Ein mittelständischer Lebensmittelhersteller aus Bayern bezieht Rohstoffzertifikate von einem Lieferanten in den USA, nutzt ein cloudbasiertes ERP-System mit Serverstandort in Singapur und gibt Mitarbeiterdaten an eine Konzerntochter in Mexiko weiter. Dreimal täglich passieren personenbezogene Daten die EU-Außengrenze – dreimal täglich entstehen potenzielle Datenschutzverstöße, wenn der rechtliche Rahmen fehlt.
Internationale Datentransfers in die Lebensmittelindustrie setzen einen dokumentierten Übermittlungsmechanismus nach Kapitel V DSGVO voraus. Ohne Rechtsgrundlage drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Die zuverlässigste Lösung für den Mittelstand sind Standardvertragsklauseln (Standard Contractual Clauses, SCCs) der Europäischen Kommission – ergänzt durch ein Transfer Impact Assessment (TIA), wenn das Empfängerland kein Angemessenheitsbeschluss der EU-Kommission abdeckt.
Dieser Branchenreport erläutert die Rechtslage, zeigt die typischen Schwachstellen der Lebensmittelindustrie und gibt Geschäftsführern einen strukturierten Fahrplan an die Hand.
Welche Datentransfer-Konstellationen treten in der Lebensmittelindustrie typischerweise auf?
Die Lebensmittelindustrie ist stärker als viele andere Sektoren in globale Liefer- und Verarbeitungsketten eingebunden. Rohstoffbeschaffung, Qualitätsmanagement, Produktionsteuerung und Logistik bilden ein eng verzahntes Datennetz, das regelmäßig über EU-Grenzen hinausreicht. In der Mandatspraxis sehen wir dabei vier wiederkehrende Transferkonstellationen.
Erstens: ERP- und MES-Systeme in der Cloud. Produktionsplanung (MES = Manufacturing Execution System) und Ressourcenmanagement laufen heute häufig auf Plattformen amerikanischer Technologieanbieter. Mitarbeiterdaten, Schichtpläne, Arbeitszeitkonten und Lieferantenstammdaten verlassen dabei automatisch den EAU-Wirtschaftsraum – auch wenn der Geschäftsführer das nicht bewusst entschieden hat.
Zweitens stehen Qualitätssicherungs- und Rückverfolgungssysteme im Fokus. Lebensmittelrechtliche Vorgaben der EU (insbesondere VO (EG) Nr. 178/2002) erzwingen lückenlose Rückverfolgbarkeit. Viele Hersteller arbeiten dafür mit Drittlandlieferanten zusammen, die Zertifizierungs- und Prüfdaten zentral verwalten. Sobald diese Datenpools Personenbezüge enthalten – Qualitätsverantwortliche namentlich benannt, E-Mail-Adressen von Auditoren, Kontaktdaten von Farmmanagern –, greift die DSGVO.
Drittens: konzerninterne Übermittlungen. Mittelständische Lebensmittelunternehmen, die über Tochtergesellschaften in Drittstaaten verfügen oder zu einem internationalen Konzern gehören, übermitteln regelmäßig Personalstammdaten, Gehaltsabrechnungsdaten und Bewerberdaten an die Konzernzentrale oder -töchter außerhalb des EAU. Konzerninterne Übermittlungen sind keine Ausnahme von der DSGVO.
Viertens: Marketingplattformen und Verbraucherportale. Loyalitätsprogramme, Rezept-Apps und Verbraucherbefragungen sammeln erhebliche Mengen personenbezogener Daten. Werden diese durch US-amerikanische Marketing-Cloud-Dienste verarbeitet, entsteht eine weitere Transferkette.
Was gilt als rechtliche Grundlage für internationale Datentransfers – und was nicht?
Kapitel V DSGVO schließt die Lücke zwischen dem hohen europäischen Datenschutzniveau und dem oft niedrigeren Schutzniveau in Drittstaaten. Der Übermittler – also das Unternehmen in der EU – bleibt dafür verantwortlich, dass auch nach der Weitergabe ein gleichwertiges Schutzniveau besteht. Ein Wunsch des Geschäftspartners oder eine vertragliche Notwendigkeit reicht als Begründung nicht aus.
