Standard Contractual Clauses einfach erklärt für die Praxis

Du sitzt in Berlin, hast gerade ein neues SaaS-Tool für dein Team ausgewählt und willst nur noch den Pilot starten. Dann steht im Anmeldeprozess plötzlich etwas von Drittlandtransfer, Transfer Impact Assessment und Standardvertragsklauseln. Aus einer einfachen Produktentscheidung wird eine Datenschutzfrage mit Brüssel im Hintergrund.

Das passiert nicht nur Konzernen. Ein einzelner Login, ein Support-Ticket oder ein Backup kann reichen, damit personenbezogene Daten ausserhalb der EU verarbeitet werden. Für Gründer, Freelancer und Manager ist deshalb entscheidend, nicht nur auf den Funktionsumfang eines Tools zu schauen, sondern auf den gesamten Datenfluss.

Inhaltsverzeichnis

• Warum dein Tool plötzlich nach Brüssel schaut
  • Der Unterschied zwischen Bauchgefühl und Datenfluss
• So funktionieren die vier Module der SCCs
  • Modul 1 für Verantwortlicher zu Verantwortlichem
  • Modul 2 für Verantwortlicher zu Auftragsverarbeiter
  • Modul 3 für Auftragsverarbeiter zu Auftragsverarbeiter
  • Modul 4 für Auftragsverarbeiter zu Verantwortlichem
  • Die Anhänge machen den Vertrag praktisch
• Was sich seit 2021 konkret geändert hat
  • Die Übergangsphase hatte ein klares Ende
• Transfer Impact Assessment ohne Bürokratie-Frust
  • Vier Fragen führen durch die Prüfung
  • Die Mini-Checkliste für dein Team
• EU-Hosting ist nicht gleich DSGVO-Transferabsicherung
  • Drei Ebenen müssen zusammenspielen
• Der zweite Anwendungsfall, den kaum jemand kennt
  • Was die klinischen Klauseln leisten
• Deine To-do-Liste für die nächsten 90 Tage
  • Tage 1 bis 30, Transparenz schaffen
  • Tage 31 bis 60, Risiken bewerten
  • Tage 61 bis 90, Technik nachziehen
• Häufige Fragen zu Standardvertragsklauseln
  • Brauche ich SCCs trotz EU-US Data Privacy Framework?
  • Sind Selbstständige ebenfalls betroffen?
  • Was kostet die Anpassung?
  • Wie lange bleibt ein TIA gültig?

Warum dein Tool plötzlich nach Brüssel schaut

Ein kleines Berliner Gründerteam testet ein KI-Diktier-Tool. Die Anwendung nimmt Sprache auf, wandelt sie in Text um und zeigt das Ergebnis direkt im Arbeitsdokument an. Für das Team fühlt sich das nach einem gewöhnlichen SaaS-Dienst an.

Dann entdeckt jemand im Datenschutzbereich einen Hinweis auf Drittlandtransfers und Standardvertragsklauseln. Die erste Reaktion lautet: „Wir speichern doch keine Kundendaten in einer Datenbank.“ Genau hier liegt der typische Denkfehler.

Personenbezogene Daten können schon bei der Verarbeitung eines Sprachbefehls betroffen sein. Das gilt auch für Namen in einem Meeting, Kundennummern in einem Support-Text oder Gesundheitsinformationen, die du diktierst. Sobald diese Daten an einen Empfänger ausserhalb der EU oder des EWR gelangen, greifen die Regeln für internationale Übermittlungen nach den Artikeln 44 bis 49 der DSGVO. Die Übersicht zu internationalen Datentransfers der Europäischen Kommission nennt dafür unter anderem Angemessenheitsbeschlüsse, Standardvertragsklauseln und Binding Corporate Rules.

Der Unterschied zwischen Bauchgefühl und Datenfluss

Ein SaaS-Tool besteht selten nur aus einer App. Häufig gehören dazu:

• Login-Dienst: Deine E-Mail-Adresse und Kontodaten werden geprüft.
• Support-System: Ein Ticket kann personenbezogene Inhalte und Anhänge enthalten.
• Backup: Daten werden möglicherweise in einer anderen Region gespiegelt.
• Subprocessor: Ein weiterer Anbieter übernimmt Analyse, Hosting oder technische Unterstützung.
• Verarbeitung: Ein Meeting-Mitschnitt oder Diktat wird zur Umwandlung an einen Dienst gesendet.

