--- name: avv-eu-kommission-musterklauseln-2021-915 description: "EU-Kommissions-Standardvertragsklauseln zwischen Verantwortlichem und Auftragsverarbeiter nach Beschluss (EU) 2021/915 vom 04.06.2021. Diese Klauseln sind nicht zu verwechseln mit den Drittlands-SCC nach Beschluss (EU) 2021/914. Anwendungsbereich Aufbau und Verwendung als Mustervertragsanlage. Ou..." --- # EU-Kommissions-Standardvertragsklauseln Controller-Processor (Beschluss (EU) 2021/915) ## Zweck / Purpose Anwendung und Aufbau der EU-Kommissions-Standardvertragsklauseln zwischen Verantwortlichem und Auftragsverarbeiter nach Beschluss (EU) 2021/915 vom 04.06.2021. Diese Klauseln decken den AVV nach Art. 28 DSGVO ab und sind nicht zu verwechseln mit den Drittland-SCC nach Beschluss (EU) 2021/914. Purpose (EN): EU Commission standard contractual clauses between controller and processor under Decision (EU) 2021/915 of 04 June 2021. ## Wann dieses Modul hilft - Mandant moechte einen vorgefertigten, von der EU-Kommission gebilligten AVV-Vertragssatz verwenden. - Aufsichtsbehoerde fragt, warum der eigene AVV nicht den EU-Musterklauseln folgt. - Es ist abzugrenzen, dass die "SCC" hier nicht die Drittland-SCC nach Beschluss (EU) 2021/914 sind. ## Rechtlicher Rahmen - Beschluss (EU) 2021/915 der Kommission vom 04.06.2021 ueber Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemaess Art. 28 Abs. 7 DSGVO und Art. 29 Abs. 7 EU-Verordnung 2018/1725. - Veroeffentlichung im Amtsblatt der EU L 199/18 vom 07.06.2021. - Art. 28 Abs. 6 DSGVO: Verantwortlicher und Auftragsverarbeiter koennen die SCC nach Abs. 7 oder Abs. 8 verwenden – Vorteil: Klauseln gelten "as is", keine Einzelpruefung gegen Art. 28 Abs. 3 noetig, soweit unveraendert. - Art. 28 Abs. 7 DSGVO: Kommission erlaesst die SCC; Art. 28 Abs. 8 DSGVO: Aufsichtsbehoerden koennen eigene SCC erlassen. ## Ablauf / Checkliste 1. **Abgrenzung pruefen.** - Beschluss (EU) 2021/915 = AVV Verantwortlicher zu Auftragsverarbeiter im EWR-Binnenkontext. - Beschluss (EU) 2021/914 = Drittlandtransfer-SCC (vier Module: C2C, C2P, P2P, P2C); in Kraft seit 27.06.2021. - Beide koennen nebeneinander verwendet werden, wenn Auftragsverarbeiter im Drittland sitzt. 2. **Struktur des Beschluss (EU) 2021/915.** - Klausel 1 Zweck und Anwendungsbereich. - Klausel 2 Unveraenderlichkeit (Klauseln nicht abaendern, aber ergaenzen). - Klausel 3 Auslegung. - Klausel 4 Hierarchie (Vorrang vor anderen vertraglichen Bestimmungen). - Klausel 5 Verarbeitungstaetigkeiten (Anhang I). - Klausel 6 Beschreibung der Verarbeitung (Anhang I). - Klausel 7 Pflichten der Parteien (Art. 28 Abs. 3 lit. a bis h DSGVO). - Klausel 8 Sub-Auftragsverarbeiter (Anhang IV). - Klausel 9 Internationale Datenuebermittlung (Verweis auf SCC Beschluss (EU) 2021/914). - Klausel 10 Unterstuetzung des Verantwortlichen. - Klausel 11 Beendigung. - Anhang II TOM, Anhang III Liste Sub-AV, Anhang IV Liste der Verarbeitungstaetigkeiten. 3. **Auswahl und Ausfuellung.** - Klauseln 1 bis 11 unveraendert uebernehmen. - Anhaenge konkret befuellen: keine Pauschalformulierungen. - Bei Konzern-/Multi-Party-Konstellationen ggf. Beitrittsmechanik (Docking Clause analog Beschluss 2021/914). 