Die dänische Datenschutzbehörde hat einige Änderungen an der Standard-Datenverarbeitungsvereinbarung vorgenommen, die die Verpflichtung betreffen, den für die Datenverarbeitung Verantwortlichen als Drittbegünstigten im Falle eines Konkurses des Datenverarbeiters einzubeziehen.
Die dänische Datenschutzbehörde hat zwei Änderungen an ihrer Standardvereinbarung zur Datenverarbeitung vorgenommen. Beide Änderungen betreffen dieselbe Bestimmung und beziehen sich auf die Verpflichtung, den für die Verarbeitung Verantwortlichen als Drittbegünstigten im Falle des Konkurses des Datenverarbeiters einzubeziehen. Die Änderungen bestehen aus:
- Die Bestimmung wird nun als fakultativ für den für die Verarbeitung Verantwortlichen und den Auftragsverarbeiter hervorgehoben, um sie in den Datenverarbeitungsvertrag aufzunehmen.
- Der Wortlaut der Bestimmung wurde an den Wortlaut der entsprechenden Bestimmung in den Standardvertragsklauseln der Europäischen Kommission für Datenverarbeitungsverträge vom 4. Juni 2021 angeglichen.
Hintergrund für die Änderungen
Die dänische Datenschutzbehörde hat mehrere Anfragen zur Bedeutung der fraglichen Bestimmung erhalten. Unter anderem wurde betont, dass die Bestimmung in der Praxis schwierig zu handhaben ist und dass sie möglicherweise nicht die beabsichtigte Wirkung hat.
Die Bestimmung ist keine unmittelbare Vorschrift der DSGVO, sondern ein Versuch der dänischen Datenschutzbehörde, sicherzustellen, dass der für die Verarbeitung Verantwortliche seine Pflichten als für die Verarbeitung Verantwortlicher im Falle des Konkurses des Datenverarbeiters weiterhin erfüllen kann.
Da sich die Bestimmung nicht direkt aus den Datenschutzvorschriften ergibt, hat die dänische Datenschutzbehörde beschlossen zu betonen, dass die Bestimmung fakultativ ist.
Die dänische Datenschutzbehörde weist jedoch nach wie vor darauf hin, dass die Aufnahme dieser Bestimmung in die Hauptbestimmungen der Datenverarbeitungsvereinbarung zwar nunmehr fakultativ ist, der für die Verarbeitung Verantwortliche jedoch nach wie vor dafür verantwortlich ist, dass personenbezogene Daten in Fällen, in denen der Datenverarbeiter seine Tätigkeit eingestellt hat oder in Konkurs gegangen ist, angemessen geschützt (gelöscht oder zurückgegeben) werden.
Die Änderungen sind dem EDPB vorgelegt worden
Die Änderungen der dänischen Datenschutzbehörde wurden dem Europäischen Datenschutzausschuss (EDPB) vorgelegt, der keine Einwände gegen die Änderungen erhoben hat. Die Bestimmung – und die hinzugefügten Änderungen – haben daher weiterhin den Charakter von Standardvertragsklauseln gemäß Artikel 28 Absatz 8 der Datenschutz-Grundverordnung.
Die oben beschriebenen Änderungen wurden sowohl in die dänische als auch in die englische Fassung der Standard-Datenverarbeitungsvereinbarung der dänischen Datenschutzbehörde aufgenommen, die Sie hier finden können.