Der entscheidende Punkt ist nicht, ob du das Tool als „klein“ oder „harmlos“ empfindest. Entscheidend ist, wer welche Daten zu welchem Zweck verarbeitet und wohin sie fliessen.

Praktische Regel: Prüfe nicht nur den Sitz des Anbieters. Prüfe Anbieter, Muttergesellschaften, Subverarbeiter, Supportzugriffe, Backups und die technische Löschlogik.

Standardvertragsklauseln sind dabei kein Zertifikat und kein pauschales „DSGVO-konform“-Siegel. Sie sind ein von der EU-Kommission vorgegebenes Vertragsmodell, das Pflichten für Exporteur und Empfänger festlegt. In Deutschland gelten unveränderte Kommissionsklauseln als zentraler Weg für Drittlandtransfers ohne zusätzliche Genehmigung der Aufsichtsbehörde, sofern sie korrekt eingesetzt werden. Die niedersächsische Datenschutzaufsicht beschreibt diesen Mechanismus ausdrücklich im Zusammenhang mit Standardvertragsklauseln für internationale Datenübermittlungen.

Bevor der Pilot startet, braucht das Team deshalb Antworten auf vier Fragen: Welche Daten verlassen die EU? Wer empfängt sie? Welches SCC-Modul passt? Und welche zusätzlichen technischen Massnahmen senken das Risiko?

So funktionieren die vier Module der SCCs

Die aktuelle Fassung der EU-Standardvertragsklauseln arbeitet modular. Du wählst nicht einfach einen allgemeinen Vertrag aus, sondern das Modul, das die Rollen der beteiligten Parteien korrekt abbildet. Die vier Transfermodule stehen im Durchführungsbeschluss der Europäischen Kommission.

Modul 1 für Verantwortlicher zu Verantwortlichem

Dieses Modul passt, wenn beide Parteien eigene Zwecke und Mittel der Verarbeitung bestimmen. Ein Münchner Startup übermittelt beispielsweise Kontaktdaten an einen US-Partner, der gemeinsam mit dem Startup eine Kundenbetreuung organisiert.

Der US-Partner verarbeitet die Daten dann nicht nur nach Anweisung. Er entscheidet innerhalb seiner eigenen Rolle mit, wie die Betreuung umgesetzt wird. Das unterscheidet diesen Fall von einem klassischen Auftragsverarbeiter.

Modul 2 für Verantwortlicher zu Auftragsverarbeiter

Hier bestimmt die europäische Organisation den Zweck der Verarbeitung. Der Empfänger im Drittland handelt auf Weisung.

Ein Münchner Startup nutzt etwa einen US-Cloud-Anbieter für Kundendaten. Das Startup entscheidet, warum die Daten verarbeitet werden. Der Cloud-Anbieter stellt die Infrastruktur bereit und darf die Daten nur innerhalb der vereinbarten Aufgaben verwenden.

Modul 3 für Auftragsverarbeiter zu Auftragsverarbeiter

Dieses Modul wird relevant, wenn ein europäischer Auftragsverarbeiter einen weiteren Dienstleister im Drittland einbindet. Ein SaaS-Anbieter verarbeitet Kundendaten in Europa und nutzt zusätzlich einen US-Subprocessor für technische Fehleranalyse.

Der ursprüngliche Auftragsverarbeiter bleibt gegenüber seinem Kunden verantwortlich für die kontrollierte Einbindung des Subprocessors. Die Vertragskette muss deshalb nachvollziehbar bleiben.

Modul 4 für Auftragsverarbeiter zu Verantwortlichem

Dieses Modul deckt die Gegenrichtung ab. Ein Auftragsverarbeiter übermittelt Daten an einen Verantwortlichen im Drittland.

Ein Beispiel ist die Verarbeitung von Bewerberdaten für eine europäische Tochtergesellschaft, wobei eine US-Konzernmutter bestimmte Verarbeitungsschritte als Verantwortliche übernimmt. Die Rollen müssen im Vertrag sauber beschrieben werden. Ein falsches Modul kann die gesamte Dokumentation unbrauchbar machen.

