Schrems II in der Praxis: Tool-Auswahl für Teams

Schrems II ist das Urteil des Europäischen Gerichtshofs vom Juli 2020 (Rechtssache C-311/18), das den EU-US Privacy Shield für ungültig erklärte und Datenübermittlungen in die USA an strengere Bedingungen knüpfte: Standardvertragsklauseln bleiben zulässig, aber nur mit einer Prüfung im Einzelfall, ob das Recht des Empfängerlandes den Schutz tatsächlich gewährleistet. Für die Praxis heißt das bis heute: Wer US-Tools einsetzt, muss Übermittlungen bewerten und dokumentieren — wer EU-Tools einsetzt, spart sich den Großteil dieser Arbeit. Dieser Beitrag übersetzt das Urteil in eine Auswahl-Routine für Teams.

Hinweis: Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.

Was hat der EuGH in Schrems II entschieden?

Zwei Dinge, die man auseinanderhalten sollte. Erstens: Der Privacy Shield — der damalige Angemessenheitsbeschluss für die USA — wurde für ungültig erklärt. Der Gerichtshof sah in den US-Überwachungsbefugnissen, insbesondere nach FISA Section 702, Zugriffe auf Daten von EU-Bürgern, die nicht auf das erforderliche Maß beschränkt sind und gegen die Betroffenen kein wirksamer Rechtsbehelf zusteht.

Zweitens, und praktisch folgenreicher: Die Standardvertragsklauseln (SCC) blieben als Instrument bestehen — aber mit einer Auflage. Verantwortliche müssen im Einzelfall prüfen, ob die Klauseln im Empfängerland tatsächlich eingehalten werden können, und die Übermittlung nötigenfalls durch ergänzende Maßnahmen absichern oder unterlassen. Aus einem Vertragsanhang, den man früher einfach mitunterzeichnete, wurde eine Prüfpflicht: das Transfer Impact Assessment.

Was gilt heute — ist das Thema mit dem Data Privacy Framework erledigt?

Seit Juli 2023 gibt es einen neuen Angemessenheitsbeschluss: das EU-US Data Privacy Framework (DPF). Übermittlungen an US-Unternehmen, die unter dem DPF zertifiziert sind, sind damit ohne zusätzliche Garantien zulässig. Das vereinfacht die Lage — erledigt ist sie nicht.

Drei Gründe sprechen dagegen, sich allein auf das DPF zu verlassen. Es gilt nur für zertifizierte Unternehmen, nicht für „die USA" pauschal — die Zertifizierung ist je Anbieter zu prüfen und kann entfallen. Es ist rechtlich umstritten und wird gerichtlich angegriffen; ob es dauerhaft Bestand hat, ist offen, und seine beiden Vorgänger — Safe Harbor und Privacy Shield — sind jeweils vor dem EuGH gescheitert. Und es ändert nichts an den Zugriffsbefugnissen selbst, die neben der Übermittlungsfrage auch bei der Jurisdiktion über Anbieter eine Rolle spielen — Stichwort CLOUD Act.

Datenschutzbewusste Teams ziehen daraus eine nüchterne Konsequenz: Das DPF ist eine gültige Grundlage, aber eine mit Verfallsrisiko. Wer seine Kernprozesse darauf baut, muss bei einem erneuten Kippen umziehen — wer sie auf EU-Verarbeitung baut, nicht.

Was ist ein Transfer Impact Assessment — und wann brauchen Sie eines?

Ein Transfer Impact Assessment (TIA) ist die dokumentierte Bewertung einer Drittlandsübermittlung: Welche Daten gehen an wen, auf welcher Garantie beruht die Übermittlung, welche Zugriffsrisiken bestehen im Empfängerland, und welche ergänzenden Maßnahmen — etwa Verschlüsselung oder Pseudonymisierung — senken das Risiko? Nötig ist es immer dann, wenn Sie eine Übermittlung auf Standardvertragsklauseln stützen; bei einer DPF-zertifizierten Übermittlung formal nicht, eine kurze dokumentierte Prüfung der Zertifizierung ist aber auch dort gute Praxis.

Inhaltlich hat sich ein vierteiliger Aufbau bewährt, an dem sich auch die Vorlagen der Aufsichtsbehörden orientieren:

1. Beschreibung der Übermittlung: Welche Datenkategorien, welche Betroffenen, welcher Empfänger, welcher Zweck?
2. Übermittlungsinstrument: Standardvertragsklauseln, verbindliche interne Vorschriften oder ein Angemessenheitsbeschluss — und in welcher Fassung.
3. Rechtslage im Empfängerland: Können Behörden auf die Daten zugreifen, und stehen Betroffenen wirksame Rechtsbehelfe zu? Hier fließen die Maßstäbe aus Schrems II ein.
4. Ergänzende Maßnahmen und Ergebnis: Verschlüsselung, Pseudonymisierung, vertragliche und organisatorische Vorkehrungen — und die begründete Entscheidung, ob die Übermittlung stattfindet.

Der ehrliche Befund für kleine Teams: Ein sauberes TIA je Anbieter ist echte Arbeit — und sie wiederholt sich mit jeder Vertragsverlängerung, jeder Rechtsänderung und jedem neuen Unterauftragsverarbeiter in der Kette. Genau deshalb ist die wirksamste Schrems-II-Strategie keine juristische, sondern eine architektonische: die Zahl der bewertungspflichtigen Übermittlungen klein halten.

Wie wählen datenschutzbewusste Teams heute Tools aus?

