Die Auswirkungen der Datenschutzgesetze auf Geschäftsvertragsklauseln

Datenschutzbestimmungen haben das Terrain der Geschäftsabwicklung grundlegend verändert. Organisationen stehen jetzt vor einem komplexen Netz von Verpflichtungen beim Umgang mit personenbezogenen Daten, und diese Verpflichtungen müssen in fast jede kommerzielle Vereinbarung eingewoben werden, die die Erhebung, Verarbeitung oder Weitergabe personenbezogener Daten beinhaltet. Wenn die Datenschutzanforderungen in Verträgen nicht erfüllt werden, kann dies zu schweren Strafen, Rechtsstreitigkeiten und dauerhaften Reputationsschäden führen. Nach dem IBM Cost of a Data Breach Report 2024 die durchschnittlichen globalen Kosten eines Datenverstoßes erreichten 4,88 Millionen US-Dollar und behördliche Bußgelder sind dies oft der Fall. Dieser Artikel untersucht, wie Datenschutzgesetze wie die Allgemeine Datenschutzverordnung und das Kalifornien Consumer Privacy Act (CCPA) haben Standardvertragsklauseln umgestaltet, identifiziert wichtige Wirkungsbereiche und bietet umsetzbare Leitlinien für die Ausarbeitung von Compliance-ready-Vereinbarungen.

Der Aufstieg der Datenschutzgesetze

In den letzten zehn Jahren hat die Besorgnis über den Datenschutz die Regulierungsbehörden weltweit dazu veranlasst, strenge Datenschutzgesetze zu erlassen. Die DSGVO, die im Mai 2018 in Kraft trat, setzte einen globalen Maßstab durch die Einführung von Geldbußen von bis zu 4% des jährlichen weltweiten Umsatzes, der extraterritorialen Reichweite und strenger Rechenschaftspflichten. In den Vereinigten Staaten erweiterte der CCPA (in Kraft getreten 2020) und nachfolgende Änderungen wie der Gesetzesentwurf zum Schutz der Datenschutzrechte von Kalifornien (CPRA) und erlegte Unternehmen neue Verpflichtungen auf. Andere Rechtsordnungen sind diesem Beispiel gefolgt: Brasiliens FLT:2Lei Geral de Proteção de Dados (LGPD) FLT:3, Kanadas FLT:5 und Japans FLT:6 Gesetz zum Schutz personenbezogener Daten FLT:7 . Der Europäische Datenschutzausschuss (EDPB) gibt weiterhin Leitlinien heraus, die die Durchsetzungserwartungen in den Mitgliedstaaten weiter verfeinern.

Diese Gesetze haben gemeinsame Ziele: Einzelpersonen mehr Kontrolle über ihre Daten zu geben, Transparenz zu verlangen und Rechenschaftspflicht für den Datenhandel aufzuerlegen. Für Unternehmen ist das Ergebnis ein dramatisch verändertes vertragliches Umfeld. Jede Vereinbarung, die personenbezogene Daten beinhaltet - ob mit Anbietern, Kunden oder Partnern - muss jetzt Bestimmungen enthalten, die Verantwortlichkeiten zuweisen, Sicherheitsstandards definieren und Protokolle für die Reaktion auf Verstöße skizzieren. Die Federal Trade Commission hat auch die Durchsetzungsmaßnahmen gegen Unternehmen verstärkt, die ihre Datenschutzversprechen nicht einhalten, was die Einhaltung von Verträgen zu einem Anliegen auf Vorstandsebene macht.

Wie Datenschutzgesetze Vertragsklauseln beeinflussen

Datenschutzgesetze betreffen mehrere Dimensionen von Geschäftsverträgen. Nachfolgend führen wir die spezifischen Klauseln, die am stärksten betroffen sind, sowie praktische Überlegungen für die Ausarbeitung und Verhandlung auf.

1. Datenverarbeitungsbedingungen

Verträge, die eine Partei beinhalten, die Daten im Namen einer anderen - zum Beispiel eines Cloud-Dienstanbieters, eines Lohnabrechnungsverarbeiters oder einer Marketingagentur - verarbeitet, müssen den Umfang, den Zweck und die Dauer der Verarbeitung klar definieren. Nach der DSGVO ist eine ]Datenverarbeitungsvereinbarung (DPA) obligatorisch und muss die Art und den Zweck der Verarbeitung, die Arten der betroffenen Daten, Kategorien der betroffenen Personen und die Pflichten und Rechte des Verantwortlichen umfassen. Ähnliche Anforderungen erscheinen im CCPA, der vorsieht, dass Dienstleister vertraglich daran gehindert werden, personenbezogene Daten für andere Zwecke als die Durchführung der angegebenen Dienste zu speichern, zu verwenden oder offenzulegen. Die CPRA erweiterte diese Einschränkungen auf Auftragnehmer und Dritte.

