Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

Navigation und Service

Praktische Auswirkungen der Rechtsprechung des EuGH auf den internationalen Datentransfer (Rechtssache C-311/18 „Schrems II“)

Der Europäische Gerichtshof hat mit dem Urteil klargestellt, dass personenbezogene Daten von EU Bürgern nur an Drittländer übermittelt werden dürfen, wenn sie in diesem Drittland einen im Wesentlichen gleichwertigen Schutz genießen wie in der EU. Für die USA hat er ein solches angemessenes Schutzniveau verneint.

es ist die EU-Flagge mit dem Sternenkreis in digitalen Symbolen dargestellt und ein Gerichtshammer klopft mittig in den Sternenkreis
Quelle: ©mixmagic - stock.adobe.com

Jeder Verantwortliche im Sinne des Datenschutzrechts ist aufgerufen, seine Datenübermittlungen an Drittländer und die hierfür genutzte Grundlage nach Kapitel V der DSGVO zu überprüfen. Datenübermittlungen an die USA, die bisher auf das EU-US Privacy Shield gestützt wurden, müssen nun durch eine Schutzmaßnahme nach Art. 46 DSGVO abgesichert werden, da der Europäische Gerichtshof diesen Angemessenheitsbeschluss der Europäischen Kommission mit sofortiger Wirkung für unwirksam erklärt hat. Für Datenübermittlungen an die USA, wenn nötig ggf. auch für Datenübermittlungen an weitere Drittländer, ist mit zusätzlichen Maßnahmen sicherzustellen, dass die personenbezogenen Daten auch im jeweiligen Drittland stets angemessen geschützt sind. Nur in Ausnahmefällen (!) können Datenübermittlungen auch auf Grundlage von Art. 49 DSGVO erfolgen, hierbei ist unbedingt der Ausnahmecharakter der Norm zu berücksichtigen, siehe hierzu auch die Leitlinien des Europäischen Datenschutzausschusses 2/2018 mit weiterführenden Hinweisen.

Einzelheiten zu den Auswirkungen des Urteils und zu den daraus folgenden Pflichten von Unternehmen und Behörden finden Sie im Informationsschreiben des BfDI zu den Auswirkungen der Rechtsprechung des Europäischen Gerichtshofs auf den internationalen Datentransfer (Rechtssache C-311/18 „Schrems II“).

Wesentlicher Baustein ist dabei eine strukturierte Überprüfung der Rechtmäßigkeit des Datentransfers an Drittländer (hier finden Sie ein Prüfschema). Denn der Europäische Gerichtshof hat klargestellt, dass keine Übergangsfrist besteht. Das Ergebnis dieser Prüfung muss nachvollziehbar und überprüfbar dokumentiert werden, wie es Verantwortlichen etwa aus der Datenschutzfolgenabschätzung bekannt ist.

Der Europäische Datenschutzausschuss hat Hilfestellungen für die Umsetzung der Anforderungen des Schrems II Urteils erarbeitet, hierzu zählen die FAQs zum Schrems II Urteil, sowie die Empfehlungen zu den zusätzlichen Maßnahmen ("Supplementary measures").

Kernaussagen des Urteils zum Verfahren Schrems II

Prüfschema des BfDI zur Überprüfung desDatentransfers in Drittländer

Statement und Empfehlung des Europäischen Datenschutzausschusses in Englisch

Pressemitteilung des BfDI zum Urteil