Was ist Schrems II?

Schrems II ist der gebräuchliche Name für das Urteil des Europäischen Gerichtshofs vom Juli 2020 (Rechtssache C-311/18), das das EU-US Privacy Shield für ungültig erklärte — das Framework, auf das sich Tausende Unternehmen für Datentransfers über den Atlantik stützten. Angestrengt vom österreichischen Datenschutzaktivisten Max Schrems — dessen frühere Klage 2015 bereits das Safe-Harbor-Abkommen zu Fall gebracht hatte — stellte das Urteil fest, dass US-Überwachungsrecht das Framework daran hindert, EU-Bürgern das Schutzniveau zu garantieren, das die DSGVO verlangt. Über Nacht verschwand eine rechtliche Grundlage transatlantischer Datenflüsse, und der Fall wurde zum Kürzel für die Zerbrechlichkeit grenzüberschreitender Transfermechanismen.

Was das Gericht entschied

Zwei Kernaussagen prägen das Urteil. Erstens fiel das Privacy Shield, weil US-Geheimdienstprogramme Zugriff auf übertragene Daten jenseits dessen erlaubten, was EU-Recht als verhältnismäßig ansieht — und EU-Bürgern wirksamer Rechtsschutz dagegen fehlte. Zweitens überlebten die Standardvertragsklauseln (SCCs) — der wichtigste Alternativmechanismus —, aber mit einer anspruchsvollen Bedingung: Der exportierende Verantwortliche muss Transfer für Transfer prüfen, ob das Recht des Ziellandes die Klauseln in der Praxis aushöhlt, und wo das der Fall ist, zusätzliche Maßnahmen ergreifen. Ein Vertrag kann keinen ausländischen Geheimdienst binden — für Daten, auf die ein US-Anbieter im Klartext zugreifen kann, hat die Prüfung deshalb häufig keine bequeme Antwort.

Die Folgen für Websites und Cloud-Dienste

Die Reichweite des Urteils ging weit über Rechenzentren hinaus, denn Transfers passieren überall dort, wo ein US-kontrollierter Dienst EU-Besucherdaten berührt — und europäische Aufsichtsbehörden wandten diese Logik auf das alltägliche Web an. Entscheidungen in mehreren Mitgliedstaaten stuften routinemäßige Website-Einbettungen, die Besucherdaten an US-Endpunkte übertragen, als rechtswidrig ein — Fonts, Analytics und andere Dritt-Skripte gehörten zu den Betroffenen. Ein Nachfolge-Framework, das EU-US Data Privacy Framework, erhielt 2023 einen Angemessenheitsbeschluss und stellte für zertifizierte Unternehmen eine Rechtsgrundlage wieder her — doch es ruht auf derselben Spannung, die das Gericht nun zweimal verworfen hat, steht selbst unter Beschuss, und die Geschichte gibt das Muster vor: Architekturen, die auf einem Transfermechanismus bauen, erben dessen Lebensdauer.

Das Problem architektonisch umgehen

Die dauerhafte Antwort auf Schrems II ist architektonisch, nicht vertraglich: Wo die Verarbeitung in der EU bleibt, stellt sich die gesamte Transferfrage — Angemessenheitsbeschlüsse, SCCs, Zusatzmaßnahmen und deren periodische Annullierung — gar nicht erst. Das verschiebt die Anbieterwahl hin zur Data Residency als Primärkriterium, besonders bei Komponenten, die jeden Besucher berühren. Verifizierung ist ein Paradebeispiel: Ein CAPTCHA läuft auf Logins und Checkouts der ganzen Website, seine Datenflüsse wiegen also überproportional — EU-gehostete Dienste wie CaptchaFox halten diese Verarbeitung innerhalb europäischer Jurisdiktion und erheben von vornherein keine persistenten Identifikatoren. Die Lektion, die der Fall immer wieder lehrt, ist dieselbe, mit der die Datenminimierung beginnt: Daten, die nie erhoben werden oder nie das Land verlassen, brauchen überhaupt keinen Transfermechanismus.