Schrems II, das Data Privacy Framework und die Unsicherheit

Modul 1: Warum eine europäische Cloud? · Lesezeit: 12 Minuten

Lernziel: Nach dieser Lektion können Sie die Geschichte der Vereinbarungen über Datenübermittlungen von der EU in die USA nacherzählen, erklären, was Schrems II entschied, was das EU-US Data Privacy Framework ist, und warum der aktuelle Rahmen unsicher bleibt.

Kernbegriffe: Übermittlung, Angemessenheitsbeschluss, Safe Harbor, Schrems I, Privacy Shield, Schrems II, Standardvertragsklauseln (SCC), Transfer Impact Assessment (TIA), zusätzliche Maßnahmen, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, Selbstzertifizierung, Latombe, PCLOB

Übermittlung: die Regel und die Ausnahme

In Lektion 1.2 haben Sie gesehen, dass Daten den Europäischen Wirtschaftsraum (EWR) nur verlassen dürfen, wenn das Zielland ein angemessenes Schutzniveau bietet oder wenn zusätzliche Garantien bestehen (DSGVO Kapitel V). Dieses Verlassen wird als Übermittlung bezeichnet. Eine Übermittlung ist nicht nur das Versenden einer Datei in die USA: Auch wenn ein amerikanischer Support-Mitarbeiter aus der Ferne in Ihre europäische Umgebung schaut oder wenn Ihre Daten bei einem amerikanischen Dienst liegen, kann eine Übermittlung vorliegen.

Der einfachste Weg ist ein Angemessenheitsbeschluss (Art. 45): Die Europäische Kommission entscheidet, dass ein Land ein Schutzniveau bietet, das "im Wesentlichen gleichwertig" mit dem der EU ist. Solche Beschlüsse gibt es unter anderem für die Schweiz, das Vereinigte Königreich, Japan und Kanada (für kommerzielle Organisationen). Für die USA ist die Geschichte komplizierter: Dort wurde die Kommission zweimal vom Gerichtshof der Europäischen Union (EuGH) zurückgepfiffen.

Dies ist eine Erläuterung, keine Rechtsberatung. Der Stand dieser Lektion ist November 2026.

Brücke 1: Safe Harbor und Schrems I

Im Jahr 2000 schlossen die EU und die USA die Vereinbarung Safe Harbor. Amerikanische Unternehmen konnten sich anmelden und versprechen, europäische Daten angemessen zu schützen. Die Kommission erließ dafür einen Angemessenheitsbeschluss.

2013 enthüllte Edward Snowden, wie amerikanische Nachrichtendienste in großem Umfang Daten bei Internetunternehmen sammelten. Der österreichische Jurist Max Schrems reichte eine Beschwerde gegen Facebook in Irland ein: Seine Daten gingen in die USA und waren dort nicht geschützt. Der Fall kam vor den Gerichtshof der Europäischen Union. Am 6. Oktober 2015 erklärte der Gerichtshof den Safe-Harbor-Beschluss für ungültig (Rechtssache C-362/14, "Schrems I"). Kernpunkt: Die Kommission hatte nicht geprüft, ob sich die amerikanische Regierung an Grenzen hielt, und Europäer hatten keinen echten Rechtsschutz.

Brücke 2: Privacy Shield und Schrems II

Bereits 2016 kam ein Nachfolger: das EU-US Privacy Shield, mit strengeren Regeln und einem Ombudsmann beim amerikanischen Außenministerium. Schrems klagte erneut.

Am 16. Juli 2020 entschied der Gerichtshof in der Rechtssache C-311/18, "Schrems II". Der Gerichtshof erklärte das Privacy Shield für ungültig. Die Gründe:

• Amerikanische Überwachungsprogramme, insbesondere unter FISA Section 702 und Executive Order 12333 (Lektion 1.3), waren nicht auf das "unbedingt Erforderliche" beschränkt.
• Europäer hatten keinen wirksamen Zugang zu einem unabhängigen Gericht; der Ombudsmann war nicht unabhängig genug und konnte keine bindenden Entscheidungen treffen.

