Schrems II
Was ist Schrems II?
Schrems II bezeichnet ein Urteil des Europäischen Gerichtshofs vom 16. Juli 2020 zum internationalen Datenschutz. Der Gerichtshof erklärte das EU-US Privacy Shield für ungültig und stellte klar, dass personenbezogene Daten nur dann in Drittländer übermittelt werden dürfen, wenn dort ein mit der Europäischen Union vergleichbares Schutzniveau gewährleistet ist.
Was das Urteil verändert hat
Schrems II ist die Kurzbezeichnung für das Urteil des Europäischen Gerichtshofs in der Rechtssache C-311/18. Ausgangspunkt war eine Beschwerde des österreichischen Datenschutzaktivisten Max Schrems gegen die Übermittlung personenbezogener Daten aus der Europäischen Union an Unternehmen in den USA.
Das Gericht erklärte den damaligen EU-US Privacy Shield für ungültig. Dieser Angemessenheitsbeschluss hatte zuvor als Rechtsgrundlage für Datentransfers an zertifizierte US-Unternehmen gedient. Nach Auffassung des Gerichts bot das US-Recht keinen Schutz, der dem europäischen Datenschutzniveau im Wesentlichen gleichwertig war.
Die Standardvertragsklauseln der Europäischen Kommission blieben grundsätzlich gültig. Unternehmen dürfen sich seit dem Urteil jedoch nicht allein auf die Unterzeichnung dieser Klauseln verlassen. Sie müssen prüfen, ob der Datenempfänger und die Rechtsordnung des Ziellandes den vereinbarten Schutz tatsächlich gewährleisten können.
Welche Datentransfers betroffen sind
Schrems II betrifft die Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Ein Drittlandtransfer kann bereits entstehen, wenn ein ausländischer Dienstleister auf Daten zugreifen kann. Der physische Serverstandort allein beantwortet die Frage daher nicht vollständig.
Im Online-Marketing können unter anderem Analyseplattformen, Werbenetzwerke, Cloud-Dienste, CRM-Systeme, Newsletter-Tools und externe Supportlösungen betroffen sein. Auch IP-Adressen, Cookie-Kennungen, Kunden-IDs und Geräteinformationen können personenbezogene Daten darstellen, wenn sie einer Person direkt oder indirekt zugeordnet werden können.
Prüfung nach Schrems II
Unternehmen müssen für relevante Übermittlungen ermitteln, welche Daten an welchen Empfänger in welchem Land fließen. Erst eine vollständige Datenflussanalyse zeigt, ob ein Tool ausschließlich technisch notwendige Informationen verarbeitet oder umfangreiche Nutzerprofile, Conversion-Daten und Kundeninformationen übermittelt.
Rechtsgrundlage der Übermittlung
Für den Drittlandtransfer wird ein Übermittlungsinstrument nach Kapitel V der Datenschutz-Grundverordnung benötigt. In Betracht kommen insbesondere ein Angemessenheitsbeschluss, Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften oder eng begrenzte Ausnahmen für besondere Einzelfälle.
Transfer Impact Assessment
Ein Transfer Impact Assessment, kurz TIA, bewertet das konkrete Risiko einer Datenübermittlung. Die Prüfung umfasst die Art der Daten, den Zweck der Verarbeitung, das Zielland, mögliche Zugriffsrechte staatlicher Stellen, die Vertragsgestaltung und die technischen Schutzmaßnahmen.
Ergänzende Schutzmaßnahmen
Reicht das gewählte Übermittlungsinstrument allein nicht aus, sind ergänzende Maßnahmen erforderlich. Dazu gehören eine starke Verschlüsselung mit kontrollierter Schlüsselverwaltung, Pseudonymisierung, Datenminimierung, kurze Speicherfristen und eine Beschränkung administrativer Zugriffe.
