Seit dem 16. Juli 2020 klingelt bei uns das Telefon häufiger als sonst. Die Frage ist fast immer dieselbe: „Wir nutzen Dienste aus den USA, ist das jetzt verboten?“ Die Schrems-II-Folgen beschäftigen gerade jedes Unternehmen, das Cloud-Speicher, Newsletter-Tools, Videokonferenzen oder Webanalyse eines US-Anbieters einsetzt. Die kurze Antwort: verboten ist nicht automatisch alles, aber „weiter wie bisher“ ist auch keine Option. Hier die längere Antwort.
Was der Europäische Gerichtshof entschieden hat
Der Europäische Gerichtshof (EuGH) hat in dem Verfahren, das der österreichische Datenschutzaktivist Max Schrems angestoßen hatte, zwei Dinge festgestellt:
- Das EU-US Privacy Shield ist ungültig. Der Angemessenheitsbeschluss der EU-Kommission, auf den sich tausende US-Unternehmen gestützt haben, gilt nicht mehr. Eine Übergangsfrist hat das Gericht nicht vorgesehen.
- Die Standardvertragsklauseln bleiben grundsätzlich gültig. Allerdings muss der Datenexporteur, also Sie, prüfen, ob im Empfängerland ein Schutzniveau besteht, das dem europäischen im Wesentlichen gleichwertig ist. Reicht das nicht, sind zusätzliche Maßnahmen nötig, oder die Übermittlung muss unterbleiben.
Hintergrund sind die weitreichenden Zugriffsbefugnisse US-amerikanischer Sicherheitsbehörden und der aus Sicht des Gerichts fehlende Rechtsschutz für EU-Bürger. Das Urteil betrifft damit nicht nur das Privacy Shield, sondern mittelbar jede Übermittlung personenbezogener Daten in die USA.
Schrems II: Folgen für typische US-Dienste im Mittelstand
Ein Blick in das Verarbeitungsverzeichnis eines durchschnittlichen Mainzer Betriebs zeigt schnell, wie verbreitet US-Dienste sind. Die folgende Übersicht hilft bei einer ersten Einordnung:
| Dienst-Kategorie | Typische Daten | Erste Einschätzung |
|---|---|---|
| Office-Pakete und Cloud-Speicher | E-Mails, Dokumente, Kundendaten | hohe Relevanz, Vertrag und Serverstandort prüfen |
| Videokonferenz | Namen, Bild, Ton, Teilnehmerlisten | mittlere bis hohe Relevanz, europäische Alternativen vorhanden |
| Newsletter-Versand | E-Mail-Adressen, Öffnungsverhalten | mittlere Relevanz, Wechsel oft einfach möglich |
| Webanalyse und Tracking | IP-Adressen, Nutzungsprofile | hohe Relevanz, Einwilligung ohnehin nötig |
| CRM und Support-Tools | Kundenstammdaten, Kommunikation | hohe Relevanz, Datenmenge oft groß |
Wichtig: Auch wenn ein Anbieter mit „Rechenzentrum in Frankfurt“ wirbt, kann ein Zugriff aus den USA möglich sein, etwa über Support oder die Konzernmutter. Der Serverstandort allein löst das Problem deshalb nicht immer.
Was Sie jetzt konkret tun sollten
Panik hilft niemandem, Aussitzen aber auch nicht. Die Aufsichtsbehörden haben deutlich gemacht, dass sie das Urteil ernst nehmen; einzelne Behörden haben Unternehmen bereits aufgefordert, ihre Datenflüsse zu überprüfen. Wir empfehlen dieses Vorgehen:
- Bestandsaufnahme: Listen Sie alle Dienste auf, bei denen personenbezogene Daten in die USA gehen könnten. Das Verarbeitungsverzeichnis ist der Startpunkt, aber denken Sie auch an Website-Plugins, Schriftarten, Kartendienste und Chat-Widgets.