Der Gerichtshof äußerte sich auch wichtig zur Alternative, den Standardvertragsklauseln (SCC, englisch standard contractual clauses). Das sind Mustervertragsklauseln der Kommission, die Absender und Empfänger unterzeichnen. Diese blieben gültig, aber: Die Partei, die die Daten übermittelt, muss im Einzelfall prüfen, ob das Recht des Empfängerlandes diese Vereinbarungen nicht untergräbt. Ist das der Fall, sind zusätzliche Maßnahmen erforderlich, zum Beispiel eine Verschlüsselung, bei der der Empfänger den Schlüssel nicht besitzt. Gelingt das nicht, muss die Übermittlung gestoppt werden.

Diese Beurteilung wird als Transfer Impact Assessment (TIA) bezeichnet. Die europäischen Datenschutzbehörden (EDSA) verfassten dazu 2021 Empfehlungen. 2021 kamen auch neue Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914).

Für eine kleine Organisation war das schwierig: Wie beurteilt eine Bäckerei das amerikanische Recht der Nachrichtendienste? In der Praxis stützten sich viele auf die Verträge und Unterlagen der großen Anbieter.

Brücke 3: das EU-US Data Privacy Framework

Die USA und die EU verhandelten erneut. Präsident Biden unterzeichnete am 7. Oktober 2022 die Executive Order 14086. Diese legt unter anderem fest, dass die Arbeit der Nachrichtendienste "notwendig und verhältnismäßig" sein muss, und richtet ein Beschwerdeverfahren ein, dessen letzter Schritt ein Data Protection Review Court (DPRC) innerhalb des amerikanischen Justizministeriums ist.

Am 10. Juli 2023 nahm die Kommission den Angemessenheitsbeschluss für das EU-US Data Privacy Framework (DPF) an. Wie es funktioniert:

• Es gilt nur für amerikanische Organisationen, die sich angeschlossen haben (Selbstzertifizierung beim amerikanischen Handelsministerium). Auf der Website dataprivacyframework.gov steht die Liste. Steht ein Unternehmen nicht darauf, gilt das DPF für dieses Unternehmen nicht.
• Die Einhaltung wird in den USA unter anderem von der Federal Trade Commission (FTC) kontrolliert.
• Es gibt eine regelmäßige Überprüfung durch die Kommission.

Für Nutzer bedeutet das DPF: Die Übermittlung an ein angeschlossenes amerikanisches Unternehmen ist wieder ohne TIA zulässig. Deshalb sagen viele Anbieter: "Wir erfüllen die DSGVO."

Warum der Rahmen unsicher bleibt

Das DPF steht, aber auf wackligen Beinen:

• Eine Executive Order ist kein Gesetz. Ein nächster Präsident kann sie ohne den Kongress ändern oder zurücknehmen.
• Das Gericht und die Berufung. Der französische Abgeordnete Philippe Latombe beantragte beim Gericht der Europäischen Union, den DPF-Beschluss für nichtig zu erklären. Am 3. September 2025 wies das Gericht dies ab (Rechtssache T-553/23): Der DPRC sei nach Ansicht des Gerichts ausreichend unabhängig. Latombe legte Rechtsmittel beim Gerichtshof der Europäischen Union ein (Rechtssache C-703/25 P). Im November 2026 liegt dazu noch keine Entscheidung vor. Der Gerichtshof war in Schrems I und II strenger als das Gericht jetzt.
• Aufsicht in den USA unter Druck. Im Januar 2025 wurden die von den Demokraten nominierten Mitglieder des Privacy and Civil Liberties Oversight Board (PCLOB) entlassen; seitdem hat diese Aufsichtsbehörde kein Quorum mehr und kann ihre Arbeit, einschließlich der Kontrolle des Beschwerdeverfahrens, nur eingeschränkt ausüben. Am 29. Juni 2026 entschied der Oberste Gerichtshof der USA in Trump v. Slaughter, dass der Präsident Mitglieder der FTC ohne Grund entlassen darf. Juristen weisen darauf hin, dass dies die Frage nach der unabhängigen Aufsicht, auf die sich das DPF stützt, zuspitzt.
• Neue Verfahren. Die Datenschutzorganisation noyb hat angekündigt, ein eigenes Verfahren zu erwägen. Ein solcher Fall dauert Jahre.

