Schrems II: Was das Urteil für Unternehmen bedeutet und warum es 2026 relevant ist

Am 16. Juli 2020 erklärte der Europäische Gerichtshof (EuGH) das EU-US Privacy Shield für ungültig. Das Urteil in der Rechtssache C-311/18 – bekannt als „Schrems II" – gehört zu den folgenreichsten Datenschutzentscheidungen der letzten Jahre.

Für Unternehmen, die personenbezogene Daten in die USA übertragen – oder US-Dienste nutzen, die das tun – hat dieses Urteil die Rechtsgrundlage verändert.

Dieser Artikel fasst zusammen, was der EuGH entschieden hat, welche Folgen das Urteil hatte und warum es mit Blick auf die aktuelle Schrems-III-Debatte weiterhin relevant bleibt.

Hinweis: Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Für die rechtliche Bewertung im Einzelfall sollte anwaltlicher Rat eingeholt werden.

Was war vor Schrems II? Die Vorgeschichte

Safe Harbor (2000–2015)

Seit 2000 konnten EU-Unternehmen personenbezogene Daten auf Grundlage des Safe-Harbor-Abkommens in die USA übertragen. Das Abkommen basierte auf einer Entscheidung der EU-Kommission, wonach die USA ein angemessenes Datenschutzniveau gewährleisten.

Am 6. Oktober 2015 erklärte der EuGH dieses Abkommen im Urteil C-362/14 – bekannt als „Schrems I" – für ungültig. Hintergrund war die Klage des österreichischen Juristen Max Schrems gegen Facebook Ireland. Schrems argumentierte, dass die in den USA geltenden Überwachungsgesetze – insbesondere Section 702 des FISA und Executive Order 12333 – keinen mit EU-Recht vergleichbaren Schutz personenbezogener Daten bieten.

Der EuGH folgte dieser Argumentation.

Privacy Shield (2016–2020)

Als Nachfolger trat im August 2016 das EU-US Privacy Shield in Kraft. Es sah unter anderem Zusicherungen der US-Regierung vor, dass der Zugriff von Nachrichtendiensten auf europäische Daten auf das „notwendige und verhältnismäßige" Maß beschränkt werde. Zudem wurde eine Ombudsperson im US-Außenministerium eingerichtet, an die sich EU-Bürger:innen bei Beschwerden wenden konnten.

Über 5.300 US-Unternehmen ließen sich unter dem Privacy Shield zertifizieren.

Was hat der EuGH in Schrems II entschieden?

Am 16. Juli 2020 urteilte der EuGH in der Rechtssache C-311/18 (Data Protection Commissioner gegen Facebook Ireland Ltd und Maximillian Schrems). Die wesentlichen Entscheidungspunkte:

1. Privacy Shield für ungültig erklärt

Der EuGH stellte fest, dass die Zugriffsmöglichkeiten der US-Nachrichtendienste auf personenbezogene Daten von EU-Bürger:innen nicht auf das „zwingend erforderliche Maß" beschränkt sind, wie es die EU-Grundrechtecharta verlangt (Rn. 178–185 des Urteils).

Die Ombudsperson im US-Außenministerium erfüllte nach Auffassung des Gerichtshofs nicht die Anforderungen an einen wirksamen Rechtsbehelf, da sie weder unabhängig noch befugt war, verbindliche Entscheidungen gegenüber Nachrichtendiensten zu treffen (Rn. 195–197).

2. Standardvertragsklauseln (SCCs) grundsätzlich weiterhin gültig

Der EuGH erklärte die von der EU-Kommission genehmigten Standardvertragsklauseln (Standard Contractual Clauses, SCCs) grundsätzlich für weiterhin gültig. Allerdings mit einer wesentlichen Einschränkung:

Datenexporteure müssen im Einzelfall prüfen, ob das Recht des Empfängerlandes den durch die SCCs gewährleisteten Schutz in der Praxis gewährleistet (Rn. 134 des Urteils).

Falls das nicht der Fall ist, sind „zusätzliche Maßnahmen" erforderlich, um ein dem EU-Recht gleichwertiges Schutzniveau sicherzustellen.

