Was Schrems II für ungültig erklärte und was an seine Stelle trat

Was war Schrems II?

Der Gerichtshof der Europäischen Union entschied Schrems II, Rechtssache C-311/18, am 16. Juli 2020, und in einem einzigen Urteil erklärte er den EU-US Privacy Shield für ungültig, während Standardvertragsklauseln, kurz SCCs, unter strengeren Bedingungen gültig blieben. Die Große Kammer entschied auf eine Vorlage des irischen High Court in einem Verfahren zwischen dem Data Protection Commissioner und der Facebook Ireland Ltd sowie Maximillian Schrems, "wegen einer Beschwerde von Herrn Schrems in Bezug auf die Übermittlung seiner personenbezogenen Daten durch Facebook Ireland an die Facebook Inc. in den Vereinigten Staaten." Die Rechtsprechungskennung lautet ECLI:EU:C:2020:559.

Das "II" kennzeichnet den zweiten Fall Schrems. Im ersten, entschieden am 6. Oktober 2015 als Rechtssache C-362/14, hatte der Gerichtshof die Entscheidung 2000/520/EG der Kommission vom 26. Juli 2000 für ungültig erklärt, die Safe-Harbour-Entscheidung. Der Privacy Shield war der Nachfolger von Safe Harbour, und Schrems II kippte auch diesen Nachfolger.

Was hat der Gerichtshof in Schrems II entschieden?

Der Gerichtshof traf im Tenor des Urteils fünf Aussagen: eine zum Anwendungsbereich, zwei dazu, wie Übermittlungen auf Basis von SCCs funktionieren, eine, die den SCC-Beschluss bestätigt, und eine, die den Privacy Shield kippt. Die erste stellt klar, dass die DSGVO für eine gewerbliche Übermittlung auch dann gilt, wenn die Sicherheitsbehörden des Bestimmungslands auf die Daten zugreifen können. Die Punkte 2 bis 5 lauten in der deutschen Fassung auf EUR-Lex (Verfahrenssprache war Englisch):

2. Art. 46 Abs. 1 und Art. 46 Abs. 2 Buchst. c der Verordnung 2016/679 sind dahin auszulegen, dass die nach diesen Vorschriften erforderlichen geeigneten Garantien, durchsetzbaren Rechte und wirksamen Rechtsbehelfe gewährleisten müssen, dass die Rechte der Personen, deren personenbezogene Daten auf der Grundlage von Standarddatenschutzklauseln in ein Drittland übermittelt werden, ein Schutzniveau genießen, das dem in der Europäischen Union durch diese Verordnung im Licht der Charta der Grundrechte der Europäischen Union garantierten Niveau der Sache nach gleichwertig ist. Bei der insoweit im Zusammenhang mit einer solchen Übermittlung vorzunehmenden Beurteilung sind insbesondere die vertraglichen Regelungen zu berücksichtigen, die zwischen dem in der Europäischen Union ansässigen Verantwortlichen bzw. seinem dort ansässigen Auftragsverarbeiter und dem im betreffenden Drittland ansässigen Empfänger der Übermittlung vereinbart wurden, sowie, was einen etwaigen Zugriff der Behörden dieses Drittlands auf die übermittelten personenbezogenen Daten betrifft, die maßgeblichen Elemente der Rechtsordnung dieses Landes, insbesondere die in Art. 45 Abs. 2 der Verordnung 2016/679 genannten Elemente.

3. Art. 58 Abs. 2 Buchst. f und j der Verordnung 2016/679 ist dahin auszulegen, dass die zuständige Aufsichtsbehörde, sofern kein gültiger Angemessenheitsbeschluss der Kommission vorliegt, verpflichtet ist, eine auf Standarddatenschutzklauseln, die von der Kommission erarbeitet wurden, gestützte Übermittlung personenbezogener Daten in ein Drittland auszusetzen oder zu verbieten, wenn diese Behörde im Licht aller Umstände dieser Übermittlung der Auffassung ist, dass die Klauseln in diesem Drittland nicht eingehalten werden oder nicht eingehalten werden können und dass der nach dem Unionsrecht, insbesondere nach den Art. 45 und 46 dieser Verordnung sowie nach der Charta der Grundrechte, erforderliche Schutz der übermittelten Daten nicht mit anderen Mitteln gewährleistet werden kann, es sei denn, der in der Union ansässige Verantwortliche bzw. sein dort ansässiger Auftragsverarbeiter hat die Übermittlung selbst ausgesetzt oder beendet.