Drei Mechanismen stehen in der Praxis an vorderster Stelle:
- Angemessenheitsbeschluss (Art. 45 DSGVO): Die EU-Kommission hat für bestimmte Staaten – darunter Großbritannien, Schweiz, Japan, Südkorea und (seit Juli 2023) die USA im Rahmen des EU-U.S. Data Privacy Framework – ein angemessenes Schutzniveau anerkannt. Für zertifizierte US-Unternehmen im Data Privacy Framework ist kein weiterer Mechanismus erforderlich; die Zertifizierung des Empfängers muss jedoch aktiv geprüft werden.
- Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO): Die von der EU-Kommission mit Durchführungsbeschluss 2021/914 erlassenen SCCs sind das praktisch meistgenutzte Instrument. Sie sind modular aufgebaut: Modul 1 für Verantwortlicher → Verantwortlicher, Modul 2 für Verantwortlicher → Auftragsverarbeiter, Modul 3 für Auftragsverarbeiter → Auftragsverarbeiter, Modul 4 für Auftragsverarbeiter → Verantwortlicher. Für die Lebensmittelindustrie ist die Auswahl des richtigen Moduls kritisch.
- Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR, Art. 47 DSGVO): Für konzerninterne Transfers geeignet, jedoch genehmigungspflichtig durch die zuständige Aufsichtsbehörde und mit erheblichem Vorlaufaufwand verbunden. Für den klassischen Mittelstand selten die erste Wahl.
Was nicht als Rechtsgrundlage ausreicht: die allgemeine Vertragserfüllungsausnahme nach Art. 49 Abs. 1 lit. b DSGVO. Diese Ausnahme gilt nach gefestigter Aufsichtspraxis nur für gelegentliche, nicht systematische Transfers. Regelmäßige Cloud-Übermittlungen oder laufende Konzernkommunikation fallen ausdrücklich nicht darunter. Wir beraten regelmäßig Unternehmen, die sich auf diese Ausnahme verlassen haben – und im Nachgang erheblichen Dokumentationsaufwand betreiben mussten.
Welche Anforderungen stellen Aufsichtsbehörden an Standardvertragsklauseln?
Mit Abschluss der neuen SCCs ist die Compliance-Arbeit nicht erledigt. Die Europäischen Datenschutzbehörden – auf Bundesebene die Landesaufsichtsbehörden, auf EU-Ebene der Europäische Datenschutzausschuss (EDSA) – verlangen ein Transfer Impact Assessment (TIA), wenn das Empfängerland keinen Angemessenheitsbeschluss besitzt.
Das TIA besteht aus drei Analyseschritten: Zunächst ist das Recht des Empfängerlandes zu bewerten, insbesondere staatliche Zugriffsmöglichkeiten auf übermittelte Daten (Stichwort: FISA Section 702 in den USA, NSL-Programme). Dann sind die tatsächlichen Umstände der Übermittlung zu prüfen – Datenkategorie, Verschlüsselung, Pseudonymisierung, technische Architektur. Zuletzt ist zu entscheiden, ob ergänzende Schutzmaßnahmen (Supplementary Measures) erforderlich sind. Typische technische Maßnahmen sind End-to-End-Verschlüsselung mit Schlüsselhaltung in der EU, Pseudonymisierung vor der Übermittlung, Datensparsamkeit. Organisatorische Maßnahmen umfassen vertragliche Transparenzpflichten des Empfängers, Benachrichtigungspflichten bei Behördenanfragen und den Einsatz technischer Sperren.
Das TIA muss dokumentiert und regelmäßig aktualisiert werden. Es reicht nicht, ein TIA einmalig bei Vertragsschluss zu erstellen und in der Ablage zu belassen. Änderungen in der Rechtslage des Empfängerlandes – oder neue Erkenntnisse über staatliche Zugriffspraktiken – verpflichten zur Überprüfung.
Nach unserer Erfahrung ist das TIA die häufigste Dokumentationslücke in mittelständischen Lebensmittelunternehmen. Die SCCs sind zwar abgeschlossen, aber das begleitende TIA fehlt oder besteht aus einer formlosen E-Mail. Das genügt nicht.
Wie wirkt sich das EU-U.S. Data Privacy Framework auf Transfers in die USA aus?