Wichtige Elemente, die in einen Datenschutzbeauftragten aufgenommen werden müssen:

  • Beschreibung der Verarbeitungsaktivitäten – eine klare Aussage darüber, welche Daten zu welchem Zweck und von wem verarbeitet werden.
  • Anweisungen für die Verarbeitung – der Datenverantwortliche muss dokumentierte Anweisungen bereitstellen, die der Prozessor befolgen muss. Mehrdeutige Anweisungen schaffen Haftungslücken.
  • Datenminimierung – Klauseln, die die Sammlung auf das beschränken, was für den vereinbarten Zweck unbedingt erforderlich ist, und dem Prozessor die Verwendung von Daten zu seinem eigenen Vorteil verbieten.
  • Subprocessing – Bestimmungen, die eine vorherige Zustimmung oder Benachrichtigung erfordern, bevor Subunternehmer beauftragt werden, zusammen mit Flow-Down-Verpflichtungen, die Subprozessoren an die gleichen Standards binden.
  • Datenspeicherung und Löschung – Zeitpläne für die Rückgabe oder sichere Löschung personenbezogener Daten nach Beendigung des Vertrags mit einer Löschbescheinigung.

Praktischer Tipp: Viele Unternehmen haben jetzt eine dynamische DPA, die automatisch aktualisiert wird, wenn sich Vorschriften ändern, was Vertragsstillstand verhindert. z. B. erfordert die GDPR, dass DPAs schriftlich und ausgeführt werden, bevor eine Verarbeitung beginnt.

2. Sicherheitsmaßnahmen

Datenschutzgesetze verpflichten die Datenschutzbehörden, geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu ergreifen. Verträge müssen diese Verpflichtung durch die Festlegung der Sicherheitspraktiken widerspiegeln, zu deren Einhaltung sich jede Partei verpflichtet. Die DSGVO verpflichtet beispielsweise die Verantwortlichen und Auftragsverarbeiter, Maßnahmen wie Pseudonymisierung, Verschlüsselung und regelmäßiges Testen von Sicherheitssystemen durchzuführen. Der CCPA schreibt keine ausdrücklichen Sicherheitsmaßnahmen vor, schafft jedoch ein privates Klagerecht für Datenschutzverletzungen, die sich aus der Nichterfüllung angemessener Sicherheit ergeben. Die CPRA hat dies erweitert, indem sie Unternehmen verpflichtet hat, angemessene Sicherheitsverfahren und -praktiken umzusetzen.

Die Vertragsklauseln sollten:

  • Definieren Sie Mindestsicherheitsstandards wie z. B. ISO 27001-Zertifizierung, SOC 2 Type II-Berichte oder NIST-Frameworks.
  • Erfordern Sie regelmäßige Risikobewertungen und Penetrationstests, wobei die Ergebnisse auf Anfrage geteilt werden.
  • Verpflichtung der Parteien, sich gegenseitig über Sicherheitsvorfälle innerhalb eines definierten Zeitrahmens zu informieren – in der Regel 24 bis 48 Stunden.
  • Einbeziehung von Auditrechten zur Überprüfung der Einhaltung, mit angemessener Ankündigung und Umfangsbeschränkungen.
  • Adressdatenverschlüsselung sowohl im Ruhezustand als auch im Transit, wobei Algorithmen und Schlüsselmanagement spezifiziert werden.
  • Erfordern Sie vom Prozessor, einen umfassenden Incident Response Plan zu erstellen.

Zudem gibt es immer mehr Verträge, die Service-Level-Agreements (SLAs) für Sicherheit mit Sanktionen für Nichteinhaltung beinhalten, was die Sicherheit von einem Checklistenpunkt zu einer messbaren vertraglichen Verpflichtung verschiebt.