4. **Begrenzung.** - Die Klauseln decken Art. 28 DSGVO ab, nicht Art. 26 (Joint Control) und nicht Art. 13/14 (Informationspflichten). - Sie ersetzen keine Drittland-SCC; wenn Daten aus dem EWR herausfliessen, muessen zusaetzlich die SCC nach Beschluss (EU) 2021/914 abgeschlossen werden. ## Mustertext / Template Bezugnahme-Klausel zur Inkorporation des Beschluss (EU) 2021/915 in den Hauptvertrag: > "Soweit der Auftragnehmer für den Auftraggeber personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO verarbeitet, gelten erganzend zum Hauptvertrag die Standardvertragsklauseln der EU-Kommission gemaess Durchfuehrungsbeschluss (EU) 2021/915 vom 04.06.2021 in der jeweils geltenden Fassung. Die Klauseln 1 bis 11 des Beschluss (EU) 2021/915 werden ohne Aenderung uebernommen; die Anhaenge I bis IV sind als Anlagen 1 bis 4 zu dieser Vereinbarung beigefuegt und integraler Bestandteil der Vereinbarung. Im Fall eines Widerspruchs zwischen einer Bestimmung des Hauptvertrags und einer Klausel des Beschluss (EU) 2021/915 gehen die Klauseln des Beschluss (EU) 2021/915 vor." ## Typische Drafting-Fehler - Verwechslung mit Beschluss (EU) 2021/914 (Drittland-SCC). - Klauseln werden im Text geaendert (Klausel 2 verbietet das ausdruecklich). - Anhaenge bleiben leer oder enthalten Verweise statt konkreter Inhalte. - Inkorporation nur "soweit anwendbar" – das schwaecht die Bindungswirkung. - Es wird vergessen, dass die SCC nach Beschluss (EU) 2021/915 nicht im Verhaeltnis Verantwortlicher / Verantwortlicher gelten (dafür waeren die C2C-Module aus Beschluss 2021/914 zu verwenden, allerdings nur bei Drittlandbezug). ## Quellen Stand 06/2026 - Durchfuehrungsbeschluss (EU) 2021/915 der Kommission vom 04.06.2021, ABl. L 199/18 vom 07.06.2021 – verifiziert. - Durchfuehrungsbeschluss (EU) 2021/914 der Kommission vom 04.06.2021, ABl. L 199/31 vom 07.06.2021 – in Kraft seit 27.06.2021 – verifiziert. - Art. 28 Abs. 6 bis 8 DSGVO. - Zitierweise: `../../../references/zitierweise.md`. ## Normen und Rechtsprechung ### Kuratierte Normen-Bibliothek - Art. 5 DSGVO (Grundsätze der Verarbeitung) - Art. 6, 9 DSGVO (Rechtsgrundlagen, besondere Datenkategorien) - Art. 13, 14 DSGVO (Informationspflichten) - Art. 15 DSGVO (Auskunftsrecht) - Art. 28 DSGVO (Auftragsverarbeitung) - Art. 32 DSGVO (Sicherheit der Verarbeitung) - Art. 33, 34 DSGVO (Meldepflichten bei Verletzung) - Art. 82 DSGVO (Schadensersatz) - Art. 83 DSGVO (Bußgelder) - §§ 4, 20, 41 BDSG (Aufsicht, Rechtsweg, Strafvorschriften) ### Leitentscheidungen - EuGH C-300/21 (immaterieller Schaden Art. 82 DSGVO) - EuGH C-634/21 (automatisierte Bonitätsbewertung Schufa) - EuGH C-26/22 (Datenschutzbehörden-Befugnisse) - EuGH C-807/21 (Bußgeldhaftung juristischer Personen) - BVerfG 1 BvR 16/13 (Recht auf Vergessen I) ### Anwendung im Skill - Rechtsgrundlage nach Art. 6 DSGVO sauber waehlen; berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Abwaegung. - Bei Datenpannen die 72-Stunden-Frist nach Art. 33 DSGVO einhalten; Risikoabwaegung Art. 34 DSGVO separat dokumentieren. - Auskunftsanspruch Art. 15 DSGVO nicht mit Kopie nach Art. 15 Abs. 3 DSGVO verwechseln; EuGH C-307/22 Reichweite beachten.