Schrems II & EU-US Data Privacy Framework

Schrems II ist ein Urteil des Europäischen Gerichtshofs aus dem Jahr 2020, das den damaligen EU-US-Datentransfer für ungültig erklärte. Seit 2023 regelt das EU-US Data Privacy Framework den Datenaustausch mit zertifizierten US-Unternehmen neu. Für KMU bleibt EU-Hosting die einfachste und sicherste Lösung.

Was bedeutet Schrems II?

Schrems II ist ein Grundsatzurteil des Europäischen Gerichtshofs vom Juli 2020, benannt nach dem österreichischen Juristen Max Schrems. Das Gericht kippte das damalige Abkommen Privacy Shield, das den Datentransfer in die USA geregelt hatte. Die Begründung: US-Überwachungsgesetze gewährleisteten kein dem EU-Recht gleichwertiges Datenschutzniveau.

Die Folge war Unsicherheit für tausende Unternehmen. Datentransfers in die USA waren plötzlich nur noch mit zusätzlichen Garantien möglich, etwa über Standardvertragsklauseln (SCC) kombiniert mit einer eigenen Risikoprüfung im Einzelfall.

Seit Juli 2023 gibt es einen neuen Rahmen: das EU-US Data Privacy Framework (DPF). Es erlaubt den Datentransfer an US-Unternehmen, die sich nach dem DPF zertifiziert haben. Für nicht zertifizierte Empfänger bleiben jedoch SCC und Einzelfallprüfung erforderlich – die Datenresidenz bleibt damit ein zentrales Thema.

Warum ist das für KMU wichtig?

Schrems II zeigt, wie schnell sich die Rechtslage beim Drittlandtransfer ändern kann. Wer Kundendaten an einen US-Dienstleister gibt, muss prüfen, ob dieser DPF-zertifiziert ist, und den Transfer dokumentieren. Geht das DPF eines Tages denselben Weg wie Privacy Shield, und ein drittes Schrems-Urteil ist nicht ausgeschlossen, stehen betroffene Unternehmen erneut vor der Frage, wie sie ihre Datenflüsse absichern.

Für kleine und mittlere Unternehmen ist diese Unsicherheit teuer. Juristische Prüfungen, Standardvertragsklauseln und Risikobewertungen binden Ressourcen, die im Tagesgeschäft fehlen.

Die pragmatische Antwort: EU-Hosting. Wer Daten ausschließlich in Europa verarbeiten lässt, ist von der Schrems-Problematik gar nicht erst betroffen. Kein Drittlandtransfer bedeutet keine Abhängigkeit von einem Abkommen, das jederzeit fallen kann.

Beispiel aus dem Mittelstand

Eine Versicherungsmaklerin in Frankfurt nutzte jahrelang ein US-amerikanisches Tool für die Kundenkommunikation. Nach Schrems II ließ sie von ihrem Datenschutzberater prüfen, ob der Transfer noch zulässig war. Das Ergebnis: Standardvertragsklauseln plus eine aufwendige Risikobewertung wären nötig gewesen.

Statt diesen Aufwand jährlich zu wiederholen, wechselte sie zu einem Anbieter mit reinem EU-Hosting. Damit entfiel die gesamte Drittland-Problematik. Im Auftragsverarbeitungsvertrag ist der EU-Standort festgehalten, und ihre DSGVO-konforme Kommunikation ist unabhängig von künftigen Schrems-Urteilen.

Schrems II und SendSeven

SendSeven ist eine DSGVO-konforme, EU-gehostete Unified-Messaging-Plattform – Made in Germany. Alle Daten werden ausschließlich auf Servern in der Europäischen Union verarbeitet.

Als spezialisierter Anbieter mit Sitz in Deutschland nehmen wir Ihnen die Schrems-Problematik komplett ab: Es gibt keinen Datentransfer in die USA, also auch keine Abhängigkeit vom EU-US Data Privacy Framework oder von Standardvertragsklauseln. Sie kommunizieren mit Ihren Kunden über WhatsApp, E-Mail und weitere Kanäle, ohne sich um den nächsten Drittland-Beschluss sorgen zu müssen. SendSeven ist ab 49 €/Monat (Basic) nutzbar.