Thema der Woche

12. Januar 2005

Neue Standardklauseln für Datenübermittlung in Nicht-EU-Länder

Die Europäische Kommission hat neue Standardvertragsklauseln genehmigt, der es Unternehmen ermöglicht, ein angemessenes Datenschutzniveau zu gewährleisten, wenn sie personenbezogene Daten aus der EU in Nicht-EU-Länder übermitteln. Der neue Standardvertrag, der von mehreren Wirtschaftsverbänden gemeinsam vorgeschlagen wurde, ergänzt bestehende Dokumente vom Juni 2001. Diese Klauseln sind ein Instrument, mit dem Unternehmen und Organisationen auf unkomplizierte Weise ihren Verpflichtungen aus der EU-Datenschutzrichtlinie nachkommen können, wonach sie personenbezogene Daten, die in Nicht-EU-Länder übermittelt werden, "angemessen schützen" müssen.

Laut EU-Pressestelle sind nach Auffassung der Wirtschaft einige der neuen alternativen Vertragsklauseln unternehmensfreundlicher, beispielsweise die Klauseln über die Beilegung von Streitigkeiten, die Zuweisung von Verantwortlichkeiten und die Prüfungspflichten. Dennoch böten sie ein Datenschutzniveau, das dem Schutzniveau der Vertragsklauseln aus dem Jahr 2001 vergleichbar ist. Außerdem erhalten die Datenschutzbehörden mehr Eingriffs- und Sanktionsbefugnisse, wo dies zur Verhinderung von Missbrauch erforderlich ist.

Eine große Koalition von Wirtschaftsverbänden unter der Führung der  Internationalen Handelskammer hatte in den vergangenen drei Jahren mit der Kommission und dem Ausschuss der EU-Datenschutzaufsichtsbehörden (der so genannten Artikel-29-Datenschutzgruppe) über den neuen Standardvertrag verhandelt. Die Artikel-29-Gruppe hatte laut  Bundesbeauftragtem für den Datenschutz (BfD) in ihrer  Stellungnahme 8/2003 (PDF-Link) diese Vorschläge unter der Voraussetzung befürwortet, dass drei rechtliche Vorbehalte ausgeräumt werden. Die gefundenen Regelungen hinsichtlich der Pflicht zur Zusammenarbeit mit den Kontrollstellen, der Gewährleistung der Auskunfts- und Informationsrechte der Betroffenen sowie der Haftungsfragen enthalten laut BfD im Wesentlichen die geforderten Nachbesserungen.

Nicht erforderlich sind solche Vertragsklauseln übrigens für die Datenübermittlung in die Schweiz, nach Kanada, Argentinien sowie in das britische Kronland Guernsey und die Isle of Man, da die Kommission den dort geltenden Datenschutzbestimmungen bereits die "Angemessenheit" bescheinigt hat. Auch für die Datenübermittlung an US-Unternehmen, die sich auf die Grundsätze der vom US-Handelsministerium getroffenen  Safe-Harbor-Regelung verpflichtet haben, sind keine Vertragsklauseln erforderlich (siehe auch die  "Entscheidungen der Kommission zur Angemessenheit des Schutzes persönlicher Daten in Drittstaaten").

Für die Übermittlung in andere Nicht-EU-Länder sind die Standardvertragsklauseln hingegen eines der laut Datenschutzrichtlinie zulässigen Instrumente, mit denen ein angemessener Datenschutz gewährleistet werden kann. Die Kommission arbeitet ferner nach eigenen Angaben mit den Datenschutzbehörden an weiteren Möglichkeiten, beispielsweise in Form so genannter "verbindlicher Unternehmensregelungen": Verhaltenskodizes, die zukünftig anstelle von Standardverträgen für die Übermittlung personenbezogener Daten in Drittländer zum Einsatz kommen könnten.

Nähere  Einzelheiten zu der Kommissionsentscheidung und dem Standardvertrag sowie den Briefwechsel mit den Wirtschaftsverbänden, dem Handelsministerium und dem Finanzministerium der Vereinigten Staaten sind im Internetangebot der Europäischen Kommission dokumentiert. Weitere Informationen liefern die  englischsprachigen FAQ zu den Standardvertragsklauseln.

zum nächsten Thema der Woche

zum vorigen Thema der Woche