Seit Juli 2023 besteht mit dem EU-U.S. Data Privacy Framework (DPF) erneut ein Angemessenheitsbeschluss für die USA – nach dem Schrems I-Urteil (Safe Harbor, 2015) und dem Schrems II-Urteil (Privacy Shield, 2020). Das DPF ermöglicht Datentransfers an zertifizierte US-Unternehmen ohne SCCs und ohne TIA. Die USA sind für die Lebensmittelindustrie der wichtigste Drittstaatshandelspartner, sodass das DPF eine erhebliche praktische Bedeutung hat.
Dennoch sind drei Einschränkungen zu beachten. Erstens: Nur tatsächlich beim U.S. Department of Commerce zertifizierte Unternehmen fallen unter das DPF. Die Zertifizierungsliste ist öffentlich und muss vor jeder Übermittlung aktiv geprüft werden – und zwar fortlaufend, denn eine Zertifizierung kann erlöschen. Zweitens: Das DPF gilt nur für Übermittlungen von EU-Unternehmen an US-Empfänger, nicht für Weiterleitungen in weitere Drittstaaten. Leitet der US-Empfänger Daten an Subunternehmer in Drittstaaten weiter, greifen wieder die allgemeinen Anforderungen des Kapitels V DSGVO. Drittens: Politische Risiken. Nach dem Amtsantritt der neuen US-Administration hat der EDSA das DPF erneut auf den Prüfstand gestellt. Ob ein Schrems III-Urteil folgt, ist derzeit offen. Unternehmen sollten sich nicht ausschließlich auf das DPF verlassen, sondern SCCs und TIAs als Rückfallposition vorbereiten.
Für die Lebensmittelindustrie konkret: Viele ERP-Anbieter (SAP, Oracle, Microsoft) sind DPF-zertifiziert. Kleinere Spezialdienstleister – etwa für Rückverfolgungssoftware oder Rezeptdatenbanken – sind es häufig nicht. Hier bleibt der SCC-Weg obligatorisch.
Typische Schwachstellen in der Lebensmittelindustrie – und wie Geschäftsführer haften
Die persönliche Haftung des Geschäftsführers rückt in der Datenschutzpraxis stärker in den Vordergrund. Gemäß Art. 5 Abs. 2 DSGVO trägt der Verantwortliche – im GmbH-Kontext die Geschäftsführung – die Rechenschaftspflicht für die Einhaltung der Datenschutzgrundsätze. Bei Verstößen kann die Aufsichtsbehörde Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängen (Art. 83 DSGVO). Auch eine persönliche Innenhaftung gegenüber der Gesellschaft ist denkbar, wenn der Geschäftsführer die Einrichtung rechtmäßiger Transfermechanismen schuldhaft unterlassen hat.
In der Lebensmittelindustrie identifizieren wir folgende strukturelle Schwachstellen besonders häufig:
- Lückenhafte Lieferantenkette: Zertifikate und Prüfberichte kommen von Drittlandlieferanten, ohne dass ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO oder SCCs vorliegen. Dabei enthalten selbst Auditberichte regelmäßig Personenbezüge der vor-Ort-Mitarbeiter.
- Ungeprüfte Sub-Auftragsverarbeiter: Cloud-Dienste lagern die Serverinfrastruktur an Sub-Auftragsverarbeiter in Drittstaaten aus, ohne den deutschen Kunden zu informieren. Die Pflicht des Auftragsverarbeiters, Sub-Auftragsverarbeiter schriftlich zu benennen (Art. 28 Abs. 4 DSGVO), wird in der Praxis oft nicht durchgesetzt.
- Fehlende Bestandsaufnahme: Viele Unternehmen haben kein vollständiges Verzeichnis ihrer Datentransfers. Ohne Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) lässt sich nicht feststellen, welche Transfers überhaupt stattfinden.
- Veraltete SCCs: Die EU-Kommission hat 2021 neue SCCs erlassen, die die Klauseln von 2001/2004 ersetzen. Nach einer Übergangsfrist hätten alle bestehenden Verträge umgestellt werden müssen. In der Mandatspraxis begegnen wir noch immer alten Klauseln in aktiven Vertragswerken.
