Schrems II bezeichnet das Urteil des Europäischen Gerichtshofs vom 16. Juli 2020 in der Rechtssache C-311/18 zur Übermittlung personenbezogener Daten in Drittländer. Der EuGH erklärte darin den EU-US-Datenschutzschild (Privacy Shield) für ungültig und stellte klar, dass Standardvertragsklauseln zwar weiterhin gelten, Verantwortliche aber in jedem Einzelfall prüfen müssen, ob im Empfängerland ein der EU gleichwertiges Schutzniveau tatsächlich gewährleistet ist.

Was ist das Schrems-II-Urteil?

Das Schrems-II-Urteil ist die Entscheidung des Europäischen Gerichtshofs vom 16. Juli 2020, die den rechtlichen Rahmen für internationale Datentransfers grundlegend verschoben hat. Formal lautet der Fall „Data Protection Commissioner gegen Facebook Ireland Ltd und Maximillian Schrems“ (C-311/18); der geläufige Name geht auf den österreichischen Juristen Max Schrems zurück, dessen Beschwerde gegen die Übermittlung seiner Daten in die USA das Verfahren ausgelöst hatte.

Schrems II betrifft Kapitel V der Datenschutz-Grundverordnung, also die Art. 44 bis 50 DSGVO. Dort gilt der Grundsatz, dass das Schutzniveau der DSGVO durch eine Übermittlung in ein Drittland nicht untergraben werden darf. Der EuGH hat diesen Grundsatz in Schrems II vom Papier in die Praxis geholt: Entscheidend ist nicht, was ein Vertrag oder ein Beschluss der Kommission verspricht, sondern welches Schutzniveau im Empfängerland rechtlich und tatsächlich besteht – einschließlich der Zugriffsbefugnisse dortiger Sicherheitsbehörden.

Die praktische Wirkung von Schrems II reicht dabei weit über die USA hinaus. Weil das Urteil einen allgemeinen Prüfmaßstab formuliert, gilt es für jede Übermittlung in ein Land ohne Angemessenheitsbeschluss – also auch für Übermittlungen nach Indien, China oder in die Schweiz vor deren Angemessenheitsentscheidung. Schrems II ist damit kein US-Sonderfall, sondern die maßgebliche Auslegung des gesamten Drittlandkapitels der DSGVO.

Was hat der EuGH in Schrems II konkret entschieden?

Der EuGH hat in Schrems II zwei getrennte Entscheidungen getroffen. Erstens erklärte er den Durchführungsbeschluss (EU) 2016/1250 – den EU-US-Datenschutzschild oder Privacy Shield – für ungültig, und zwar mit sofortiger Wirkung und ohne Übergangsfrist. Rund 5.000 zertifizierte US-Unternehmen verloren damit über Nacht ihre Übermittlungsgrundlage. Zweitens bestätigte der EuGH die grundsätzliche Gültigkeit der Standardvertragsklauseln, knüpfte ihre Verwendung aber an eine zusätzliche Prüfpflicht.

Diese zweite Feststellung ist die folgenreichere. Standardvertragsklauseln binden nur die Vertragsparteien, nicht die Behörden des Drittlands. Der EuGH leitete daraus ab, dass Datenexporteur und Datenimporteur vor der Übermittlung gemeinsam bewerten müssen, ob die Klauseln im konkreten Empfängerland tatsächlich eingehalten werden können. Ist das nicht der Fall, sind zusätzliche Maßnahmen zu ergreifen; reichen auch diese nicht aus, muss die Übermittlung unterbleiben oder ausgesetzt werden. Zugleich verpflichtete der EuGH die Aufsichtsbehörden, Übermittlungen zu untersagen, wenn Verantwortliche dieser Pflicht nicht nachkommen.

Ein oft übersehener Punkt: Schrems II verlagert die Verantwortung. Vor dem Urteil genügte die Wahl eines von der Kommission genehmigten Instruments. Seither ist die Wahl des Instruments nur der erste Schritt, dem eine eigenständige, dokumentierte Bewertung folgen muss. Diese Bewertung liegt beim verantwortlichen Unternehmen, nicht beim Dienstleister und nicht bei der Kommission.

Warum hat der EuGH das Privacy Shield für ungültig erklärt?

