¶ Standardvertragsklauseln und zusätzliche Maßnahmen
Beispieldokument: Diese Seite ist ein Musterentwurf für die fiktive „Muster GmbH“. Sie enthält keine realen Vertragsparteien, SCC, Transfers, Länderbewertungen oder freigegebenen Zusatzmaßnahmen.
Instrumentenregel: Eine Unterschrift allein legitimiert keinen Transfer. Rollenmodul, Anlagen, Transferbeschreibung, TIA, Maßnahmen und tatsächliche Verarbeitung müssen zusammenpassen.
Änderungsregel: Die EU-Standardvertragsklauseln werden nicht inhaltlich verändert. Ergänzungen dürfen den Klauseln weder unmittelbar noch mittelbar widersprechen und Betroffenenrechte nicht beeinträchtigen.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-04-07 |
| Dokumentenart | Verfahren für Standardvertragsklauseln und zusätzliche Maßnahmen |
| Wiki.js-Pfad | /DSGVO/04-Auftragsverarbeitung-und-Drittland/Standardvertragsklauseln-und-zusaetzliche-Massnahmen |
| Verantwortlich | festzulegender Datenexporteur / Vertragsmanagement / Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Informationssicherheit, IT und Einkauf |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine realen SCC, Anlagen, TIAs oder Maßnahmen organisationsbezogen freigegeben |
| Version | 0.2 |
| Stand | 08.08.2026 |
| Gültig ab | Nach Rollen-, Instrumenten-, TIA-, Maßnahmen- und Vertragsprüfung sowie formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie bei Rechts-, Parteien-, Rollen-, Datenfluss-, Unterauftragnehmer- oder Maßnahmenänderungen |
| Schutzklasse | Vertraulich; unterzeichnete SCC, Anlagen, TIAs und Sicherheitsnachweise geschützt |
| DSGVO-Bezug | Artikel 28, 32, 44 und 46 DSGVO; Durchführungsbeschluss (EU) 2021/914 |
| Schnittstellen | Transferinventar, TIA, VVT, Auftragsverarbeitung, Unterauftragnehmer, TOM, Vorfälle, Lieferantenkontrolle und Exit |
Das richtige SCC-Modul bildet die Rollen ab; vollständige Anlagen, TIA und wirksame Zusatzmaßnahmen machen die Schutzentscheidung nachvollziehbar. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck und Abgrenzung
Das Verfahren steuert den Einsatz der von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 angenommenen Standardvertragsklauseln für internationale Datenübermittlungen.
Es unterscheidet diese insbesondere von:
- Standardvertragsklauseln für die Beziehung zwischen Verantwortlichen und Auftragsverarbeitern innerhalb des EU-/EWR-Rechtsrahmens,
- anderen Garantien nach Artikel 46 DSGVO,
- Ausnahmen nach Artikel 49 DSGVO,
- individuellen kommerziellen Vertragsbedingungen.
Die Seite veröffentlicht keine eigene bearbeitbare SCC-Vorlage. Verwendet wird eine kontrollierte Kopie der jeweils maßgeblichen offiziellen EU-Fassung.
¶ 2. Anwendungsprüfung
Vor Auswahl eines Moduls wird geprüft:
- Liegt ein Transfer im Sinne von Kapitel V DSGVO vor?
- Ist der Datenexporteur für die betroffene Verarbeitung an die DSGVO gebunden?
- Befindet sich der Importeur in einem Drittland?
- Deckt ein aktueller Angemessenheitsbeschluss den konkreten Transfer bereits ab?
- Sind die SCC 2021/914 für die Rolle und den Anwendungsbereich des Importeurs geeignet?
- Gibt es Weiterübermittlungen oder internationale Organisationen, die ein anderes Instrument erfordern?
Die jeweils aktuelle Anwendbarkeit wird anhand des Beschlusses und der aktuellen Erläuterungen der EU-Kommission geprüft. Eine Anbieterangabe „SCC abgeschlossen“ ersetzt diese Prüfung nicht.
¶ 3. Das richtige Modul wählen
| Modul | Datenexporteur | Datenimporteur | Typische Konstellation |
|---|---|---|---|
| Modul 1 | Verantwortlicher | Verantwortlicher | Übermittlung an eine Stelle mit eigenen Zwecken und Mitteln |
| Modul 2 | Verantwortlicher | Auftragsverarbeiter | Verarbeitung im Auftrag eines Verantwortlichen |
| Modul 3 | Auftragsverarbeiter | Auftragsverarbeiter / Unterauftragsverarbeiter | weitere Verarbeitung innerhalb einer Auftragskette |
| Modul 4 | Auftragsverarbeiter | Verantwortlicher | Übermittlung durch einen an die DSGVO gebundenen Auftragsverarbeiter an einen Drittlandsverantwortlichen |
Die tatsächlichen Rollen entscheiden. Vertragsbezeichnungen, Konzernzugehörigkeit oder technische Plattformnamen sind nicht maßgeblich.
