Schrems II erklärt: Was Datentransfers heute wirklich brauchen
Schrems II erklärt, warum Datentransfers in Drittländer kein reines Vertragsthema sind, sondern eine Kombination aus Rechtsgrundlage, realen Zugriffen und wirksamen Schutzmaßnahmen. Das Schrems II-Urteil (C-311/18) hat den EU‑U.S. Privacy Shield gekippt und damit Standardvertragsklauseln (SCCs), zusätzliche Maßnahmen und das Transfer Impact Assessment (TIA) in den Mittelpunkt gerückt. Für Unternehmen heißt das: Datenflüsse sichtbar machen, passende Mechanismen wählen und alles so dokumentieren, dass es im Audit standhält.
- Angemessenheitsbeschlüsse nach Art. 45 DS-GVO können Transfers vereinfachen.
- Ohne Angemessenheitsbeschluss sind SCCs nach Art. 46 DS-GVO üblich, oft mit zusätzlichen Maßnahmen.
- Ein TIA macht Aufwand, reduziert aber Freigabe- und Audit-Reibung im Alltag.
Wenn du das Thema strukturiert angehen willst, starte mit einer Bestandsaufnahme der Datenübermittlungen und kläre danach Mechanismen und Maßnahmen. Jetzt ein kostenloses Erstgespräch vereinbaren.
Du fragst Dich, was das konkret für Euer Setup bedeutet? Schreib uns oder sichere Dir direkt Dein kostenloses Erstgespräch.
Definition
Schrems II erklärt die Anforderungen an Übermittlungen personenbezogener Daten in Drittländer außerhalb des EWR nach der DS-GVO. Das Urteil verbietet Datentransfers nicht grundsätzlich, verlangt aber ein wirksam gleichwertiges Datenschutzniveau und überprüfbare Schutzmaßnahmen.
Einleitung
Das Thema trifft dich, sobald Cloud-Dienste, Support, Webtracking, HR-Tools oder Konzern-IT Daten außerhalb der EU berühren. Dann geht es nicht um Paragrafen um ihrer selbst willen, sondern um Handlungsfähigkeit: schnelle Freigaben, weniger Unsicherheit in Projekten und weniger Stress im Audit.
Was bedeutet Schrems II und warum ist es relevant?
Im Schrems II-Urteil (C-311/18) hat der Europäische Gerichtshof (EuGH) den EU‑U.S. Privacy Shield für ungültig erklärt. Gleichzeitig bleiben Standardvertragsklauseln grundsätzlich nutzbar, aber nur, wenn sie im konkreten Fall auch praktisch eingehalten werden können.
Relevant ist das, weil viele Datenübermittlungen versteckt passieren: Remote-Support, zentrale Logdaten, Subunternehmer, E-Mail-Routing oder Admin-Zugriffe. Wer hier Klarheit schafft, reduziert Rückfragen aus Datenschutz, Einkauf und Fachbereichen und macht Cloud- und Digitalprojekte planbarer.
Welche Auswirkungen hat Schrems II auf Datentransfers in Drittländer?
Schrems II verschiebt die Verantwortung stärker zum exportierenden Unternehmen: Es muss beurteilen, ob im Empfängerland besondere Risiken durch Behördenzugriffe bestehen und ob die eingesetzten Maßnahmen trotzdem ein angemessenes Schutzniveau erreichen.
Praktisch heißt das: Datentransfers werden zu einer wiederholbaren Entscheidung, nicht zu einer einmaligen Vertragsanlage. Wenn der Empfänger wechselt, neue Subprozessoren dazukommen oder sich die Anwendung ändert, muss die Bewertung angepasst werden.
EU-U.S. Data Privacy Framework und Angemessenheitsbeschlüsse
Art. 45 DS-GVO erlaubt Datenübermittlungen auf Basis eines Angemessenheitsbeschlusses der EU-Kommission. Für die USA existiert mit dem EU-U.S. Data Privacy Framework ein Rahmen, auf den sich Transfers stützen können, wenn der jeweilige Empfänger entsprechend zertifiziert ist.
Wichtig für die Praxis: Ein Angemessenheitsbeschluss vereinfacht vieles, ersetzt aber nicht automatisch gute Datenhygiene. Du brauchst weiterhin Transparenz über Zwecke, Empfänger, Speicherorte und Zugriffe, damit Fachbereiche nachvollziehen können, welche Daten wohin fließen und warum.
SCCs, zusätzliche Maßnahmen und TIA: So wird es belastbar
Wenn kein Angemessenheitsbeschluss greift, ist Art. 46 DS-GVO der Standardweg, typischerweise über Standardvertragsklauseln (SCCs). Schrems II verlangt dann häufig zusätzliche Maßnahmen (supplementary measures), wenn das Drittland-Recht ein Risiko für Vertraulichkeit oder Betroffenenrechte schafft.
Das Transfer Impact Assessment (TIA) ist dafür das zentrale Arbeitsdokument: Es verbindet Rechtsgrundlage, technische Realität und organisatorische Kontrollen. Der Nutzen im Alltag ist hoch, weil es Entscheidungen nachvollziehbar macht und Diskussionen abkürzt, etwa bei neuen Tools oder Vendor-Wechseln.