Fällt das DPF, geschieht das, was 2015 und 2020 bereits geschah: Organisationen müssen von einem Tag auf den anderen auf Standardvertragsklauseln mit einem TIA zurückgreifen oder die Übermittlung stoppen. Eine Übergangsfrist ist dafür nicht vereinbart.

Was bedeutet das für Sie?

Für Bakkerij De Korrel lautet die Frage nicht "Ist es jetzt erlaubt?", denn mit dem DPF ist es derzeit erlaubt. Die Frage lautet: "Möchte ich von einem Rahmenwerk abhängig sein, das bereits zweimal gescheitert ist und zum dritten Mal vor dem Gerichtshof liegt?" Ein Dienst, der innerhalb des EWR ansässig ist und die Daten innerhalb des EWR hält, hängt nicht vom DPF ab. Das ist keine rechtliche Pflicht, aber ein ruhigerer Ausgangspunkt.

In der Praxis: So sieht es bei einem Anbieter aus

Schauen Sie in der Datenschutzerklärung oder im Auftragsverarbeitungsvertrag (AVV) Ihres aktuellen Anbieters nach, auf welcher Grundlage er Daten in die USA übermittelt: das DPF, Standardvertragsklauseln oder beides. Große Anbieter nennen oft beide, gerade um einen Wegfall des DPF abzufangen. Ein europäischer Anbieter ohne Übermittlung außerhalb des EWR muss dies nicht regeln; seine Liste der Unterauftragsverarbeiter zeigt, ob das zutrifft (Lektion 9.2). Bei WebOké steht im Auftragsverarbeitungsvertrag, dass eine Übermittlung außerhalb der EU nur mit vorheriger schriftlicher Zustimmung erfolgen darf; bei anderen Anbietern finden Sie eine vergleichbare Bestimmung meist in einem Artikel über "Übermittlung" oder "internationale Datenübertragung".

Zusammenfassung

• Eine Übermittlung außerhalb des EWR ist nur mit einem Angemessenheitsbeschluss oder mit Garantien wie Standardvertragsklauseln zulässig.
• Der Gerichtshof erklärte Safe Harbor (2015, Schrems I) und das Privacy Shield (2020, Schrems II) für ungültig, vor allem wegen amerikanischer Überwachung und fehlendem Rechtsschutz.
• Seit dem 10. Juli 2023 gilt das EU-US Data Privacy Framework, nur für amerikanische Unternehmen, die sich angeschlossen haben.
• Das DPF beruht auf einem präsidentiellen Beschluss und steht zur Diskussion: Das Rechtsmittel von Latombe (C-703/25 P) läuft, die amerikanische Aufsicht steht unter Druck.
• Ein Dienst, der Daten innerhalb des EWR hält, hängt nicht vom DPF ab.

Quiz

Aufgabe

Aufgabe E1.4: Auf welcher Rechtsgrundlage gehen Ihre Daten in die USA? Suchen Sie in der Datenschutzerklärung oder im Auftragsverarbeitungsvertrag Ihres aktuellen Cloud-Dienstes nach, ob Daten außerhalb des EWR verarbeitet werden und auf welcher Grundlage (DPF, SCC, Angemessenheitsbeschluss für ein anderes Land). Prüfen Sie auf dataprivacyframework.gov, ob das Unternehmen auf der Liste steht. Beschreiben Sie, was für Sie geschieht, wenn das DPF für nichtig erklärt wird.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es vergleichbar.

• Nextcloud-Anleitung 15.13: Häufig gestellte Fragen zu Sicherheit und Datenschutz
• Gerichtshof der Europäischen Union, Urteil C-362/14 (Schrems I, 6. Oktober 2015) und C-311/18 (Schrems II, 16. Juli 2020), auf curia.europa.eu
• Durchführungsbeschluss (EU) 2023/1795 (Angemessenheitsbeschluss EU-US Data Privacy Framework, 10. Juli 2023), auf EUR-Lex
• Durchführungsbeschluss (EU) 2021/914 (Standardvertragsklauseln), auf EUR-Lex
• Gericht der Europäischen Union, Rechtssache T-553/23 (Latombe, 3. September 2025); Rechtsmittel C-703/25 P
• Data Privacy Framework-Liste: https://www.dataprivacyframework.gov