/18) wird viel darüber diskutiert, wie die vom EuGH vorgeschlagenen „zusätzlichen Maßnahmen“ (Rz. 133) in die geltenden Standardvertragsklauseln (SCC) aufgenommen oder an diese angehängt werden können, ohne Gefahr zu laufen, dass die so ergänzten Klauseln einer Genehmigung durch die Aufsichtsbehörde bedürfen. Der nachfolgenden Analyse liegt stets eine geplante Ergänzung der Klauseln zu Grunde, die sich positiv auf die Betroffenen auswirken würde (auch wenn allein schon diese Frage in der Praxis nicht immer einfach zu beantworten ist).

Zum Hintergrund

Nach Art. 46 Abs. 2 lit. c) iVm Abs. 5 DSGVO können die die bisherigen SCC als geeigneten Garantien eingesetzt werden, ohne dass hierzu eine besondere Genehmigung einer Aufsichtsbehörde erforderlich wäre. Der Einsatz der unveränderten SCC ist mithin sicher genehmigungsfrei.

Die in dem Verfahren relevanten Standardvertragsklauseln (2010/87/EU) schreiben in Art. 10 vor: „Die Parteien verpflichten sich, die Klauseln nicht zu verändern. Es steht den Parteien allerdings frei, erforderlichenfalls weitere, geschäftsbezogene Klauseln aufzunehmen, sofern diese nicht im Widerspruch zu der Klausel stehen.“ (Hervorhebung nur hier)

Der EuGH geht in seinem Urteil nun aber davon aus, „die in den Standarddatenschutzklauseln enthaltenen Garantien zu ergänzen“ (Hervorhebung nur hier), um die Einhaltung des unionrechtlich verlangten Schutzniveaus zu gewährleisten (Rz. 133). Als Begründung stellt der EuGH u.a. auf ErwG 109 DSGVO ab, in dem es heißt: „[d]ie dem Verantwortlichen … offenstehende Möglichkeit, auf die von der Kommission … festgelegten Standard-Datenschutzklauseln zurückzugreifen, … den Verantwortlichen [nicht] daran hindern [sollte], ihnen weitere Klauseln oder zusätzliche Garantien hinzuzufügen“ (Hervorhebung nur hier) und dass der Verantwortliche insbesondere „ermutigt werden [sollte], [durch Ergänzung der Standarddatenschutzklauseln] zusätzliche Garantien zu bieten“.

Sowohl aus dem ErwG 109 DSGVO als auch dem Urteil des EuGH ergibt sich damit klar, dass „weitere Klauseln“ oder „Ergänzungen“ der geltenden SCC möglich, ja sogar zwingend erforderlich sein können, um ein angemessenes Schutzniveau im jeweiligen Drittland gewährleisten zu können. Zu einer daraus resultierenden Genehmigungspflicht äußert sich weder der EuGH, noch verhält sich ErwG 109 hierzu.

Woraus ergibt sich also die Ansicht, dass Ergänzungen der SCC genehmigt werden müssen? Meines Erachtens sprechen ErwG 109 DSGVO also auch die Vorgabe des EuGH zumindest nicht für eine Genehmigungspflicht.

Ansichten der Datenschutzbehörden

A.

Noch zur alten Rechtslage hat sich hierzu die AG „Internationaler Datenverkehr“ der deutschen Aufsichtsbehörden geäußert.

„Bei Änderung eines Standardvertrages, die eindeutig zugunsten des Betroffenen ausfällt, besteht u. U. keine Genehmigungspflicht nach § 4 c Abs. 2 BDSG, was durch Rückfrage bei der zuständigen Aufsichtsbehörde zu klären ist“.

(Abgestimmte Positionen der Aufsichtsbehörden in der AG „Internationaler Datenverkehr“ am 12./13. Februar 2007 – Bezug: Protokoll der Sitzung mit Wirtschaftsvertretern am 23. Juni 2006 Punkt II Nr. 4). Zumindest gingen die Behörden damals nicht per se von einer Genehmigungsbedürftigkeit aus. Jedoch sollte die Behörde um Rat gefragt werden.

B.

Aktueller ist die Ansicht des Landesbeauftragten für Datenschutz in Rheinland-Pfalz.

„Sofern die Standardvertrags- bzw. Standarddatenschutzklauseln in unveränderter Form verwendet werden, sind die Datenübermittlungen genehmigungsfrei. Dies gilt auch noch dann, wenn ihnen weitere Klauseln oder zusätzliche Garantien hinzugefügt werden, solange diese weder mittelbar noch unmittelbar im Widerspruch zu den Standardklauseln stehen und die Grundrechte und Grundfreiheiten der betroffenen Personen nicht beschneiden (Erwägungsgrund 109). Bei solchen Hinzufügungen sollten Unternehmen jedoch eine gewisse Vorsicht walten lassen, da im Falle eines inhaltlichen Widerspruchs zu den Standardvertrags- bzw. Standarddatenschutzklauseln die Übermittlung genehmigungspflichtig wird“ (Hervorhebungen nur hier)

Der LfDI sieht also durchaus die zulässige Möglichkeit, die SCC durch zusätzliche Klauseln (etwa Pflichten für de Importeur) zu ergänzen, ohne, dass dadurch eine Genehmigungspflicht entsteht. Zudem informiert er darüber, dass eine solche Ergänzung wohl nur dann als genehmigungsfrei angesehen wird, wenn sie nicht im Widerspruch zu den Klauseln der SCC steht.

C.

Strenger, jedoch leider ohne Begründung, ist die Ansicht des Hessischen Beauftragten für Datenschutz.