4. Die Prüfung des Beschlusses 2010/87/EU der Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates in der durch den Durchführungsbeschluss (EU) 2016/2297 der Kommission vom 16. Dezember 2016 geänderten Fassung anhand der Art. 7, 8 und 47 der Charta der Grundrechte hat nichts ergeben, was seine Gültigkeit berühren könnte.

5. Der Durchführungsbeschluss (EU) 2016/1250 der Kommission vom 12. Juli 2016 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes ist ungültig.

Punkt 5 ist die Schlagzeile. Punkt 4 hielt den SCC-Beschluss aufrecht, und die Punkte 2 und 3 knüpfen jede Übermittlung auf seiner Grundlage an Bedingungen: Jede braucht nun eine eigene Prüfung des Rechts im Bestimmungsland.

Warum hat der Gerichtshof den Privacy Shield für ungültig erklärt?

Der Gerichtshof erklärte den Privacy Shield aus zwei Gründen für ungültig: Das US-Überwachungsrecht war nicht verhältnismäßig, und EU-Bürger hatten keinen wirksamen Rechtsbehelf vor einer unabhängigen Stelle. Zum ersten Grund stellte Randnummer 184 fest, "dass weder Section 702 des FISA noch die E.O. 12333 in Verbindung mit der PPD-28 den im Unionsrecht nach dem Grundsatz der Verhältnismäßigkeit bestehenden Mindestanforderungen genügen, so dass nicht angenommen werden kann, dass die auf diese Vorschriften gestützten Überwachungsprogramme auf das zwingend erforderliche Maß beschränkt sind."

Zum zweiten Grund stützte sich der Privacy-Shield-Beschluss auf eine Ombudsperson, die, wie Randnummer 195 festhält, vom Außenminister ernannt wurde und "einen Posten im Außenministerium der Vereinigten Staaten bekleide". Randnummer 197 entschied, der Mechanismus eröffne "keinen Rechtsweg zu einem Organ, das den Personen, deren Daten in die Vereinigten Staaten übermittelt werden, Garantien böte, die den nach Art. 47 der Charta erforderlichen Garantien der Sache nach gleichwertig wären." Artikel 47 ist das Recht der Charta auf einen wirksamen Rechtsbehelf und ein faires Verfahren.

Der Gerichtshof gewährte keine Übergangsfrist. Randnummer 202 lehnte es ab, die Wirkungen des Beschlusses vorübergehend aufrechtzuerhalten, weil wegen Artikel 49 DSGVO, der Ausnahmen wie die ausdrückliche Einwilligung in eine Übermittlung aufzählt, durch die Nichtigerklärung "jedenfalls kein solches rechtliches Vakuum entstehen kann." Der Privacy Shield war ab dem Tag des Urteils keine gültige Grundlage für Übermittlungen mehr.

Was geschah nach Schrems II mit den Standardvertragsklauseln?

Die Standardvertragsklauseln blieben gültig, aber der Exporteur wurde dafür verantwortlich, zu prüfen, ob das Bestimmungsland dem Importeur erlaubt, sie einzuhalten. Randnummer 134 legt diese Pflicht dem Unternehmen auf, das die Daten sendet:

Folglich obliegt es vor allem diesem Verantwortlichen bzw. seinem Auftragsverarbeiter, in jedem Einzelfall – gegebenenfalls in Zusammenarbeit mit dem Empfänger der Übermittlung – zu prüfen, ob das Recht des Bestimmungsdrittlands nach Maßgabe des Unionsrechts einen angemessenen Schutz der auf der Grundlage von Standarddatenschutzklauseln übermittelten personenbezogenen Daten gewährleistet, und erforderlichenfalls mehr Garantien als die durch diese Klauseln gebotenen zu gewähren.