- Keine Risikoabstufung: Nicht jeder internationale Datentransfer trägt dasselbe Risiko. Werden lediglich Kontaktdaten von Lieferantenvertretern übermittelt (geringes Risiko), liegt das anders als bei der Übermittlung von Gesundheitsdaten der Belegschaft (hohes Risiko). Eine risikobasierte Herangehensweise ist sowohl rechtlich geboten als auch ressourcensparend.
Welche Konsequenz hat ein unentdeckter Verstoß? Datenschutzbehörden können bei Prüfungen – die im Lebensmittelsektor mit lebensmittelrechtlichen Kontrollen koordiniert werden können – Auskunft zu Transfermechanismen verlangen. Wer dann keine Dokumentation vorlegt, riskiert nicht nur ein Bußgeld, sondern auch einen Anordnungsbescheid nach Art. 58 Abs. 2 DSGVO, der den Transfer untersagt. Die Betriebsunterbrechung wäre in vielen Fällen gravierender als die Geldbuße selbst.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Hersteller von Tiefkühlprodukten aus dem norddeutschen Raum. Das Unternehmen nutzte eine US-amerikanische Qualitätsmanagementsoftware und hatte dabei weder SCCs noch ein TIA abgeschlossen. Ausgangslage: Im Zuge einer internen Revision stellte der Datenschutzbeauftragte fest, dass Mitarbeiterdaten und Lieferantenprüfberichte (mit namentlichen Kontaktpersonen) regelmäßig auf US-Servern des Anbieters verarbeitet wurden. Vorgehen: Die Kanzlei identifizierte zunächst alle Datentransfers im Verarbeitungsverzeichnis, prüfte die DPF-Zertifizierung des Anbieters, ergänzte SCCs nach Modul 2 und erstellte ein TIA für die Resttransfers an Sub-Auftragsverarbeiter in Kanada. Ergebnis: Die Transferstruktur wurde vollständig dokumentiert; der Datenschutzbeauftragte konnte im Fall einer Behördenanfrage lückenlos Auskunft geben. Eine proaktive Meldung an die zuständige Datenschutzbehörde war nicht erforderlich.
Schritt für Schritt: So gestalten Sie internationale Datentransfers rechtssicher
Ein strukturierter Prozess ist effektiver als punktuelle Einzelmaßnahmen. Die folgende Abfolge orientiert sich an der Aufsichtspraxis und hat sich in der Mandatspraxis als tragfähig erwiesen.
- Transfers kartieren: Ergänzen Sie Ihr Verarbeitungsverzeichnis nach Art. 30 DSGVO um eine Spalte „Drittlandtransfer: Ja/Nein/Empfängerland". Erfassen Sie auch Transfers, die durch Dienstleister als Sub-Auftragsverarbeiter ausgelöst werden. Ohne vollständige Kartierung ist keine strukturierte Compliance möglich.
- Übermittlungsmechanismus bestimmen: Für jedes Empfängerland prüfen Sie: Besteht ein Angemessenheitsbeschluss? Ist der US-Empfänger DPF-zertifiziert? Falls nein: SCCs nach dem passenden Modul abschließen. Bei konzernsinternen Transfers größerer Konzernstrukturen BCR in Betracht ziehen.
- TIA durchführen: Für alle Länder ohne Angemessenheitsbeschluss ist ein TIA zu erstellen. Dokumentieren Sie das anwendbare Recht im Empfängerland, die Datenkategorie, die technischen Schutzmaßnahmen und Ihre Risikobewertung. Der EDSA hat Musterempfehlungen (Recommendations 01/2020) veröffentlicht, die als Strukturhilfe dienen können.
- AVV und SCC verzahnen: SCCs ersetzen nicht den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; beide Instrumente müssen parallel vorliegen, soweit der Drittlandempfänger als Auftragsverarbeiter tätig wird. Achten Sie auf konsistente Klauseln: Widersprüche zwischen AVV und SCC können die Schutzwirkung beider Dokumente gefährden.
- Prüfzyklus etablieren: TIA und SCC-Dokumentation sind keine Einmalaufgabe. Legen Sie einen jährlichen Überprüfungsrhythmus fest und koppeln Sie ihn an das Vertragsmanagement: Jede Verlängerung eines Dienstleistervertrags mit Drittlandbezug löst eine Prüfpflicht aus.
