avv-eu-kommission-musterklauseln-2021-915

name: avv-eu-kommission-musterklauseln-2021-915 description: "EU-Kommissions-Standardvertragsklauseln zwischen Verantwortlichem und Auftragsverarbeiter nach Beschluss (EU) 2021/915 vom 04.06.2021. Diese Klauseln sind nicht zu verwechseln mit den Drittlands-SCC nach Beschluss (EU) 2021/914. Anwendungsbereich Aufbau und Verwendung als Mustervertragsanlage. Ou..."

EU-Kommissions-Standardvertragsklauseln Controller-Processor (Beschluss (EU) 2021/915)

Zweck / Purpose

Anwendung und Aufbau der EU-Kommissions-Standardvertragsklauseln zwischen Verantwortlichem und Auftragsverarbeiter nach Beschluss (EU) 2021/915 vom 04.06.2021. Diese Klauseln decken den AVV nach Art. 28 DSGVO ab und sind nicht zu verwechseln mit den Drittland-SCC nach Beschluss (EU) 2021/914. Purpose (EN): EU Commission standard contractual clauses between controller and processor under Decision (EU) 2021/915 of 04 June 2021.

Wann dieses Modul hilft

• Mandant moechte einen vorgefertigten, von der EU-Kommission gebilligten AVV-Vertragssatz verwenden.
• Aufsichtsbehoerde fragt, warum der eigene AVV nicht den EU-Musterklauseln folgt.
• Es ist abzugrenzen, dass die "SCC" hier nicht die Drittland-SCC nach Beschluss (EU) 2021/914 sind.

Rechtlicher Rahmen

• Beschluss (EU) 2021/915 der Kommission vom 04.06.2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Art. 28 Abs. 7 DSGVO und Art. 29 Abs. 7 EU-Verordnung 2018/1725.
• Veroeffentlichung im Amtsblatt der EU L 199/18 vom 07.06.2021.
• Art. 28 Abs. 6 DSGVO: Verantwortlicher und Auftragsverarbeiter können die SCC nach Abs. 7 oder Abs. 8 verwenden – Vorteil: Klauseln gelten "as is", keine Einzelpruefung gegen Art. 28 Abs. 3 noetig, soweit unveraendert.
• Art. 28 Abs. 7 DSGVO: Kommission erlaesst die SCC; Art. 28 Abs. 8 DSGVO: Aufsichtsbehoerden können eigene SCC erlassen.

Ablauf / Checkliste

1. Abgrenzung prüfen.

• Beschluss (EU) 2021/915 = AVV Verantwortlicher zu Auftragsverarbeiter im EWR-Binnenkontext.
• Beschluss (EU) 2021/914 = Drittlandtransfer-SCC (vier Module: C2C, C2P, P2P, P2C); in Kraft seit 27.06.2021.
• Beide können nebeneinander verwendet werden, wenn Auftragsverarbeiter im Drittland sitzt.

2. Struktur des Beschluss (EU) 2021/915.

• Klausel 1 Zweck und Anwendungsbereich.
• Klausel 2 Unveraenderlichkeit (Klauseln nicht abaendern, aber ergaenzen).
• Klausel 3 Auslegung.
• Klausel 4 Hierarchie (Vorrang vor anderen vertraglichen Bestimmungen).
• Klausel 5 Verarbeitungstaetigkeiten (Anhang I).
• Klausel 6 Beschreibung der Verarbeitung (Anhang I).
• Klausel 7 Pflichten der Parteien (Art. 28 Abs. 3 lit. a bis h DSGVO).
• Klausel 8 Sub-Auftragsverarbeiter (Anhang IV).
• Klausel 9 Internationale Datenuebermittlung (Verweis auf SCC Beschluss (EU) 2021/914).
• Klausel 10 Unterstuetzung des Verantwortlichen.
• Klausel 11 Beendigung.
• Anhang II TOM, Anhang III Liste Sub-AV, Anhang IV Liste der Verarbeitungstaetigkeiten.

3. Auswahl und Ausfuellung.

• Klauseln 1 bis 11 unveraendert uebernehmen.
• Anhaenge konkret befuellen: keine Pauschalformulierungen.
• Bei Konzern-/Multi-Party-Konstellationen ggf. Beitrittsmechanik (Docking Clause analog Beschluss 2021/914).

