Nexvyra

EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss (EU) 2021/914) – Datenübermittlung in Drittländer, Module, TIA, Fristen

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-07-18 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Die EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC) sind von der Europäischen Kommission vorformulierte Musterverträge, mit denen Unternehmen personenbezogene Daten in Drittländer (Staaten außerhalb von EU/EWR ohne Angemessenheitsbeschluss) übermitteln dürfen. Sie sind eine „geeignete Garantie" nach Art. 46 Abs. 2 lit. c DSGVO (Verordnung (EU) 2016/679) und ermöglichen den Transfer ohne gesonderte behördliche Genehmigung.

Die aktuell gültige Fassung wurde mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 erlassen (veröffentlicht im Amtsblatt L 199 am 7. Juni 2021, in Kraft seit 27. Juni 2021). Der Beschluss ersetzt die alten Klauselwerke aus 2001 und 2010, die zum 27. September 2021 aufgehoben wurden. Für Neuverträge waren die neuen SCC ab dem 27. September 2021 verpflichtend; Altverträge auf Basis der alten Klauseln durften nur noch bis zum 27. Dezember 2022 genutzt werden – seitdem sind sie unwirksam.

Die neuen SCC bestehen aus einem allgemeinen Teil und vier Modulen für unterschiedliche Konstellationen (Verantwortlicher/Auftragsverarbeiter, jeweils als Export- oder Importseite). Sie setzen das Schrems-II-Urteil des EuGH (C-311/18 vom 16. Juli 2020) um: Nach Klausel 14 müssen die Parteien in einem Transfer Impact Assessment (TIA) prüfen und dokumentieren, ob das Recht des Ziellandes ein der EU gleichwertiges Schutzniveau bietet, und ggf. zusätzliche Schutzmaßnahmen (z. B. Verschlüsselung) ergreifen. Verstöße gegen die Übermittlungsvorschriften (Kapitel V DSGVO) fallen in den höheren Bußgeldrahmen des Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.

Kernfakten

PunktWert
RechtsaktDurchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 [EUR-Lex, CELEX:32021D0914]
RechtsnaturDurchführungsbeschluss der EU-Kommission → unmittelbar in Deutschland anwendbar (kein Umsetzungsgesetz nötig)
RechtsgrundlageArt. 46 Abs. 2 lit. c DSGVO (Verordnung (EU) 2016/679) – geeignete Garantie
VeröffentlichungAmtsblatt L 199 vom 7. Juni 2021
In Kraft27. Juni 2021 (20. Tag nach Veröffentlichung)
Neuverträge verpflichtend ab27. September 2021
Alte SCC aufgehobenBeschlüsse 2001/497/EG und 2010/87/EU zum 27. September 2021
Übergangsfrist Altverträgenutzbar bis 27. Dezember 2022 (18 Monate) – danach unwirksam
AnwendungsfallÜbermittlung in Drittländer ohne Angemessenheitsbeschluss
Module4 Module: (1) C→C, (2) C→P, (3) P→P, (4) P→C
Modul 1Verantwortlicher → Verantwortlicher (Controller-to-Controller)
Modul 2Verantwortlicher → Auftragsverarbeiter (Controller-to-Processor)
Modul 3Auftragsverarbeiter → Auftragsverarbeiter (Processor-to-Processor)
Modul 4Auftragsverarbeiter → Verantwortlicher (Processor-to-Controller)
Schrems-II-UmsetzungKlausel 14 (Bewertung des Drittlandsrechts / TIA), Klausel 15 (Behördenzugriff)
Andockklausel (Klausel 7)„Docking Clause" – weitere Parteien können der Vereinbarung beitreten
Zusätzliche Maßnahmenbei unzureichendem Schutzniveau erforderlich (z. B. Verschlüsselung, Pseudonymisierung) – EDPB-Empfehlungen 01/2020
Verhältnis zum EU-US DPFfür DPF-zertifizierte US-Empfänger keine SCC nötig (Angemessenheitsbeschluss (EU) 2023/1795 vom 10.7.2023)
ÄnderungsverbotSCC dürfen inhaltlich nicht geändert werden; ergänzende Klauseln nur, soweit sie den SCC nicht widersprechen
Bußgeldrahmenbis zu 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. c DSGVO]

Geltungsbereich

Die Standardvertragsklauseln greifen, wenn ein Datenexporteur (in der EU/im EWR) personenbezogene Daten an einen Datenimporteur in einem Drittland übermittelt, für das kein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO). Für Länder mit Angemessenheitsbeschluss (z. B. Schweiz, Vereinigtes Königreich, Japan, oder – für zertifizierte Unternehmen – die USA über das EU-US Data Privacy Framework) sind keine SCC erforderlich.

