MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Die Erstellung eines Mustervertrags für personenbezogene Daten außerhalb der EU umfasst in der Praxis die Auswahl der passenden Standardvertragsklauseln, das sorgfältige Ausfüllen der Anhänge und die Begründung der Übermittlung durch eine Datenschutz-Folgenabschätzung. Die Standardvertragsklauseln sind die von der Europäischen Kommission festgelegten Musterbestimmungen, die als angemessene Garantie gemäß Artikel 46 DSGVO dienen. Sie übernehmen diese Bestimmungen unverändert und ergänzen sie um die Details Ihrer Übermittlung. Dadurch wird sichergestellt, dass der Schutz personenbezogener Daten auch außerhalb des EWR dem Niveau der DSGVO entspricht.
Die kurze Antwort
- Prüfen Sie zunächst, ob ein Angemessenheitsbeschluss vorliegt (Art. 45 DSGVO); ist dies der Fall, ist kein Standardvertrag erforderlich.
- Andernfalls wählen Sie das entsprechende Modul der Standardvertragsklauseln (Art. 46 DSGVO).
- Ergänzen Sie die Anhänge um Angaben zu Details, Zweck, Empfängern und Sicherheitsmaßnahmen.
- Führen Sie eine Folgenabschätzung für den Transfer durch und erfassen Sie zusätzliche Maßnahmen.
- Die Musterbestimmungen sollten unverändert übernommen werden; Änderungen an einzelnen Passagen gefährden die Gewährleistung.
Entwurf eines Mustervertrags für personenbezogene Daten außerhalb der EU: der erste Schritt
Der erste Schritt ist nicht der Vertrag selbst, sondern die Frage, ob Sie ihn überhaupt benötigen. Ermitteln Sie, in welches Land Sie Daten übermitteln und ob hierfür ein Angemessenheitsbeschluss gemäß Artikel 45 DSGVO vorliegt. Ist dies der Fall, können Sie die Daten ohne zusätzliche Garantien übermitteln. Fehlt ein solcher Beschluss, benötigen Sie geeignete Garantien. Standardvertragsklauseln sind hierfür üblicherweise der richtige Weg.
Als Nächstes sollten Sie den Datentransfer detailliert darstellen. Welche personenbezogenen Daten gehen an welche Partei, zu welchem Zweck und in welcher Häufigkeit? Wer ist der Exporteur und wer der Importeur, und welche Rollen spielen sie? Dies bestimmt, welches Modul der Standardvertragsklauseln Sie benötigen. Ohne diese Übersicht lässt sich der Vertrag nicht korrekt ausfüllen, da diese Informationen insbesondere in den Anhängen benötigt werden.
Das richtige Modul und die dazugehörigen Anhänge
Die Standardvertragsklauseln sind modular aufgebaut. Es gibt Module für die verschiedenen Beziehungen zwischen den Vertragsparteien, beispielsweise zwischen zwei Verantwortlichen oder zwischen einem Verantwortlichen und einem Auftragsverarbeiter. Wählen Sie das Modul, das Ihrer Situation entspricht. Ein unpassendes Modul macht den Vertrag rechtlich unwirksam, selbst wenn der Wortlaut ansonsten korrekt ist. Dies ist einer der Bereiche, in denen es in der Praxis häufig zu Problemen kommt.
Die Anhänge sind mindestens genauso wichtig wie der Haupttext. Darin beschreiben Sie die Kategorien personenbezogener Daten, die Kategorien der betroffenen Personen, die Zwecke der Übermittlung, die Aufbewahrungsfristen sowie die technischen und organisatorischen Sicherheitsmaßnahmen. Füllen Sie diese vollständig und konkret aus. Leere oder allgemeine Anhänge untergraben den Schutz, da dann nicht genau festgestellt werden kann, was übermittelt wird und wie die Daten gesichert sind.
Führen Sie die Bewertung der Auswirkungen des Transfers durch
Nach dem Schrems-II-Urteil von 2020 reicht die Unterzeichnung von Standardvertragsklauseln allein nicht mehr aus. Für jede Datenübermittlung muss geprüft werden, ob das Drittland in der Praxis einen angemessenen Schutz bietet, insbesondere vor dem Zugriff durch Regierungsbehörden und Nachrichtendienste. Diese Prüfung, die sogenannte Folgenabschätzung der Datenübermittlung, muss schriftlich dokumentiert werden. Dabei sind die Gesetzgebung des Drittlandes, die Art der Daten und die praktische Umsetzbarkeit der Klauseln durch den Importeur zu berücksichtigen.
Sollten Sie zu dem Schluss kommen, dass das Schutzniveau unzureichend ist, ergreifen Sie zusätzliche Maßnahmen. Ziehen Sie eine starke Verschlüsselung in Betracht, bei der der Schlüssel innerhalb des EWR verbleibt, Pseudonymisierung oder vertragliche und organisatorische Sicherheitsvorkehrungen. Dokumentieren Sie die getroffenen Maßnahmen und begründen Sie deren Wirksamkeit. Diese Dokumentation dient als Nachweis Ihrer Rechenschaftspflicht gegenüber der niederländischen Datenschutzbehörde und den betroffenen Personen.
