Schrems II: EuGH erklärt 2020 den Privacy Shield für ungültig
Am 16. Juli 2020 erklärte der Gerichtshof der EU den Privacy Shield für Datenübermittlungen in die USA für ungültig. Die Standardvertragsklauseln ließ er bestehen, verlangte aber eine Prüfung vor jeder Übermittlung.
Am 16. Juli 2020 entschied der Gerichtshof der Europäischen Union in der Rechtssache C-311/18.1,3 Er erklärte den Beschluss 2016/1250 der Kommission über den EU-US-Datenschutzschild, englisch Privacy Shield, für ungültig.1,2 Den Beschluss 2010/87 über für die Übermittlung personenbezogener Daten in Drittländer ließ er dagegen bestehen.1,2 Bekannt ist das Urteil als „Schrems II“.3
Das Verfahren geht auf eine Beschwerde des österreichischen Datenschutzaktivisten Maximilian Schrems zurück.2 Er reichte sie im Juni 2013 bei der irischen Datenschutzbehörde ein, wegen der Verarbeitung seiner Daten durch Facebook.3 Am 6. Oktober 2015 hatte der Gerichtshof bereits die Safe-Harbor-Entscheidung der Kommission für ungültig erklärt, im Urteil „Schrems I“.1,2 An ihre Stelle trat im Juli 2016 der Privacy Shield.3 Im Dezember 2015 fasste Schrems seine Beschwerde neu und richtete sie auf die Standardvertragsklauseln.3
Die Überwachungsprogramme der USA seien nicht auf das unbedingt Notwendige beschränkt, befand das Gericht.1,2 Die im Privacy Shield vorgesehene Ombudsperson biete Betroffenen keinen Rechtsbehelf vor einer Stelle, deren Garantien denen des Unionsrechts gleichwertig sind.1 Die Standardvertragsklauseln verpflichten nach dem Urteil Datenexporteur und Empfänger, vor jeder Übermittlung zu prüfen, ob das Schutzniveau im Drittland eingehalten wird.1
Unternehmen, die sich auf den Privacy Shield gestützt hatten, mussten für Übermittlungen in die USA eine andere Grundlage finden.3 Am 10. Juli 2023 nahm die Europäische Kommission den für den EU-US-Datenschutzrahmen an, der den Privacy Shield ersetzt.4 Die Organisation noyb um Max Schrems kündigte an, auch ihn anzufechten.4 Eine Klage des französischen Abgeordneten Philippe Latombe gegen den Datenschutzrahmen wies das Gericht der EU am 3. September 2025 ab.5,6 Latombe legte dagegen im Oktober 2025 Rechtsmittel beim Gerichtshof ein.6
Siehe auch
- DSGVO gilt ab 25. Mai 2018 und löst die Richtlinie von 1995 ab 2018 Das Urteil maß Datenübermittlungen in die USA am EU-Datenschutzrecht, das seit 2018 in der DSGVO steht.
Hierher verwiesen
- TikTok: 530 Mio. Euro Bußgeld für Datenzugriff aus China 2025 Das Urteil, nach dem Standardvertragsklauseln am Schutzniveau des Ziellandes zu messen sind.
- EU-US-Datenschutzrahmen löst 2023 den Privacy Shield ab 2023 Das Urteil, das den Vorgänger kippte und an dessen Maßstab der neue Rahmen gemessen wird.