--- title: EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss (EU) 2021/914) – Datenübermittlung in Drittländer, Module, TIA, Fristen seo_title: EU-Standardvertragsklauseln 2021/914) slug: dsgvo-standardvertragsklauseln-scc-2021-914 topic: datenschutz authority_level: A legal_status: in_force valid_from: 2021-06-27 valid_to: null last_reviewed: 2026-07-18 status: aktuell license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-standardvertragsklauseln-scc-2021-914.md wikidata_subjects: [Q1172506, Q60520997] factcheck_status: ok --- # EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss (EU) 2021/914) – Datenübermittlung in Drittländer, Module, TIA, Fristen ## Kurzantwort Die **EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC)** sind von der Europäischen Kommission vorformulierte Musterverträge, mit denen Unternehmen personenbezogene Daten in **Drittländer** (Staaten außerhalb von EU/EWR ohne Angemessenheitsbeschluss) übermitteln dürfen. Sie sind eine **„geeignete Garantie" nach Art. 46 Abs. 2 lit. c DSGVO** (Verordnung (EU) 2016/679) und ermöglichen den Transfer ohne gesonderte behördliche Genehmigung. Die aktuell gültige Fassung wurde mit dem **Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021** erlassen (veröffentlicht im Amtsblatt L 199 am 7. Juni 2021, in Kraft seit **27. Juni 2021**). Der Beschluss ersetzt die alten Klauselwerke aus 2001 und 2010, die zum **27. September 2021** aufgehoben wurden. Für **Neuverträge** waren die neuen SCC ab dem **27. September 2021** verpflichtend; **Altverträge** auf Basis der alten Klauseln durften nur noch bis zum **27. Dezember 2022** genutzt werden – seitdem sind sie unwirksam. Die neuen SCC bestehen aus einem allgemeinen Teil und **vier Modulen** für unterschiedliche Konstellationen (Verantwortlicher/Auftragsverarbeiter, jeweils als Export- oder Importseite). Sie setzen das **Schrems-II-Urteil des EuGH (C-311/18 vom 16. Juli 2020)** um: Nach **Klausel 14** müssen die Parteien in einem **Transfer Impact Assessment (TIA)** prüfen und dokumentieren, ob das Recht des Ziellandes ein der EU gleichwertiges Schutzniveau bietet, und ggf. **zusätzliche Schutzmaßnahmen** (z. B. Verschlüsselung) ergreifen. Verstöße gegen die Übermittlungsvorschriften (Kapitel V DSGVO) fallen in den **höheren Bußgeldrahmen des Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes**. ## Kernfakten | Punkt | Wert | |---|---| | Rechtsakt | Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 [EUR-Lex, CELEX:32021D0914] | | Rechtsnatur | **Durchführungsbeschluss** der EU-Kommission → **unmittelbar** in Deutschland anwendbar (kein Umsetzungsgesetz nötig) | | Rechtsgrundlage | Art. 46 Abs. 2 lit. c DSGVO (Verordnung (EU) 2016/679) – geeignete Garantie | | Veröffentlichung | Amtsblatt **L 199** vom **7. Juni 2021** | | In Kraft | **27. Juni 2021** (20. Tag nach Veröffentlichung) | | Neuverträge verpflichtend ab | **27. September 2021** | | Alte SCC aufgehoben | Beschlüsse **2001/497/EG** und **2010/87/EU** zum **27. September 2021** | | Übergangsfrist Altverträge | nutzbar bis **27. Dezember 2022** (18 Monate) – danach unwirksam | | Anwendungsfall | Übermittlung in **Drittländer ohne Angemessenheitsbeschluss** | | Module | **4 Module**: (1) C→C, (2) C→P, (3) P→P, (4) P→C | | Modul 1 | Verantwortlicher → Verantwortlicher (Controller-to-Controller) | | Modul 2 | Verantwortlicher → Auftragsverarbeiter (Controller-to-Processor) | | Modul 3 | Auftragsverarbeiter → Auftragsverarbeiter (Processor-to-Processor) | | Modul 4 | Auftragsverarbeiter → Verantwortlicher (Processor-to-Controller) | | Schrems-II-Umsetzung | **Klausel 14** (Bewertung des Drittlandsrechts / TIA), **Klausel 15** (Behördenzugriff) | | Andockklausel (Klausel 7) | „Docking Clause" – weitere Parteien können der Vereinbarung beitreten | | Zusätzliche Maßnahmen | bei unzureichendem Schutzniveau erforderlich (z. B. Verschlüsselung, Pseudonymisierung) – EDPB-Empfehlungen 01/2020 | | Verhältnis zum EU-US DPF | für **DPF-zertifizierte** US-Empfänger keine SCC nötig (Angemessenheitsbeschluss (EU) 2023/1795 vom 10.7.2023) | | Änderungsverbot | SCC dürfen **inhaltlich nicht geändert** werden; ergänzende Klauseln nur, soweit sie den SCC nicht widersprechen | | Bußgeldrahmen | **bis zu 20 Mio. € oder 4 % weltweiter Jahresumsatz** [Art. 