Angleichung an die Prozessorvereinbarung
Ein Mustervertrag für die Datenübertragung steht selten allein. Häufig ist der Importeur gleichzeitig Auftragsverarbeiter; in diesem Fall benötigen Sie zusätzlich eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Die Standardvertragsklauseln einiger Module enthalten bereits solche Vereinbarungen zur Auftragsverarbeitung. Prüfen Sie jedoch, ob alle erforderlichen Punkte abgedeckt sind. Stellen Sie sicher, dass der Datenübertragungsvertrag und die Vereinbarung zur Auftragsverarbeitung aufeinander abgestimmt sind und sich nicht widersprechen.
Ein Softwareunternehmen nutzt einen Hosting-Anbieter in einem Land ohne Angemessenheitsbeschluss. Das Unternehmen fügt die Standardvertragsklauseln im Modul „Verantwortlicher zu Auftragsverarbeiter“ ein, ergänzt die Anhänge um die Daten und Sicherheitsmaßnahmen und führt eine Folgenabschätzung für Datentransfers durch. Da der Hosting-Anbieter gleichzeitig Auftragsverarbeiter ist, wird geprüft, ob die Auftragsverarbeitungsverträge vollständig sind. So bilden die Dokumente zusammen ein zusammenhängendes Ganzes und sind nicht voneinander getrennt.
Ehrliche Empfehlung
Sie müssen nicht immer alles selbst von Grund auf neu erstellen. Wenn Sie Daten in ein Land mit Angemessenheitsbeschluss übermitteln oder Ihr Lieferant standardmäßig ausgefüllte Standardvertragsklauseln und eine Datenverarbeitungsvereinbarung bereitstellt, kommen Sie mit vorgefertigten Musterklauseln und einer sorgfältigen Prüfung der Anhänge gut zurecht. Sobald Sie sensible Daten oder große Datenmengen in ein Land ohne Angemessenheitsbeschluss übermitteln, wird es zu einer individuellen Aufgabe. In solchen Fällen kann es schwierig sein, die richtige Lösung auszuwählen und eine fundierte Folgenabschätzung der Datenübermittlung selbst durchzuführen. Lassen Sie die Vereinbarung in diesen Fällen erstellen oder prüfen, da eine mangelhafte Übermittlung behördliche Maßnahmen nach sich ziehen kann.
Möchten Sie mehr erfahren? Sehen Sie sich den Mustervertrag für personenbezogene Daten außerhalb der EU auf unserer Vertragsseite an, lesen Sie zunächst, was ein Mustervertrag für personenbezogene Daten außerhalb der EU ist , und sehen Sie, welche Kosten für die Erstellung eines solchen Mustervertrags anfallen .
Häufig gestellte Fragen
Prüfen Sie, ob für das Zielland ein Angemessenheitsbeschluss vorliegt (Art. 45 DSGVO). Ist dies der Fall, können Sie Daten ohne zusätzliche Garantien übermitteln und ein Standardvertrag ist nicht erforderlich. Liegt kein solcher Beschluss vor, benötigen Sie geeignete Garantien, in der Regel in Form von Standardvertragsklauseln.
Das Modul, das die Beziehung zwischen den Parteien abbildet, beispielsweise zwischen zwei Verantwortlichen oder zwischen Verantwortlichem und Auftragsverarbeiter. Ein fehlerhaftes Modul macht den Vertrag rechtlich unwirksam, selbst wenn der Text ansonsten korrekt ist.
Sie übernehmen die Kernbestimmungen der Standardvertragsklauseln unverändert; Änderungen daran wirken sich auf die Garantie aus. Sie vervollständigen jedoch die Anhänge und können ergänzende, nicht widersprüchliche Vereinbarungen hinzufügen. Die Genehmigung durch die Europäische Kommission gilt ausdrücklich für den unveränderten Mustertext.
Die Kategorien personenbezogener Daten und betroffener Personen, die Zwecke der Übermittlung, die Aufbewahrungsfristen sowie die technischen und organisatorischen Sicherheitsmaßnahmen müssen vollständig und präzise ausgefüllt werden; leere oder allgemeine Anhänge beeinträchtigen den Schutz, da nicht ersichtlich ist, welche Daten übermittelt werden.
Oft ja. Seit dem Schrems-II-Urteil von 2020 müssen Sie für jede Datenübermittlung prüfen, ob das Drittland in der Praxis einen ausreichenden Schutz bietet. Diese Prüfung dokumentieren Sie schriftlich, und falls der Schutz nicht ausreicht, ergreifen Sie zusätzliche Maßnahmen wie Verschlüsselung oder Pseudonymisierung.
Ist der Importeur gleichzeitig Auftragsverarbeiter, benötigen Sie eine Auftragsverarbeitungsvereinbarung gemäß Artikel 28 DSGVO. Einige Module der Standardvertragsklauseln enthalten bereits solche Vereinbarungen; prüfen Sie, ob alle erforderlichen Punkte abgedeckt sind und die Dokumente miteinander übereinstimmen.
Durch die Auswahl der korrekten Rechtsgrundlage, das vollständige Ausfüllen der Anhänge und die Dokumentation der Folgenabschätzung des Datentransfers einschließlich aller zusätzlichen Maßnahmen erfüllen Sie Ihre Pflichten gegenüber der niederländischen Datenschutzbehörde und den an einer Prüfung beteiligten Parteien.