Die Anhänge machen den Vertrag praktisch

Die SCCs bestehen nicht nur aus Standardtext. Die Anhänge übertragen den Vertrag auf deinen konkreten Datenfluss:

• Anhang I: Kategorien der betroffenen Personen, Datenarten, Zwecke und beteiligte Parteien.
• Anhang II: Technische und organisatorische Massnahmen, etwa Zugriffskontrollen, Verschlüsselung und Löschung.
• Anhang III: Liste der Subverarbeiter und die vorgesehenen Verfahren für Änderungen.

Nur das passende Modul darf ausgewählt werden. Zusätzliche Regelungen sind möglich, solange sie den SCCs nicht widersprechen. Die Vertragsparteien müssen ausserdem bewerten, ob das Schutzniveau im Empfängerland praktisch ausreicht.

Was sich seit 2021 konkret geändert hat

Der 4. Juni 2021 markiert den entscheidenden Einschnitt. An diesem Tag verabschiedete die Europäische Kommission die modernisierten Standardvertragsklauseln für internationale Datentransfers. Die deutsche Veröffentlichung der EU-Kommission dokumentiert die neue Fassung und ihre Verwendung.

Für Neuverträge mussten deutsche Organisationen die neuen Klauseln ab dem 27. September 2021 verwenden. Das bestätigten deutsche Aufsichtsbehörden wie der BfDI und die niedersächsische Datenschutzaufsicht.

Die Übergangsphase hatte ein klares Ende

Alte Vertragswerke durften nur noch bis zum 27. Dezember 2022 weitergelten. Danach mussten bestehende Transfers entweder auf die neue Fassung umgestellt oder beendet werden. Es reichte also nicht, einen alten Vertrag einfach im Ablagesystem liegen zu lassen.

Die neue Struktur reagierte auf die veränderte Rechtslage und auf die Folgen des Schrems-II-Urteils. Die Parteien müssen nicht nur einen Vertrag unterzeichnen. Sie müssen auch prüfen, ob Gesetze und Behördenpraxis im Empfängerland den vereinbarten Schutz beeinträchtigen können.

Das erklärt die Bedeutung des Transfer Impact Assessments. Der BfDI und die niedersächsische Aufsicht betonen, dass die Vertragsklauseln allein keine vollständige Risikoanalyse ersetzen. Das Unternehmen muss die konkrete Übermittlung, die Daten und die Rechtslage im Zielland betrachten.

Seitdem gehören die SCCs nicht nur in einen Vertrag. Du musst auch interne Verzeichnisse, Datenschutzinformationen, Auftragsverarbeitungsverträge und Subprocessor-Übersichten anpassen. Ein Transfer, der in keinem Verzeichnis auftaucht, bleibt ein blinder Fleck, selbst wenn die Klauseln formal unterschrieben wurden.

Transfer Impact Assessment ohne Bürokratie-Frust

Ein Transfer Impact Assessment, kurz TIA, klingt nach einem Projekt für eine grosse Rechtsabteilung. Für ein kleines Team lässt es sich aber in einen überschaubaren Prüfprozess übersetzen. Das Ergebnis muss nachvollziehbar sein, nicht unnötig kompliziert.

Vier Fragen führen durch die Prüfung

Erstens prüfst du das Empfängerland. Welche Behörden dürfen auf Daten zugreifen? Welche Rechtsmittel haben betroffene Personen? Welche Regeln gelten für den konkreten Anbieter?

Zweitens zeichnest du den Datenfluss auf. Notiere, welche Daten aus welchem System an welchen Empfänger gehen. Berücksichtige nicht nur den Hauptdienst, sondern auch Support, Wartung, Backups und Subverarbeiter.

Drittens dokumentierst du Schutzmassnahmen. Dazu können Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen, kurze Speicherfristen und vertragliche Zusagen gehören. Eine Massnahme zählt aber nur, wenn sie technisch und organisatorisch tatsächlich umgesetzt wird.

