SAllgemein

Standardvertragsklauseln (SCC) – Drittlandtransfer

EU-Vertragsmuster für Datenübermittlungen in Drittländer (z.B. USA).
2 Aufrufe

Standardvertragsklauseln (Standard Contractual Clauses, SCC) sind von der EU vorgegebene Vertragsmuster, mit denen Unternehmen personenbezogene Daten rechtmäßig in ein „Drittland“ außerhalb der EU/des EWR übermitteln können (z. B. in die USA), wenn dort kein angemessenes Datenschutzniveau garantiert ist. SCC sind ein wichtiges Instrument nach DSGVO, ersetzen aber nicht die Pflicht, das tatsächliche Schutzniveau im Empfängerland zu prüfen.

Was bedeutet „Drittlandtransfer“ bei SCC?

Ein Drittlandtransfer liegt vor, wenn personenbezogene Daten (z. B. Kundendaten, Mitarbeiterdaten, Support-Tickets, IP-Adressen) an einen Empfänger außerhalb EU/EWR übermittelt werden – etwa an einen Cloud-Provider, einen IT-Dienstleister oder einen Konzernstandort. Typische KMU-Fälle sind Hosting, E-Mail-Marketing, CRM, Support-Tools oder der Einsatz von KI-Diensten wie ChatGPT bzw. Generative KI (Generative AI), wenn dabei Daten in Drittländer gelangen.

Wie funktionieren Standardvertragsklauseln (SCC)? (Praxis-Check in 5 Schritten)

  • 1) Transfer identifizieren: Welche Daten gehen wohin, zu welchem Zweck, an welchen Anbieter/Unterauftragnehmer?
  • 2) Passende SCC wählen: Es gibt Module je nach Rollen (Verantwortlicher↔Verantwortlicher, Verantwortlicher↔Auftragsverarbeiter usw.).
  • 3) SCC abschließen und Anhänge ausfüllen: Besonders wichtig: Beschreibung der Verarbeitung, Kategorien der Daten, Betroffenen, technische und organisatorische Maßnahmen (TOM).
  • 4) Transfer Impact Assessment (TIA) durchführen: Prüfen, ob im Empfängerland Gesetze/Behördenzugriffe die SCC unterlaufen könnten (Schrems-II-Kontext). Ergebnis dokumentieren.
  • 5) Zusatzmaßnahmen umsetzen: Falls nötig z. B. starke Verschlüsselung (kundenseitig), Pseudonymisierung, strikte Zugriffsrechte, Datenminimierung, Audit-/Transparenzpflichten, klare Löschkonzepte.

Warum sind SCC für KMU wichtig?

Viele Standard-Tools haben Server, Support oder Unterauftragnehmer außerhalb der EU. Ohne geeignete Garantien riskieren KMU Datenschutzverstöße, Bußgelder, Abmahnungen und Vertrauensverlust. SCC sind oft der pragmatischste Weg, Drittlandtransfers abzusichern – insbesondere, wenn keine Angemessenheitsentscheidung greift oder wenn Anbieter nicht unter einem alternativen Mechanismus nutzbar sind.

Beispiele aus dem Alltag

  • US-Cloud für E-Mail/Dateien: SCC im Vertrag + TIA + Verschlüsselung/Key-Management, Rollen- und Rechtekonzept.
  • Support-Tool mit globalem Zugriff: SCC + Einschränkung von Support-Zugriffen (Just-in-time, Protokollierung), Datenmaskierung in Tickets.
  • KI-Tool für Textentwürfe: Vor dem Einsatz klären, ob personenbezogene Daten übertragen werden; wenn ja: SCC/TIA, Data Minimization (Datenminimierung), ggf. PII-Redaktion und interne Nutzungsregeln.

