Schrems II (Drittstaatentransfer)
„Schrems II“ ist die geläufige Bezeichnung für eine Entscheidung des Europäischen Gerichtshofs aus dem Jahr 2020. Mit ihr wurde das EU-US-Datenschutzabkommen „Privacy Shield“ ungültig. Seither gilt für Übermittlungen personenbezogener Daten in Drittstaaten ein strengerer Maßstab: Wer überträgt, muss sich ansehen, ob im Zielland ein im Kern gleichwertiges Schutzniveau besteht, und sonst zusätzliche Garantien vorsehen. Die Anforderungen dazu stehen in Kapitel V der DSGVO.
In der Praxis
Betroffen sind vor allem Unternehmen, die US-Dienste einsetzen: Cloud-Speicher, Analysewerkzeuge, Software für E-Mail-Marketing. Vor der Nutzung lohnt der Blick darauf, ob der Anbieter am EU-US Data Privacy Framework teilnimmt, dem Nachfolger von Privacy Shield seit 2023. Ist das nicht der Fall oder bleibt ein Zweifel, braucht es Standardvertragsklauseln und zusätzliche technische Maßnahmen wie Verschlüsselung. Dass ein Rahmen heute gilt, heißt nicht, dass er in drei Jahren noch gilt; das ist der eigentliche Grund, warum ein europäischer Dienst die Frage von vornherein erspart. Ob eine bestimmte Übermittlung zulässig ist, beurteilt eine Rechtsberatung.