Die SCC sind eine von mehreren „geeigneten Garantien" nach Art. 46 DSGVO; Alternativen sind u. a. verbindliche interne Datenschutzvorschriften (BCR, Art. 47) oder genehmigte Zertifizierungsmechanismen. In der Praxis sind die SCC das mit Abstand am häufigsten genutzte Instrument, weil sie ohne behördliche Einzelgenehmigung auskommen.

Wichtig: Die SCC regeln nur die Zulässigkeit der Drittlandsübermittlung. Bei einer Auftragsverarbeitung müssen zusätzlich die inhaltlichen Anforderungen an einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO erfüllt sein – Modul 2 und Modul 3 der SCC enthalten diese Pflichten bereits integriert, sodass ein separater AVV entbehrlich sein kann.

Die vier Module im Detail

Die SCC bestehen aus einem für alle Konstellationen geltenden allgemeinen Teil und vier Modulen, von denen die Parteien das jeweils passende auswählen und die übrigen streichen:

Modul 1 – Controller-to-Controller (C2C). Beide Parteien sind eigenständige Verantwortliche. Anwendungsfall: z. B. ein EU-Unternehmen übermittelt Kundendaten an ein rechtlich selbstständiges Konzernunternehmen im Drittland, das die Daten zu eigenen Zwecken verarbeitet.

Modul 2 – Controller-to-Processor (C2P). Der EU-Exporteur ist Verantwortlicher, der Importeur im Drittland ist Auftragsverarbeiter. Häufigster Fall in der Praxis: Nutzung eines Cloud- oder SaaS-Dienstleisters mit Sitz oder Serverstandort außerhalb der EU. Dieses Modul enthält zugleich die Pflichten des Art. 28 DSGVO.

Modul 3 – Processor-to-Processor (P2P). Ein EU-Auftragsverarbeiter gibt Daten an einen Unterauftragsverarbeiter im Drittland weiter (Sub-Processing).

Modul 4 – Processor-to-Controller (P2C). Ein Auftragsverarbeiter in der EU übermittelt Daten an einen Verantwortlichen im Drittland (seltenerer „Rückwärts"-Fall).

Die Andockklausel (Docking Clause, Klausel 7) erlaubt es, dass weitere Parteien der bestehenden Vereinbarung nachträglich beitreten – praktisch für Konzernstrukturen und Lieferketten.

Schrems II, Klausel 14 und das Transfer Impact Assessment (TIA)

Mit dem Urteil „Schrems II" (EuGH, 16.07.2020, C-311/18) kippte der Gerichtshof den „Privacy-Shield"-Angemessenheitsbeschluss für die USA und stellte klar: SCC bleiben zwar grundsätzlich gültig, genügen aber nicht automatisch. Der Datenexporteur muss vor jeder Übermittlung prüfen, ob das Recht und die Praxis des Ziellandes – insbesondere staatliche Zugriffsbefugnisse – ein der EU gleichwertiges Schutzniveau gewährleisten.

Diese Vorgabe ist in den neuen SCC in Klausel 14 verankert: Die Parteien sichern sich gegenseitig zu, dass sie keinen Grund zur Annahme haben, das Recht des Importeur-Landes hindere diesen an der Einhaltung der Klauseln. Dazu ist ein Transfer Impact Assessment (TIA) durchzuführen und zu dokumentieren – für jeden Empfänger und jedes Zielland gesondert, unter Berücksichtigung der Art der Daten, der konkreten Umstände und der einschlägigen Rechtslage. Klausel 15 regelt das Vorgehen bei Zugriffsverlangen von Behörden des Drittlands (Benachrichtigungs- und Prüfpflichten).

Ergibt das TIA, dass das gesetzliche Schutzniveau nicht ausreicht, müssen zusätzliche Schutzmaßnahmen ergriffen werden – technisch (z. B. starke Verschlüsselung, bei der der Importeur keinen Klartextzugriff hat, Pseudonymisierung), vertraglich oder organisatorisch. Als Orientierung dienen die Empfehlungen 01/2020 des Europäischen Datenschutzausschusses (EDSA/EDPB) zu ergänzenden Maßnahmen. Lässt sich kein gleichwertiges Schutzniveau herstellen, ist die Übermittlung auszusetzen oder zu unterlassen.

Verhältnis zum EU-US Data Privacy Framework

Seit dem Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023 (EU-US Data Privacy Framework) können Daten an in den USA nach dem Framework zertifizierte Unternehmen ohne SCC übermittelt werden – dann greift ein Angemessenheitsbeschluss nach Art. 45 DSGVO. Für nicht zertifizierte US-Empfänger und für alle übrigen Drittländer ohne Angemessenheitsbeschluss bleiben die SCC nach Beschluss 2021/914 das maßgebliche Instrument. Da das Framework – wie schon Safe Harbor und Privacy Shield – Gegenstand gerichtlicher Überprüfung ist, empfiehlt sich, die SCC als Rückfalloption vertraglich vorzuhalten.

Häufige Fehler

Quellen

Änderungsverlauf

Stand