| Prüfschritt | Zentrale Frage | Typisches Ergebnis |
|---|---|---|
| Dateninventar | Welche personenbezogenen Daten verlassen den Europäischen Wirtschaftsraum? | Dokumentierte Datenflüsse und Empfänger |
| Transfergrundlage | Welches Instrument erlaubt die Übermittlung? | Angemessenheitsbeschluss oder geeignete Garantien |
| Risikobewertung | Kann das Schutzniveau im Zielland praktisch eingehalten werden? | Transfer Impact Assessment |
| Zusatzmaßnahmen | Welche technischen und organisatorischen Kontrollen reduzieren das Risiko? | Verschlüsselung, Pseudonymisierung oder Datenminimierung |
| Kontrolle | Haben sich Anbieter, Datenflüsse oder Gesetze verändert? | Regelmäßige Aktualisierung der Prüfung |
Rechtslage nach Schrems II 2026
Seit 2023 besteht mit dem EU-US Data Privacy Framework erneut ein Angemessenheitsbeschluss für bestimmte Datenübermittlungen in die USA. Er gilt jedoch nur für US-Unternehmen, die wirksam nach diesem Rahmen zertifiziert sind und den jeweiligen Datenumfang abdecken.
Das EU-US Data Privacy Framework hebt das Urteil nicht auf. Schrems II bleibt für Übermittlungen an nicht zertifizierte US-Empfänger, für andere Drittländer und für Datentransfers auf Grundlage von Standardvertragsklauseln relevant. Unternehmen müssen daher für jeden Dienst und Empfänger die passende Rechtsgrundlage bestimmen.
Eine einmalige Prüfung reicht in der Regel nicht aus. Anbieter wechseln Unterauftragnehmer, verändern Serverstrukturen oder erweitern ihre Funktionen. Ein dokumentierter Kontrollprozess sollte deshalb Verträge, Zertifizierungen, Datenflüsse und technische Einstellungen regelmäßig erfassen.
Folgen für SEO, SEA und GEO
Im SEO betrifft Schrems II vor allem Analyse-, Reporting-, Crawling- und Cloud-Systeme, sobald personenbezogene Daten verarbeitet oder aus einem Drittland abgerufen werden können. Bei der Tool-Auswahl sollten deshalb Datenstandorte, Unterauftragnehmer, Zugriffsrechte, Aufbewahrungsfristen und Exportmöglichkeiten dokumentiert werden.
Technische SEO-Daten wie Rankings oder Statuscodes enthalten für sich betrachtet meist keinen direkten Personenbezug. Kritisch können jedoch Benutzerkonten, Protokolldaten, IP-Adressen und verknüpfte Analysedaten werden. Eine klar dokumentierte SEO-Reporting-Struktur erleichtert es, benötigte Daten von vermeidbaren personenbezogenen Informationen zu trennen.
Im SEA entstehen internationale Datenflüsse häufig durch Conversion-Tracking, Zielgruppenbildung, Kundenlisten und automatisierte Gebotssteuerung. Marketing-Verantwortliche sollten gemeinsam mit Datenschutz und IT festlegen, welche Daten für Kampagnen wirklich erforderlich sind. Eine technisch sauber eingerichtete Google-Ads-Betreuung mit transparenten Datenflüssen erleichtert diese Abstimmung.
Bei GEO, der Generative Engine Optimization, können Drittlandtransfers entstehen, wenn Mitarbeiter personenbezogene Informationen in ChatGPT, Claude, Perplexity, Gemini oder andere KI-Dienste eingeben. Für Analysen sollten Exporte deshalb vor dem Upload geprüft, auf den erforderlichen Umfang reduziert und bei Bedarf pseudonymisiert werden.
Schrems II und verwandte Begriffe
Der Unterschied zwischen Schrems I und Schrems II liegt im betroffenen Übermittlungsrahmen. Schrems I führte 2015 zur Ungültigkeit der Safe-Harbor-Regelung. Schrems II erklärte 2020 deren Nachfolgeregelung, das EU-US Privacy Shield, für ungültig und konkretisierte zugleich die Pflichten bei Standardvertragsklauseln.
Standardvertragsklauseln sind von der Europäischen Kommission vorgegebene Vertragsmuster für bestimmte internationale Datenübermittlungen. Schrems II ist dagegen das Urteil, aus dem sich die Pflicht ergibt, zusätzlich die tatsächlichen Bedingungen im Empfängerland und erforderliche Schutzmaßnahmen zu bewerten.
Ein Angemessenheitsbeschluss bestätigt, dass ein Staat oder ein festgelegter Übermittlungsrahmen ein im Wesentlichen gleichwertiges Datenschutzniveau bietet. Ein Transfer Impact Assessment ist eine unternehmensbezogene Prüfung für konkrete Datenflüsse und wird besonders bei Übermittlungen auf Grundlage geeigneter Garantien eingesetzt.
