Am 17.12.2016 hat die Europäische Kommision die geänderten Beschlüsse über die Standardvertragsklauseln und die geänderten Angemessenheitsbeschlüsse im Amtsblatt veröffentlicht.

KLAUSELN BLEIBEN UNVERÄNDERT

Die Standardvertragsklauseln als solche werden mit dem Beschluss nicht angetastet und bleiben unverändert. Neu ist jedoch die unabhängige Prüfbefugnis der nationalen Aufsichtsbehörden. Damit sollen die Anforderungen des Europäischen Gerichtshofs aus dem Safe-Harbor-Urteil umgesetzt werden: Eine eingeschränkte Befugnis der Kontrollstellen hatte der EuGH für ungültig erklärt.

ÄNDERUNGSBESCHLUSS

Syndikusanwältin Barbara Schmitz fasst dies hervorragend in der beck-community zusammen:
„In dem nun vorliegenden Änderungsbeschluss über die SCC greift die Kommission genau diese Thematik im Erwägungsgrund 3 auf und hält folgendes fest:
In seinem Schrems-Urteil hat der Gerichtshof klargestellt, dass die nationalen Aufsichtsbehörden weiterhin für die Kontrolle der Übermittlung personenbezogener Daten an ein Drittland, das Gegenstand einer Angemessenheitsentscheidung der Kommission ist, zuständig sind, und die Kommission nicht befugt ist, die Befugnisse dieser Behörden gemäß Artikel 28 der Richtlinie 95/46/EG zu beschneiden. Gemäß diesem Artikel verfügen diese Behörden insbesondere über Untersuchungsbefugnisse, wie das Recht auf Einholung aller für die Erfüllung ihres Kontrollauftrags erforderlichen Informationen, wirksame Einwirkungsbefugnisse, wie beispielsweise die Befugnis, das vorläufige oder endgültige Verbot einer Verarbeitung anzuordnen, sowie das Klagerecht oder eine Anzeigebefugnis.
Gleichzeitig stellt die Kommission im Erwägungsgrund 5 des Änderungsbeschlusses fest, dass die ergangenen Entscheidungen über die SCC für alle Organe der Mitgliedsstaaten einschließlich der unabhängigen Kontrollstellen, bindend sind. Damit trägt sie den Anforderungen des EuGH aus dem Schrems-Urteil Rz. 52 Rechnung, wo eine „grundsätzliche Vermutung der Rechtswirksamkeit der Unionsrechtsakte“ festgehalten wird.
Dieser vermeintliche Widerspruch zwischen Verbindlichkeit der SCC und Kontroll- und Verbotsbefugnis der Datenübermittlung durch die Aufsichtsbehörden, löst sich auf, wenn man die Rz. 52 des Schrems-Urteils genau liest. Denn hier heißt es (Unterstreichungen von mir): Solange die Entscheidung der Kommission vom Gerichtshof nicht für ungültig erklärt wurde, können die Mitgliedstaaten und ihre Organe, zu denen ihre unabhängigen Kontrollstellen gehören, somit zwar keine dieser Entscheidung zuwiderlaufenden Maßnahmen treffen, wie etwa Rechtsakte, mit denen verbindlich festgestellt wird, dass das Drittland, auf das sich die Entscheidung bezieht, kein angemessenes Schutzniveau gewährleistet
Zusammenfassend bedeutet dies:

• liegt eine gültige Kommissionsentscheidung über SCC vor, können Daten auf der Grundlage dieser Vertragsklauseln (ohne Genehmigung der nationalen Aufsichtsbehörde) in das Drittland übermittelt werden.
• die nationalen Aufsichtsbehörden können trotzdem die Datenübermittlung auf der Grundlage von Standardvertragsklauseln prüfen und kontrollieren.
• die nationalen Aufsichtsbehörden können keine gegen die KOM-Entscheidung zuwiderlaufenden Maßnahmen treffen, insbesondere keine Rechtsakte, die verbindlich feststellen, dass das Drittland kein angemessenes Schutzniveau gewährleistet (siehe Rz. 52 des Schrems-Urteils) und aus diesem Grund die Datenübermittlung aussetzen oder verbieten.
• die nationalen Aufsichtsbehörden können die Datenübermittlung aussetzen oder verbieten, wenn sie einen Verstoß gegen EU- oder nationales Datenschutzrecht feststellen. Ein solcher Verstoß liegt beispielsweise in der Missachtung der Verpflichtungen aus den Vertragsklauseln durch den Datenimporteuer(siehe EG 5 des Änderungsbeschlusses).

Mit Art. 46 Absatz 4 DSGVO für SCC und Art. 45 Absatz 9 DSGVO für Angemessenheitsbeschlüsse wird die Bindungswirkung der Beschlüsse auch unter der DSGVO festgeschrieben. Allerdings ist darauf zu achten – möglicherweise mehr als in der Vergangenheit- dass die Regelungen und Verpflichtungen aus den Vertragsklauseln von Datenexporteur und –importeur eingehalten werden. Denn die Prüfung dieser Verpflichtungen und damit die Einhaltung eines datenschutzkonformen Vertragsverhaltens obliegt nun mit den Neufassungen der Art. 4 bzw. 3 der Beschlüsse ausdrücklich den nationalen Aufsichtsbehörden.“