Schrems II ist das Urteil des EuGH vom 16. Juli 2020 (C-311/18), mit dem der EU-US Privacy Shield für ungültig erklärt wurde.
Kernaussagen
Der EuGH beanstandete, dass US-Behörden auf Grundlage von Überwachungsgesetzen weitreichend auf Daten zugreifen können, ohne dass EU-Bürger wirksame Rechtsbehelfe haben. Der Angemessenheitsbeschluss für den Privacy Shield war damit unwirksam.
Standardvertragsklauseln blieben gültig. Wer sie nutzt, muss aber im Einzelfall prüfen, ob das Recht des Empfängerlands ein gleichwertiges Schutzniveau zulässt, und gegebenenfalls zusätzliche Maßnahmen ergreifen.
Folgen
Die EU-Kommission veröffentlichte 2021 neue Standardvertragsklauseln, der Europäische Datenschutzausschuss Empfehlungen zu ergänzenden Maßnahmen. Am 10. Juli 2023 folgte ein neuer Angemessenheitsbeschluss für die USA, das EU-U.S. Data Privacy Framework.
Benannt ist das Urteil nach dem österreichischen Juristen Max Schrems. Bereits 2015 hatte der EuGH auf seine Beschwerde hin das Safe-Harbor-Abkommen gekippt (C-362/14, Schrems I).
Rechtsgrundlagen
- EuGH, C-311/18
- Urteil vom 16. Juli 2020, Schrems II.
- Art. 45 und 46 DSGVO
- Angemessenheitsbeschluss und geeignete Garantien.
- Art. 7, 8 und 47 GRCh
- Grundrechte, an denen der EuGH das US-Recht gemessen hat.
Verwandte Begriffe.
Standardvertragsklauseln (SCC) Standardvertragsklauseln sind von der EU-Kommission vorgegebene Vertragsmuster, mit denen geeignete Garantien für die Übermittlung personenbezogener Daten in Drittländer geschaffen werden. Art. 46 Abs. 2 lit. c DSGVO Drittland Ein Drittland ist datenschutzrechtlich jeder Staat außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Art. 44 DSGVO Cloud-Computing Cloud-Computing ist die Bereitstellung von IT-Ressourcen wie Speicher, Rechenleistung oder Software über das Internet durch einen externen Anbieter. Art. 28 DSGVO 