3. Verletzungsanzeige

Die rechtzeitige Benachrichtigung über Datenschutzverletzungen ist ein Eckpfeiler des modernen Datenschutzrechts. Die DSGVO verpflichtet die Aufsichtsbehörde, mit begrenzten Ausnahmen innerhalb von 72 Stunden nach Bekanntwerden der Datenschutzerklärung zu informieren. Der CCPA verpflichtet Unternehmen, die Einwohner Kaliforniens unverzüglich nach der Entdeckung eines Verstoßes zu benachrichtigen, der personenbezogene Daten beeinträchtigt. Die Gesetze zur Meldung von Datenschutzverletzungen in allen 50 US-Bundesstaaten fügen weitere Komplexität hinzu, die jeweils mit ihren eigenen Zeitleisten- und Inhaltsanforderungen einhergehen. Diese rechtlichen Pflichten müssen in vertraglichen Bestimmungen enthalten sein, um sicherzustellen, dass jede Partei ihre Berichtspflichten versteht und dass nachgelagerte Benachrichtigungen ordnungsgemäß fließen.

Vertragsverletzungsklauseln sollten Folgendes enthalten:

  • Definition eines Verstoßes – mit geltendem Recht vereinbaren; erwägen, mutmaßliche Verstöße als Auslöseereignisse einzuschließen.
  • Zeitleiste der Benachrichtigung – oft 24 bis 48 Stunden für die erste Benachrichtigung der anderen Vertragspartei, gefolgt von detaillierten Informationen innerhalb eines längeren Zeitraums (72 Stunden bis 7 Tage).
  • Inhalt der Benachrichtigung – welche Informationen müssen bereitgestellt werden: Art der Verletzung, Kategorien der betroffenen Daten, Anzahl der betroffenen Personen, ergriffene Abhilfemaßnahmen und Kontaktstelle.
  • Kooperationsverpflichtungen – Pflichten zur Unterstützung bei der Untersuchung, Abschwächung und Dokumentation des Verstoßes für regulatorische Einreichungen.
  • Kostenzuweisung – wer trägt die Kosten für Benachrichtigung, Kreditüberwachung und Sanierung.

In der Praxis empfehlen wir, eine vorab vereinbarte Benachrichtigungsvorlage zu erstellen und als Anhang zum Vertrag aufzunehmen, was die Verzögerung während eines tatsächlichen Vorfalls verringert.

4. Einhaltung der Verpflichtungen und Entschädigung

Verträge müssen die Verantwortung für die Einhaltung der geltenden Datenschutzgesetze zuweisen. Dazu gehört die Definition der Partei, die der "Datenverantwortliche" oder "Geschäft" ist, gegenüber dem "Datenverarbeiter" oder "Dienstleister" nach dem jeweiligen System. Die Klassifizierung bestimmt, wer primäre Pflichten hat, wie z. B. die Beantwortung von Anfragen des Betroffenen, die Durchführung von Datenschutzfolgenabschätzungen (DPIAs) und die Führung von Datenverarbeitungsaufzeichnungen. Fehlklassifizierung kann zu einer direkten Haftung für beide Parteien führen.

Auch Entschädigungsklauseln haben sich weiterentwickelt. Viele Organisationen verlangen nun von den Gegenparteien, dass sie für Verluste entschädigt werden, die durch die Verletzung der Datenschutzgesetze durch die Gegenpartei oder die Nichteinhaltung vertraglicher Datenschutzbestimmungen entstehen. Diese Klauseln müssen jedoch sorgfältig ausgearbeitet werden, um Konflikte mit gesetzlichen Grenzen der Entschädigung zu vermeiden. Beispielsweise können Dienstleister nach dem CCPA die Haftung für ihre eigenen Verstöße nicht verschieben. Ebenso können die Bestimmungen des gemeinsamen Verantwortlichen der DSGVO eine vollständige Entschädigung verhindern.

Erwägen Sie, eine Bestimmung aufzunehmen, nach der die entschädigende Partei die andere über alle aufsichtsrechtlichen Untersuchungen oder Ansprüche Dritter im Zusammenhang mit der Datenverarbeitung benachrichtigen muss, damit die entschädigte Partei ihre eigene Verteidigungs- und Vergleichsstrategie verwalten kann.

5. Datenübermittlungsmechanismen

Internationale Datenübermittlungen sind zu einem der schwierigsten Vertragsprobleme geworden. Nach der Ungültigkeit des Privacy Shield-Rahmens (Schrems-II-Entscheidung) müssen sich Unternehmen auf die Standardvertragsklauseln (SCCs) oder Binding Corporate Rules (BCRs) verlassen, um personenbezogene Daten aus dem Europäischen Wirtschaftsraum (EWR) in Drittländer zu übertragen. Die Europäische Kommission hat die SCCs im Juni 2021 aktualisiert, um eine modulare Struktur für Controller-to-Controller-, Controller-to-Prozessor-, Prozessor-to-Prozessor- und Prozessor-to-Controller-Übertragungen aufzunehmen. Jedes Modul enthält Verpflichtungen für Datenschutzfolgenabschätzungen (DPIAs) und ergänzende Maßnahmen, wenn die Gesetze des Ziellandes den vertraglichen Schutz beeinträchtigen könnten.

