Auftragsverarbeitung in Drittländern geregelt

Die Europäische Kommission hat Bestimmungen festgelegt, wonach unter gewissen Bedingungen sowie unter Wahrung des Schutzes personenbezogener Daten die Auslagerung von Verarbeitungstätigkeiten an Unterauftragnehmer zulässig ist. Damit will die Kommission der zunehmenden Globalisierung Rechnung tragen.

Die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern wurden durch die Entscheidung 2002/16/EG der Kommission genehmigt, damit Unternehmen bei der Übermittlung personenbezogener Daten an Auftragsverarbeiter außerhalb der EU bzw. des EWR ein angemessenes Schutzniveau gewährleisten können.

Rechte und Pflichten von Datenimporteuren und Datenexporteuren

Ein Datenimporteur (Datenverarbeiter), der im Auftrag des in der EU ansässigen Datenexporteurs (für die Datenverarbeitung Verantwortlichen) durchzuführende Verarbeitungen weitervergeben möchte, muss vorher die schriftliche Einwilligung des Datenexporteurs einholen.

Dem Unterauftragsverarbeiter werden in einer schriftlichen Vereinbarung die gleichen Pflichten auferlegt, die der Datenimporteur gemäß den Standardvertragsklauseln erfüllen muss. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, bleibt der Datenimporteur gegenüber dem Datenexporteur für die Erfüllung der Pflichten des Unterauftragsverarbeiters uneingeschränkt verantwortlich.

Neue Verträge bei Vertragsänderung

Darüber hinaus umfasst die Unterauftragsverarbeitung ausschließlich die Verarbeitungstätigkeiten, die im ursprünglichen Vertrag zwischen dem Datenexporteur aus der EU und dem Datenimporteur vereinbart wurden. Bestehende Verträge, die auf der Grundlage der durch die Entscheidung 2002/16/EG genehmigten Klauseln geschlossen wurden, bleiben so lange gültig, wie die Übermittlung und die Datenverarbeitungstätigkeiten unverändert fortgeführt werden.

Sollten die Vertragsparteien Änderungen vornehmen oder Vereinbarungen zur Unterauftragsverarbeitung einführen wollen, sind sie verpflichtet, einen neuen Vertrag zu schließen, der die geänderten Vertragsklauseln berücksichtigt. Nationale Datenschutzbehörden können auch andere Ad-hoc-Vereinbarungen über internationale Datenübermittlungen genehmigen, sofern sie der Auffassung sind, dass solche Verträge ausreichende Garantien für den Schutz der Grundrechte und Grundfreiheiten, insbesondere des Rechts auf Privatsphäre, bieten.

Ausnahme für „Safe-Harbour-Länder"

Bei der Übermittlung personenbezogener Daten innerhalb des EWR (Europäischer Wirtschaftsraum - EU plus Island, Norwegen und Liechtenstein), in Länder, denen die Kommission ein angemessenes Datenschutzniveau bescheinigt hat , oder an US-Unternehmen, die sich den Grundsätzen der vom US-Handelsministerium getroffenen „Safe-Harbour"-Regelung verpflichtet haben, sind keine besonderen Vertragsklauseln erforderlich (siehe IP/00/865 und IP/02/46).

Autor: ast

Quelle: EU-Komission