83 Abs. 5 lit. c DSGVO] | ## Geltungsbereich Die Standardvertragsklauseln greifen, wenn ein **Datenexporteur** (in der EU/im EWR) personenbezogene Daten an einen **Datenimporteur** in einem **Drittland** übermittelt, für das **kein Angemessenheitsbeschluss** der EU-Kommission besteht (Art. 45 DSGVO). Für Länder mit Angemessenheitsbeschluss (z. B. Schweiz, Vereinigtes Königreich, Japan, oder – für zertifizierte Unternehmen – die USA über das EU-US Data Privacy Framework) sind keine SCC erforderlich. Die SCC sind **eine** von mehreren „geeigneten Garantien" nach Art. 46 DSGVO; Alternativen sind u. a. **verbindliche interne Datenschutzvorschriften (BCR, Art. 47)** oder genehmigte Zertifizierungsmechanismen. In der Praxis sind die SCC das mit Abstand am häufigsten genutzte Instrument, weil sie ohne behördliche Einzelgenehmigung auskommen. Wichtig: Die SCC regeln **nur** die Zulässigkeit der **Drittlandsübermittlung**. Bei einer Auftragsverarbeitung müssen zusätzlich die inhaltlichen Anforderungen an einen **Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO** erfüllt sein – Modul 2 und Modul 3 der SCC enthalten diese Pflichten bereits integriert, sodass ein separater AVV entbehrlich sein kann. ## Die vier Module im Detail Die SCC bestehen aus einem für alle Konstellationen geltenden **allgemeinen Teil** und vier **Modulen**, von denen die Parteien das jeweils passende auswählen und die übrigen streichen: **Modul 1 – Controller-to-Controller (C2C).** Beide Parteien sind eigenständige Verantwortliche. Anwendungsfall: z. B. ein EU-Unternehmen übermittelt Kundendaten an ein rechtlich selbstständiges Konzernunternehmen im Drittland, das die Daten zu eigenen Zwecken verarbeitet. **Modul 2 – Controller-to-Processor (C2P).** Der EU-Exporteur ist Verantwortlicher, der Importeur im Drittland ist Auftragsverarbeiter. Häufigster Fall in der Praxis: Nutzung eines Cloud- oder SaaS-Dienstleisters mit Sitz oder Serverstandort außerhalb der EU. Dieses Modul enthält zugleich die Pflichten des Art. 28 DSGVO. **Modul 3 – Processor-to-Processor (P2P).** Ein EU-Auftragsverarbeiter gibt Daten an einen Unterauftragsverarbeiter im Drittland weiter (Sub-Processing). **Modul 4 – Processor-to-Controller (P2C).** Ein Auftragsverarbeiter in der EU übermittelt Daten an einen Verantwortlichen im Drittland (seltenerer „Rückwärts"-Fall). Die **Andockklausel (Docking Clause, Klausel 7)** erlaubt es, dass weitere Parteien der bestehenden Vereinbarung nachträglich beitreten – praktisch für Konzernstrukturen und Lieferketten. ## Schrems II, Klausel 14 und das Transfer Impact Assessment (TIA) Mit dem **Urteil „Schrems II" (EuGH, 16.07.2020, C-311/18)** kippte der Gerichtshof den „Privacy-Shield"-Angemessenheitsbeschluss für die USA und stellte klar: SCC bleiben zwar grundsätzlich gültig, **genügen aber nicht automatisch**. Der Datenexporteur muss vor jeder Übermittlung prüfen, ob das Recht und die Praxis des Ziellandes – insbesondere staatliche Zugriffsbefugnisse – ein der EU **gleichwertiges Schutzniveau** gewährleisten. Diese Vorgabe ist in den neuen SCC in **Klausel 14** verankert: Die Parteien sichern sich gegenseitig zu, dass sie keinen Grund zur Annahme haben, das Recht des Importeur-Landes hindere diesen an der Einhaltung der Klauseln. Dazu ist ein **Transfer Impact Assessment (TIA)** durchzuführen und zu **dokumentieren** – für jeden Empfänger und jedes Zielland gesondert, unter Berücksichtigung der Art der Daten, der konkreten Umstände und der einschlägigen Rechtslage. **Klausel 15** regelt das Vorgehen bei **Zugriffsverlangen von Behörden** des Drittlands (Benachrichtigungs- und Prüfpflichten). Ergibt das TIA, dass das gesetzliche Schutzniveau **nicht** ausreicht, müssen **zusätzliche Schutzmaßnahmen** ergriffen werden – technisch (z. B. starke Verschlüsselung, bei der der Importeur keinen Klartextzugriff hat, Pseudonymisierung), vertraglich oder organisatorisch. Als Orientierung dienen die **Empfehlungen 01/2020 des Europäischen Datenschutzausschusses (EDSA/EDPB)** zu ergänzenden Maßnahmen. Lässt sich kein gleichwertiges Schutzniveau herstellen, ist die Übermittlung **auszusetzen oder zu unterlassen**. ## Verhältnis zum EU-US Data Privacy Framework Seit dem **Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023** (EU-US Data Privacy Framework) können