Randnummer 135 nennt die Folge, wenn diese Prüfung negativ ausfällt: Der Exporteur oder, in zweiter Linie, die Aufsichtsbehörde ist "verpflichtet, die Übermittlung personenbezogener Daten in das betreffende Drittland auszusetzen oder zu beenden."

Zwei Dokumente folgten. Der EDPB verabschiedete am 18. Juni 2021 die endgültige Fassung seiner Empfehlungen 01/2020 zu Maßnahmen, die Übermittlungstools ergänzen. Die Kommission erließ am 4. Juni 2021 mit dem Durchführungsbeschluss (EU) 2021/914 neue SCCs. Klausel 14 der neuen Klauseln baut die Prüfung nach Schrems II in den Vertrag ein. Klausel 14(a) lautet: "Die Parteien sichern zu, keinen Grund zu der Annahme zu haben, dass die für die Verarbeitung personenbezogener Daten durch den Datenimporteur geltenden Rechtsvorschriften und Gepflogenheiten im Bestimmungsdrittland, einschließlich Anforderungen zur Offenlegung personenbezogener Daten oder Maßnahmen, die öffentlichen Behörden den Zugang zu diesen Daten gestatten, den Datenimporteur an der Erfüllung seiner Pflichten gemäß diesen Klauseln hindern." Klausel 14(d) ergänzt: "Die Parteien erklären sich damit einverstanden, die Beurteilung nach Buchstabe b zu dokumentieren und sie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen." Diese dokumentierte Beurteilung nennen Praktiker ein Transfer Impact Assessment.

Artikel 4 des Beschlusses 2021/914 hob den Beschluss von 2010 "mit Wirkung vom 27. September 2021" auf und ließ ältere Verträge nur "bis zum 27. Dezember 2022" als geeignete Garantien gelten, sofern die Verarbeitung unverändert blieb.

Was hat den Privacy Shield ersetzt?

Das EU-US Data Privacy Framework hat den Privacy Shield ersetzt, und zwar durch den Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023. Es beruht auf einer Änderung des US-Rechts: Laut Erwägungsgrund 6 des Beschlusses "erließen die Vereinigten Staaten am 7. Oktober 2022 die Executive Order 14086 'Enhancing Safeguards for US Signals Intelligence Activities'", ergänzt durch einen Erlass des US-Justizministers, der ein Data Protection Review Court einrichtet. Diese beiden Instrumente antworten auf die zwei Gründe aus den Randnummern 184 und 197. Artikel 1 des Beschlusses lautet:

Für die Zwecke des Artikels 45 der Verordnung (EU) 2016/679 gewährleisten die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten, die aus der Union an Organisationen in den Vereinigten Staaten übermittelt werden, die in der vom U.S. Department of Commerce (Handelsministerium) geführten und öffentlich zugänglichen "Data Privacy Framework List" (Datenschutzrahmen-Liste) nach Anhang I Abschnitt I.3 aufgeführt sind.

Der Anwendungsbereich ist enger als "die Vereinigten Staaten". Die Angemessenheit gilt nur für Organisationen auf dieser Liste. Eine Übermittlung an ein US-Unternehmen ohne Selbstzertifizierung braucht weiterhin ein Instrument nach Artikel 46, und Artikel 46(1) DSGVO erlaubt solche Übermittlungen nur, "sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen." Für diese Übermittlungen gilt die Prüfung nach Schrems II weiterhin. Artikel 3 des Beschlusses verpflichtet die Kommission, den Rahmen fortlaufend zu überwachen, und erlaubt ihr nach Artikel 45 Absatz 5 DSGVO, "diesen Beschluss auszusetzen, zu ändern oder zu widerrufen oder seinen Anwendungsbereich einzuschränken".

Ist das Data Privacy Framework gefestigtes Recht?