Viertens bewertest du das verbleibende Risiko. Frage, wie realistisch ein Zugriff durch Behörden ist, welche Datenkategorien betroffen sind und ob der Anbieter bei Anfragen informiert oder widerspricht, soweit das rechtlich möglich ist. Die Bewertung sollte bei wesentlichen Änderungen aktualisiert werden.

Die Mini-Checkliste für dein Team

• Empfänger: Welche konkrete Gesellschaft erhält oder verarbeitet die Daten?
• Standort: In welchem Land werden Daten tatsächlich verarbeitet oder zugänglich gemacht?
• Rechtszugriff: Welche staatlichen Zugriffsrechte gelten dort?
• Datenart: Enthält der Transfer Namen, Kommunikationsinhalte, Gesundheitsdaten oder andere sensible Informationen?
• Schutz: Welche Verschlüsselung, Pseudonymisierung und Löschung setzt der Anbieter nachweisbar ein?
• Änderungen: Welche neuen Subverarbeiter oder Infrastrukturänderungen können den Transfer verändern?

Die EDPB-Empfehlungen 01/2020 dienen dabei als wichtige Orientierung für die Bewertung. Ein TIA ist kein Dokument, das du einmal ablegst und dann vergisst. Aktualisiere es bei einem Anbieterwechsel, einer relevanten Gesetzesänderung oder einer veränderten Verarbeitung. Für viele Organisationen ist eine jährliche Prüfung ein sinnvoller Rhythmus.

Praktische Informationen zu Datenverarbeitung und technischen Abläufen findest du auch in der Dokumentation von fluesta. Entscheidend bleibt unabhängig vom Anbieter: Der Vertrag, die tatsächliche Architektur und deine Risikobewertung müssen zusammenpassen.

EU-Hosting ist nicht gleich DSGVO-Transferabsicherung

Ein Rechenzentrum in Frankfurt beantwortet nur eine Frage: Wo stehen die Server? Es beantwortet nicht automatisch, wer den Anbieter kontrolliert, wer Support leisten kann oder welchem Recht die Muttergesellschaft unterliegt.

Der BfDI beschreibt, dass Cloud- und elektronische Kommunikationsanbieter mit US-Bezug dem US CLOUD Act unterliegen können. Unternehmen, die US-Recht unterliegen, können zur Herausgabe von Daten verpflichtet werden, auch wenn diese Daten ausserhalb der USA gespeichert sind. Die Ausführungen des BfDI zu Cloud-Lösungen zeigen, warum der Rechenzentrumsstandort allein nicht genügt.

Drei Ebenen müssen zusammenspielen

Hosting beschreibt die technische Region. EU-Hosting kann Datenflüsse verkürzen und lokale Betriebsprozesse unterstützen.

Vertrag regelt Pflichten zwischen Exporteur und Empfänger. Wenn ein Drittlandtransfer vorliegt, können Standardvertragsklauseln eine rechtliche Grundlage bilden, sofern sie korrekt ausgewählt und ergänzt werden.

Technik begrenzt, was überhaupt verfügbar ist. Eine Lösung mit Zero Data Retention verarbeitet Daten und löscht sie unmittelbar danach. Dadurch entsteht kein dauerhaftes Archiv von Sprachaufnahmen, das später herausgegeben werden könnte.

Die robuste Prüfung lautet: Wo liegen die Daten, wer kann zugreifen, wie lange bleiben sie vorhanden und welche Transfergrundlage dokumentiert den Vorgang?

EU-Hosting plus Zero Data Retention plus passende SCCs kann deshalb eine belastbarere Kombination sein als der alleinige Hinweis auf einen europäischen Serverstandort. Das ist keine automatische Freigabe. Du musst weiterhin prüfen, ob Supportzugriffe, Telemetrie, Backups und Subprocessor in die Bewertung gehören.

Auch eine Datenschutzerklärung mit Angaben zur Datenverarbeitung ersetzt keine individuelle Prüfung deines Unternehmens. Sie hilft dir aber dabei, Anbieterfragen zu Speicherort, Löschung und Empfängern konkret zu stellen.

Der zweite Anwendungsfall, den kaum jemand kennt

Viele Menschen verbinden Standardvertragsklauseln ausschliesslich mit DSGVO-Datentransfers. In Deutschland gibt es inzwischen einen zweiten, deutlich weniger bekannten Anwendungsfall: Standardvertragsklauseln für kommerzielle klinische Prüfungen.