Für unterschiedliche Datenflüsse können unterschiedliche Module oder getrennte Vertragsbeziehungen erforderlich sein.
¶ 4. Unveränderbarkeit und zulässige Ergänzungen
Die Parteien dürfen:
- das anwendbare Modul auswählen,
- vorgesehene Optionen und Wahlrechte ausfüllen,
- Angaben in den Anlagen ergänzen und aktualisieren,
- die SCC in einen umfassenderen Vertrag aufnehmen,
- zusätzliche Klauseln oder Schutzmaßnahmen vereinbaren.
Sie dürfen die SCC nicht so verändern oder ergänzen, dass:
- Pflichten der Parteien abgeschwächt werden,
- Betroffenenrechte oder Rechtsbehelfe beeinträchtigt werden,
- Widersprüche zu den SCC entstehen,
- Haftung, Aufsicht oder Aussetzungsrechte unzulässig begrenzt werden.
Abweichende kommerzielle Regelungen werden einer Widerspruchsprüfung unterzogen.
¶ 5. Vertragsparteien und Beitritt
Anlage I.A führt jeden Datenexporteur und Datenimporteur mit:
- vollständiger Rechtsträgerbezeichnung und Anschrift,
- Kontaktangaben und verantwortlicher Rolle,
- Tätigkeiten mit Bezug zum Transfer,
- Datum und Unterschrift beziehungsweise wirksamer elektronischer Bindung.
Soll die optionale Beitrittsklausel verwendet werden, regelt der kontrollierte Vertrag, wer neue Parteien aufnehmen darf, wie Anlagen aktualisiert werden und wie der Beitritt nachgewiesen wird.
¶ 6. Anlage I.B – Transfer konkret beschreiben
Die Beschreibung umfasst mindestens:
- betroffene Personen und Kategorien personenbezogener Daten,
- sensible Daten mit zusätzlichen Beschränkungen und Schutzmaßnahmen,
- Häufigkeit und Form der Übermittlung,
- Art und Zweck der Verarbeitung,
- Speicherdauer oder nachvollziehbare Kriterien,
- Empfänger und Weiterübermittlungen,
- bei Auftragsverarbeitung Gegenstand, Art und Dauer der Verarbeitung.
Pauschale Angaben wie „alle Daten“, „Geschäftszwecke“ oder „branchenübliche Dauer“ reichen nicht aus.
¶ 7. Anlage I.C – zuständige Aufsichtsbehörde
Die zuständige Aufsichtsbehörde wird nach Klausel 13 und der Situation des Datenexporteurs bestimmt und ausdrücklich eingetragen. Die Auswahl wird dokumentiert und bei Niederlassungs- oder Vertreterwechsel überprüft.
¶ 8. Anlage II – technische und organisatorische Maßnahmen
Die Maßnahmen werden spezifisch und transferbezogen beschrieben. Für jede Maßnahme werden mindestens festgelegt:
| Feld | Inhalt |
|---|---|
| Schutzmaßnahme | konkrete technische oder organisatorische Ausgestaltung |
| Geltungsbereich | Daten, System, Importeur und Verarbeitungsschritt |
| Verantwortlich | umsetzende und kontrollierende Rolle |
| Wirksamkeit | erwartete Schutzwirkung gegen die festgestellte Gefahr |
| Nachweis | Konfiguration, Test, Protokoll, Zertifikat oder Prüfbericht |
| Review | Prüffrist und Änderungsauslöser |
Generische Aussagen wie „Verschlüsselung nach Stand der Technik“ werden durch Algorithmus, Schlüsselkontrolle, Einsatzphase und Zugriffsmöglichkeiten konkretisiert.
¶ 9. Anlage III – Unterauftragnehmer
Soweit das gewählte Modul und die gewählte Genehmigungsform dies vorsehen, werden weitere Auftragsverarbeiter mit Rechtsträger, Ort, Tätigkeit und Verarbeitungsbeschreibung aufgeführt.
Die Anlage wird mit dem Unterauftragsverarbeiterverfahren abgeglichen. Neue oder geänderte Unterauftragnehmer lösen Vertrags-, Transfer-, TIA- und Widerspruchsprüfung aus.
