Standardvertragsklauseln (SCC)
Standard Contractual Clauses sind von der EU-Kommission genehmigte Vertragsklauseln, die den rechtssicheren Transfer personenbezogener Daten in Drittländer ohne angemessenes Datenschutzniveau ermöglichen. Sie verpflichten Datenexporteure und -importeure zu konkreten Schutzmaßnahmen und schaffen damit eine vertragliche Grundlage für transatlantische Datenflüsse. Es gibt sie in verschiedenen Fassungen schon lange vor dem Schrems-II-Urteil. Das Urteil hat sie nicht erst nötig gemacht, sondern um die Pflicht zur Einzelfallprüfung und gegebenenfalls zusätzlichen Schutzmaßnahmen ergänzt.
SCCs unterscheiden sich fundamental von anderen Compliance-Mechanismen wie dem EU-US Data Privacy Framework oder Binding Corporate Rules. Während das Privacy Framework auf staatlicher Anerkennung basiert und BCRs konzernweite Regelwerke darstellen, sind SCCs bilaterale Verträge zwischen zwei konkreten Parteien. Du kannst sie nicht einfach unterschreiben und abhaken. Jeder SCC-Transfer erfordert ein individuelles Transfer Impact Assessment, das prüft, ob die Gesetze im Zielland die vertraglichen Garantien faktisch aushöhlen. Das macht SCCs zum aufwendigsten, aber auch flexibelsten Instrument im Datentransfer-Arsenal.
Im B2B-Marketing-Alltag betreffen SCCs praktisch jeden Cloud-Service außerhalb der EU. Dein CRM in den USA, deine Marketing Automation mit Servern in Singapur, dein Chatbot-Provider mit Subprozessoren weltweit, alle brauchen eine Transfergrundlage. Für US-Anbieter mit gültiger DPF-Zertifizierung genügt der Angemessenheitsbeschluss, für alle anderen sind SCCs der Regelfall. Die meisten SaaS-Anbieter stellen dir vorausgefüllte SCCs im Data Processing Agreement bereit. Das Problem: Du bist als Datenexporteur trotzdem verantwortlich für die Prüfung, ob die Klauseln im konkreten Fall ausreichen. Wenn dein US-Provider dem CLOUD Act unterliegt und du sensible Gesundheitsdaten überträgst, reichen Standard-SCCs nicht. Du brauchst zusätzliche technische Maßnahmen wie Verschlüsselung mit EU-seitigem Key Management.
Die größte Falle liegt in der Illusion der Rechtssicherheit. SCCs sind kein Freifahrtschein, sondern eine Mindestanforderung. Datenschutzbehörden haben bereits mehrfach klargestellt, dass SCCs allein nicht genügen, wenn das Zielland Massenüberwachung betreibt. Du musst dokumentieren, warum du glaubst, dass deine Daten trotz FISA 702 oder vergleichbarer Gesetze geschützt bleiben. Diese Dokumentation kostet Zeit und juristisches Know-how. Viele Unternehmen unterschätzen den Aufwand und wachen erst bei der ersten Behördenanfrage auf. Nachträgliche Compliance unter Zeitdruck ist deutlich teurer als die präventive Prüfung.
Bei der Auswahl von Marketing-Tools solltest du SCCs als K.O.-Kriterium behandeln, nicht als Nice-to-have. Prüfe, ob der Anbieter die aktuellen SCCs von 2021 verwendet, ältere Versionen sind ungültig. Frage nach der Liste der Subprozessoren und deren Standorten. Verlange Transparenz über Zugriffsprotokolle und Verschlüsselungsstandards. Wenn ein Tool ohne plausible technische Schutzmaßnahmen Daten in die USA schickt, ist das Risiko real. Die DSGVO kennt Bußgelder bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. SCCs schützen dich nur, wenn du sie ernst nimmst und die Hausaufgaben machst.
Verwandte Begriffe
So sieht diese Technologie im Einsatz aus.
Sieh dir an, wie wir Technologien wie diese für Unternehmen einsetzen, oder sprich direkt mit uns.