3. Pflicht der Datenschutzaufsichtsbehörden

Der EuGH stellte zudem klar, dass nationale Datenschutzaufsichtsbehörden Datenübermittlungen in Drittstaaten aussetzen oder verbieten müssen, wenn sie zum Ergebnis kommen, dass ein angemessener Schutz nicht gewährleistet ist – auch dann, wenn SCCs verwendet werden (Rn. 121).

Was folgte aus dem Urteil?

Empfehlungen des EDSA

Der Europäische Datenschutzausschuss (EDSA) veröffentlichte im November 2020 die Empfehlungen 01/2020 zu ergänzenden Maßnahmen bei Drittlandtransfers. Darin legte der EDSA einen sechsstufigen Prüfprozess fest:

1. Datentransfers identifizieren – Welche Daten gehen wohin?
2. Transfermechanismus prüfen – Welche Rechtsgrundlage wird genutzt?
3. Rechtslage im Drittland bewerten – Gibt es Gesetze, die den Schutz aushöhlen?
4. Ergänzende Maßnahmen identifizieren – Technisch, organisatorisch, vertraglich
5. Maßnahmen umsetzen – Verschlüsselung, Pseudonymisierung etc.
6. Regelmäßig überprüfen – Fortlaufende Bewertung der Rechtslage

Transfer Impact Assessments (TIAs)

In der Praxis führte das Urteil dazu, dass Unternehmen sogenannte Transfer Impact Assessments (TIAs) durchführen mussten, bevor sie personenbezogene Daten auf Grundlage von SCCs in die USA übertragen konnten. Diese TIAs sollten dokumentieren, ob die US-Rechtslage den Schutz der übertragenen Daten in der Praxis beeinträchtigt.

Neue Standardvertragsklauseln (Juni 2021)

Am 4. Juni 2021 veröffentlichte die EU-Kommission neue Standardvertragsklauseln, die die Anforderungen des Schrems-II-Urteils berücksichtigten. Unternehmen mussten bis zum 27. Dezember 2022 auf die neuen SCCs umstellen.

Was hat Schrems II mit dem Data Privacy Framework zu tun?

Nach dem Urteil verhandelten die EU und die USA über einen neuen Rahmen für den Datentransfer. Am 7. Oktober 2022 unterzeichnete US-Präsident Biden die Executive Order 14086, die unter anderem:

• den Zugriff von US-Nachrichtendiensten auf europäische Daten auf „notwendig und verhältnismäßig" beschränken soll
• ein neues Rechtsbehelfsverfahren einführte – das Data Protection Review Court (DPRC)

Auf dieser Grundlage erließ die EU-Kommission am 10. Juli 2023 den Angemessenheitsbeschluss für das EU-US Data Privacy Framework (DPF).

Das DPF ist der Nachfolger des durch Schrems II für ungültig erklärten Privacy Shield. Es steht auf dem Fundament der Exekutivanordnung von Präsident Biden und der Aufsichtsrolle der US-amerikanischen Federal Trade Commission (FTC).

Zur aktuellen Entwicklung: Am 29. Juni 2026 entschied der US Supreme Court im Fall Trump v. Slaughter, dass die Unabhängigkeit der FTC verfassungswidrig ist. Welche Auswirkungen das auf das DPF hat, analysieren wir in unserem Schrems-III-Artikel.

Chronologie: Von Safe Harbor bis heute

Was Unternehmen aus Schrems II lernen können

Das Schrems-II-Urteil hat gezeigt, dass Angemessenheitsbeschlüsse der EU-Kommission vom EuGH aufgehoben werden können, wenn sich die Rechtsgrundlage im Drittland als unzureichend erweist. Zwei Angemessenheitsbeschlüsse – Safe Harbor und Privacy Shield – wurden bereits für ungültig erklärt.

Für Unternehmen, die personenbezogene Daten verarbeiten, ergeben sich daraus nach Einschätzung vieler Datenschutzexpert:innen folgende Überlegungen:

• Rechtsgrundlage dokumentieren: Es sollte dokumentiert sein, auf welcher Grundlage Datentransfers in Drittländer erfolgen.
• Abhängigkeit von einzelnen Rechtsrahmen prüfen: Unternehmen, die sich ausschließlich auf einen Angemessenheitsbeschluss stützen, tragen das Risiko, dass dieser aufgehoben wird – wie bei Safe Harbor und Privacy Shield geschehen.
• Europäische Alternativen evaluieren: Wo personenbezogene Daten verarbeitet werden, kann die Wahl eines Anbieters mit Sitz und Datenverarbeitung in der EU den rechtlichen Aufwand reduzieren – da kein Drittlandtransfer stattfindet.
• Entwicklungen beobachten: Die Rechtslage beim transatlantischen Datentransfer hat sich seit 2015 mehrfach grundlegend geändert. Eine regelmäßige Überprüfung ist ratsam.

