Nach den neuen Durchführungsbeschlüssen der EU-KOM: Standardvertragsklauseln auch für Aufsichtsbehörden bindend, aber….!

von Barbara Schmitz, veröffentlicht am 10.01.2017

Rechtsgebiete: Datenschutzrecht|6279 Aufrufe

Wie bereits berichtet hat die EU-KOM am 17.12.2016 die geänderten Beschlüsse über die Standardvertragsklauseln (http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1483973502708&uri=CELEX:32016D2297 )und die geänderten Angemessenheitsbeschlüsse (http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1483973663398&uri=CELEX:32016D2295) im Amtsblatt veröffentlicht.

Die Klauseln der SCC werden mit dem Beschluss nicht angetastet, sie bleiben unverändert. Neu formuliert wurde die unabhängige Prüfbefugnis der nationalen Kontrollstellen. Damit werden die Anforderungen des EuGH aus dem Safe-Harbor-Urteil (Schrems-Urteil) umgesetzt. Denn die eingeschränkte Befugnis der Kontrollstellen, wie sie in der Safe-Harbor Entscheidung 2000/520 in Art. 3 festgeschrieben war, hatte der EuGH für ungültig erklärt (siehe Rz. 99- 103 des EuGH Urteils C-362/14 ).

In dem nun vorliegenden Änderungsbeschluss über die SCC greift die Kommission genau diese Thematik im Erwägungsgrund 3 auf und hält folgendes fest:

In seinem Schrems-Urteil hat der Gerichtshof klargestellt, dass die nationalen Aufsichtsbehörden weiterhin für die Kontrolle der Übermittlung personenbezogener Daten an ein Drittland, das Gegenstand einer Angemessenheitsentscheidung der Kommission ist, zuständig sind, und die Kommission nicht befugt ist, die Befugnisse dieser Behörden gemäß Artikel 28 der Richtlinie 95/46/EG zu beschneiden. Gemäß diesem Artikel verfügen diese Behörden insbesondere über Untersuchungsbefugnisse, wie das Recht auf Einholung aller für die Erfüllung ihres Kontrollauftrags erforderlichen Informationen, wirksame Einwirkungsbefugnisse, wie beispielsweise die Befugnis, das vorläufige oder endgültige Verbot einer Verarbeitung anzuordnen, sowie das Klagerecht oder eine Anzeigebefugnis.

Gleichzeitig stellt die Kommission im Erwägungsgrund 5 des Änderungsbeschlusses fest, dass die ergangenen Entscheidungen über die SCC für alle Organe der Mitgliedsstaaten einschließlich der unabhängigen Kontrollstellen, bindend sind. Damit trägt sie den Anforderungen des EuGH aus dem Schrems-Urteil Rz. 52 Rechnung, wo eine „grundsätzliche Vermutung der Rechtswirksamkeit der Unionsrechtsakte“ festgehalten wird.

Dieser vermeintliche Widerspruch zwischen Verbindlichkeit der SCC und Kontroll- und Verbotsbefugnis der Datenübermittlung durch die Aufsichtsbehörden, löst sich auf, wenn man die Rz. 52 des Schrems-Urteils genau liest. Denn hier heißt es (Unterstreichungen von mir): Solange die Entscheidung der Kommission vom Gerichtshof nicht für ungültig erklärt wurde, können die Mitgliedstaaten und ihre Organe, zu denen ihre unabhängigen Kontrollstellen gehören, somit zwar keine dieser Entscheidung zuwiderlaufenden Maßnahmen treffen, wie etwa Rechtsakte, mit denen verbindlich festgestellt wird, dass das Drittland, auf das sich die Entscheidung bezieht, kein angemessenes Schutzniveau gewährleistet

Zusammenfassend bedeutet dies:

liegt eine gültige Kommissionsentscheidung über SCC vor, können Daten auf der Grundlage dieser Vertragsklauseln (ohne Genehmigung der nationalen Aufsichtsbehörde) in das Drittland übermittelt werden.
die nationalen Aufsichtsbehörden können trotzdem die Datenübermittlung auf der Grundlage von Standardvertragsklauseln prüfen und kontrollieren.
die nationalen Aufsichtsbehörden können keine gegen die KOM-Entscheidung zuwiderlaufenden Maßnahmen treffen, insbesondere keine Rechtsakte, die verbindlich feststellen, dass das Drittland kein angemessenes Schutzniveau gewährleistet (siehe Rz. 52 des Schrems-Urteils) und aus diesem Grund die Datenübermittlung aussetzen oder verbieten.
die nationalen Aufsichtsbehörden können die Datenübermittlung aussetzen oder verbieten, wenn sie einen Verstoß gegen EU- oder nationales Datenschutzrecht feststellen. Ein solcher Verstoß liegt beispielsweise in der Missachtung der Verpflichtungen aus den Vertragsklauseln durch den Datenimporteuer(siehe EG 5 des Änderungsbeschlusses).

Mit Art. 46 Absatz 4 DSGVO für SCC und Art. 45 Absatz 9 DSGVO für Angemessenheitsbeschlüsse wird die Bindungswirkung der Beschlüsse auch unter der DSGVO festgeschrieben. Allerdings ist darauf zu achten – möglicherweise mehr als in der Vergangenheit- dass die Regelungen und Verpflichtungen aus den Vertragsklauseln von Datenexporteur und –importeur eingehalten werden. Denn die Prüfung dieser Verpflichtungen und damit die Einhaltung eines datenschutzkonformen Vertragsverhaltens obliegt nun mit den Neufassungen der Art. 4 bzw. 3 der Beschlüsse ausdrücklich den nationalen Aufsichtsbehörden.