Schrems II

Schrems II ist die Kurzbezeichnung für das Urteil des Gerichtshofs der Europäischen Union C-311/18, ergangen am 16. Juli 2020. Das Urteil erklärte den EU-US-Datenschutzschild (Privacy Shield), der bis dahin die Datenübermittlung in die USA regelte, für ungültig und legte jedem EU-Betreiber, der personenbezogene Daten in die Vereinigten Staaten übermittelt, weitaus strengere Pflichten auf.

Für Nachrichtenverlage, die Kommentare von EU-Lesern über US-Plattformen laufen lassen, ist Schrems II das rechtliche Problem, das die Wahl des Kommentaranbieters 2020–2022 wieder auf die Tagesordnung brachte.

Was sich änderte

Vor Schrems II konnte sich ein EU-Verlag, der ein in den USA gehostetes Kommentarsystem (Disqus, OpenWeb, Coral) nutzte, auf den Privacy Shield als Selbstzertifizierungsmechanismus verlassen. Der EuGH befand: Das reicht nicht. Konkret:

• Der Privacy Shield wurde mit sofortiger Wirkung für ungültig erklärt. Betreiber, die sich darauf stützten, mussten eine andere Rechtsgrundlage finden.
• Standardvertragsklauseln (Standard Contractual Clauses, SCCs) bleiben eine mögliche Grundlage, erfordern jedoch eine Einzelfallbewertung, ob das Zielland (die USA) tatsächlich ein Schutzniveau bietet, das dem der EU gleichwertig ist.
• Die Einzelfallbewertung obliegt dem Verlag, einschließlich der Beurteilung der US-Überwachungsgesetze (FISA 702, EO 12333), die den US-Anbieter zur Offenlegung von EU-Daten zwingen können.

In der Praxis heißt das: Betreiben Sie Kommentare über ein in den USA gehostetes System und nimmt Ihr Datenschutzbeauftragter seine Aufgabe ernst, müssen Sie Risikobewertungen lückenlos dokumentieren – mit nicht unerheblichem Haftungsrisiko, falls eine Bewertung falsch ist.

Der Stand der Dinge 2026

Ein neuer EU-US-Datenschutzrahmen (Data Privacy Framework, als Ersatz für den Privacy Shield) wurde 2023 angenommen. Er ist in Kraft, wird aber vor Gericht angefochten; erwartet wird ein mögliches „Schrems III“-Urteil, das ihn infrage stellen dürfte.

Für Verlage, die eine dauerhafte Lösung suchen, die nicht von der nächsten EuGH-Entscheidung abhängt, ist der einfachste Weg, Kommentare in der EU bei einem Anbieter unter EU-Kontrolle zu hosten. Damit entfallen die Datenübermittlung in die USA, SCC-Bewertungen und das Risiko durch US-Überwachung komplett.

Warum das für die Anbieterwahl wichtig ist

Hier zeigt sich einer der handfestesten Unterschiede zwischen Logora und US-Kommentarplattformen:

• Logora: nur EU (OVH, Frankreich). Keine Datenübermittlung in die USA. Schrems II findet keine Anwendung.
• Disqus / Viafoura / OpenWeb: mit Sitz in den USA oder in den USA gehostet. Schrems II findet Anwendung. SCC-Bewertung erforderlich.
• Coral (Vox): Open Source. Der Datenstandort hängt davon ab, wo Sie hosten. Wenn Sie in der EU hosten, ist Schrems II gegenstandslos.

Verwandte Begriffe

• DSGVO, der Rahmen, innerhalb dessen Schrems II wirkt
• Auftragsverarbeitungsvertrag, Artikel 28 DSGVO
• First-Party-Daten

Wie Schrems II bei der Anbieterwahl ins Gewicht fällt, zeigt der Vergleich Logora vs Disqus.