Kurzfassung
Schrems II ist das Urteil des Gerichtshofs der Europäischen Union von 2020 (Rechtssache C-311/18). Es erklärte den EU–US Privacy Shield für ungültig und verschärfte die Voraussetzungen für die Übermittlung personenbezogener Daten in Drittländer erheblich.
Was ist Schrems II?
Das vom österreichischen Juristen Max Schrems angestrengte Verfahren prüfte, ob das US-Rechtssystem EU-Bürgern ausreichenden Schutz vor US-Überwachung bot, sobald ihre Daten den Atlantik überqueren. Der Gerichtshof verneinte dies, kippte den Privacy Shield und stellte klar: Verantwortliche, die sich auf Standardvertragsklauseln (SCCs) stützen, müssen für jeden Drittlandtransfer ein Transfer Impact Assessment durchführen und bei Defiziten zusätzliche technische oder organisatorische Maßnahmen ergreifen.
In der Praxis zwang Schrems II jede EU-Organisation, ihre Cloud- und SaaS-Lieferanten genauer zu prüfen. Wo werden die Daten verarbeitet? Wo sitzen die Administratoren? Hat der Anbieter eine Muttergesellschaft, die unter extraterritoriale Gesetze wie den US-CLOUD-Act fällt? Reaktionen reichten von Verschlüsselung mit in der EU gehaltenen Schlüsseln über den Wechsel zu EU-Anbietern bis hin zum Umzug auf self-hosted, on-premises oder souveräne Cloud-Plattformen.
Das EU–US Data Privacy Framework von 2023 hat eine rechtliche Grundlage für Transfers teilweise wiederhergestellt, doch die Argumentation hinter Schrems II prägt die Anbieterwahl weiterhin. Entscheidungen zu Identity Providern, Mesh-VPN-Management-Planes und SIEM-Datenresidenz werden typischerweise im Lichte von Schrems II getroffen.
Warum ist Schrems II relevant?
- Lieferanten-Due-Diligence: Erzwingt explizite Bewertung grenzüberschreitender Datenflüsse
- Treiber für Souveränität: Starkes Argument für EU- und Self-Hosted-Alternativen
- Audit-Thema: Aufsicht und Auditoren erwarten dokumentierte Transfer Impact Assessments
- Architekturwirkung: Beeinflusst, wo Control Planes und Schlüsselmaterial liegen
Verwandte Begriffe
- GDPR: Datenschutzverordnung, die Schrems II auslegt
- CLOUD Act: US-Gesetz, das in Schrems-II-Analysen als zentraler Risikofaktor gilt
- NIS2 Directive: Jüngere EU-Regulierung, die in Lieferkettenprüfungen mit Schrems II zusammenwirkt
- DORA: Finanzregulierung, die ebenfalls Souveränitätserwägungen treibt