Schritt 1: EU-Alternativen zuerst prüfen

Drehen Sie die Prüfreihenfolge um. Statt das bekannteste Tool zu wählen und dann die Übermittlung zu rechtfertigen, prüfen Sie zuerst, ob ein EU-Anbieter die Anforderung erfüllt. In vielen Kategorien — auch bei der Workflow-Automatisierung — ist die Auswahl inzwischen gut. Erst wenn kein EU-Anbieter passt, lohnt sich der Bewertungsaufwand für einen US-Dienst. Diese Reihenfolge ist keine Prinzipienreiterei, sondern Ökonomie: Jedes Tool, das ohne Drittlandsbezug auskommt, ist ein TIA, das nie geschrieben, aktualisiert und verteidigt werden muss.

Schritt 2: Die ganze Kette ansehen, nicht das Impressum

Ein EU-Anbieter auf US-Infrastruktur verlagert die Übermittlung nur eine Ebene tiefer. Öffnen Sie die Unterauftragsverarbeiter-Liste und prüfen Sie, wo Hosting, KI-Schritte und E-Mail-Versand tatsächlich stattfinden. Warum der Unterschied zwischen Speicherort und Rechtskontrolle dabei zählt, erklärt der Beitrag zu Datenresidenz und Datensouveränität.

Schritt 3: Unvermeidbare Transfers sauber dokumentieren

Ganz ohne Drittlandsbezug kommt kaum ein Stack aus — Zahlungsdienste sind das typische Beispiel. Für diese Fälle gilt: Garantie benennen (DPF-Zertifizierung oder SCC), Umfang der übermittelten Daten festhalten, ergänzende Maßnahmen dokumentieren, Wiedervorlage einplanen. Ein Transfer, der klein, benannt und begründet ist, ist verteidigbar; ein diffuser ist es nicht.

Hilfreich ist eine einfache interne Übersicht: eine Zeile je Drittlandsbezug mit Dienst, Datenkategorien, Grundlage und Datum der letzten Prüfung. Diese Übersicht ist zugleich Ihre Antwort, wenn eine betroffene Person oder eine Aufsichtsbehörde nach Übermittlungen fragt — und sie zeigt Ihnen auf einen Blick, welcher Wechsel den größten Dokumentationsaufwand einsparen würde.

Schritt 4: Auf Ehrlichkeit des Anbieters achten

Misstrauen Sie absoluten Aussagen. „Ihre Daten verlassen niemals die EU" hält bei den meisten SaaS-Produkten einer Prüfung der eigenen Subprozessoren nicht stand. Das glaubwürdige Muster sieht anders aus: EU-Verarbeitung als Kern, klar benannte Ausnahmen mit Garantie. Zauberflow ist dafür ein Beispiel — der Betrieb läuft bei netcup in Nürnberg, KI-Schritte standardmäßig bei Mistral in Frankreich, und die verbleibenden US-Berührungspunkte stehen mit Zweck und Garantie in der Liste der Unterauftragsverarbeiter: die Zahlungsabwicklung über Lemon Squeezy, Google/Microsoft nur bei gewählter SSO-Anmeldung, US-KI-Modelle nur auf ausdrückliche, gekennzeichnete Wahl. Wie die Daten im Einzelnen verarbeitet werden, steht in der Datenschutzerklärung.

So wird aus Schrems II keine Dauerbaustelle, sondern eine einmalige Weichenstellung: kurze Kette, EU-Kern, dokumentierte Ausnahmen. Die Prüfung eines neuen Tools folgt danach immer demselben Muster und dauert eher Minuten als Tage — und sollte der Rechtsrahmen sich erneut verschieben, betrifft das nur die benannten Randstellen Ihres Stacks, nicht sein Zentrum.

Häufige Fragen

Sind US-Tools seit Schrems II verboten?

Nein. Übermittlungen in die USA sind zulässig, wenn eine Grundlage nach Art. 44 ff. DSGVO besteht — heute vor allem die DPF-Zertifizierung des Anbieters oder Standardvertragsklauseln mit Transfer Impact Assessment. Das Urteil hat nicht die Nutzung verboten, sondern die Prüf- und Dokumentationslast erhöht.

Reicht die DPF-Zertifizierung eines Anbieters als Nachweis?

Sie ist eine gültige Übermittlungsgrundlage, solange der Beschluss Bestand hat und der Anbieter zertifiziert ist. Prüfen und dokumentieren Sie die Zertifizierung und behalten Sie den Rechtsstatus des DPF im Blick — bei einem erneuten Kippen bräuchten Sie für denselben Anbieter wieder SCC samt Bewertung oder einen Wechsel.

Muss ich für jeden US-Dienst ein eigenes Transfer Impact Assessment erstellen?

Wenn die Übermittlung auf Standardvertragsklauseln beruht: ja, je Übermittlungskonstellation. Der Aufwand skaliert mit der Zahl der Dienste — was in der Praxis das stärkste Argument dafür ist, die Zahl der US-Dienste in der Kette bewusst klein zu halten.

Betrifft Schrems II auch andere Länder als die USA?

Ja. Die Prüfpflicht gilt für jede Übermittlung in ein Drittland ohne Angemessenheitsbeschluss — die Maßstäbe des Urteils sind allgemein formuliert. Die USA stehen im Mittelpunkt, weil dort die meisten SaaS-Anbieter sitzen; die Methode aus diesem Beitrag funktioniert für jedes Drittland gleich.