- Technisch: starke Verschlüsselung, Schlüsselhoheit, Minimierung, Pseudonymisierung.
- Organisatorisch: Zugriffsprozesse, Logging, Freigaben, Schulungen.
- Vertraglich: SCCs korrekt wählen, Subprozessoren und Support klar regeln.
Mini-Story: Typische Umsetzung in 4 Sätzen
Ein Unternehmen nutzt ein US-basiertes Ticketing-System, in dem Supportfälle personenbezogene Daten enthalten. Nach der Bestandsaufnahme wird der Transfer über SCCs abgesichert und ein TIA bewertet, ob besondere Risiken durch Zugriffsmöglichkeiten bestehen. Zusätzlich werden Datenfelder minimiert und Anhänge standardmäßig verschlüsselt, Zugriffe werden rollenbasiert eingeschränkt. Ergebnis: weniger Rückfragen aus Compliance und schnellere Freigabe neuer Teams und Workflows.
Praxisnahe Checkliste für Unternehmen
- Datenflüsse erfassen: Anwendungen, Empfänger, Subunternehmer, Support- und Admin-Zugriffe, Logging/Backups.
- Mechanismus wählen: Art. 45 DS-GVO (Angemessenheitsbeschluss) oder Art. 46 DS-GVO (SCCs); Art. 49 DS-GVO nur für echte Ausnahmen.
- TIA + Maßnahmen: Risiko bewerten, zusätzliche Maßnahmen definieren, Dokumentation auditfähig ablegen und regelmäßig aktualisieren.
Ressourcen und Weiterbildung
Für die praktische Arbeit helfen drei Quellen besonders: Leitlinien und Empfehlungen der Datenschutzaufsicht (z. B. BfDI und europäische Gremien), die SCC-Dokumente und Orientierungshilfen der EU-Kommission sowie interne Standards wie Muster-TIA, Vorlagen für Vendor-Fragebögen und klare Rollenmodelle zwischen IT, Datenschutz und Einkauf.
Wann externe Unterstützung sinnvoll wird
Externe Unterstützung lohnt sich, wenn du viele Tools/Vendoren hast, mehrere Drittländer im Spiel sind oder du aus Unsicherheit Projekte blockierst. Dann geht es weniger um „mehr Papier“, sondern um eine pragmatische Struktur: Datenflüsse sauber kartieren, Entscheidungen begründen, Maßnahmen umsetzen und Verantwortlichkeiten so festziehen, dass es im Betrieb funktioniert.
Ein guter Einstieg ist ein kompakter Cloud Security & Sovereignty Check, der Datenübermittlungen, Zugriffspfade und Governance zusammenbringt und daraus eine umsetzbare Roadmap ableitet.
Fazit
Schrems II erklärt im Kern: Datentransfers brauchen ein nachweisbar wirksames Schutzniveau, nicht nur einen Vertrag. Wer Angemessenheitsbeschlüsse, SCCs, zusätzliche Maßnahmen und ein TIA als wiederholbaren Prozess aufsetzt, gewinnt Geschwindigkeit in Projekten und Ruhe im Audit. Starte mit Transparenz über Datenflüsse und triff dann klare, dokumentierte Entscheidungen.
Häufige Fragen
Was kostet die Umsetzung von Schrems II typischerweise?
Das hängt vor allem von der Anzahl der Tools, Datenflüsse und beteiligten Vendoren ab. Aufwand entsteht weniger durch „Datenschutztext“, sondern durch Inventarisierung, TIA-Erstellung, Abstimmungen und die Umsetzung zusätzlicher Maßnahmen. Je besser eure Datenflüsse dokumentiert sind, desto schneller wird es.
Lohnt sich der Aufwand überhaupt, wenn wir nur wenige US-Dienste nutzen?
Ja, wenn diese Dienste in kritischen Prozessen stecken oder viele personenbezogene Daten berühren. Ein sauberer Mechanismus (z. B. Data Privacy Framework oder SCCs плюс Maßnahmen) reduziert Freigabezeiten, verhindert Projektstopps und schafft Audit-Sicherheit. Oft ist der größte Nutzen, dass Entscheidungen wiederholbar werden.
Welche Voraussetzungen brauchen wir intern?
Du brauchst klar benannte Verantwortliche in IT, Datenschutz/Compliance und Einkauf sowie Zugriff auf Vendor-Verträge und technische Informationen (z. B. Support- und Admin-Zugriffe). Hilfreich sind ein aktuelles Verzeichnis von Verarbeitungstätigkeiten und eine saubere Übersicht über Subunternehmer.
Wie komplex ist ein Transfer Impact Assessment (TIA) wirklich?
Ein TIA ist überschaubar, wenn du es als Standardprozess aufsetzt: Datenfluss beschreiben, Rechtsgrundlage prüfen, Risiko bewerten, Maßnahmen festlegen, dokumentieren und regelmäßig aktualisieren. Komplex wird es, wenn Informationen fehlen oder die technische Realität (z. B. globale Admin-Zugriffe) nicht zur gewünschten Rechtsgrundlage passt.
