Schrems II

Schrems II ist die Kurzbezeichnung für das Urteil des Gerichtshofs der Europäischen Union C-311/18, ergangen am 16. Juli 2020. Das Urteil erklärte den EU-US-Datenschutzschild (Privacy Shield), der bis dahin die transatlantischen Datenflüsse regelte, für ungültig und legte jedem EU-Betreiber, der personenbezogene Daten in die Vereinigten Staaten übermittelt, weitaus strengere Pflichten auf.

Für Nachrichtenverlage, die Leserkommentare aus der EU auf US-basierten Plattformen betreiben, ist Schrems II das rechtliche Kopfzerbrechen, das die Diskussion über Kommentaranbieter in den Jahren 2020-2022 neu eröffnete.

Was sich änderte

Vor Schrems II konnte sich ein EU-Verlag, der ein in den USA gehostetes Kommentarsystem (Disqus, OpenWeb, Coral) nutzte, auf den Privacy Shield als Selbstzertifizierungsmechanismus verlassen. Der EuGH sagte: nicht ausreichend. Konkret:

• Der Privacy Shield wurde mit sofortiger Wirkung für ungültig erklärt. Betreiber, die sich darauf stützten, mussten eine andere Rechtsgrundlage finden.
• Standardvertragsklauseln (Standard Contractual Clauses, SCCs) bleiben eine mögliche Grundlage, erfordern jedoch eine Einzelfallbewertung, ob das Zielland (die USA) tatsächlich ein Schutzniveau bietet, das dem der EU gleichwertig ist.
• Die Einzelfallbewertung obliegt dem Verlag, einschließlich der Beurteilung der US-Überwachungsgesetze (FISA 702, EO 12333), die den US-Anbieter zur Offenlegung von EU-Daten zwingen können.

In der Praxis bedeutet das: Wenn Sie Kommentare auf einem in den USA gehosteten System betreiben und Ihr Datenschutzbeauftragter seine Arbeit macht, ist eine Dokumentationskette von Risikobewertungen zu pflegen, mit nicht unerheblicher Haftung, falls die Bewertung falsch ist.

Der Stand der Dinge 2026

Ein neuer EU-US-Datenschutzrahmen (Data Privacy Framework, als Ersatz für den Privacy Shield) wurde 2023 angenommen. Er ist in Kraft, wird aber aktiv angefochten, wobei ein wahrscheinliches “Schrems III”-Urteil erwartet wird, das ihn infrage stellen dürfte.

Für Verlage, die eine stabile Antwort wünschen, die nicht von der nächsten EuGH-Entscheidung abhängt, ist der einfachste Weg, Kommentare innerhalb der EU bei einem von der EU kontrollierten Anbieter zu hosten. Das beseitigt die gesamte Frage der grenzüberschreitenden Übermittlung, der SCC-Bewertungen und des Risikos durch US-Überwachung.

Warum das für die Anbieterwahl wichtig ist

Dies ist einer der konkretesten Unterschiede zwischen Logora und US-Kommentarplattformen:

• Logora, nur EU (OVH, Frankreich). Keine transatlantische Datenübermittlung. Schrems II findet keine Anwendung.
• Disqus / Viafoura / OpenWeb, mit Sitz in den USA oder in den USA gehostet. Schrems II findet Anwendung. SCC-Bewertung erforderlich.
• Coral (Vox), Open Source. Der Datenstandort hängt davon ab, wo Sie hosten. Wenn Sie in der EU hosten, ist Schrems II gegenstandslos.

Verwandte Begriffe

• DSGVO, der Rahmen, innerhalb dessen Schrems II wirkt
• Auftragsverarbeitungsvertrag, Artikel 28 DSGVO
• First-Party-Daten

Siehe den Vergleich Logora vs Disqus dafür, wie Schrems II bei der Anbieterauswahl zum Tragen kommt.