Standardvertragsklauseln

Standardvertragsklauseln, oft als SCC abgekürzt, sind von der Europäischen Kommission veröffentlichte Vertragsmuster. Sie dienen als Garantie dafür, dass personenbezogene Daten auch dann angemessen geschützt sind, wenn sie an einen Empfänger außerhalb der Europäischen Union übermittelt werden. Die Klauseln werden zwischen Datenexporteur und Datenimporteur geschlossen und dürfen inhaltlich nicht verändert werden. Ergänzend ist zu prüfen, ob im Zielland tatsächlich ein vergleichbares Schutzniveau erreicht wird.

Im Kontext von KI-Werkzeugen ist das kein Randthema. Viele Sprachmodelle, Bildgeneratoren, Transkriptionsdienste und Telefonassistenten werden von Anbietern außerhalb der EU betrieben oder nutzen Rechenzentren und Unterauftragnehmer in Drittländern. Sobald ein Handwerksbetrieb Kundendaten, Baustellenfotos oder Personalunterlagen in ein solches System gibt, findet eine Übermittlung statt, auch wenn die Oberfläche auf Deutsch erscheint und der Vertrag mit einer europäischen Niederlassung geschlossen wurde.

Was das im Betrieb bedeutet

Der Betrieb muss die Klauseln nicht selbst formulieren. In der Praxis stellt der Anbieter sie als Bestandteil seiner Vertragsunterlagen bereit, meist zusammen mit dem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Aufgabe besteht darin, zu prüfen, ob solche Unterlagen überhaupt existieren, sie herunterzuladen und abzulegen. Fehlen sie vollständig, ist das ein deutliches Signal, den Dienst für personenbezogene Inhalte nicht zu verwenden.

Zwei Punkte lohnen einen genaueren Blick. Erstens der angegebene Speicherort: Manche Anbieter bieten eine Verarbeitung innerhalb der EU an, teils nur in bestimmten Tarifen. Dann entfällt die Frage weitgehend. Zweitens die Unterauftragnehmer, die häufig in einer verlinkten Liste stehen und sich ändern können. Wer diese Liste einmal ansieht, versteht schnell, wie weit die Verarbeitungskette tatsächlich reicht.

Für kleinere Betriebe ist die pragmatische Konsequenz meist eine Auswahlentscheidung statt einer juristischen Prüfung. Ein bis zwei geprüfte Werkzeuge werden freigegeben, alles andere bleibt für Kundendaten gesperrt. Wo besonders vertrauliche Unterlagen im Spiel sind, etwa bei Auftraggebern mit eigenen Sicherheitsanforderungen, kommt auch eine On-Premise-Lösung infrage.

Zu bedenken ist, dass die Klauseln allein die Übermittlung absichern, nicht aber die Frage, ob eine Verarbeitung überhaupt zulässig ist. Rechtsgrundlage nach Art. 6 DSGVO, Zweckbindung und Datensparsamkeit gelten unverändert. Ein Dienst mit vorbildlichen Vertragsunterlagen ist also kein Freibrief dafür, vollständige Personalakten oder vertrauliche Auftraggeberpläne hochzuladen. Beide Ebenen müssen zusammenpassen, sonst ist die Prüfung nur formal erledigt.

Die Ablage der Unterlagen sollte auffindbar sein. Kommt eine Frage aus einer Präqualifikation oder von einem Industriekunden, lässt sich mit Vertrag, Klauseln und Angabe zum Speicherort in wenigen Minuten antworten. Für Bauunternehmen ist das inzwischen ein wiederkehrender Punkt in Lieferantenfragebögen.