- Rechtsgrundlage je Dienst prüfen: Stützt sich der Transfer nur auf das Privacy Shield? Dann fehlt jetzt die Grundlage. Gibt es Standardvertragsklauseln im Auftragsverarbeitungsvertrag?
- Anbieter anfragen: Viele Anbieter haben inzwischen Stellungnahmen veröffentlicht oder ihre Verträge auf Standardvertragsklauseln umgestellt. Fragen Sie nach, welche zusätzlichen Schutzmaßnahmen sie bieten, etwa Verschlüsselung.
- Risiko bewerten: Wie sensibel sind die Daten? Ein Newsletter mit Vornamen ist etwas anderes als Gesundheitsdaten von Patienten.
- Alternativen prüfen: Für viele Anwendungen gibt es europäische Anbieter. Ein Wechsel ist nicht immer sofort möglich, sollte aber zumindest geplant werden.
- Dokumentieren: Halten Sie fest, was Sie geprüft und entschieden haben. Im Fall einer Anfrage der Aufsichtsbehörde ist das Ihr wichtigster Nachweis.
Was ist mit Einwilligung und Ausnahmen?
Die DSGVO kennt in Artikel 49 Ausnahmen für Übermittlungen in Drittländer, etwa die ausdrückliche Einwilligung der betroffenen Person oder die Erforderlichkeit zur Vertragserfüllung. Diese Ausnahmen sind aber für Einzelfälle gedacht, nicht für den regelmäßigen, massenhaften Datenfluss in die Cloud. Wer jetzt alle Kunden um eine Einwilligung in den US-Transfer bittet, baut auf Sand: Eine Einwilligung muss informiert und freiwillig sein und kann jederzeit widerrufen werden.
Häufige Fragen aus unseren Gesprächen
Müssen wir morgen Microsoft, Google und Co. abschalten?
Nein, nicht über Nacht. Aber Sie müssen nachweisen können, dass Sie sich mit dem Thema befasst und eine begründete Entscheidung getroffen haben. Wer gar nichts tut, hat im Ernstfall die schlechtesten Karten.
Gibt es bald eine Nachfolgeregelung?
Ob und wann es einen Nachfolger für das Privacy Shield gibt, ist derzeit offen. Auch die Datenschutzaufsicht arbeitet noch an konkreten Empfehlungen, welche zusätzlichen Maßnahmen ausreichen. Wir rechnen damit, dass sich die Lage in den nächsten Monaten weiterentwickelt, und halten Sie hier auf dem Laufenden.
Betrifft uns das auch ohne eigene US-Dienste?
Sehr wahrscheinlich ja. Eingebundene Schriftarten, Videos, Karten oder Analyse-Skripte auf Ihrer Website übertragen oft IP-Adressen Ihrer Besucher in die USA. Ein Website-Check lohnt sich deshalb fast immer.
Unsere ehrliche Einschätzung
Schrems II ist kein Weltuntergang, aber ein deutlicher Weckruf. Viele Unternehmen haben sich jahrelang auf das Privacy Shield verlassen, ohne genauer hinzusehen. Jetzt ist der richtige Zeitpunkt, die eigene Software-Landschaft aufzuräumen: Was brauchen wir wirklich? Wo gibt es gleichwertige europäische Lösungen? Und wo bleiben wir bewusst beim US-Anbieter, weil der Nutzen überwiegt und wir das Risiko mit zusätzlichen Maßnahmen begrenzen? Diese Abwägung kann Ihnen niemand abnehmen, aber sie lässt sich strukturiert treffen.
Wir helfen Ihnen gerne
Sie möchten wissen, welche Ihrer Dienste von den Schrems-II-Folgen betroffen sind? Das Datenschutz-Team der Mittelstandsoptimierer prüft mit Ihnen Ihre Datenflüsse, Verträge und Alternativen und dokumentiert das Ergebnis. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
