Die DSGVO regelt in gewissem Maße auch den Export personenbezogener Daten in Länder außerhalb der EU. Aber bei der Durchsetzung eben dieser Regeln für Transaktionen in Länder außerhalb der EU gibt es Lücken, mit denen sich das Schrems-II-Urteil beschäftigt.

Dort wurde festgehalten und betont, dass Derjenige, der Daten aus dem geschützten EU-Raum in ein Drittland transferieren will (sog. Datenexporteur), dafür Sorge zu tragen hat, dass das hohe Datenschutzniveau dennoch gewährleistet bleibt. Die entsprechenden Schutzvorkehrungen sind nicht nur durchzuführen, sondern auch exakt zu dokumentieren. Diese Pflichten treffen somit jedes Unternehmen, das einen Dienstleister außerhalb der EU heranziehen möchte.

Die dabei einzuhaltende Form geben die neuen Standardvertragsklauseln (SCC) der EU-Kommission vor. Aber Achtung, diese SCC sind alles andere als selbsterklärend und darin findet sich nur eine Auflistung von Pflichten. Wie diese erfüllt werden – wie daher die konkreten Lösungsansätze auszusehen haben – dafür sind die Unternehmen selbst verantwortlich. Besonders Augenmerk ist dabei auf die Ausgestaltung der verpflichtenden Anlage II (technischen und organisatorischen Maßnahmen „TOM“) zu legen.