Umsetzung im Marketingalltag
Ein belastbarer Schrems-II-Prozess beginnt mit einer Liste aller eingesetzten Dienste. Für jedes Tool werden Anbieter, Empfängerland, Unterauftragnehmer, Datenarten, Verarbeitungszwecke, Speicherfristen und Übermittlungsinstrument dokumentiert. Verträge und technische Einstellungen müssen mit dem tatsächlichen Datenfluss übereinstimmen.
In der Agenturpraxis zeigen sich Lücken häufig nicht im Hauptvertrag, sondern in nachgelagerten Funktionen. Ein zunächst unkritisch wirkendes SEO- oder SEA-Tool kann durch Nutzeraufzeichnungen, Supportzugriffe oder zusätzliche Integrationen neue Datenflüsse erzeugen. Deshalb sollte jede Funktion vor der Aktivierung bewertet werden.
Die Tool-Prüfung gehört in einen abgestimmten Prozess zwischen Marketing, IT, Datenschutz und Einkauf. Der Datenschutzbeauftragte oder ein spezialisierter Rechtsberater sollte die rechtliche Bewertung übernehmen. Marketing-Teams liefern dazu die technische Dokumentation, die eingesetzten Funktionen und den konkreten Verarbeitungszweck.
Wenn du deine SEO-, SEA- und GEO-Prozesse einschließlich der eingesetzten Tools strukturiert prüfen lassen möchtest, bietet ein Potenzialcheck einen sachlichen Einstieg.
Häufige Fragen zum Schrems-II-Urteil
Ist Schrems II noch gültig?
Ja. Das Urteil bleibt maßgeblich für internationale Datenübermittlungen. Der EU-US Data Privacy Framework schafft zwar eine Grundlage für zertifizierte US-Unternehmen, ersetzt aber nicht die Prüfung anderer Empfänger, Drittländer oder Übermittlungsinstrumente.
Welche Unternehmen sind von Schrems II betroffen?
Betroffen sind Unternehmen, die personenbezogene Daten an Empfänger außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums übermitteln oder einen Zugriff aus einem Drittland ermöglichen. Das kann Websites, Onlineshops, Agenturen, Arbeitgeber und Anbieter digitaler Dienste betreffen.
Sind Standardvertragsklauseln nach Schrems II erlaubt?
Ja. Standardvertragsklauseln sind weiterhin ein zulässiges Übermittlungsinstrument. Der Verantwortliche muss jedoch prüfen, ob sie im konkreten Zielland eingehalten werden können und ob ergänzende Schutzmaßnahmen erforderlich sind.
Reicht ein Serverstandort in Deutschland aus?
Ein deutscher Serverstandort reduziert bestimmte internationale Datenflüsse, reicht allein aber nicht immer aus. Maßgeblich ist auch, welche Unternehmen administrativen Zugriff haben, wo Unterauftragnehmer sitzen und aus welchen Ländern Support oder Wartung erfolgen.
Erlaubt eine Cookie-Einwilligung den Datentransfer in die USA?
Eine Cookie-Einwilligung erlaubt nicht automatisch jede internationale Datenübermittlung. Zusätzlich müssen die Voraussetzungen für Drittlandtransfers geprüft und die betroffenen Nutzer transparent über Empfänger, Zwecke und Risiken informiert werden.
Was gehört in ein Transfer Impact Assessment?
Ein Transfer Impact Assessment erfasst den Datenempfänger, das Zielland, die Datenarten, den Verarbeitungszweck, mögliche Behördenzugriffe, das Übermittlungsinstrument und ergänzende Schutzmaßnahmen. Das Ergebnis und die zugrunde liegenden Informationen sollten nachvollziehbar dokumentiert werden.
Betrifft Schrems II auch KI-Tools?
Ja, wenn personenbezogene Daten an einen KI-Anbieter in einem Drittland übertragen oder dort zugänglich werden. Vor dem Hochladen von Prompts, Kundendaten oder Dokumenten sollten der Anbieter, die Vertragsgrundlage, die Speicherregeln und verfügbare Schutzfunktionen geprüft werden.
Sie haben noch Fragen?