- Mitarbeiter und Einkauf schulen: In der Lebensmittelindustrie werden internationale Dienstleister häufig durch den Einkauf beschafft, ohne Datenschutzprüfung. Eine kurze Checkliste für den Einkaufsprozess – „Werden personenbezogene Daten übermittelt? Empfängerland außerhalb EU/EAU? Datenschutzprüfung erforderlich!" – verhindert neue Lücken.
Die vorstehende Darstellung betrifft die strukturellen Regelfälle des Transferrechts. Ihr konkretes Unternehmen hat möglicherweise spezifische Lieferketten, besondere Datenkategorien oder Altverträge, die eine individuelle Prüfung erfordern. Für eine erste Durchsicht Ihrer Unterlagen und eine Einschätzung des Handlungsbedarfs erreichen Sie uns unter info@brandtfalk.com.
Behördenpraxis: Wie prüft die Datenschutzaufsicht internationale Datentransfers?
Datenschutzbehörden – sowohl die deutschen Landesbehörden als auch nationale Koordinatoren wie der Hamburgische Beauftragte für Datenschutz (als traditionell aktive Behörde im Bereich internationaler Unternehmen) – haben ihre Prüfaktivitäten bei internationalen Datentransfers seit dem Schrems II-Urteil deutlich ausgebaut. Drei Prüfungsformen sind relevant.
Erstens anlassbezogene Prüfungen nach einer Datenpanne oder Beschwerde. Meldet ein Unternehmen gemäß Art. 33 DSGVO eine Datenschutzverletzung und sind Drittlandtransfers betroffen, fragt die Behörde regelmäßig nach der Transfergrundlage. Die 72-Stunden-Meldefrist nach Art. 33 DSGVO bleibt unberührt – wer also eine Panne entdeckt, hat keine Zeit, zunächst die Transferdokumentation zu konsolidieren.
Zweitens koordinierte Branchenprüfungen. Auf EU-Ebene koordiniert der EDSA sogenannte „Coordinated Enforcement Actions" (CEA). In der Vergangenheit wurden beispielsweise Prüfungen zu Cookie-Bannern, zu Auftragsverarbeitungsverträgen und zu Behördenanfragen-Management koordiniert. Ein Branchenfokus auf die Lebensmittel- und Konsumgüterindustrie ist nach Einschätzung von Datenschutzexperten mittelfristig wahrscheinlich.
Drittens Prüfungen auf Initiative der Behörden ohne konkreten Anlass (sogenannte „proaktive Prüfungen"). Behörden wie das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) oder die Berliner Beauftragte für Datenschutz und Informationsfreiheit verschicken gegebenenfalls Fragebögen an Unternehmen zu bestimmten Verarbeitungspraktiken.
Was verlangt die Behörde konkret? Im Kern drei Dokumente: das Verarbeitungsverzeichnis nach Art. 30 DSGVO, die abgeschlossenen SCCs oder den Nachweis des Angemessenheitsbeschlusses/der DPF-Zertifizierung sowie das TIA. Wer diese drei Dokumente aktuell und griffbereit hat, ist für eine Behördenanfrage grundsätzlich gerüstet.
Branchenspezifische Besonderheiten: Wo unterscheidet sich die Lebensmittelindustrie von anderen Sektoren?
Das Datenschutzrecht der DSGVO gilt branchenübergreifend. Dennoch weist die Lebensmittelindustrie strukturelle Besonderheiten auf, die die Transfercompliance erschweren.
Lieferantennetzwerke sind komplex und international verzweigt. Ein mittelständischer Hersteller von Fertiggerichten kann mit mehreren hundert Rohstofflieferanten aus Dutzenden Ländern zusammenarbeiten – von der Gewürzfarm in Indien über den Verpackungslieferanten in der Türkei bis zum Kühllogistiker in Großbritannien. Für jeden dieser Kontakte, der auch nur eine personenbezogene Kontaktperson umfasst, ist die Transferfrage zu beantworten. Großbritannien genießt zwar einen Angemessenheitsbeschluss (Stand 06/2026), jedoch ist dieser zeitlich befristet und erneuerungsbedürftig.