4. Begrenzung.

• Die Klauseln decken Art. 28 DSGVO ab, nicht Art. 26 (Joint Control) und nicht Art. 13/14 (Informationspflichten).
• Sie ersetzen keine Drittland-SCC; wenn Daten aus dem EWR herausfliessen, müssen zusaetzlich die SCC nach Beschluss (EU) 2021/914 abgeschlossen werden.

Mustertext / Template

Bezugnahme-Klausel zur Inkorporation des Beschluss (EU) 2021/915 in den Hauptvertrag:

"Soweit der Auftragnehmer für den Auftraggeber personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO verarbeitet, gelten erganzend zum Hauptvertrag die Standardvertragsklauseln der EU-Kommission gemäß Durchfuehrungsbeschluss (EU) 2021/915 vom 04.06.2021 in der jeweils geltenden Fassung. Die Klauseln 1 bis 11 des Beschluss (EU) 2021/915 werden ohne Änderung uebernommen; die Anhaenge I bis IV sind als Anlagen 1 bis 4 zu dieser Vereinbarung beigefuegt und integraler Bestandteil der Vereinbarung. Im Fall eines Widerspruchs zwischen einer Bestimmung des Hauptvertrags und einer Klausel des Beschluss (EU) 2021/915 gehen die Klauseln des Beschluss (EU) 2021/915 vor."

Typische Drafting-Fehler

• Verwechslung mit Beschluss (EU) 2021/914 (Drittland-SCC).
• Klauseln werden im Text geaendert (Klausel 2 verbietet das ausdruecklich).
• Anhaenge bleiben leer oder enthalten Verweise statt konkreter Inhalte.
• Inkorporation nur "soweit anwendbar" – das schwaecht die Bindungswirkung.
• Es wird vergessen, dass die SCC nach Beschluss (EU) 2021/915 nicht im Verhältnis Verantwortlicher / Verantwortlicher gelten (dafür waeren die C2C-Module aus Beschluss 2021/914 zu verwenden, allerdings nur bei Drittlandbezug).

Quellen Stand 06/2026

• Durchfuehrungsbeschluss (EU) 2021/915 der Kommission vom 04.06.2021, ABl. L 199/18 vom 07.06.2021 – verifiziert.
• Durchfuehrungsbeschluss (EU) 2021/914 der Kommission vom 04.06.2021, ABl. L 199/31 vom 07.06.2021 – in Kraft seit 27.06.2021 – verifiziert.
• Art. 28 Abs. 6 bis 8 DSGVO.
• Zitierweise: ../../../references/zitierweise.md.

Normen und Rechtsprechung

Kuratierte Normen-Bibliothek

• Art. 5 DSGVO (Grundsätze der Verarbeitung)
• Art. 6, 9 DSGVO (Rechtsgrundlagen, besondere Datenkategorien)
• Art. 13, 14 DSGVO (Informationspflichten)
• Art. 15 DSGVO (Auskunftsrecht)
• Art. 28 DSGVO (Auftragsverarbeitung)
• Art. 32 DSGVO (Sicherheit der Verarbeitung)
• Art. 33, 34 DSGVO (Meldepflichten bei Verletzung)
• Art. 82 DSGVO (Schadensersatz)
• Art. 83 DSGVO (Bußgelder)
• §§ 4, 20, 41 BDSG (Aufsicht, Rechtsweg, Strafvorschriften)

Leitentscheidungen

• EuGH C-300/21 (immaterieller Schaden Art. 82 DSGVO)
• EuGH C-634/21 (automatisierte Bonitätsbewertung Schufa)
• EuGH C-26/22 (Datenschutzbehörden-Befugnisse)
• EuGH C-807/21 (Bußgeldhaftung juristischer Personen)
• BVerfG 1 BvR 16/13 (Recht auf Vergessen I)

Anwendung im Skill

• Rechtsgrundlage nach Art. 6 DSGVO sauber waehlen; berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Abwaegung.
• Bei Datenpannen die 72-Stunden-Frist nach Art. 33 DSGVO einhalten; Risikoabwaegung Art. 34 DSGVO separat dokumentieren.
• Auskunftsanspruch Art. 15 DSGVO nicht mit Kopie nach Art. 15 Abs. 3 DSGVO verwechseln; EuGH C-307/22 Reichweite beachten.