Das Bundesgesundheitsministerium hat 2025 eine Verordnung mit Standardvertragsklauseln für solche klinischen Prüfungen veröffentlicht. Sie gilt ab dem 18. Dezember 2025 für neu geschlossene Verträge und behandelt zehn Kernpunkte, darunter Veröffentlichungsrechte, geistiges Eigentum, Haftung und Datenschutz. Die Verordnung des Bundesgesundheitsministeriums ist deshalb auch für Medtech-Gründer und Studienverantwortliche relevant.

Was die klinischen Klauseln leisten

Nimm ein dezentrales Studienprojekt mit Standorten in Berlin, Boston und Singapur. Der Sponsor arbeitet mit Studienzentren, Auftragsverarbeitern und weiteren Forschungspartnern zusammen. Standardisierte Vertragsregeln können die Abstimmung zu Datenschutz, IP, Haftung und Veröffentlichungen strukturieren.

Sie ersetzen aber nicht den gesamten Studienvertrag. Separat erforderlich bleiben beispielsweise:

• Studienprotokoll: Es beschreibt Aufbau, Ablauf und wissenschaftliche Zielsetzung.
• Probandeneinwilligung: Teilnehmende müssen angemessen informiert werden und wirksam einwilligen.
• Aufklärung: Risiken, Rechte und Ablauf müssen verständlich vermittelt werden.
• Behördliche Anzeigen: Vorgaben der zuständigen Behörden bleiben bestehen.
• Operative Zuständigkeiten: Prüfzentrum, Sponsor und Dienstleister brauchen klare Aufgaben.

Die neuen Klauseln gelten für kommerzielle Studien. Investigator-initiated trials fallen nicht automatisch in denselben Anwendungsbereich. Fachkanzleien weisen ausserdem darauf hin, dass die Klauseln den vollständigen Vertrag nicht ersetzen und durch weitere Regelungen ergänzt werden müssen, solange diese nicht widersprechen.

Interessant ist die Verhandlungsebene. Parteien können die Anwendung nach den vorgesehenen Regeln teilweise oder vollständig ausdrücklich abbedingen. Der Begriff „Standard“ bedeutet also nicht, dass jede Verhandlung verschwindet. Er liefert einen strukturierten Ausgangspunkt und macht sichtbar, welche Punkte bewusst vereinbart oder ausgeschlossen werden.

Deine To-do-Liste für die nächsten 90 Tage

Starte nicht mit dem Unterschreiben von Klauseln. Starte mit einem Ist-Scan. Du brauchst zuerst ein Bild davon, welche Anbieter personenbezogene Daten verarbeiten und in welchen Ländern ihre Gesellschaften, Subverarbeiter und Supportteams sitzen.

Tage 1 bis 30, Transparenz schaffen

Erstelle eine Liste aller aktiven Tools. Markiere pro Anbieter, ob ein Auftragsverarbeitungsvertrag, SCCs, EU-Hosting, ein anderer Transfermechanismus oder keine belastbare Dokumentation vorhanden ist.

• Anbieter inventarisieren: Berücksichtige CRM, Newsletter, Support, Analytics, Cloudspeicher, Diktat, Videokonferenzen und Backups.
• Rollen klären: Ordne Verantwortliche, Auftragsverarbeiter und Subverarbeiter zu.
• Verträge sammeln: Suche AVVs, SCC-Anhänge, Subprocessor-Listen und Datenschutzinformationen.
• Lücken priorisieren: Beginne mit Tools, die besonders umfangreiche oder sensible Daten verarbeiten.

Schicke Anbietern mit US-Bezug konkrete Fragen zu Empfänger, Zugriff, Speicherfrist und Subverarbeitern. Ob Modul 2 passt, hängt von der tatsächlichen Rollenverteilung ab. Verwende es nicht nur, weil der Anbieter ein Cloud-Dienst ist.

Tage 31 bis 60, Risiken bewerten

Lade die EDPB-Empfehlungen 01/2020 und dokumentiere die Datenflüsse für die wichtigsten Anbieter. Prüfe das Recht im Zielland und halte fest, welche Schutzmassnahmen der Anbieter tatsächlich anbietet.

