Schrems II: Datentransfers in die USA rechtssicher bewerten
Mit dem Urteil C-311/18 hat der EuGH das Privacy Shield gekippt und Standardvertragsklauseln an eine Einzelfallprüfung geknüpft. Was das für Cloud-Dienste heute bedeutet.
Compliance-Übersicht als PDF
CLOUD Act, Schrems II, DSGVO-Cloud und Gaia-X kompakt auf 10 Seiten – mit Fakten, Auswirkungen, Checklisten und FAQ zum Weitergeben.
Was besagt das Schrems-II-Urteil?
Am 16. Juli 2020 erklärte der Europäische Gerichtshof das EU-US Privacy Shield für ungültig. Begründung: Die Zugriffsmöglichkeiten US-amerikanischer Nachrichtendienste und der fehlende gerichtliche Rechtsschutz für EU-Bürgerinnen und -Bürger gewährleisten kein der DSGVO gleichwertiges Schutzniveau.
Standardvertragsklauseln bleiben grundsätzlich zulässig, reichen aber allein nicht aus. Verantwortliche müssen im Einzelfall prüfen, ob im Empfängerland ein gleichwertiges Schutzniveau besteht, und gegebenenfalls zusätzliche technische und organisatorische Maßnahmen ergreifen.
Das 2023 beschlossene EU-US Data Privacy Framework hat die Lage entschärft, aber nicht abschließend geklärt: Es ist bereits Gegenstand juristischer Auseinandersetzungen. Wer Datenverarbeitung vollständig in der EU hält, umgeht diese Unsicherheit strukturell.
Die wichtigsten Fakten
- Urteil
- EuGH, 16.07.2020, Rechtssache C-311/18
- Folge
- Privacy Shield ungültig
- SCC
- Weiterhin gültig, aber prüfpflichtig
- Pflicht
- Transfer Impact Assessment je Drittlandtransfer
- Nachfolger
- EU-US Data Privacy Framework (2023), rechtlich umstritten
- Sicherste Option
- Keine Drittlandübermittlung
Konsequenzen für die Cloud-Nutzung
Schrems II verlagert die Beweislast auf den Verantwortlichen – also auf Ihr Unternehmen oder Ihre Behörde.
Transfer Impact Assessment
Für jeden Drittlandtransfer ist zu dokumentieren, welche Zugriffsrechte im Empfängerland bestehen und welche zusätzlichen Maßnahmen dagegen wirken.
Zusätzliche Schutzmaßnahmen
Wirksam sind vor allem Maßnahmen, die einen Klartextzugriff ausschließen – etwa Verschlüsselung mit ausschließlich europäischer Schlüsselhoheit.
Fortlaufende Überprüfung
Die Bewertung ist keine Einmalaufgabe: Ändert sich die Rechtslage oder die Anbieterstruktur, muss die Prüfung wiederholt werden.
Aufsichtsbehördliches Risiko
Fehlende oder unvollständige Prüfungen sind ein häufiger Prüfpunkt der Datenschutzaufsicht und können Anordnungen bis hin zum Verarbeitungsverbot nach sich ziehen.
So werden Sie Schrems-II-fest
Der pragmatische Weg führt über die Vermeidung des Transfers:
- Bestandsaufnahme: Welche Dienste übermitteln personenbezogene Daten in Drittländer?
- Bewertung: Welche Verarbeitungen sind besonders sensibel (Personal, Gesundheit, Bürgerdaten)?
- Ersetzen: Für sensible Verarbeitungen europäische Anbieter ohne Drittlandbezug wählen.
- Absichern: Für verbleibende Transfers SCC, TIA und zusätzliche Maßnahmen dokumentieren.
- Verankern: Souveränitätskriterien in Beschaffungsrichtlinien und Verträge übernehmen.
- Überprüfen: Jährliche Wiederholung der Bewertung, inklusive Unterauftragsverarbeiter.
Häufige Fragen zu Schrems II
Ähnliche Fragen
Weiterführende Antworten rund um digitale Souveränität, Datenhoheit und Compliance.
Digitale Souveränität
Was bedeutet digitale Souveränität?
Die Fähigkeit einer Organisation, selbstbestimmt über Daten, Technologie und IT-Betrieb zu entscheiden – ohne rechtliche, technische oder wirtschaftliche Abhängigkeit von einzelnen Anbietern oder Drittstaaten.
Zur Definition und den vier DimensionenWie gelingt digitale Souveränität in der Praxis?
In sechs Schritten: Bestandsaufnahme, Risikobewertung, verbindliche Souveränitätskriterien, Anbieterauswahl, schrittweise Migration und laufende Überprüfung durch Audits und Exporttests.
Zum Schritt-für-Schritt-Leitfaden
Datenhoheit & souveräne Cloud
Was ist eine souveräne Cloud?
Eine Cloud-Umgebung mit europäischem Rechtsträger, Speicherung und Verarbeitung in der EU, Betrieb und Support aus der EU sowie voller Kundenhoheit über Schlüssel, Konfiguration und Datenexport.
Zur Checkliste mit zwölf KriterienWas bedeutet Datenhoheit?
Das Recht und die technische Möglichkeit, jederzeit selbst zu bestimmen, wer auf Daten zugreift, wo sie verarbeitet werden und in welcher Form sie das System wieder verlassen.
Zum Glossar der SouveränitätsbegriffeWo werden meine Daten gespeichert?
Ausschließlich im eigenen, ISO/IEC 27001-zertifizierten Rechenzentrum in Deutschland (Ahaus, Münsterland) – ohne Datentransfer in Drittländer.
Zu Sicherheit und Rechenzentrum
Compliance & Recht
Was bedeutet der US CLOUD Act für europäische Unternehmen?
US-Unternehmen müssen Daten auf Anforderung US-amerikanischer Behörden herausgeben – unabhängig vom Speicherort und auch über europäische Tochtergesellschaften.
Zur Themenseite US CLOUD ActWas macht eine Cloud DSGVO-konform?
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, dokumentierte technische und organisatorische Maßnahmen, transparente Unterauftragsverarbeiter, klare Löschfristen und ein vollständiger Datenexport.
Zur Checkliste DSGVO-konforme CloudWelche Rolle spielen Gaia-X und der BSI IT-Grundschutz?
Gaia-X liefert ein europäisches Rahmenwerk für interoperable Cloud-Dienste, der BSI IT-Grundschutz konkrete Bausteine für die technische und organisatorische Absicherung.
Zur Themenseite Gaia-X
Alternativen & Umstieg
Gibt es eine souveräne Alternative zu Microsoft 365?
xworks.365 deckt E-Mail, Kalender, Kontakte, Dateien, Dokumentbearbeitung und Videokonferenzen in einer integrierten Plattform ab – betrieben von einem deutschen Unternehmen in Deutschland.
Zu allen Funktionen im ÜberblickWie vermeide ich Vendor Lock-in?
Offene Standards (IMAP, SMTP, CalDAV, CardDAV, WebDAV), offene Dokumentformate und ein vollständiger Selbstbedienungs-Export – vertraglich bereits bei der Auswahl geregelt.
Zum Vergleich souveräner Cloud-AnsätzeWie sieht eine souveräne Umstellung in der Praxis aus?
Eine Modellrechnung für eine kommunale Verwaltung zeigt Architektur, Migrationsplan und messbare Kennzahlen einer souveränen Collaboration-Plattform.
Zur Case Study öffentliche Verwaltung