Der EuGH erklärte das Privacy Shield für ungültig, weil das US-Überwachungsrecht nach seiner Bewertung keinen Schutz bot, der dem europäischen im Wesentlichen gleichwertig ist. Zwei Aspekte waren ausschlaggebend. Zum einen erlauben Section 702 des Foreign Intelligence Surveillance Act (FISA) und die Executive Order 12333 US-Nachrichtendiensten Zugriffe, die der Gerichtshof als nicht auf das zwingend Erforderliche beschränkt ansah – ein Verstoß gegen den Verhältnismäßigkeitsgrundsatz aus Art. 52 Abs. 1 der EU-Grundrechtecharta.

Zum anderen fehlte betroffenen Personen aus der EU ein wirksamer Rechtsbehelf im Sinne von Art. 47 der Grundrechtecharta. Der im Privacy Shield vorgesehene Ombudspersonen-Mechanismus genügte dem Gerichtshof nicht: Die Ombudsperson war Teil der Exekutive, gegenüber den Nachrichtendiensten nicht weisungsbefugt und konnte keine verbindlichen Entscheidungen treffen. Ohne unabhängige Kontrolle und durchsetzbare Rechte konnte die Kommission nach Auffassung des EuGH kein angemessenes Schutzniveau feststellen.

Was war Schrems I und wie hängt es mit Schrems II zusammen?

Schrems I ist das Vorgängerurteil des EuGH vom 6. Oktober 2015 in der Rechtssache C-362/14, mit dem das Safe-Harbor-Abkommen (Entscheidung 2000/520/EG) für ungültig erklärt wurde. Die Begründung ähnelte der späteren Entscheidung: unzureichende Begrenzung behördlicher Zugriffe und fehlender Rechtsschutz für EU-Bürger. Die Kommission ersetzte Safe Harbor daraufhin binnen weniger Monate durch das Privacy Shield – das der EuGH knapp vier Jahre später aus vergleichbaren Gründen kassierte.

Diese Chronologie erklärt, warum die datenschutzrechtliche Fachdiskussion Nachfolgeregelungen mit Vorsicht behandelt:

Jahr	Ereignis
2000	Safe-Harbor-Entscheidung 2000/520/EG der Europäischen Kommission
2015	Schrems I (C-362/14): Safe Harbor für ungültig erklärt
2016	Privacy Shield, Durchführungsbeschluss (EU) 2016/1250
2020	Schrems II (C-311/18): Privacy Shield für ungültig erklärt, Prüfpflicht bei Standardvertragsklauseln
2021	Neue Standardvertragsklauseln, Durchführungsbeschluss (EU) 2021/914; finale EDSA-Empfehlungen 01/2020
2022	US Executive Order 14086 zur Reform der Signals-Intelligence-Aufsicht
2023	Angemessenheitsbeschluss zum EU-US Data Privacy Framework (10. Juli 2023)

Welche Pflichten ergeben sich aus Schrems II für Unternehmen?

Aus Schrems II ergibt sich für Verantwortliche die Pflicht, jede Drittlandübermittlung eigenständig zu bewerten, das Ergebnis zu dokumentieren und die Bewertung regelmäßig zu wiederholen. Der Europäische Datenschutzausschuss (EDSA) hat dafür mit den Empfehlungen 01/2020 – finale Fassung vom Juni 2021 – ein sechsstufiges Vorgehen vorgegeben, das sich als Prüfstandard etabliert hat:

Übermittlungen erfassen. Vollständiges Mapping aller Datenflüsse, einschließlich Fernzugriffen aus dem Drittland, Support- und Wartungszugängen sowie Sub-Auftragsverarbeitern.
Übermittlungsinstrument bestimmen. Angemessenheitsbeschluss, geeignete Garantien nach Art. 46 DSGVO oder – eng auszulegende – Ausnahmen nach Art. 49 DSGVO.
Rechtslage und Praxis im Drittland bewerten. Kern des Transfer Impact Assessment: Gibt es Befugnisse, die den Garantien entgegenstehen, und wie werden sie tatsächlich angewandt?
Zusätzliche Maßnahmen festlegen. Technische, vertragliche und organisatorische Maßnahmen, die die identifizierten Lücken schließen.
Formale Schritte umsetzen. Vertragliche Anpassungen, gegebenenfalls Konsultation der Aufsichtsbehörde.
Regelmäßig neu bewerten. Rechtslagen und Anbieterstrukturen ändern sich; einmalige Prüfungen veralten.

Welches Instrument dabei überhaupt in Betracht kommt, richtet sich nach dem Empfängerland und der Art der Übermittlung:

Instrument	Rechtsgrundlage	Bedeutung nach Schrems II
Angemessenheitsbeschluss	Art. 45 DSGVO	Keine zusätzliche Prüfung erforderlich, solange der Beschluss gilt
Standardvertragsklauseln (SCC)	Art. 46 Abs. 2 lit. c DSGVO	Zulässig, aber nur mit Transfer Impact Assessment und gegebenenfalls zusätzlichen Maßnahmen
Binding Corporate Rules (BCR)	Art. 47 DSGVO	Für Konzernübermittlungen; gleiche Prüfpflicht wie bei SCC
Ausnahmen für den Einzelfall	Art. 49 DSGVO	Eng auszulegen, nicht für regelmäßige oder massenhafte Übermittlungen geeignet

Was ist ein Transfer Impact Assessment nach Schrems II?

Ein Transfer Impact Assessment (TIA) ist die dokumentierte Einzelfallprüfung, ob eine Drittlandübermittlung trotz der Rechtslage im Empfängerland ein gleichwertiges Schutzniveau erreicht. Das TIA ist die unmittelbare Umsetzung der Prüfpflicht aus Schrems II und in Klausel 14 der Standardvertragsklauseln von 2021 ausdrücklich verankert.

Inhaltlich betrachtet ein TIA die Art der übermittelten Daten und ihre Sensibilität, den Empfänger und seine Einordnung unter das Überwachungsrecht des Drittlands, den Übermittlungsweg, die eingesetzten Schutzmaßnahmen sowie dokumentierte Praxiserfahrungen wie Transparenzberichte oder bekannte Behördenanfragen. Vom Privacy Impact Assessment beziehungsweise der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist das TIA zu unterscheiden: Letztere bewertet das Risiko einer Verarbeitung für die Betroffenen, das TIA das Schutzniveau im Zielland.

In der Praxis scheitert die Umsetzung selten am Konzept, sondern an der Datengrundlage. Viele Organisationen kennen ihre tatsächlichen Datenflüsse nicht vollständig, weil Sub-Auftragsverarbeiter, Analyse-Werkzeuge, Supportzugänge und Backup-Standorte in den Verträgen nur pauschal beschrieben sind. Ein TIA ohne belastbares Mapping ist eine Formalie ohne Aussagekraft – und genau daran setzen Aufsichtsbehörden bei Prüfungen an.

Welche zusätzlichen Maßnahmen verlangt Schrems II?

Schrems II verlangt zusätzliche Maßnahmen immer dann, wenn die Prüfung ergibt, dass die Garantien des gewählten Instruments im Drittland nicht durchsetzbar sind. Als wirksam gelten dabei vor allem technische Maßnahmen. Der EDSA nennt insbesondere starke Ende-zu-Ende-Verschlüsselung, bei der die Schlüssel ausschließlich im Europäischen Wirtschaftsraum verbleiben und der Importeur keinen Zugriff auf Klartextdaten hat, sowie Verschlüsselung ruhender Daten und wirksame Pseudonymisierung, bei der eine Re-Identifizierung ohne die im EWR verbleibenden Zusatzinformationen ausgeschlossen ist.

Ebenso deutlich benennt der EDSA die Grenze: Rein vertragliche und organisatorische Maßnahmen – Transparenzberichte, Anfechtungspflichten, Benachrichtigungsklauseln – reichen nicht aus, wenn der Importeur zur Erfüllung seiner Leistung auf Klartextdaten zugreifen muss. Für klassische Cloud-Dienste, die Daten verarbeiten statt nur zu speichern, hat der EDSA in seinen Beispielen keine wirksame technische Maßnahme identifizieren können. Diese Feststellung ist der eigentliche Kern des Umsetzungsproblems und der Grund, warum viele Organisationen im Ergebnis auf einen Betrieb innerhalb des EWR ausweichen.

Gilt Schrems II noch nach dem EU-US Data Privacy Framework?

Schrems II gilt weiterhin, auch wenn der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF) vom 10. Juli 2023 Übermittlungen an zertifizierte US-Unternehmen ohne zusätzliche Garantien ermöglicht. Grundlage des Beschlusses ist die US-Präsidialverordnung Executive Order 14086 vom Oktober 2022, die Verhältnismäßigkeits- und Notwendigkeitsanforderungen für nachrichtendienstliche Zugriffe einführt und mit dem Data Protection Review Court eine neue Rechtsbehelfsinstanz für Betroffene aus der EU schafft.

Die Reichweite dieses Beschlusses ist jedoch begrenzt, und Schrems II bleibt in vier Konstellationen unmittelbar maßgeblich. Erstens deckt das DPF nur US-Organisationen ab, die sich aktiv zertifiziert haben und auf der Liste des US-Handelsministeriums geführt werden; für alle anderen US-Empfänger bleibt es bei Standardvertragsklauseln samt Prüfpflicht. Zweitens gilt der Angemessenheitsbeschluss ausschließlich für die USA – Übermittlungen in andere Drittländer erfordern unverändert ein Transfer Impact Assessment. Drittens muss der Zertifizierungsstatus fortlaufend überwacht werden, da er auslaufen oder entzogen werden kann. Viertens ist der Beschluss selbst angreifbar: Klagen gegen das DPF sind anhängig beziehungsweise Gegenstand von Rechtsmitteln, und die Kommission überprüft den Beschluss in regelmäßigen Abständen.

Für die Praxis folgt daraus eine nüchterne Konsequenz: Nach zwei gekippten Abkommen empfiehlt es sich, das DPF als Übermittlungsgrundlage zu nutzen, aber eine dokumentierte Rückfalloption vorzuhalten. Verträge, die keinen Wechsel des Verarbeitungsorts erlauben, werden zum Risiko, sobald sich die Rechtslage erneut ändert. Diese Vorsorge ist der Grund, warum Datensouveränität in Beschaffungsentscheidungen inzwischen ein eigenes Kriterium bildet.

Welche Rolle spielt der US CLOUD Act im Kontext von Schrems II?

Der US CLOUD Act verschärft die Fragestellung von Schrems II, weil er den Speicherort als alleiniges Kriterium entwertet. Das Gesetz verpflichtet US-Anbieter, Daten auf Anordnung US-amerikanischer Behörden herauszugeben, unabhängig davon, in welchem Land die Daten liegen. Ein Rechenzentrum in Frankfurt schließt einen Zugriff auf Daten eines US-beherrschten Anbieters daher nicht automatisch aus.

Datenschutzrechtlich stellt eine solche Herausgabe eine Übermittlung dar, für die eine Rechtsgrundlage nach Kapitel V DSGVO erforderlich ist. Art. 48 DSGVO bestimmt zudem, dass Entscheidungen von Drittlandbehörden nur anerkannt oder vollstreckt werden dürfen, wenn sie auf einer internationalen Übereinkunft wie einem Rechtshilfeabkommen beruhen. Anbieter geraten damit in einen echten Normkonflikt. Für Verantwortliche bedeutet das: Zur Bewertung gehört nicht nur der Serverstandort, sondern auch die Konzernstruktur des Anbieters, der Sitz der Muttergesellschaft und die Frage, wer administrativen Zugriff auf Systeme und Schlüssel hat. Diese Prüfung gehört in den Auftragsverarbeitungsvertrag und in das TIA.

Welche Entscheidungen und Bußgelder folgten auf Schrems II?

Auf Schrems II folgte eine Reihe von Aufsichtsentscheidungen, die den Prüfmaßstab konkretisiert haben. Die Organisation noyb um Max Schrems reichte im August 2020 zeitgleich 101 Beschwerden gegen Websitebetreiber ein, die US-Dienste zur Reichweitenmessung und Einbindung einsetzten. In der Folge bewerteten unter anderem die österreichische Datenschutzbehörde und die französische CNIL im Jahr 2022 den Einsatz von Google Analytics in der geprüften Konfiguration als unzulässige Drittlandübermittlung. Der Europäische Datenschutzbeauftragte kam in einem Verfahren gegen eine EU-Institution zu einer vergleichbaren Einschätzung.

Die bislang schwerwiegendste Sanktion verhängte die irische Aufsichtsbehörde im Mai 2023: 1,2 Milliarden Euro gegen Meta wegen fortgesetzter Datenübermittlungen in die USA auf Basis von Standardvertragsklauseln – das höchste bis dahin verhängte DSGVO-Bußgeld. Die Entscheidung zeigt, dass Aufsichtsbehörden Schrems II nicht als Auslegungsempfehlung behandeln, sondern als durchsetzbaren Maßstab, und dass die Verantwortung beim datenexportierenden Unternehmen liegt.

Was bedeutet Schrems II für Cloud- und Kommunikationsdienste?

Für Cloud- und Kommunikationsdienste bedeutet Schrems II, dass die Auswahl eines Anbieters zu einer datenschutzrechtlichen Entscheidung mit Nachweispflicht wird. Betroffen sind nicht nur offensichtliche Datenspeicher, sondern auch Dienste, deren Drittlandbezug im Alltag kaum auffällt: Push-Benachrichtigungen über Gateways außerhalb des EWR, Telemetrie- und Absturzberichte, Supportzugriffe aus Drittländern, Backup- und Wiederherstellungsprozesse sowie Sub-Auftragsverarbeiter der eingesetzten Plattform.

Kommunikationsdienste sind dabei besonders sensibel, weil neben den Inhalten auch Verbindungsdaten anfallen – wer wann mit wem kommuniziert. Diese Daten sind personenbezogen und in der Regel nicht durch Inhaltsverschlüsselung geschützt. Für Organisationen in regulierten Bereichen kommt hinzu, dass Berufsgeheimnisse, Verschlusssachen und einsatzbezogene Informationen ohnehin engere Anforderungen auslösen als die DSGVO-Konformität allein. Initiativen zur digitalen Souveränität wie Gaia-X sind eine direkte Reaktion auf diese Gemengelage.

Organisationen lösen die Anforderung in der Praxis meist dadurch, dass sie Kommunikationslösungen einsetzen, die vollständig innerhalb des EWR oder in der eigenen Infrastruktur betrieben werden, deren Verarbeitungskette einschließlich Sub-Auftragsverarbeitern dokumentiert ist und die keinen administrativen Zugriff aus Drittländern erfordern – womit die Frage nach zusätzlichen Maßnahmen gar nicht erst entsteht.

Welche typischen Fehler treten bei der Umsetzung von Schrems II auf?

Der häufigste Fehler bei Schrems II ist die Annahme, ein Angemessenheitsbeschluss oder ein unterschriebener Standardvertrag erledige die Prüfung. Weitere Schwachstellen, die in Aufsichtsverfahren regelmäßig auffallen:

Datenflüsse nur oberflächlich erfasst, Sub-Auftragsverarbeiter, Supportzugänge und Telemetrie bleiben unberücksichtigt
Transfer Impact Assessments als Textbausteine des Anbieters übernommen, statt eigenständig und fallbezogen bewertet
Serverstandort im EWR als hinreichendes Kriterium behandelt, ohne Konzernstruktur und administrative Zugriffe zu prüfen
Art. 49 DSGVO als Auffanglösung für regelmäßige Übermittlungen genutzt, obwohl die Ausnahmen eng auszulegen sind
Verschlüsselung als zusätzliche Maßnahme angeführt, obwohl der Importeur zur Leistungserbringung Klartextzugriff benötigt
keine Wiedervorlage: Bewertungen werden einmalig erstellt und nach Rechtsänderungen nicht aktualisiert
keine dokumentierte Rückfalloption, falls ein Angemessenheitsbeschluss erneut wegfällt

Zusammenfassung: Wichtige Punkte zu Schrems II

Schrems II ist das EuGH-Urteil vom 16. Juli 2020 (C-311/18) zur Übermittlung personenbezogener Daten in Drittländer.
Der EuGH erklärte das EU-US Privacy Shield (Durchführungsbeschluss (EU) 2016/1250) mit sofortiger Wirkung und ohne Übergangsfrist für ungültig.
Standardvertragsklauseln bleiben gültig, dürfen aber nur nach einer dokumentierten Einzelfallprüfung des Schutzniveaus im Empfängerland verwendet werden.
Begründet wurde das Urteil mit den Zugriffsbefugnissen nach Section 702 FISA und Executive Order 12333 sowie dem fehlenden wirksamen Rechtsbehelf nach Art. 47 der EU-Grundrechtecharta.
Das Transfer Impact Assessment (TIA) ist die praktische Umsetzung dieser Prüfpflicht und in Klausel 14 der Standardvertragsklauseln von 2021 verankert.
Der EDSA hat mit den Empfehlungen 01/2020 ein sechsstufiges Prüfverfahren vorgegeben; rein vertragliche Maßnahmen genügen nicht, wenn der Empfänger Klartextzugriff benötigt.
Das EU-US Data Privacy Framework von 2023 erleichtert Übermittlungen an zertifizierte US-Unternehmen, hebt Schrems II aber nicht auf – für nicht zertifizierte Empfänger und andere Drittländer gilt die Prüfpflicht unverändert.
Der US CLOUD Act entwertet den Serverstandort als alleiniges Kriterium; zu bewerten sind auch Konzernstruktur, Muttergesellschaft und administrative Zugriffe.
Aufsichtsbehörden setzen Schrems II durch: 2022 folgten Entscheidungen zu US-Analysediensten, 2023 ein Bußgeld von 1,2 Milliarden Euro gegen Meta wegen unzulässiger Übermittlungen.
Nach zwei gekippten Abkommen gehört eine dokumentierte Rückfalloption zur Sorgfaltspflicht: Verträge ohne Möglichkeit, den Verarbeitungsort zu wechseln, sind ein Umsetzungsrisiko.