Nachdem der Europäische Gerichtshof mit dem Schrems-II-Entscheid im Juli 2020 den EU-US Privacy Shield für ungültig erklärt hatte, bestand eine grosse Unsicherheit darüber, unter welchen Umständen noch Personendaten in Länder wie die USA übermittelt werden dürfen. Die Europäische Kommission hat auf diese Unsicherheit reagiert und am 4. Juni 2021 ihre revidierten Standardvertragsklauseln (SCC) veröffentlicht. Die Standardvertragsklauseln sehen vertragliche Garantien vor, die den Export von Daten in Länder mit tieferem Datenschutzniveau absichern sollen. Wer Daten in solche Länder exportiert, kann mit dem Empfänger der Daten einen entsprechenden Vertrag schliessen und zusätzliche Schutzmassnahmen vorsehen.
Das schweizerische Datenschutzgesetz sieht in Art. 6 Abs. 2 lit. a DSG vor, dass ein Export mittels solcher Verträge legitimiert werden kann. Das revidierte DSG, welches voraussichtlich per 1.1.2023 in Kraft treten wird, sieht dies ebenfalls in Art. 16 Abs. 2 lit. d revDSG vor. Werden Standardvertragsklauseln eingesetzt, so muss dies dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragen (EDÖB) gegenwärtig gemäss Art. 6 Abs. 3 DSG gemeldet werden. Mit dem revidierten DSG entfällt diese Meldepflicht, wenn Standardvertragsklauseln verwendet werden, die der EDÖB zuvor genehmigt, ausgestellt oder anerkannt hat.
Die revidierten SCC der Europäischen Kommission wurden vom EDÖB am 27. August 2021 anerkannt. Gleichzeitig hat der EDÖB ein Informationspapier publiziert, in welchem er die Verwendung der revidierten SCC erläutert. Die europäischen SCC sind für den Einsatz unter der europäischen DSGVO ausgelegt. Für Schweizer Datenexporteure müssen die SCC gemäss den Angaben des EDÖB angepasst werden, so dass sie mit dem Schweizer Recht harmonieren.