Verträge, die grenzüberschreitende Datenströme beinhalten, müssen diese Mechanismen ausdrücklich erwähnen und gegebenenfalls ergänzende Maßnahmen enthalten.

Klauseln sollten Folgendes umfassen:

  • Identifikation des Transfermechanismus (SCCs, BCRs, Angemessenheitsbeschluss der Europäischen Kommission).
  • Verpflichtung zur Durchführung einer Transfer-Folgenabschätzung (TIA) vor Beginn der Transfers und danach in regelmäßigen Abständen.
  • Anforderungen an Weiterleitungsübermittlungen an Unterauftragsverarbeiter, einschließlich der Abwicklung von SCC-Verpflichtungen.
  • Kündigungsrechte, wenn der Übertragungsmechanismus ungültig wird oder wenn die empfangende Partei kein gleichwertiges Schutzniveau gewährleisten kann - oft als "Sunset-Klausel" bezeichnet.

Herausforderungen in Multi-Jurisdiktional Contracts

Die Ausarbeitung datenschutzkonformer Verträge wird exponentiell komplexer, wenn mehrere Gerichtsbarkeiten involviert sind. Es können widersprüchliche Anforderungen auftreten. Zum Beispiel können die Datenschutzgrundsätze der DSGVO mit lokalen Datenspeicherungsgesetzen in bestimmten Ländern kollidieren. Der CCPA definiert „personenbezogene Informationen weitgehend, um Rückschlüsse aus Daten zu ziehen, während andere Gesetze deidentifizierte Daten liberaler ausarbeiten. Darüber hinaus unterscheiden sich die Durchsetzungsprioritäten: Die niederländische Datenschutzbehörde war besonders aggressiv gegenüber Datenschutzbehörden, während die kalifornische Datenschutzbehörde (CPPA) sich auf Opt-out-Mechanismen und dunkle Muster konzentriert hat.

Unternehmen, die grenzüberschreitend tätig sind, müssen einen -Schichtansatz verfolgen:

  • Verwenden Sie eine „Suprematieklausel, die besagt, dass der Vertrag so ausgelegt wird, dass er dem strengsten geltenden Datenschutzrecht entspricht, was Konflikte verhindert, aber zu Unsicherheiten bei Rechtsstreitigkeiten führen kann.
  • Es sollten Bestimmungen aufgenommen werden, die automatisch aktualisiert werden, um Gesetzesänderungen Rechnung zu tragen, und bei jeder Änderung einer Verordnung eine vollständige Neuverhandlung vermieden wird, beispielsweise könnte eine Klausel vorsehen, dass Verweise auf Datenschutzgesetze die aktuellste Fassung bedeuten.
  • Beauftragen Sie den örtlichen Anwalt, um zu überprüfen, ob die Vertragsbedingungen in jeder relevanten Gerichtsbarkeit durchsetzbar sind, insbesondere für Entschädigungs- und Datentransferklauseln.
  • Erwägen Sie die Annahme eines globalen Datenschutz-Addendums, das SCCs und andere Übertragungsmechanismen nach Bedarf enthält, zusammen mit einem gerichtsspezifischen Zeitplan, der die allgemeinen Bestimmungen für die Einhaltung lokaler Gesetze außer Kraft setzt.

Best Practices für die Erstellung datenschutzkonformer Verträge

Angesichts der Herausforderungen sollten Unternehmen einen systematischen Ansatz zur Integration der Privatsphäre in ihre Verträge verfolgen.

  1. Durchführen einer Datenmapping-Übung – verstehen, welche personenbezogenen Daten in, durch und aus jedem Vertragsverhältnis fließen. Dieser grundlegende Schritt informiert alle anderen Vertragsbestimmungen.
  2. Verwenden Sie standardisierte Vorlagen – entwickeln Sie Boilerplate-Klauseln für DPAs, Sicherheitsmaßnahmen und Verletzungsbenachrichtigung, ermöglichen jedoch eine Anpassung basierend auf den spezifischen Datenverarbeitungsaktivitäten. Vermeiden Sie eine Einheitssprache, die möglicherweise nicht zur eigentlichen Verarbeitung passt.
  3. Verhandeln Sie frühzeitig – Datenschutzbestimmungen sollten während der ersten Verhandlungen diskutiert und nicht als nachträglicher Einfall hinzugefügt werden. Dies verhindert, dass Klauseln in letzter Minute gefeilscht werden, die die Zeitpläne für Geschäfte beeinträchtigen und den Schutz schwächen können.
  4. Flexibilität für zukünftige regulatorische Änderungen – Fügen Sie Klauseln hinzu, die von den Parteien verlangen, bei der Aktualisierung von Vereinbarungen zur Einhaltung neuer Gesetze zusammenzuarbeiten, ohne eine vollständige Neuverhandlung auszulösen.
  5. Verweisen Sie interne Rechenschaftspflicht – benennen Sie einen Datenschutzbeauftragten oder ein Mitglied des Rechtsteams, der alle Verträge mit personenbezogenen Daten vor der Ausführung überprüft.
  6. Monitor und Audit – regelmäßig Anbieter und Dienstleister prüfen, um zu bestätigen, dass sie die vertraglichen Datenschutz- und Sicherheitsverpflichtungen erfüllen.