¶ 10. Klausel 14 und Transfer Impact Assessment
Die Parteien dokumentieren, warum sie keinen Grund zu der Annahme haben, dass die für den Importeur geltenden Rechtsvorschriften und Praktiken die Erfüllung der SCC verhindern.
Die Prüfung umfasst:
- konkrete Umstände des Transfers,
- relevante Gesetze und Praktiken des Empfängerlands,
- Zugriffsbefugnisse öffentlicher Stellen,
- Aufsicht und wirksame Rechtsbehelfe,
- belastbare praktische Informationen unter den Voraussetzungen der SCC,
- technische, vertragliche und organisatorische Zusatzmaßnahmen.
Die vollständige Methodik wird im Transfer Impact Assessment geführt.
¶ 11. Zusätzliche technische Maßnahmen
Technische Maßnahmen haben Vorrang, wenn ein Zugriff auf Klartext sonst nicht wirksam verhindert werden kann. Geprüft werden insbesondere:
- Ende-zu-Ende-Verschlüsselung ohne Schlüsselzugriff des gefährdeten Importeurs,
- starke Verschlüsselung während Übertragung und Speicherung mit kontrollierter Schlüsselverwaltung,
- Pseudonymisierung, wenn der Importeur kein Zuordnungswissen erhält,
- Datenminimierung, Segmentierung und getrennte Verarbeitung,
- sichere Mehrparteien- oder Split-Processing-Verfahren,
- technische Sperren, kurze Verfügbarkeit und nachvollziehbare Administratorzugriffe.
Eine Maßnahme wird nur angerechnet, wenn sie im konkreten Verarbeitungsschritt wirksam ist und getestet beziehungsweise anderweitig belastbar nachgewiesen wird.
¶ 12. Zusätzliche vertragliche Maßnahmen
Je nach Feststellung können ergänzt werden:
- Informationspflichten über Behördenanfragen und direkten Zugriff,
- Prüfung der Rechtmäßigkeit und Anfechtung unverhältnismäßiger Anfragen,
- Offenlegung nur des zwingend erforderlichen Mindestumfangs,
- regelmäßige Transparenzberichte und Statistiken,
- Audit-, Nachweis- und Mitwirkungspflichten,
- strengere Regeln für Weiterübermittlungen,
- Sonderkündigung, Aussetzung und kontrollierter Exit.
Vertragliche Zusagen binden die Vertragspartei, verhindern aber allein keinen technisch möglichen Zugriff durch öffentliche Stellen.
¶ 13. Zusätzliche organisatorische Maßnahmen
- Behördenanfragen- und Eskalationsprozess,
- klar getrennte Rollen und Vier-Augen-Freigaben,
- Schulung von Importeur, Support und Administration,
- Protokollierung, Prüfung und regelmäßige Berichterstattung,
- Genehmigung von Fernzugriffen und Unterauftragnehmern,
- Incident-, Aussetzungs- und Exitverfahren,
- regelmäßige Überwachung von Recht, Praxis und Maßnahmen.
Organisatorische Maßnahmen werden mit den technischen und vertraglichen Maßnahmen als Schutzpaket bewertet.
¶ 14. Behördenanfragen nach Klausel 15
Der Importeur wird operativ in die Lage versetzt, soweit rechtlich zulässig:
- Exporteur und gegebenenfalls betroffene Personen unverzüglich zu informieren,
- Anfragen auf Rechtmäßigkeit zu prüfen,
- verfügbare Rechtsbehelfe auszuschöpfen,
- nur erforderliche Daten offenzulegen,
- Anfragen und Reaktionen geschützt zu dokumentieren,
- regelmäßige Informationen über erhaltene Anfragen bereitzustellen.
Geheimhaltungsverbote und direkte Zugriffe werden in TIA, Eskalation und Überwachung berücksichtigt.
¶ 15. Freigabe- und Statusmodell
| Status | Bedeutung |
|---|---|
| Entwurf | Parteien, Modul oder Anlagen werden bearbeitet |
| Unvollständig | Pflichtangaben, TIA oder Nachweise fehlen |
| In Prüfung | Rechts-, Sicherheits- und Vertragsprüfung läuft |
| Mit Auflagen | Maßnahmen sind vor Transferstart nachweislich umzusetzen |
| Freigegeben | definierter Transferumfang ist geprüft und formal genehmigt |
| Ausgesetzt | SCC können aktuell nicht wirksam eingehalten werden |
| Beendet | Transfer und Zugriffe sind beendet; Rückgabe oder Löschung nachgewiesen |
Eine Vertragsunterschrift setzt den Status nicht automatisch auf „Freigegeben“.