Nein. Das Data Privacy Framework hat seine erste gerichtliche Anfechtung überstanden, und gegen dieses Urteil läuft ein Rechtsmittel. Philippe Latombe, ein Kläger aus Nantes in Frankreich, reichte am 6. September 2023 die Rechtssache T-553/23 beim Gericht der EU ein. Der Präsident des Gerichts lehnte am 12. Oktober 2023 eine vorläufige Aussetzung des Beschlusses ab. Am 3. September 2025 entschied die Zehnte erweiterte Kammer: "Die Klage wird abgewiesen." Irland und die Vereinigten Staaten traten dem Verfahren auf Seiten der Kommission bei. Latombe legte am 31. Oktober 2025 Rechtsmittel ein, Rechtssache C-703/25 P, und der Gerichtshof führt es als anhängig.

Bis der Gerichtshof entscheidet, kann sich ein Unternehmen für Übermittlungen an gelistete Organisationen auf den Beschluss von 2023 stützen, denn ein Angemessenheitsbeschluss bleibt in Kraft, bis er aufgehoben oder für nichtig erklärt wird. Das Risiko ist dasselbe, das Nutzer des Privacy Shield am 16. Juli 2020 traf: Eine Nichtigerklärung wirkt ab dem Tag des Urteils, und Randnummer 202 von Schrems II zeigt, dass der Gerichtshof keine Übergangsfrist gewährt, wenn Artikel 49 zur Verfügung steht.

Was bedeutet Schrems II für Webanalyse?

Schrems II bedeutet, dass jeder Analyse- oder Tag-Anbieter, der Daten von EU-Besuchern in die Vereinigten Staaten sendet, für diesen Datenfluss eine gültige Übermittlungsgrundlage braucht, geprüft für jeden Anbieter einzeln. Wie sich das Urteil für Google Analytics ausgewirkt hat, zeichnet die Analyse nach, ob GA4 DSGVO-konform ist. Prüfen Sie, ob die US-Gesellschaft des Anbieters auf der Liste des Data Privacy Framework steht. Falls nicht, suchen Sie nach SCCs und einer dokumentierten Beurteilung nach Klausel 14. Die Übermittlungsgrundlage ist eine andere Frage als die Rechtsgrundlage der Verarbeitung: Ein Angemessenheitsbeschluss macht eine Verarbeitung nicht rechtmäßig, und ebenso wenig macht berechtigtes Interesse nach DSGVO eine Übermittlung rechtmäßig. Auch der Hosting-Standort allein klärt die Übermittlungsfrage nicht, wie der Beitrag über digitale Souveränität und Datenstandort ausführt. Eine Auswahl von Tools, die nach diesen Kriterien geprüft wurden, finden Sie im Vergleich von DSGVO-orientierten Google-Analytics-Alternativen.

Häufig gestellte Fragen

Welches Aktenzeichen und welches Datum hat Schrems II?

Schrems II ist die Rechtssache C-311/18, Data Protection Commissioner gegen Facebook Ireland Ltd und Maximillian Schrems. Die Große Kammer des Gerichtshofs verkündete das Urteil am 16. Juli 2020, mit der Kennung ECLI:EU:C:2020:559. Die Rechtssache ging am 9. Mai 2018 ein.

Hat Schrems II Datenübermittlungen in die Vereinigten Staaten verboten?

Nein. Das Urteil erklärte eine Übermittlungsgrundlage für ungültig, den Angemessenheitsbeschluss zum Privacy Shield, und bestätigte den SCC-Beschluss. Übermittlungen auf Basis von SCCs blieben möglich, wenn der Exporteur prüfte, dass das US-Recht dem Importeur die Einhaltung erlaubt, bei Bedarf Schutzmaßnahmen ergänzte und die Übermittlung aussetzte, wo das nicht möglich war.

Was ist der Unterschied zwischen Schrems I und Schrems II?

Schrems I, Rechtssache C-362/14, entschieden am 6. Oktober 2015, erklärte die Safe-Harbour-Entscheidung vom 26. Juli 2000 für ungültig. Schrems II, entschieden am 16. Juli 2020, erklärte deren Nachfolger, den Privacy Shield, für ungültig und stellte Bedingungen für Standardvertragsklauseln auf. Beide begannen mit Beschwerden von Maximillian Schrems über Übermittlungen von Facebook in die Vereinigten Staaten.