Daten an in den USA nach dem Framework **zertifizierte** Unternehmen **ohne** SCC übermittelt werden – dann greift ein Angemessenheitsbeschluss nach Art. 45 DSGVO. Für **nicht zertifizierte** US-Empfänger und für alle übrigen Drittländer ohne Angemessenheitsbeschluss bleiben die SCC nach Beschluss 2021/914 das maßgebliche Instrument. Da das Framework – wie schon Safe Harbor und Privacy Shield – Gegenstand gerichtlicher Überprüfung ist, empfiehlt sich, die SCC als **Rückfalloption** vertraglich vorzuhalten. ## Häufige Fehler - **Altverträge nicht umgestellt:** SCC-Verträge auf Basis der alten Beschlüsse (2001/497/EG, 2010/87/EU) sind seit dem **27. Dezember 2022 unwirksam** – wer sie weiter nutzt, überträgt Daten ohne gültige Garantie. - **Kein TIA durchgeführt:** Der bloße Abschluss der SCC genügt seit Schrems II nicht; ein **dokumentiertes** Transfer Impact Assessment (Klausel 14) ist Pflicht. - **Falsches Modul gewählt:** Wer die Rollen (Verantwortlicher/Auftragsverarbeiter, Export-/Importseite) falsch zuordnet, wählt das falsche Modul – die Klauseln passen dann nicht zur tatsächlichen Konstellation. - **SCC inhaltlich verändert:** Der Kerntext darf **nicht geändert** werden; eigene Regelungen sind nur als Ergänzung zulässig, soweit sie den SCC nicht widersprechen. Änderungen lassen die Schutzwirkung des Beschlusses entfallen. - **Falscher Bußgeldrahmen angenommen:** Verstöße gegen die Drittlandsübermittlung (Kapitel V) fallen unter **Art. 83 Abs. 5** (bis 20 Mio. €/4 %), **nicht** unter den niedrigeren Rahmen des Abs. 4. - **SCC mit AVV verwechselt oder doppelt geführt:** Bei Modul 2/3 sind die Art.-28-Pflichten bereits enthalten – ein zusätzlicher, abweichender AVV kann zu Widersprüchen führen. - **DPF-Zertifizierung nicht geprüft:** Für DPF-zertifizierte US-Empfänger sind SCC nicht nötig; umgekehrt genügt eine bloße Selbstauskunft „wir sind DPF-konform" nicht ohne Eintrag auf der offiziellen DPF-Liste. - **Zusätzliche Maßnahmen unterlassen:** Ergibt das TIA ein zu niedriges Schutzniveau, reichen die SCC allein nicht – zusätzliche technische Maßnahmen sind zwingend. ## Quellen - Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0914 - Durchführungsbeschluss (EU) 2021/914 – amtliche Fassung (ELI, EUR-Lex): https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?locale=de - Verordnung (EU) 2016/679 (DSGVO) – Art. 44–49 (Kapitel V: Übermittlungen an Drittländer), Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679#d1e4691-1-1 - Europäische Kommission – Standard contractual clauses for international transfers: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_de - Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 (EU-US Data Privacy Framework), Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795 - EuGH, Urteil v. 16.07.2020, C-311/18 (Schrems II) – Ungültigkeit Privacy Shield, Prüfpflicht bei SCC (dejure.org): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=16.07.2020&Aktenzeichen=C-311%2F18 - Europäischer Datenschutzausschuss (EDSA/EDPB) – Empfehlungen 01/2020 zu ergänzenden Maßnahmen bei Datenübermittlungen: https://www.edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_de - BfDI – Internationaler Datenverkehr / Drittlandsübermittlung (Grundlagen): https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Europa-Internationales/Internationaler_Datentransfer.html ## Änderungsverlauf - 2026-07-15: Erstveröffentlichung der Faktenseite. Durchführungsbeschluss (EU) 2021/914 (Erlass 4.6.2021, in Kraft 27.6.2021, verpflichtend für Neuverträge ab 27.9.2021, Übergangsfrist Altverträge bis 27.12.2022), vier Module (C2C, C2P, P2P, P2C), Andockklausel (Klausel 7), Schrems-II-Umsetzung über Klausel 14 (TIA) und Klausel 15 (Behördenzugriff) sowie das Verhältnis zum EU-US Data Privacy Framework (Beschluss (EU) 2023/1795) gegen EUR-Lex und EU-Kommission gegengeprüft; EuGH C-311/18 (Schrems II, 16.7.2020) über dejure.org-Permalink eingebunden; Bußgeldrahmen Art. 83 Abs. 5 DSGVO. | change_type=initial_publication reviewed_by="Andreas Warkentin" field="topic_lifecycle" new="published" ## Stand - Stand: 2026-07-15 - Gültig ab: 2021-06-27 (Inkrafttreten des Durchführungsbeschlusses (EU) 2021/914) - Status: aktuell - Quellenautorität: A (EUR-Lex, EU-Kommission, EuGH, EDSA/EDPB, BfDI) - Lizenz: CC BY 4.0