EDÖB: neue SCC aner­kannt, bestimm­te Loka­li­sie­run­gen auf die Schweiz notwendig

Der EDÖB hat mit Datum von 27. August 2021 die revi­dier­ten Stan­dard­ver­trags­klau­seln (SCC) grund­sätz­lich aner­kannt (vgl. Mit­tei­lung; kein Per­ma­link). Die neu­en SCC erlau­ben die Bekannt­ga­be von Per­so­nen­da­ten in Staa­ten ohne ange­mes­se­nen Schutz aller­dings nur, “sofern die für eine Ver­wen­dung unter Schwei­zer Daten­schutz­recht not­wen­di­gen Anpas­sun­gen und Ergän­zun­gen vor­ge­nom­men wer­den”. Was damit kon­kret gemeint ist, ergibt sich aus einem Arbeits­pa­pier des EDÖB mit glei­chem Datum (PDF).

Aus­gangs­punkt des EDÖB ist die Tat­sa­che, dass der Expor­teur bei einer Bekannt­ga­be ins Aus­land zugleich dem DSG und der DSGVO unter­ste­hen kann. In letz­te­rem Fall kann der Expor­teur die SCC selbst nicht ändern, muss aber den­noch sicher­stel­len, dass die schwei­ze­ri­schen Belan­ge berück­sich­tigt wer­den. Der EDÖB unter­schei­det daher fol­gen­de Konstellationen:

  • Die Bekannt­ga­be auf Basis der neu­en SCC unter­steht nur dem DSG. Hier müs­se der Expor­teur den EDÖB als zustän­di­ge Auf­sichts­be­hör­de bezeich­nen. Zudem müs­se er in einem Anhang zu den SCC vor­se­hen, dass der Begriff “Mit­glied­staat” in den SCC die Schweiz (mit-)meine, dass Ver­wei­sun­gen auf die DSGVO als Ver­wei­sun­gen auf das DSG zu ver­ste­hen sind und dass die neu­en SCC bis zum Inkraft­tre­ten des revDSG auch juri­sti­sche Per­so­nen schüt­zen (m.E. frag­lich, weil das das Recht des Emp­fän­ger­staats sol­che Daten durch­aus “ange­mes­sen” schüt­zen kann, wenn auch nicht unbe­dingt durch das loka­le Daten­schutz­recht). Anson­sten ist der Expor­teur aber rela­tiv frei, und er kann die SCC ins­be­son­de­re auch dem schwei­ze­ri­schen Recht und der Zustän­dig­keit schwei­ze­ri­scher Gerich­te unter­stel­len, was die DSGVO bei den neu­en SCC nicht zulässt.
  • Die Bekannt­ga­be unter­steht sowohl dem DSG als auch der DSGVO. Hier hat der Expor­teur zwei Mög­lich­kei­ten: Er kann sepa­ra­te SCC vor­se­hen für das DSG und für die DSGVO (d.h. er kann vor­se­hen, dass für die Expor­te nach dem DSG eine ande­re Rege­lung gilt als für jene nach der DSGVO). Oder er sieht vor, dass die DSGVO für die Bekannt­ga­be ins­ge­samt gilt – das ist zuläs­sig, weil die DSGVO ange­mes­se­nen Schutz ver­mit­telt. Aber auch dann kann der Expor­teur die Anfor­de­run­gen des DSG nicht igno­rie­ren. Er müs­se in einem Anhang viel­mehr auch in die­sem Fall vor­se­hen, dass der EDÖB par­al­lel zur zustän­di­gen EWR-Behör­de zustän­dig ist, dass die Schweiz eben­falls als Mit­glied­staat i.S.d. SCC zu betrach­ten ist und dass die SCC vor­läu­fig auch für Daten juri­sti­scher Per­so­nen gelten.

Die vom EDÖB ver­lang­ten Anhän­ge ent­spre­chen mehr oder weni­ger dem, was schwei­ze­ri­sche Expor­teu­re heu­te oft schon als Anpas­sun­gen der “alten” SCC ver­ein­bart haben, m.E. aller­dings auf frei­wil­li­ger Basis.

Zu ergän­zen ist, dass der EDÖB jeweils – wie die SCC – von “Mit­glied­staa­ten” spricht; rich­ti­ger­wei­se sind neben den Mit­glied­staa­ten der EU aber auch die EWR-Staa­ten ein­ge­schlos­sen, zumal die DSGVO im EWR unmit­tel­bar gilt und auch die Ver­wei­sun­gen auf die Mit­glied­staa­ten in der DSGVO daher auch die ande­ren EWR-Staa­ten mei­nen müs­sen. Die Par­tei­en kön­nen im Gel­tungs­be­reich der DSGVO daher auch die Zustän­dig­keit eines Liech­ten­stei­ner Gerichts wäh­len und die SCC dem liech­ten­stei­ni­schen Recht unterstellen.

Die alten Stan­dard­ver­trags­klau­seln, das TBDFA (Swiss Trans­bor­der Data Flow Agree­ment) und der Muster­ver­trag des Euro­pa­rats kön­nen noch bis zum 27. Sep­tem­ber 2021 ver­wen­det und dem EDÖB gemel­det wer­den. Danach sind sie nicht mehr aner­kannt. Sie dür­fen aber wäh­rend einer Über­gangs­frist bis zum 31. Dezem­ber 2022 in Gebrauch blei­ben, sofern sich die “Daten­be­ar­bei­tung” (wohl: die Bekannt­ga­be) und der Ver­trag in der Zwi­schen­zeit nicht wesent­lich ändern. Danach müs­sen die Expor­teu­re aber auf die neu­en SCC umge­stellt haben (soweit sie kein ande­res Trans­fer Tool ver­wen­den wol­len). Ein neu­es TBDFA exi­stiert bis jetzt nicht, ist aber in Arbeit.