Eine gute TIA-Datei enthält nicht nur eine Vertragskopie. Sie erklärt, welche Daten fliessen, welcher Zugriff möglich ist, welche Risiken bestehen und warum die gewählten Massnahmen angemessen erscheinen.

Tage 61 bis 90, Technik nachziehen

Setze technische Verbesserungen um, wo sie das Risiko sinnvoll reduzieren. Dazu gehören EU-Hosting, Pseudonymisierung, restriktive Zugriffsrechte, kurze Speicherfristen und Zero Data Retention, sofern der Dienst diese Verarbeitung tatsächlich anbietet.

Plane ausserdem eine kurze interne Schulung. Mitarbeitende sollten wissen, dass ein Support-Upload oder ein exportiertes Meeting-Dokument ebenfalls einen Datenfluss auslösen kann. Weise für jeden wichtigen Anbieter eine verantwortliche Person zu und notiere den nächsten Prüftermin.

So wird aus einer losen Liste ein nachvollziehbarer Compliance-Pfad. Du kennst den Anbieter, den Transfer, den Vertrag, die Schutzmassnahmen und den nächsten Auslöser für eine Neubewertung.

Häufige Fragen zu Standardvertragsklauseln

Brauche ich SCCs trotz EU-US Data Privacy Framework?

Nicht automatisch. Prüfe zuerst, ob der konkrete US-Anbieter unter dem EU-US Data Privacy Framework gültig erfasst ist und ob der konkrete Transfer dadurch abgedeckt wird. Für andere Empfänger oder nicht abgedeckte Datenflüsse können Standardvertragsklauseln weiterhin relevant sein.

Ein Anbieter kann ausserdem mehrere Verarbeitungswege nutzen. Wenn Support, Backup oder ein Subprocessor in ein anderes Drittland führen, musst du diesen zusätzlichen Fluss separat bewerten.

Sind Selbstständige ebenfalls betroffen?

Ja, sobald sie personenbezogene Daten im Rahmen ihrer beruflichen Tätigkeit übermitteln oder übermitteln lassen. Das kann ein Freelancer mit CRM, Cloudspeicher oder Transkriptionsdienst ebenso betreffen wie ein Startup mit mehreren SaaS-Anbietern.

Die Grösse des Unternehmens entscheidet nicht über den Transfer. Entscheidend sind Daten, Empfänger, Rollen und Zielland.

Was kostet die Anpassung?

Die Kosten hängen vom Ausgangspunkt ab. Wenn Verträge, Anbieterlisten und Datenflüsse bereits sauber dokumentiert sind, konzentriert sich die Arbeit auf Prüfung und Aktualisierung. Bei verstreuten Tools entsteht der grössere Aufwand meist durch Inventarisierung, Rückfragen an Anbieter und technische Nachbesserungen.

Viele Teams können die erste Bestandsaufnahme selbst erledigen. Für komplexe oder sensible Transfers kann zusätzliche Datenschutzberatung sinnvoll sein.

Wie lange bleibt ein TIA gültig?

Ein TIA hat keine pauschale Ablaufdauer. Es sollte neu bewertet werden, wenn sich das Recht im Zielland, der Anbieter, ein Subverarbeiter, die Datenkategorie oder die technische Architektur ändert. Eine jährliche Prüfung ist ein sinnvoller organisatorischer Anker.

Halte dabei auch fest, warum du zu deinem Ergebnis gekommen bist. Ergänzende Vertragsunterlagen, aktualisierte Anbieterlisten und interne Richtlinien sollten zusammenpassen. Für allgemeine Vertrags- und Nutzungsfragen kannst du zusätzlich die AGB von fluesta als Beispiel für veröffentlichte Anbieterinformationen prüfen.

---

fluesta verarbeitet Sprache mit Zero Data Retention, ist EU-gehostet und funktioniert systemweit in jedem Programm, damit du alltagstauglich bei voller Privatsphäre diktieren kannst. Besuche fluesta, wenn du Sprache direkt in Text umwandeln und deine Datenflüsse dabei bewusst klein halten möchtest.