Lebensmittelrechtliche Rückverfolgbarkeit erzwingt Datenspeicherung. Die EU-Lebensmittelbasisverordnung verlangt die lückenlose Dokumentation der Produktionskette. Diese Daten liegen oft in globalen Datenbanken, auf die auch Drittlandpartner zugreifen. Der Datenzugriff durch einen Drittlandempfänger kann – je nach Systemarchitektur – als Übermittlung im Sinne der DSGVO zu werten sein.
Sensible Beschäftigtendaten in der Produktion. Lebensmittelproduzenten beschäftigen häufig eine große Zahl von Schichtarbeitern. Wenn Personalstammdaten, Arbeitszeitkonten oder Gesundheitsatteste (Stichwort: Infektionsschutzgesetz, Tätigkeitsverbote) in einem Cloud-System mit Drittlandkomponente verwaltet werden, bewegen wir uns potenziell im Bereich besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, die erhöhten Schutzanforderungen unterliegen.
Nach unserer Erfahrung unterschätzen viele Lebensmittelproduzenten die datenschutzrechtliche Relevanz ihrer Betriebsdaten. Die DSGVO gilt nicht nur für Kundendaten oder Marketinglisten – sie gilt überall, wo personenbezogene Daten verarbeitet werden, also auch in der Produktion, im Einkauf und in der Qualitätssicherung.
Welche Konsequenzen hat ein Verstoß – und was bedeutet das für den Geschäftsführer?
Die Bußgeldrahmen der DSGVO sind bekannt. Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes kann eine Aufsichtsbehörde bei schwerwiegenden Verstößen verhängen (Art. 83 Abs. 5 DSGVO). Für mittelständische Lebensmittelproduzenten mit einem Jahresumsatz von 50 Mio. € wären das theoretisch bis zu 2 Mio. € allein für einen ungesicherten Datentransfer.
Die gefestigte Aufsichtspraxis zeigt, dass Behörden zunächst auf Abstellung und Dokumentation drängen, bevor sie Bußgelder verhängen. Das ändert sich, wenn Unternehmen die Zusammenarbeit verweigern, Verstöße wiederholt auftreten oder die übermittelten Daten sensibel sind. Für Geschäftsführer relevant: Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO liegt bei der Unternehmensführung. Wer keine Compliance-Strukturen eingerichtet hat und dies nicht dokumentieren kann, riskiert im Innenverhältnis zur Gesellschaft eine Haftung nach § 43 GmbHG.
Daneben drohen zivilrechtliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO sowie Reputationsschäden. Letztere sind in der Lebensmittelindustrie, die stark von Verbrauchervertrauen abhängt, nicht zu unterschätzen. Gibt ein Unternehmen ungesichert Mitarbeiter- oder Kundendaten ins Ausland weiter, ist das ein medialer Risikofaktor erster Ordnung.
Welche Maßnahme schützt am wirksamsten? Die proaktive Einrichtung eines strukturierten Datentransfer-Managements – bevor eine Behörde prüft oder eine Panne eintritt. Reaktive Compliance ist in der Regel teurer, aufwändiger und reputationsschädlicher als präventive Gestaltung.
Die vorstehende Darstellung betrifft die Regelfälle der Bußgelddogmatik und der Haftungsgrundlagen. Ihr konkretes Risikoprofil hängt von Ihren spezifischen Transferkonstellationen, der Datenkategorie und der Unternehmensstruktur ab. Für eine erste Durchsicht Ihrer Unterlagen schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu internationalen Datentransfers in der Lebensmittelindustrie
Was sind Standardvertragsklauseln (SCCs) und wann muss ich sie nutzen?
Standardvertragsklauseln (SCCs) sind von der EU-Kommission erlassene Musterverträge (Durchführungsbeschluss 2021/914), die einen angemessenen Datenschutz bei Drittlandtransfers sicherstellen. Sie sind immer dann einzusetzen, wenn für das Empfängerland kein Angemessenheitsbeschluss besteht und keine sonstigen geeigneten Garantien vorliegen. In der Lebensmittelindustrie sind sie insbesondere für Transfers an Qualitätsmanagementsoftware-Anbieter, Logistikdienstleister und Lieferanten in Nicht-EU-Ländern relevant. Die SCCs sind modular aufgebaut; das richtige Modul hängt vom Rollen-Verhältnis der Parteien ab – Verantwortlicher zu Auftragsverarbeiter oder Verantwortlicher zu Verantwortlichem.