¶ 16. Aussetzung, Kündigung und Exit
Wenn der Importeur die SCC nicht einhalten kann oder das Schutzniveau nicht mehr gewährleistet ist, werden Transfer und Zugriffe ausgesetzt. Je nach Lage folgen Abhilfe, Wechsel des Instruments, Kündigung oder Beendigung.
Der Exit regelt:
- sofortige Zugriffssperre,
- Datenrückgabe oder vollständige Löschung,
- Behandlung von Kopien und Backups,
- Schlüssel-, Konto- und Schnittstellenentzug,
- Unterauftragnehmer und Weiterübermittlungen,
- dokumentierte Abschlussbestätigung.
¶ 17. Laufende Kontrolle
Erneut geprüft werden insbesondere:
- neue oder geänderte Parteien, Rollen und Datenflüsse,
- Länder-, Standort- und Unterauftragnehmerwechsel,
- neue Zwecke, Datenarten oder Klartextzugriffe,
- Rechts-, Rechtsprechungs- oder Behördenpraxisänderungen,
- Änderungen der SCC oder offizieller Auslegung,
- Sicherheitsvorfälle und Behördenanfragen,
- unwirksame oder nicht mehr verfügbare Zusatzmaßnahmen.
Wesentliche Änderungen führen vor Fortsetzung des Transfers zur erneuten Freigabe.
¶ 18. Kontrollierte Nachweise
- aktuelle offizielle SCC-Fassung und Beschlussreferenz,
- Modulauswahl und Rollenprüfung,
- vollständig ausgefüllte und unterzeichnete Anlagen,
- Transferinventar, VVT und Datenfluss,
- TIA mit Quellenstand und Entscheidung,
- Zusatzmaßnahmen und Wirksamkeitsnachweise,
- Unterauftragnehmer, Genehmigungen und Änderungen,
- Freigabe, Auflagen und Wiederholungsprüfung,
- Behördenanfragen, Aussetzung, Exit und Löschung.
Unterzeichnete Verträge, vollständige TIAs und technische Sicherheitsdetails verbleiben in der geschützten Ablage.
¶ 19. Qualitätskontrolle
- Stimmt das Modul mit den tatsächlichen Rollen überein?
- Ist die internationale SCC-Fassung von anderen Standardklauseln abgegrenzt?
- Sind alle Parteien und Anlagen vollständig und aktuell?
- Beschreibt Anlage I.B den realen Transfer statt pauschaler Kategorien?
- Sind TOM in Anlage II spezifisch und transferbezogen?
- Stimmen Unterauftragnehmerlisten und tatsächliche Verarbeitungskette überein?
- Ist die Klausel-14-Prüfung dokumentiert und aktuell?
- Schließen Zusatzmaßnahmen die festgestellten Schutzlücken wirksam?
- Funktionieren Behördenanfragen-, Aussetzungs- und Exitprozesse?
- Stimmen Vertrag, VVT, Technik, TIA und Praxis überein?
¶ 20. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Drittlandtransfers | Transferinventar, Instrument und Freigabereihenfolge |
| Transfer Impact Assessment | Klausel-14-Prüfung von Recht, Praxis und Maßnahmen |
| Auftragsverarbeiterregister | Dienstleister, Vertrag, Orte und Kontrollstatus |
| Auftragsverarbeitung | Rollen-, Auswahl-, Weisungs- und Vertragsprozess |
| Unterauftragsverarbeiter | Genehmigung, Anlage III, Änderungen und Pflichtendurchgriff |
| Verzeichnis von Verarbeitungstätigkeiten | Zweck, Daten, Personen, Systeme und Empfänger |
| Lieferantenkontrollen und Exit | laufende Überwachung, Feststellungen, Aussetzung, Rückgabe und Löschung |
¶ 21. Offizielle Grundlagen
- DSGVO, insbesondere Artikel 46 – EUR-Lex
- Durchführungsbeschluss (EU) 2021/914 und Standardvertragsklauseln – EUR-Lex
- EU-Kommission: Standardvertragsklauseln für internationale Transfers
- EU-Kommission: Fragen und Antworten zu den neuen SCC
- EDSA-Empfehlungen 01/2020 zu ergänzenden Maßnahmen – finale Fassung
¶ 22. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei SCC-Modulauswahl, TIA, Vertragsanlagen und wirksamen Zusatzmaßnahmen
- Datenschutzmanagement
- Datenschutz-Leistungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
Erstgespräch unter info@smct-management.de vereinbaren
¶ 23. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 0.2 | 08.08.2026 | Verfahren für Lieferantenkontrollen und Exit verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren für Standardvertragsklauseln und zusätzliche Maßnahmen erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |