Schrems II
Schrems II bezeichnet das Urteil des Europäischen Gerichtshofs vom 16. Juli 2020 (Rechtssache C-311/18), mit dem der EuGH den EU-US-Privacy-Shield für ungültig erklärte und die Nutzung von Standardvertragsklauseln an eine Einzelfallprüfung des Drittlandsrechts knüpfte.
Schrems II ist die gebräuchliche Kurzbezeichnung für das Urteil der Großen Kammer des Gerichtshofs der Europäischen Union vom 16. Juli 2020 in der Rechtssache C-311/18 (Data Protection Commissioner gegen Facebook Ireland Ltd und Maximillian Schrems). Ausgangspunkt war die Beschwerde des österreichischen Juristen Max Schrems gegen die Übermittlung seiner Daten in die USA; bereits 2015 hatte er mit dem Urteil Schrems I (C-362/14) das Safe-Harbor-Abkommen zu Fall gebracht. In Schrems II erklärte der EuGH den Angemessenheitsbeschluss zum EU-US-Privacy-Shield (Durchführungsbeschluss (EU) 2016/1250) mit sofortiger Wirkung und ohne Übergangsfrist für ungültig. Die Standardvertragsklauseln (Beschluss 2010/87/EU) hielt das Gericht dagegen grundsätzlich für gültig - allerdings nur unter erheblich verschärften Anwendungsbedingungen.
Tragender Grund für die Ungültigkeit des Privacy Shield waren die Zugriffsbefugnisse US-amerikanischer Nachrichtendienste, insbesondere auf Grundlage von Section 702 FISA und der Executive Order 12333. Der EuGH sah darin Eingriffe, die nicht auf das zwingend Erforderliche beschränkt und damit nicht verhältnismäßig im Sinne von Art. 52 Abs. 1 der EU-Grundrechtecharta seien. Zudem stand betroffenen Personen aus der EU kein wirksamer Rechtsbehelf vor einem unabhängigen Gericht zur Verfügung; die im Privacy Shield vorgesehene Ombudsperson genügte den Anforderungen des Art. 47 GRCh nicht. Der zentrale Maßstab des Urteils ist das Erfordernis eines der Sache nach gleichwertigen Schutzniveaus ("essentially equivalent") im Drittland - unabhängig davon, auf welches Transferinstrument der Export gestützt wird.
Für die Praxis der Drittlandübermittlung folgt daraus eine dauerhafte Prüfpflicht: Wer Daten auf Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften stützt, muss vorab bewerten, ob Recht und Praxis des Empfängerstaats die vertraglichen Garantien aushebeln, und gegebenenfalls zusätzliche technische, organisatorische oder vertragliche Maßnahmen ergreifen - andernfalls ist der Transfer auszusetzen. Diese Prüfung hat sich als Transfer-Impact-Assessment etabliert; der Europäische Datenschutzausschuss konkretisierte sie in den Empfehlungen 01/2020, die Kommission erließ 2021 die modularisierten neuen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914). Auf politischer Ebene führte Schrems II über die Executive Order 14086 und das Data Protection Review Court zum Angemessenheitsbeschluss für das EU-U.S. Data Privacy Framework vom 10. Juli 2023. Dessen Bestand ist weiterhin umstritten: Das Gericht der Europäischen Union wies im September 2025 eine Nichtigkeitsklage gegen den Beschluss ab (Rechtssache T-553/23), eine abschließende Klärung durch den EuGH steht aus. Unternehmen sollten Drittlandtransfers daher dokumentiert und mit Ausweichszenarien planen.
Rechtliche Grundlage
EuGH, Urteil vom 16.07.2020, C-311/18 (Schrems II); Art. 44 bis 49 DSGVO, insbesondere Art. 45 und Art. 46 Abs. 2 lit. c DSGVO; Art. 47 und Art. 52 Abs. 1 EU-Grundrechtecharta; EDSA-Empfehlungen 01/2020
Praxisbeispiel
Ein mittelständischer Maschinenbauer betreibt sein Ticketsystem bei einem US-Anbieter, dessen Support-Team weltweit auf die Daten zugreift. Der Datenschutzbeauftragte prüft zunächst, ob der Anbieter unter dem EU-U.S. Data Privacy Framework zertifiziert ist. Da die Zertifizierung nur die US-Muttergesellschaft, nicht aber die eingesetzte Konzerntochter in Indien erfasst, stützt er den Transfer auf die Standardvertragsklauseln und dokumentiert nach Schrems-II-Logik ein Transfer-Impact-Assessment: Er erfasst die Kategorien der übermittelten Daten, bewertet die einschlägigen Zugriffsbefugnisse der Behörden im Empfängerstaat, wertet den Transparenzbericht des Anbieters aus und ergänzt als zusätzliche Maßnahmen eine Verschlüsselung mit Schlüsselhoheit im Unternehmen sowie eine vertragliche Pflicht zur unverzüglichen Information über behördliche Herausgabeverlangen. Das Ergebnis hinterlegt er im Verarbeitungsverzeichnis und setzt eine jährliche Wiedervorlage.
Häufige Fragen
So unterstützt preeco Sie
Erfahren Sie, wie unsere Software Sie bei diesem Thema unterstützt.
Mehr erfahren