Blog · Recht und Architektur ·
Schrems II: Was das Urteil für Ihre Anbieterwahl bedeutet
Seit Schrems II braucht jeder Datentransfer in die USA eine eigene Prüfung. Was das EuGH-Urteil kippt, was bleibt und was Anbieterwahl damit zu tun hat.
Was das Gericht kippte
2020 erklärte der Europäische Gerichtshof den Privacy Shield für ungültig: Das Abkommen schütze europäische Daten in den USA nicht gleichwertig, weil US-Überwachungsrecht, namentlich FISA 702, zu weit reiche und Betroffenen kein wirksamer Rechtsbehelf offenstehe. Übermittlungen, die darauf ruhten, verloren über Nacht ihre Grundlage.
Standardvertragsklauseln überlebten, aber als Einzelfall: Wer sie nutzt, muss zusätzlich prüfen, ob das Recht des Ziellands ihren Schutz aushöhlt, und das Ergebnis nachweisen. Aus dem Formular wurde eine Prüfungspflicht mit Beweislast.
Die Prüfung, die seitdem jeder schuldet
Transfer Impact Assessment heißt die Arbeit: Welches Recht gilt im Zielland, welche Zugriffe erlaubt es, welche Zusatzmaßnahmen gleichen das aus? Reicht Verschlüsselung, dann nur, wenn der Anbieter den Schlüssel nicht besitzt; wer für Sie terminiert, besitzt ihn. Lässt sich der Schutz nicht herstellen, ist die Übermittlung auszusetzen.
Das gilt für jede Übermittlung, nicht nur für Datenbanken: auch für Anfrage- und Verkehrsdaten, die durch fremde Hände gehen. Die Prüfung ist mühsam, und genau das ist ihr Sinn: Wer übermitteln will, soll es wissen.
Was das mit Ihrem Edge zu tun hat
Anfragedaten sind häufig personenbezogen: Anmeldungen, Formulare, Cookies und Kennungen zählen dazu, und der EuGH legt den Begriff weit aus. Wer den Edge betreibt, sieht sie im Klartext; steht er bei einem US-Anbieter, stellt sich die Transferfrage mit jedem Anfrageverlauf.
Standardklauseln und Prüfung decken auch diesen Weg, oder der Weg entfällt: Bei einem Anbieter unter europäischem Recht ohne Transfer in die USA stellt sich die Frage nicht. Weniger Übermittlung heißt weniger Prüfung.
Der Stand heute
Für zertifizierte US-Unternehmen schafft das Data Privacy Framework eine neue Grundlage ohne Einzelprüfung. Ob sie dauerhaft trägt, ist offen: Seine Bestandskraft ist umstritten, und wer ohne Transfer auskommt, braucht die Frage nicht. Verlassen sollte sich niemand auf Abkommen, deren Haltbarkeit Gerichte entscheiden.
Dieser Text erklärt Zusammenhänge, keine Rechtslage: Verbindlich klärt Ihre Übermittlungen Ihre Rechtsberatung. Was er klären kann, ist die Architekturfrage dahinter: wo Ihre Daten fließen und wessen Recht dort gilt.
Die Folgerung für die Anbieterwahl
Jeder Anbieter außerhalb der EU ist eine Prüfung, jeder in der EU keine: Die einfachste Folgenabschätzung ist die, die entfällt. Wer seinen Edge unter europäisches Recht holt, streicht eine ganze Klasse von Fragen aus jeder Bewertung.
Häufige Fragen
Sind Standardvertragsklauseln jetzt wertlos? Nein, aber sie sind kein Freibrief mehr: Seit Schrems II müssen Sie zusätzlich prüfen, ob das Recht des Ziellands ihren Schutz aushöhlt, und nachweisen, dass Sie geprüft haben.
Gelten Anfragedaten überhaupt als personenbezogen? Häufig ja: Anmeldungen, Formulare, Cookies und Kennungen zählen dazu, und der EuGH legt den Begriff weit aus. Gehen Sie davon aus, bis Ihre Rechtsberatung es anders sieht.
Was ändert das Privacy Framework? Für zertifizierte US-Unternehmen schafft es eine neue Grundlage ohne Einzelprüfung. Ob sie dauerhaft trägt, ist offen; wer ohne Transfer auskommt, braucht die Frage nicht.