Schrems II

TL;DR

Schrems II ist der Name einer Rechtssache des Europäischen Gerichtshofs (EuGH), in der es darum ging, dass US-Unternehmen keine angemessenen Standards für den Schutz personenbezogener Daten gewährleisten können. Infolgedessen wurde die Übermittlung personenbezogener Daten zwischen der EU und den USA rechtswidrig, und das Privacy-Shield-Abkommen zwischen den beiden Ländern wurde hinfällig.

Was bedeutet Schrems II?

Schrems II ist der Oberbegriff für ein Verfahren vor dem Europäischen Gerichtshof, das am 16. Juli 2020 zugunsten von Max Schrems entschieden wurde und zur Ungültigkeit des EU-US-Datenschutzschilds führte. Dies führte dazu, dass es für jede Art von Datenverarbeitungsunternehmen illegal wurde, Dienste aus den USA zu nutzen, die diesen Diensten Zugang zu den personenbezogenen Daten von EU-Bürgern geben würden, ohne die Risiken vollständig zu erklären. Die Folgen waren so gravierend, dass einige große US-Unternehmen (z. B. Facebook) in Erwägung zogen, ihre Geschäftstätigkeit in der EU ganz einzustellen.

Ein früherer Fall, bekannt als Schrems I, der von derselben Person angestrengt wurde, hatte 2015 zu einem ähnlichen Ergebnis geführt. Die Entscheidung des EuGH in der Rechtssache Schrems II stützte sich auf das Argument, dass es insbesondere aufgrund von US-Gesetzen wie dem CLOUD Act keine Möglichkeit gibt, den Schutz personenbezogener Daten zu gewährleisten, wenn diese von US-Unternehmen verarbeitet werden. Bundesbehörden könnten mit einem Durchsuchungsbefehl Datenverarbeiter wie Google oder Facebook jederzeit dazu zwingen, personenbezogene Daten von Nutzern offenzulegen, ohne dass diese ihre Zustimmung geben müssten. Dabei spielt es keine Rolle, wo sich die Server, auf denen die Daten gespeichert sind, physisch befinden. Daher muss jeder EU-Bürger, der auf eine in den USA gehostete Website zugreift, oder eine Website, die von US-Unternehmen verwaltete Anwendungen Dritter (z. B. Google Analytics) nutzt, über alle rechtlichen Auswirkungen der Datenübermittlung sowie über alle Risiken genau informiert werden.

Weitere Einzelheiten zu den Folgen von Schrems II finden Sie in dieser Übersicht. Zusammengefasst sind dies:

• Website-Besitzer mit EU-Besuchern dürfen keine Daten außerhalb der EU speichern, es sei denn, die Gesetze des betreffenden Landes bieten ein angemessenes Schutzniveau für die Daten
• Alle von einer Website genutzten Dienste Dritter müssen ebenfalls Schutz bieten und dürfen daher nicht in den USA angesiedelt sein. Zu diesen Diensten können gehören: Website-Analyse-Tools, Tools für das Kundenbeziehungsmanagement, Werbedienste, Chat-Tools, Tools für den Nutzereinblick usw.
• die Liste der US-Unternehmen, die auf der Grundlage des Privacy Shields von den Vorschriften ausgenommen waren, nicht mehr legal tätig sind
• Zustimmungsbanner müssen spezifische Cookie-Informationen sowie Datenübertragungsvorschriften enthalten