Europäische Datenverarbeitung als Alternative

Wo kein Datentransfer in ein Drittland stattfindet, stellen sich die Fragen aus Schrems II nicht.

Passcreator verarbeitet alle Daten ausschließlich in Deutschland, in Rechenzentren eines deutschen Betreibers. Da Passcreator kein US-Unternehmen ist und keinem US-Recht unterliegt, besteht kein Anknüpfungspunkt für den US Cloud Act oder vergleichbare Herausgabepflichten.

Für Unternehmen, die digitale Karten und Pässe für Apple Wallet oder Google Wallet einsetzen – etwa digitale Kundenkarten, digitale Versicherungskarten, Mitgliedsausweise oder Zugangsberechtigungen – bedeutet das: Die datenschutzrechtlichen Fragen rund um Drittlandtransfers entfallen.

→ Mehr über Passcreator als europäische Wallet-Plattform

Häufige Fragen (FAQ)

Was besagt das Schrems-II-Urteil?

Der EuGH hat am 16. Juli 2020 das EU-US Privacy Shield für ungültig erklärt (Rechtssache C-311/18). Das Gericht stellte fest, dass die US-Überwachungsgesetze keinen mit EU-Recht vergleichbaren Schutz personenbezogener Daten bieten und die im Privacy Shield vorgesehenen Rechtsbehelfe nicht den Anforderungen der EU-Grundrechtecharta entsprechen.

Sind Standardvertragsklauseln (SCCs) nach Schrems II noch gültig?

Der EuGH hat SCCs grundsätzlich für gültig erklärt, aber klargestellt, dass Datenexporteure im Einzelfall prüfen müssen, ob das Recht des Empfängerlandes einen wirksamen Schutz gewährleistet. Falls nicht, sind zusätzliche Maßnahmen erforderlich.

Was ist der Unterschied zwischen Schrems I und Schrems II?

Schrems I (2015) betraf das Safe-Harbor-Abkommen und führte zu dessen Aufhebung. Schrems II (2020) betraf den Nachfolger Privacy Shield und führte ebenfalls zu dessen Aufhebung. In beiden Fällen stellte der EuGH fest, dass die US-Rechtslage keinen ausreichenden Schutz für personenbezogene Daten aus der EU bietet.

Was ist das Data Privacy Framework (DPF)?

Das DPF ist der im Juli 2023 in Kraft getretene Nachfolger des Privacy Shield. Es basiert auf der Executive Order 14086 von US-Präsident Biden. Im Juni 2026 stellte der US Supreme Court die Unabhängigkeit der FTC infrage, die im DPF eine zentrale Aufsichtsrolle einnimmt. Wie sich das auf die Gültigkeit des DPF auswirkt, wird derzeit diskutiert.

Wie kann man Datentransfers in die USA vermeiden?

Indem personenbezogene Daten bei Anbietern verarbeitet werden, die ihren Sitz in der EU haben und auch die Datenverarbeitung vollständig in der EU durchführen. In diesem Fall findet kein Drittlandtransfer statt und die Anforderungen aus dem Schrems-II-Urteil sind nicht einschlägig.
 

Quellen

• EuGH, Urteil vom 16.07.2020, C-311/18 – EUR-Lex
• EuGH, Urteil vom 06.10.2015, C-362/14 – EUR-Lex
• EU-Kommission, Angemessenheitsbeschluss DPF, 10.07.2023 – EUR-Lex
• EU-Kommission, Neue Standardvertragsklauseln, 04.06.2021 – EUR-Lex
• EDSA, Empfehlungen 01/2020 – EDPB
• BfDI, Auswirkungen Schrems-II-Urteil – bfdi.bund.de

Dieser Artikel dient der Information und gibt die Einschätzung von Passcreator wieder. Er stellt keine Rechtsberatung dar. Für die rechtliche Bewertung im Einzelfall sollte anwaltlicher Rat eingeholt werden.