Was das Gericht entschieden hat
Am 16. Juli 2020 entschied der Gerichtshof der Europäischen Union die Rechtssache C-311/18 – nach dem österreichischen Datenschutzaktivisten Maximilian Schrems, der die Beschwerde eingelegt hatte, Schrems II genannt. Das Gericht:
- erklärte den Angemessenheitsbeschluss der Kommission zum Privacy Shield (Beschluss (EU) 2016/1250) für ungültig;
- hielt Standardvertragsklauseln grundsätzlich für weiterhin gültig;
- verlangte aber von Datenexporteuren, im Einzelfall zu prüfen, ob das Recht des Empfängerlandes ein im Wesentlichen gleichwertiges Schutzniveau wie in der EU gewährleistet – und andernfalls zusätzliche Maßnahmen zu ergreifen oder die Übermittlung zu stoppen.
Warum der Privacy Shield fiel
Das Gericht stellte fest, dass US-Überwachungsprogramme nicht auf das absolut Notwendige beschränkt waren und EU-Bürger keinen wirksamen Rechtsbehelf vor einer unabhängigen Stelle hatten. Der Ombudsmechanismus des Privacy Shield erfüllte diesen Maßstab nicht.
Es war das zweite Mal, dass das Gericht eine EU-US-Regelung kippte: 2015 hatte Schrems I (Rechtssache C-362/14) die Safe-Harbor-Entscheidung für ungültig erklärt.
Was das heute bedeutet
Seit Schrems II dokumentieren Organisationen Transfer-Folgenabschätzungen (Transfer Impact Assessments) für Drittlandtransfers. Der Europäische Datenschutzausschuss hat 2021 Empfehlungen zu zusätzlichen Maßnahmen veröffentlicht.
Am 10. Juli 2023 hat die EU-Kommission einen neuen Angemessenheitsbeschluss für das EU-US Data Privacy Framework erlassen. Er gilt nur für US-Organisationen, die danach zertifiziert sind; für alle anderen gelten weiter Standardvertragsklauseln und die Prüfung nach Schrems II.
Diese Seite ist eine allgemeine Information und keine Rechtsberatung.
Häufige Fragen
Ist Schrems II nach dem Data Privacy Framework noch relevant?
Ja. Die Anforderungen gelten weiter für jede Übermittlung, die nicht von einem Angemessenheitsbeschluss gedeckt ist – etwa an nicht zertifizierte US-Empfänger oder in andere Drittländer.
Hat Schrems II Datenübermittlungen in die USA verboten?
Nein. Es hat einen Übermittlungsmechanismus, den Privacy Shield, für ungültig erklärt und Übermittlungen auf Basis von Standardvertragsklauseln an eine Prüfung im Einzelfall gebunden.