Sind die alten Standardvertragsklauseln von 2010 noch gültig?

Nein. Der Durchführungsbeschluss (EU) 2021/914 hob den Beschluss 2010/87/EU mit Wirkung vom 27. September 2021 auf. Verträge, die vor diesem Datum auf Basis der alten Klauseln geschlossen wurden, galten nur bis zum 27. Dezember 2022 als geeignete Garantien, und nur, wenn die Verarbeitung unverändert blieb.

Deckt das Data Privacy Framework jedes US-Unternehmen ab?

Nein. Artikel 1 des Beschlusses 2023/1795 beschränkt die Angemessenheit auf Organisationen, die in der vom US-Handelsministerium geführten "Data Privacy Framework List" (Datenschutzrahmen-Liste) aufgeführt sind. Ein US-Empfänger außerhalb dieser Liste braucht eine Garantie nach Artikel 46, etwa SCCs.

Könnte das Data Privacy Framework wie der Privacy Shield gekippt werden?

Ja, wenn der Gerichtshof es im Rechtsmittelverfahren für nichtig erklärt. Das Gericht der EU wies die Klage von Latombe am 3. September 2025 ab, und das Rechtsmittel, Rechtssache C-703/25 P, ist anhängig. Die Kommission kann den Beschluss außerdem nach Artikel 45 Absatz 5 DSGVO aussetzen, ändern oder widerrufen, wenn der Schutz in den USA nicht mehr ausreicht.

Was ist eine Transfer Impact Assessment?

Eine Transfer Impact Assessment ist die dokumentierte Prüfung, die Klausel 14 der SCC von 2021 vor jeder Übermittlung verlangt. Der Exporteur hält fest, ob das Recht des Zielstaats dem Importeur erlaubt, die Klauseln einzuhalten, und macht diese Aufzeichnung der Aufsichtsbehörde nach Klausel 14(d) auf Anfrage zugänglich. Der Name stammt aus der Praxis, nicht aus dem Urteil selbst, auch wenn Randnummer 134 von Schrems II die zugrunde liegende Pflicht begründet hat.

Wer hat die Beschwerde hinter Schrems II eingereicht?

Maximillian Schrems beschwerte sich, dass die Übermittlung seiner personenbezogenen Daten durch Facebook Ireland an Facebook Inc. in den Vereinigten Staaten ihn US-Überwachung ohne wirksamen Rechtsbehelf aussetzte. Der irische High Court legte seinen Fall dem Gerichtshof vor, der ihn als C-311/18 zwischen dem Data Protection Commissioner, Facebook Ireland Ltd und Schrems entschied. Er hatte bereits die Beschwerde eingereicht, die 2015 zu Schrems I führte.

Was ist die Executive Order 14086?

Die Executive Order 14086, "Enhancing Safeguards for US Signals Intelligence Activities", ist die US-Maßnahme, die die Kommission in Erwägungsgrund 6 der Entscheidung 2023/1795 als Grundlage für das Data Privacy Framework anführt. Die Vereinigten Staaten erließen sie am 7. Oktober 2022, zusammen mit einer Verordnung des Attorney General, die den Data Protection Review Court schuf. Beide Instrumente zusammen sollen die Probleme bei Verhältnismäßigkeit und Rechtsbehelf beantworten, die der Gerichtshof in den Randnummern 184 und 197 von Schrems II festgestellt hatte.

Was ist der Data Protection Review Court?

Der Data Protection Review Court ist die Stelle, die eine Verordnung des US Attorney General zusammen mit der Executive Order 14086 geschaffen hat, um EU-Betroffenen eine Möglichkeit zu geben, den Zugriff der US-Signalaufklärung auf ihre Daten anzufechten. Er soll das Problem beim Rechtsbehelf aus Randnummer 197 von Schrems II lösen, wo der Ombudsperson-Mechanismus des Privacy Shield als nicht gleichwertig zu Artikel 47 der Charta befunden wurde. Die Kommission stützt sich auf beide Instrumente als Grundlage für die Angemessenheitsentscheidung von 2023.