„Zwar ist es möglich, die Standarddatenschutzklauseln auch in umfangreichere Vertragswerke einzubauen oder um zusätzliche Klauseln zu ergänzen. Zu bedenken ist allerdings, dass die Übermittlung der Daten nur dann genehmigungsfrei ist, wenn die Standarddatenschutzklauseln unverändert verwendet werden“ (Hervorhebung nur hier). Die Behörde sieht wohl also gar keine Möglichkeit, die SCC zu ergänzen, ohne, dass eine Genehmigung der Behörde erforderlich wäre. Warum dies so ist, begründet die Behörde aber leider nicht.

D.

Einen Mittelweg wählt die Aufsichtsbehörde aus NRW.

„Einer besonderen Genehmigung der EU-Standardvertragsklauseln durch die LDI NRW bedarf es nicht, denn die Eignung des Vertragswerks als Garantie im Sinne des Art. 46 Abs. 1 DS-GVO folgt bereits aus der Erwähnung in Art. 46 Abs. 2 lit. c) DS-GVO . Werden allerdings einzelne Klauseln individuell verändert oder Klauseln der einzelnen Verträge miteinander vermischt, entsteht grundsätzlich ein Individualvertrag, der gemäß Art. 46 Abs. 3 DS-GVO im Kohärenzverfahren auf EU-Ebene abgestimmt und durch die Aufsichtsbehörde genehmigt werden muss. Grundsätzlich können darunter auch Ergänzungen fallen, die der Anpassung an die DS-GVO dienen (etwa zur Erfüllung der Voraussetzungen des Art. 28 Abs. 3 DS-GVO durch die EU-Standardvertragsklauseln selbst). Ob im Einzelfall keine Genehmigungspflicht und/oder Abstimmungspflicht auf EU-Ebene besteht, ist in Zweifelsfällen durch Rückfrage bei der zuständigen Aufsichtsbehörde zu klären.“ (Hervorhebung nur hier). Die LDI NRW tendiert wohl zu einer Genehmigungspflicht, empfiehlt jedoch, eine entsprechende Rückfrage bei der Aufsichtsbehörde zu stellen.

Eigene Interpretation

Als ich mich dem Thema genähert habe, habe ich mich zunächst gefragt, woraus sich eigentlich ergibt, dass Ergänzungen per se genehmigungsbedürftig seien? Aus der DSGVO ergibt sich dies mE nämlich nicht. Im Gegenteil sprechen die Vorgaben des ErwG 109 DSGVO meiner Ansicht nach eher für die Möglichkeit der Ergänzung, ohne Genehmigungspflicht.

Denn ErwG 109 DSGVO geht von der Möglichkeit der Verwendung der SCC (= genehmigungsfrei) aus, was den Verantwortlichen aber gerade nicht „daran hindern“ soll, ihnen weitere Klauseln oder zusätzliche Garantien hinzuzufügen, solange diese weder mittelbar noch unmittelbar im Widerspruch zu den SCC stehen oder die Grundrechte und Grundfreiheiten der betroffenen Personen beschneiden. Ich verstehe diese Erläuterung so, dass die Einfachheit des Einsatzes (nicht daran hindern) eben gerade nicht durch Ergänzungen aufgehoben werden soll, wenn diese Ergänzungen positiv für Betroffene sind. Denn wozu wäre sonst der letzte Teil des Satzes relevant, wenn doch jede Anpassung ohnehin genehmigt werden müsste (egal ob positiv oder negativ). Oder anders ausgedrückt: eine Genehmigungsbedürftigkeit bei positiver Anpassung würde mich als Unternehmen daran hindern, die SCC in der eigentlich vorgesehen genehmigungsfreien Form zu nutzen.

Einziger Anhaltspunkt dafür, dass Änderungen zu einer Genehmigungspflicht führen, wäre meines Erachtens die Klausel 10 der SCC selbst. Dieser Klausel steht aber derzeit ErwG 109 DSGVO und die Vorgabe des EuGH entgegen.

Klar für eine genehmigungsfreie Anpassung der SCC sprechen auch die FAQ der EU-Kommission zu internationalen Datentransfers (pdf). Auf die Frage „9. CAN COMPANIES INCLUDE THE STANDARD CONTRACTUAL CLAUSES IN A WIDER CONTRACT AND ADD SPECIFIC CLAUSES?” wird dort geantwortet (B.1.9):

“Yes. Parties are free to agree to add other clauses as long as they do not contradict, directly or indirectly, the standard contractual clauses approved by the Commission or prejudice fundamental rights or freedoms of the data subjects. It is possible, for example, to include additional guarantees or procedural safeguards for the individuals (e.g. online procedures or relevant provisions contained in a privacy policy).”

Unter B.1.10 gibt die Kommission dann zu Bedenken: „Once they change the standard contractual clauses these are no longer “standard”. The companies will consequently not benefit from the specific favourable treatment attached to the standard contractual clauses”.

Fazit

Für mich ergibt sich hieraus folgendes Bild: sowohl der EuGH als auch ErwG 109 DSGVO gestatten (ja fordern) ausdrücklich die Ergänzung der Klauseln um zusätzliche Garantien bzw. Klauseln. Damit die SCC ihren genehmigungsfreien Charakter nicht verlieren, muss wohl (so verstehe ich die FAQ der Kommission) darauf geachtet werden, dass die Klauseln der SCC selbst nicht angefasst werden, sondern quasi on top noch Pflichten oder mehr Rechte vereinbart werden. In der Praxis wird es sicher nicht immer einfach sein, klar eine Trennlinie zu ziehen, ob eine neue Pflicht oder neue Klausel auch wirklich keine Änderung der SCC-Klauseln darstellt. Meines Erachtens sprechen aber gute Gründe dafür, dass bei entsprechender Ergänzung der SCC um weitere (!) und zusätzliche (!) Garantien, eine Genehmigungsbedürftigkeit nicht besteht.