Wichtige Hinweise (häufige Stolperfallen)

  • SCC sind nicht „set and forget“: Änderungen bei Subprozessoren, Speicherorten oder Rechtslage können eine Aktualisierung von TIA und Maßnahmen erfordern.
  • SCC ersetzen keine AVV: Bei Auftragsverarbeitung brauchen Sie zusätzlich eine Data Processing Agreement (DPA/AVV).
  • Dokumentation zählt: Halten Sie TIA, TOM, Anbieterangaben und Entscheidungsgründe nachvollziehbar fest (Rechenschaftspflicht).

Merksatz: SCC sind der vertragliche „Rahmen“ für Drittlandtransfers – rechtssicher wird es erst durch die Kombination aus passenden SCC-Modulen, sauber ausgefüllten Anhängen, dokumentiertem TIA und wirksamen technischen/organisatorischen Zusatzmaßnahmen.

Zahlen & Fakten

0%
mit USA-DienstleisternEin großer Teil der KMU nutzt Cloud-, CRM- oder Kollaborationstools von Anbietern mit Datenbezug in Drittländer wie die USA, wodurch SCC in der Praxis häufig relevant werden.
0-6 Wochen
Einführungsaufwand SCCDie Prüfung, Verhandlung und Dokumentation von Standardvertragsklauseln inklusive Transfer Impact Assessment bindet in KMU oft mehrere Wochen interner und externer Ressourcen.
0-40%
höhere Compliance-KostenBei internationalen SaaS-Setups steigen Datenschutz- und Vertragsaufwände durch Drittlandtransfers für KMU häufig spürbar, insbesondere bei mehreren US-Subdienstleistern.

Anwendungsfälle in der Praxis

Vertrieb
US-CRM datenschutzkonform für den Vertrieb absichern
Ein KMU nutzt ein CRM-System eines US-Anbieters, um Leads, Kundendaten und Angebotsverläufe zentral zu verwalten. Mit Standardvertragsklauseln kann das Unternehmen den Drittlandtransfer vertraglich absichern und so die Nutzung des Tools mit den DSGVO-Anforderungen besser vereinbaren. In der Praxis wird das oft mit einer Prüfung der Datenkategorien und ergänzenden technischen Schutzmaßnahmen kombiniert.

Bist du bereit für Standardvertragsklauseln (SCC) beim Drittlandtransfer?

Beantworte 5 kurze Fragen und finde heraus, wo du stehst.
Weißt du, ob dein Unternehmen personenbezogene Daten in Drittländer wie die USA übermittelt?
Hast du alle relevanten Dienstleister und Tools identifiziert, bei denen ein Drittlandtransfer stattfindet?
Hast du mit diesen Anbietern bereits gültige Standardvertragsklauseln (SCC) abgeschlossen?
Prüfst du zusätzlich, ob im Empfängerland ein angemessenes Datenschutzniveau besteht und ob ergänzende Maßnahmen nötig sind?
Dokumentierst du die SCC-Prüfung und aktualisierst sie regelmäßig bei neuen Tools, Anbietern oder Rechtsänderungen?

Sind deine Drittlandtransfers mit SCC wirklich sauber und praktikabel umgesetzt?

Standardvertragsklauseln sind schnell erwähnt, aber in der Praxis scheitert es oft an unklaren Tools, Datenflüssen und Verantwortlichkeiten. Genau dort setzt das Tech-Gutachten an: Ich analysiere, welche Systeme personenbezogene Daten in Drittländer übertragen, wo Risiken entstehen und welche Anbieter oder Setups kritisch sind. Du bekommst eine klare Grundlage, um Transfers besser zu bewerten, unnötige Tools zu identifizieren und fundierte Entscheidungen für deine Tech-Landschaft zu treffen. So wird aus DSGVO-Unsicherheit ein konkreter Umsetzungsplan statt bloßem Bauchgefühl.

Häufig gestellte Fragen

Was sind Standardvertragsklauseln (SCC) beim Drittlandtransfer?
SCC sind EU-Standardverträge, mit denen personenbezogene Daten in Länder außerhalb EU/EWR übermittelt werden können. Sie schaffen vertragliche Garantien, müssen aber durch eine Risikoprüfung (TIA) und ggf. Zusatzmaßnahmen ergänzt werden.