Muss ich für Transfers in die USA nach dem EU-U.S. Data Privacy Framework noch SCCs abschließen?
Nicht zwingend, wenn der US-Empfänger nachweislich beim U.S. Department of Commerce nach dem EU-U.S. Data Privacy Framework (DPF) zertifiziert ist. In diesem Fall ersetzt der Angemessenheitsbeschluss der EU-Kommission die SCCs. Allerdings müssen Sie die aktive Zertifizierung des Empfängers vor der Übermittlung und fortlaufend prüfen. Transfers an Sub-Auftragsverarbeiter in weiteren Drittstaaten – also nicht USA – fallen nicht unter das DPF und benötigen eigene Transfermechanismen. Angesichts politischer Unsicherheiten empfiehlt die Kanzlei, SCCs und TIA vorsorglich als Rückfallposition vorzubereiten.
Was ist ein Transfer Impact Assessment (TIA) und ist es rechtlich verpflichtend?
Ein Transfer Impact Assessment (TIA) ist eine Risikoanalyse, die bewertet, ob das Recht des Empfängerlandes das vereinbarte Schutzniveau der SCCs untergräbt. Die Pflicht zur Durchführung eines TIA ergibt sich aus Art. 46 DSGVO in Verbindung mit der Rechtsprechung des EuGH (Schrems II) und den Empfehlungen des Europäischen Datenschutzausschusses (EDSA Recommendations 01/2020). Ohne TIA können SCCs die erforderliche Schutzwirkung nicht entfalten. Das TIA muss dokumentiert und bei Änderungen der Rechtslage im Empfängerland aktualisiert werden. Es ist kein einmaliger, sondern ein fortlaufender Prozess.
Fallen auch interne Datenweitergaben im Konzern unter die DSGVO-Drittlandregeln?
Ja. Konzerninterne Datenweitergaben an Gesellschaften außerhalb des Europäischen Wirtschaftsraums (EAU) sind rechtlich ebenso Drittlandtransfers wie Weitergaben an externe Dienstleister. Die DSGVO kennt kein „Konzernprivileg". Als Übermittlungsmechanismus stehen SCCs (nach Modul 1, wenn beide Gesellschaften Verantwortliche sind), Binding Corporate Rules (BCR) oder – sofern einschlägig – ein Angemessenheitsbeschluss zur Verfügung. BCRs bieten konzernweit einheitliche Schutzstandards, erfordern aber eine behördliche Genehmigung und erheblichen Implementierungsaufwand.
Was muss ich tun, wenn mein aktueller SCC-Vertrag noch auf den alten Klauseln aus 2001/2004 basiert?
Die alten SCCs der EU-Kommission aus den Jahren 2001 und 2004 sind nicht mehr gültig; die Übergangsfrist endete bereits im Dezember 2022. Bestehende Verträge, die noch auf den alten Klauseln basieren, sind datenschutzrechtlich unzureichend. Sie müssen durch die neuen SCCs (Durchführungsbeschluss 2021/914) ersetzt oder ergänzt werden. Wir empfehlen, zunächst alle bestehenden Drittlandverträge auf die Klauselgeneration hin zu prüfen und dann systematisch umzustellen. Die Umstellung ist formal durch eine Vertragsänderung oder einen Addendum-Prozess möglich.
Wie lange muss ich TIA-Dokumentation und SCCs aufbewahren?
Eine gesonderte DSGVO-Aufbewahrungsfrist für TIAs und SCCs ist nicht normiert. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt jedoch, dass Sie jederzeit nachweisen können, dass Ihre Transfers rechtmäßig waren – auch rückwirkend für vergangene Verarbeitungszeiträume. Da die Datenschutzaufsicht unter Umständen vergangene Prüfverfahren aufgreift, empfiehlt sich eine Aufbewahrung von mindestens drei bis fünf Jahren nach Ende des jeweiligen Datentransfer-Verhältnisses. Konsultieren Sie für Ihre konkrete Situation einen Datenschutzanwalt, da handels- und steuerrechtliche Aufbewahrungsfristen für zugrundeliegende Verträge ohnehin längere Zeiträume vorsehen können.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.