Internationale Datenübermittlungen: Haben Sie Ihre Verträge angepasst?

4. November 2022

Ende Dezember 2022 läuft die Übergangsfrist für die Überprüfung und Aktualisierung Ihrer Verträge und Klauseln für internationale Datenübermittlungen ab. Wenn Sie nach diesem Datum noch die älteren "Standardvertragsklauseln" der Europäischen Kommission verwenden, sind Sie mutmasslich nicht mehr DSGVO bzw. DSG-konform. Wir haben fünf Fragen formuliert mit denen Sie herausfinden können, ob Sie ein Problem haben – und daher Sanktionen riskieren.

Die "Standardvertragsklauseln" der Europäischen Kommission (EU SCC) wurden im Juni 2021 aktualisiert und die Frist zur Nachführung von Verträgen endet sowohl im Rahmen der DSGVO als auch nach dem Schweizer Datenschutzgesetz (DSG) Ende Dezember 2022. Es braucht sie natürlich nur dann, wenn Sie Personendaten in ein "unsicheres" Drittland übermitteln und hierfür keine andere Rechtsgrundlage haben. Sehr viele Unternehmen und ihre Provider setzen die EU SCC ein.

Sie sollten in Ihrer Organisation daher die folgenden fünf Fragen stellen:

1. Nutzen Sie Cloud-basierte Dienste oder andere internationale Service-Provider und haben Sie Ihre Verträge mit diesen seit Sommer 2021 nicht mehr aktualisiert (ausser im Falle von Microsoft)?
2. Haben Sie Tochtergesellschaften ausserhalb Europas, die auf Ihre Daten zugreifen können, oder erbringen Sie für diese Tochtergesellschaften IT-Dienstleistungen, haben aber entweder kein "Intra-Group Data Transfer Agreement" oder Sie haben zwar einen solchen Vertrag, haben diesen aber seit Sommer 2021 nicht mehr aktualisiert?
3. Haben Sie Kunden in aussereuropäischen Ländern, für die Sie personenbezogene Daten verarbeiten oder denen Sie Zugang zu Ihren eigenen personenbezogenen Daten gewähren, aber haben Sie Ihre Datenschutzklauseln mit diesen Kunden seit Sommer 2021 nicht aktualisiert?
4. Verwenden Sie die neuen EU SCC, ohne dies dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten gemeldet zu haben?
5. Übermitteln Sie personenbezogene Daten ins aussereuropäische Ausland unter Verwendung der EU SCC, haben aber nie ein sogenanntes Transfer Impact Assessment vorgenommen?

Wenn Sie eine dieser Fragen mit "Ja" beantworten müssen, sollten Sie Ihre Situation genauer untersuchen, da Sie wahrscheinlich nicht datenschutzkonform sind.