Das Datenschutzgesetz entwickelt sich weiterhin rasant. Die Verabschiedung umfassender staatlicher Gesetze in Colorado, Virginia, Connecticut, Utah, Iowa und anderen US-Bundesstaaten – manchmal auch als “Mini-CCPAs” bezeichnet – wird bald einen Flickenteppich von Anforderungen schaffen, der die Notwendigkeit detaillierter und anpassbarer Vertragsklauseln erhöht. Viele dieser Gesetze enthalten Bestimmungen zu Datenschutzbewertungen, Verbraucherrechten und vertraglichen Anforderungen für Prozessoren, die den CCPA und CPRA widerspiegeln. Das California Office of the Attorney General setzt den CCPA weiterhin aggressiv durch und schafft einen Präzedenzfall für andere Staaten.

Inzwischen arbeitet die Europäische Kommission an weiteren Angemessenheitsentscheidungen und möglichen Aktualisierungen der DSGVO, einschließlich der vorgeschlagenen ePrivacy-Verordnung, die sich auf die Zustimmung zu Cookies und Direktmarketing-Verträge auswirken wird. Die Verwendung von automatisierten Entscheidungsfindungen und AI stellt neue Vertragsherausforderungen dar: Die Parteien müssen entscheiden, wie sie die Verwendung personenbezogener Daten in maschinellen Lernmodellen regeln, einschließlich der Erklärungs- und Opt-out-Rechte. Der EU-KI-Gesetz wird nach seiner Fertigstellung zusätzliche vertragliche Anforderungen für hochriskante KI-Systeme, die personenbezogene Daten verarbeiten, auferlegen.

Die Regulierungsbehörden konzentrieren sich zunehmend auf die Durchsetzung von Vertragsbestimmungen. 2022 verhängte die niederländische Datenschutzbehörde eine Geldbuße gegen ein Unternehmen, teilweise weil sein Datenschutzabkommen mit einem Auftragsverarbeiter vage war und keine spezifischen Sicherheitsmaßnahmen vorlagen. 2023 verhängte die irische Datenschutzkommission eine Geldbuße gegen ein großes Technologieunternehmen, weil es nicht sichergestellt hatte, dass seine vertraglichen Vereinbarungen mit Auftragsverarbeitern den DSGVO-Standards entsprachen. Diese Trends unterstreichen, dass die Sprache der Boilerplates nicht mehr ausreicht; Verträge müssen präzise, praktisch und an den tatsächlichen Verarbeitungsaktivitäten ausgerichtet sein.

Schlussfolgerung

Datenschutzgesetze haben die Landschaft der Vertragsgestaltung und -verhandlungen grundlegend verändert. Von Datenverarbeitungsdefinitionen bis hin zu Fristen für die Verletzung von Benachrichtigungen und grenzüberschreitenden Übertragungsmechanismen muss jede Klausel nun die rechtlichen Gegebenheiten des Datenschutzes widerspiegeln. Organisationen, die in robuste, datenschutzkonforme Verträge investieren, vermeiden nicht nur regulatorische Sanktionen, sondern bauen auch Vertrauen bei Kunden, Partnern und Verbrauchern auf. Da sich die Datenschutzbestimmungen vervielfachen und weiterentwickeln, wird eine kontinuierliche Überprüfung und Aktualisierung der Vertragsklauseln unerlässlich sein. Durch die Beibehaltung von Informationen und proaktiven Maßnahmen können Unternehmen die Einhaltung der Datenschutzbestimmungen von einer Haftung in einen Wettbewerbsvorteil verwandeln.

Für weitere Informationen siehe den offiziellen Text der GDPR, der CCPA und Leitlinien der Federal Trade Commission zur Datensicherheit.